🎯 Capaian Pembelajaran

Setelah pertemuan ini, mahasiswa mampu:

1. Menjelaskan konsep surface web, deep web, dan dark web
2. Memahami arsitektur jaringan Tor dan mekanisme anonimisasi
3. Menerapkan teknik investigasi dark web dan OSINT
4. Memahami dasar forensik cryptocurrency
5. Menganalisis header email untuk pelacakan sumber
6. Menjelaskan mekanisme autentikasi SPF, DKIM, DMARC
7. Melakukan investigasi phishing dan forensik email

📋 Agenda Hari Ini

🌐 Tiga Lapisan Web

🧊 Analogi Gunung Es

Gambar 13.1: Surface, Deep, dan Dark Web — Analogi Gunung Es

📂 Konten Deep Web

Deep web bukan sinonim dark web. Sebagian besar kontennya legal:

🕳️ Konten Dark Web

🧅 Arsitektur Jaringan Tor

Komponen utama:

• Guard Node — Relay pertama, mengetahui IP pengguna
• Middle Node — Relay tengah, tidak mengetahui sumber maupun tujuan
• Exit Node — Relay terakhir, menghubungkan ke internet terbuka
• Hidden Service — Server yang beroperasi di dalam jaringan Tor (.onion)

🔐 Onion Routing — Enkripsi Berlapis

[Data Asli]
    ↓ Enkripsi dengan kunci Exit Node
[Layer 3: Encrypted]
    ↓ Enkripsi dengan kunci Middle Node
[Layer 2: Encrypted]
    ↓ Enkripsi dengan kunci Guard Node
[Layer 1: Encrypted]
    ↓ Kirim ke Guard Node

🧅 Hidden Services (.onion)

Proses akses hidden service lebih kompleks:

1. Hidden service membuat introduction points pada beberapa relay
2. Hidden service mempublikasikan descriptor ke DHT
3. Klien mendapatkan descriptor dan memilih rendezvous point
4. Klien mengirim pesan melalui introduction point
5. Hidden service terhubung ke rendezvous point
6. Komunikasi berlangsung melalui rendezvous point

🔍 Artefak Forensik Tor pada Windows

🎯 Teknik De-anonimisasi Tor

Meskipun Tor dirancang untuk anonimitas, identitas bisa terungkap melalui:

• Traffic Correlation — Menghubungkan trafik masuk & keluar berdasarkan timing
• Browser Exploitation — Eksploitasi kerentanan browser (contoh: NIT oleh FBI)
• OPSEC Failure — Kesalahan operasional pengguna (login akun real)
• Cryptocurrency Tracing — Melacak transaksi Bitcoin
• Server Misconfiguration — Konfigurasi hidden service yang bocor

🛠️ Tools Investigasi Dark Web

₿ Forensik Cryptocurrency

Komponen utama Bitcoin:

• Wallet Address — Alamat publik (hash dari public key)
• Private Key — Kunci rahasia untuk menandatangani transaksi
• Transaction — Transfer Bitcoin antar alamat
• Block — Kumpulan transaksi yang divalidasi

🔎 Pseudonymous ≠ Anonymous

⛓️ Teknik Forensik Blockchain

• Cluster Analysis — Mengelompokkan alamat milik entitas yang sama
• Transaction Graph — Memvisualisasi aliran dana antar alamat
• Exchange Identification — Mengenali alamat milik exchange (KYC data)
• Mixing Detection — Mendeteksi penggunaan tumbler/mixer
• Heuristic Analysis — Pola common-input-ownership

🕵️ OSINT untuk Investigasi Dark Web

Metodologi OSINT:

1. DEFINE    → Tentukan target investigasi
2. DISCOVER  → Kumpulkan data dari berbagai sumber
3. ANALYZE   → Analisis dan korelasi temuan
4. VALIDATE  → Verifikasi keakuratan informasi
5. REPORT    → Dokumentasi dan pelaporan

📡 Sumber OSINT Dark Web

📮 Arsitektur Sistem Email

📡 Protokol Email

📬 Alur Pengiriman Email

alice@kodam.mil.id → bob@lantamal.mil.id

1. Alice menulis email di Outlook (MUA)
2. Outlook → smtp.kodam.mil.id (MSA/MTA) via SMTP:587
3. MTA kodam → DNS MX lookup untuk lantamal.mil.id
4. MTA kodam → mx.lantamal.mil.id (MTA penerima) via SMTP:25
5. MTA lantamal → MDA → Mailbox Bob
6. Bob mengakses email via Outlook/IMAP

📋 Struktur Email Header

📖 Membaca Header "Received"

Received: from mail.kodam.mil.id (10.20.30.1)
  by inbox.lantamal.mil.id; 14:22:30 +0700     ← [3] Terakhir

Received: from webmail.kodam.mil.id (10.20.30.5)
  by mail.kodam.mil.id; 14:22:25 +0700         ← [2] Tengah

Received: from [172.16.50.100]
  by webmail.kodam.mil.id; 14:22:20 +0700       ← [1] ASAL

IP pengirim asli: 172.16.50.100

🛡️ SPF — Sender Policy Framework

v=spf1 ip4:203.0.113.0/24 include:_spf.google.com -all

✍️ DKIM — DomainKeys Identified Mail

Proses DKIM:

1. Server pengirim menandatangani header + body dengan private key
2. Tanda tangan disertakan dalam header DKIM-Signature
3. Server penerima mengambil public key dari DNS TXT record
4. Server penerima memverifikasi tanda tangan

🔒 DMARC — Domain-based Message Authentication

v=DMARC1; p=reject; rua=mailto:dmarc@kodam.mil.id

🔐 SPF + DKIM + DMARC = Defense in Depth

🎣 Jenis Serangan Phishing

🚩 Indikator Phishing Email

🔗 Teknik URL Phishing

🔬 Langkah Investigasi Phishing

1. Preservasi — Simpan email asli (.eml/.msg), jangan forward
2. Header Analysis — Periksa Received, SPF, DKIM, DMARC
3. URL Analysis — Analisis tanpa mengklik, gunakan sandbox
4. Attachment Analysis — Sandbox (Any.run, VirusTotal)
5. IOC Extraction — Kumpulkan IP, domain, hash, email
6. Threat Intelligence — Cek IOC di TI platform
7. Scope Assessment — Berapa banyak penerima terkena?
8. Documentation — Buat laporan forensik lengkap

🕵️ Deteksi Email Spoofed

From: admin@kodam-jaya.mil.id
Return-Path: <hacker@malicious-domain.ru>     ⚠️
Received: from mail.malicious-domain.ru         ⚠️
Message-ID: <random@malicious-domain.ru>       ⚠️
X-Originating-IP: [198.51.100.50]               ⚠️
Authentication-Results: spf=fail; dkim=none; dmarc=fail

💾 Lokasi Artefak Email (Windows)

📄 Format File Email

💬 Forensik Instant Messaging

🛠️ Tools Forensik Email

🎖️ Studi Kasus: Phishing di Pangkalan Militer

Langkah respons:

1. Containment — Isolasi workstation, block domain phishing
2. Assessment — Identifikasi semua penerima, siapa yang mengklik
3. Eradication — Reset kredensial, scan malware
4. Recovery — Restore dari backup jika perlu
5. Lessons Learned — Update filtering, awareness training

📌 Ringkasan Pertemuan 13

• Lapisan Web: Surface (4-5%), Deep (90-95%), Dark (<1%)
• Tor: Onion routing, 3 relay, enkripsi berlapis
• Cryptocurrency: Pseudonymous (Bitcoin), private (Monero)
• Email Header: Received dibaca dari bawah ke atas
• Autentikasi: SPF + DKIM + DMARC = defense-in-depth
• Phishing: Analisis header, URL, attachment, IOC
• Artefak: PST/OST (Outlook), Mbox (Thunderbird), SQLite (IM)

📅 Pertemuan Berikutnya

• Cloud computing models: IaaS, PaaS, SaaS
• Tantangan forensik di lingkungan cloud
• Cloud storage forensics (Dropbox, Google Drive, OneDrive)
• Virtual machine dan container forensics

📚 Referensi

1. Casey, E. (2022). Digital Evidence and Computer Crime (4th Ed.). Academic Press. Chapter 14
2. Davidoff, S. & Ham, J. (2022). Network Forensics (2nd Ed.). Pearson. Chapter 9-10.
3. Johansen, G. (2020). Digital Forensics and Incident Response. Packt. Chapter 10.
4. Europol (2023). IOCTA 2023.
5. Tor Project (2024). Tor: Overview.
6. Chainalysis (2024). The 2024 Crypto Crime Report.
7. NIST. Guidelines on Email Forensics.

❓ Sesi Tanya Jawab

Topik diskusi:

• Pengalaman/kasus terkait dark web di Indonesia?
• Tantangan investigasi email di organisasi militer?
• Implementasi SPF/DKIM/DMARC di jaringan Kodam?