🎯 Capaian Pembelajaran

Setelah pertemuan ini, mahasiswa mampu:

1. Menjelaskan model layanan cloud (IaaS, PaaS, SaaS) dan implikasi forensiknya
2. Mengidentifikasi tantangan forensik di lingkungan cloud
3. Menganalisis artefak cloud storage (Dropbox, Google Drive, OneDrive)
4. Melakukan forensik pada virtual machine dan disk image
5. Memahami container forensics (Docker, Kubernetes)
6. Menganalisis cloud logging dan monitoring services
7. Menjelaskan isu jurisdiksi hukum dalam cloud forensics

📋 Agenda Hari Ini

☁️ Apa itu Cloud Computing?

Mengubah paradigma penyimpanan data secara fundamental — bukti digital tidak lagi tersimpan di lokasi fisik yang dapat dikontrol langsung.

Komputasi Tradisional vs Cloud

📊 Model Layanan Cloud

🔍 Implikasi Forensik Per Model

⚠️ Semakin tinggi abstraksi → semakin terbatas kemampuan forensik

🌐 Model Deployment Cloud

🎖️ Konteks militer: Private/Community Cloud → menjaga kedaulatan data pertahanan

🔧 Tantangan Teknis

• Multi-Tenancy: Data beberapa tenant di infrastruktur fisik sama — sulit mengisolasi bukti
• Volatilitas & Elastisitas: VM dapat dibuat/dihancurkan dalam menit, auto-scaling menghapus instance otomatis
• Distributed Architecture: Data tersebar di beberapa data center lintas negara
• Encryption: Data at-rest dan in-transit terenkripsi, memerlukan key management access

🏢 Risiko Multi-Tenancy

🔑 Strategi: Verifikasi tenant ID pada setiap artefak, cross-reference timestamps

⚖️ Tantangan Hukum & Jurisdiksi

• Cross-Border Data: Data mungkin tersimpan di negara berbeda dari lokasi investigasi
• Regulasi Berbeda: GDPR (Eropa), UU PDP (Indonesia), dll.
• MLAT: Mutual Legal Assistance Treaty — proses panjang untuk akses lintas batas
• SLA & ToS: Kontrak provider menentukan hak akses data oleh penegak hukum

🇮🇩 Regulasi Indonesia

📦 Artefak Dropbox di Windows

📦 Informasi Forensik Dropbox

Database Dropbox mengandung:

• Account Info: Email, display name, user ID
• File Metadata: Nama, ukuran, hash, timestamps
• Sync History: Riwayat sinkronisasi termasuk file terhapus
• Shared Links: File yang dibagikan dan penerima
• Device Info: Nama perangkat, OS, last connect

💡 .dropbox.cache menyimpan file terhapus beberapa hari sebelum purge otomatis

📁 Artefak Google Drive di Windows

📁 Google Drive: Stream vs Mirror

💼 Artefak OneDrive di Windows

⚠️ Files On-Demand: file "online-only" tidak memiliki konten lokal saat forensic imaging!

💼 OneDrive Files On-Demand

Forensic imaging standar hanya mengambil placeholder untuk file cloud-only

💾 Format Disk Virtual Machine

🔍 Analisis VMDK dengan FTK Imager

1. Buka FTK Imager → File → Add Evidence Item
2. Pilih "Image File" sebagai source type
3. Browse ke lokasi file .vmdk
4. Klik Finish — FTK Imager mount VMDK
5. Analisis: browse file system, keyword search, file recovery

✅ FTK Imager mendukung VMDK, VHD, VHDX, dan E01

📸 VM Snapshots & Memory

Snapshot menyimpan state lengkap VM:

• Disk State: Perubahan disk sejak snapshot (delta disk)
• Memory State: Isi RAM VM → file .vmem atau .vsv
• Configuration: Pengaturan hardware virtual

# Analisis memory snapshot VMware dengan Volatility 3
python3 vol.py -f snapshot.vmem windows.pslist
python3 vol.py -f snapshot.vmem windows.netscan
python3 vol.py -f snapshot.vmem windows.filescan

📁 Komponen File VMware

🏗️ Hypervisor Forensics

Hypervisor menyediakan informasi forensik tambahan:

• Hypervisor Logs: Event creation, deletion, modification VM
• Performance Metrics: Resource usage → deteksi anomali
• Virtual Switch Logs: Traffic antar VM
• Storage Controller: I/O operations pada virtual disk

🐳 Artefak Docker (Linux)

🐳 Docker Forensic Commands

# List semua container (termasuk stopped)
docker ps -a

# Inspect detail container
docker inspect <container_id>

# Export container filesystem
docker export <container_id> > evidence.tar

# Lihat perubahan dari base image
docker diff <container_id>

# Lihat logs container
docker logs <container_id>

# Copy file spesifik dari container
docker cp <container_id>:/path /local

🐳 Forensik Berdasarkan Status Container

⚡ Prioritas: Akuisisi SEGERA sebelum container dihapus!

☸️ Kubernetes Forensics

Artefak forensik pada Kubernetes cluster:

• etcd database: Seluruh state cluster tersimpan di sini
• Pod logs: Log dari setiap container dalam pod
• Audit logs: Semua API request ke cluster
• Events: Kejadian penting (create, delete, error)
• ConfigMaps & Secrets: Konfigurasi dan credentials

🔶 AWS CloudTrail

Mencatat semua API calls dalam akun AWS:

{
  "eventTime": "2025-01-15T08:30:00Z",
  "eventName": "RunInstances",
  "sourceIPAddress": "203.0.113.50",
  "userIdentity": {
    "type": "IAMUser",
    "userName": "admin-user"
  },
  "requestParameters": {
    "instanceType": "t2.micro"
  }
}

Info forensik: siapa (userIdentity), apa (eventName), kapan (eventTime), dari mana (sourceIPAddress)

🔵 Azure & GCP Logging

🔧 Analisis Log dengan jq

# Filter event berdasarkan nama
cat cloudtrail.json | jq '.Records[] | \
  select(.eventName == "CreateAccessKey")'

# Cari aktivitas dari IP tertentu
cat cloudtrail.json | jq '.Records[] | \
  select(.sourceIPAddress == "185.220.101.45")'

# List semua user dan event unik
cat cloudtrail.json | jq \
  '[.Records[] | {user: .userIdentity.userName, \
  event: .eventName}] | unique'

jq = command-line JSON processor → tool wajib untuk cloud log analysis

🎖️ Studi Kasus: Serangan pada Cloud Militer

📥 Metode Akuisisi Cloud

📋 Chain of Custody untuk Cloud Evidence

Elemen tambahan dokumentasi:

• Cloud Service Info: Provider, region, account ID
• Acquisition Method: API, snapshot, atau client-side
• Timestamp Sync: Verifikasi sinkronisasi waktu antar source
• Hash Verification: Hash setiap file/snapshot yang diakuisisi
• Access Logs: Siapa mengakses cloud account dan kapan

🎖️ Forensik Cloud dalam Konteks Militer

💻 Preview Praktikum

Kegiatan hands-on hari ini (150 menit):

1. Analisis artefak Dropbox, Google Drive, OneDrive
2. Parsing database cloud storage dengan DB Browser for SQLite
3. Analisis virtual machine disk image (VMDK) dengan FTK Imager
4. Analisis sample AWS CloudTrail logs dengan jq
5. Dokumentasi chain of custody untuk cloud evidence

📝 Rangkuman

📚 Referensi

1. Casey, E. (2022). Digital Evidence and Computer Crime (4th Ed.). Chapter 15
2. Johansen, G. (2020). Digital Forensics and Incident Response. Chapter 11
3. NIST SP 800-144: Guidelines on Security and Privacy in Public Cloud Computing
4. Cloud Security Alliance. (2020). Cloud Forensics Guidance
5. Dykstra, J. & Sherman, A. (2012). "Acquiring forensic evidence from IaaS cloud computing"