Definisi Komputer Forensik

Digital Forensik atau bisa disebut dengan Ilmu Forensik Digital, adalah salah satu cabang ilmu forensik, yang memfokuskan pada penyelidikan dan penemuan konten perangkat digital, yang seringkali dikaitkan dengan kejahatan komputer.

Digital forensic bertujuan untuk membantu memulihkan, menganalisa, dan mempresentasikan barang bukti berbasis digital atau elektronik yang sedemikian rupa sehingga dapat dipergunakan sebagai alat bukti yang sah di pengadilan.

Menurut UU ITE, Alat Bukti Elektronik ialah Informasi Elektronik dan/atau Dokumen Elektronik yang memenuhi persyaratan formil dan persyaratan materil. Pada Pasal 5 ayat (1) UU ITE mengatur bahwa Informasi Eletkronik dan/atau Dokumen elektronik dan/atau hasil cetaknya merupakan alat bukti hukum yang sah.

Dalam digital forensic barang bukti terdiri dari dua jenis yaitu barang bukti elektronik dan barang bukti digital. Barang bukti elektronik bersifat fisik dan dapat dikenali secara visual. Sedangkan Barang bukti digital bersifat digital yang kemudian akan diekstrak atau di-recover dari barang bukti elektornik atau dikenal dengan istulah dokumen elektronik.

Contoh barang bukti elektronik seperti komputer PC, laptop/notebook, netbook, tablet, telepon genggam, flashdisk, floppydisk, harddisk, CD/DVD, router, switch, hub, kamera video, CCTV, kamera digital, perekam digital, music/video player, dan semacamnya. Dan sedangkan untuk jenis barang bukti digital seperti Audio file, Video file, Image file, Email, User ID dan password, Short Message Service (SMS), Multimedia Message Service (MMS), Call Logs dan semacamnya.

Dalam pengelolaan barang bukti digital, proses akuisisi dan imaging adalah hal penting dalam tahapan melakukan proses analisa forensik. Akuisisi sendiri merupakan proses pengelolaan barang bukti digital yang terkait dengan media penyimpanan seperti harddisk, Flash Disk, CD dan lain lain. Proses ini dilakukan untuk mengekstraksi dan menduplikasi barang bukti yang ditemukan guna sebagai objek analisis agar barang bukti yang ditemukan tidak rusak serta integritas barang bukti tetap terjaga.  Pada tahap akuisisi terdapat beberapa aplikasi/tools yang dapat digunakan seperti FTK imager, Bitcorator dan lain sebaginya.

Untuk mendukung proses identifikasi alat bukti dalam waktu yang relatif cepat dan sekaligus mengungkapkan alasan dan motivitasi tindakan tersebut maka perlu melakukan investigasi, banyak penelitian yang membahas mengenai model proses investigasi digital forensik. Model yang terbaru diusulkan oleh Omrani Takwa dkk, yang berjudul A New Digital Investigation Frameworks Comparison Method. Model ini diclaim dapat menghemat waktu, reusability, dan prosesnya terjaga keamanannya.

Tahapan dari model ini antara lain:

1.      Pre-processing: tahap ini dilakukan sebagai persiapan dan pengecekan alat software dan hardware yang akan digunakan.

2.      Collection : Terdiri dari 3 tahap yaitu

Localization: merupakan tahap untuk mengidentifikasi data yang relevan yang kemudian dilakukan lokalisasi.

Identification: merupakan tahap untuk mengidentifikasi informasi yang tersembunyi.

Scheduling: merupakan tahap untuk mengurutkan data berdasarkan prioritas dan kehandalan data.

3.      Classification: tahap ini data akan dikelompokkan berdasarkan hasil dari proses investigasi sebelumnya dan dibandingkan dengan hasil dari proses investigasi saat ini. Tahap ini diselesaikan menggunakan dengan cara statistik dan teknik fusi data, yang tujuannya adalah untuk memahami kasus kejadian dan mempercepat pemilihan solusi investigasi yang andal.

4.      Analysis: tahap ini adalah melakukan analisa terhadap data yang sudah dikumpulkan untuk mendapatkan estimasi, kemungkinan, dan hipotesis dari data yang akan berpotensi menjadi barang bukti.

5.      Examination: tahap ini adalah tahap pengujian keabsahan data, keutuhan data dan keterkaitan data dengan tindak kriminal suatu kasus.

6.      Presentation: tahap ini adalah tahap presentasi bukti digital kepada pihak yang berwenang dengan menggunakan bahasa yang dapat dipahami dan dipahami oleh orang-orang di persidangan.

7.      Rapport:  tahap ini merupakan tahapan untuk mencari hubungan dari semua hasil investigasi. Hasil dari tahap ini seperti penetapan barang bukti, penjelasan, kebijakan baru dan prosedur investigasi, penutupan kegiatan investigasi.

8.      Preservation: tahap ini, barang bukti baik yang berupa fisik maupun digital akan dijaga kamanan, dan keutuhannya pada setiap tahapan proses investigasi, sehingga validitas dan integritas barang bukti tetap terjaga.

9.      Owner property: tahap akhir setelah proses investigasi selesai, semua barang bukti yang disita akan dikembalikan secara utuh kepada pemiliknya.

Walaupun tidak berkaitan dengan kejahatan, Pada beberapa kasus kejahatan tertentu, computer dapat dijadikan untuk menyimpan data-data kejahatan. Seperti menyimpan data-data penjualan senjata ilegal, obat-obat terlarang dan semacamnya. Dalam kasus seperti ini,kejahatan tersebut dikenal dengan istulah “cybercrime” dimana  komputer tidak terlibat secara signifikan dalam pelaksanaan kejahatan, namun lebih merupakan sebuah bukti untuk membuktikan adanya sebuah kejahatan. Banyak jenis kegiatan atau tindakan yang berhubungan dengan kejahatan di internet yang menjadikan computer sebagai korban. Menurut eko indrajit secara prinsip terdapat 4 (empat) jenis tindakan, yaitu :

1.      Interception yaitu tindakan menyadap transmisi / komunikasi yang terjadi antara satu pihak dengan pihak yang lain.  Contoh dari jenis ini adalah – Wiretapping dan Sniffing

2.      Interruption yaitu tindakan yang mengakibatkan terjadinya pemutusan komunikasi antara dua buah pihak yang seharusnya berinteraksi. Contohnya adalah DOS (Denial of Services) atau DDOS (Distributed Denial of Services) yakni aktifitas terhadap sebuah komputer atau server di dalam jaringan internet dengan cara menghabiskan sumber (resource) yang dimiliki oleh komputer tersebut sampai komputer tersebut tidak dapat menjalankan fungsinya dengan benar.

3.      Modification yaitu tindakan melakukan perubahan terhadap data atau informasi atau konten yang mengalir dalam sebuah infrastruktur teknologi informasi. Contoh aktifitas ini adalah MITM Attack atau “man in the middle attack” dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar sebagai orang lain kemudian mengubah isi informasi dari komunikasi yang ada.

4.       Fabrication yaitu tindakan mengelabui seolah‐olah terjadi suatu permintaan interaksi dari seseorang seperti yang dewasa. Contohnya adalah phising,

Dalam dunia digital forensic sistem operasi akan memiliki karakteristik file system yang tersendiri, karena itu untuk mendalami dunia digital forensik maka salah satu acuan awalnya adalah mengidentifikasi terlebih dahulu sistem operasi yang digunakan. Berdasarkan sistem operasi tersebut maka kemudian kita mengenali bagaimana sistem file yang berlaku.

File Signature adalah sebuah data yang berfungsi sebagai indentifikas atau memverifikasi suatu isi file. Dalam hal ini File Signature membantu dalam upaya mendeteksi manipulasi data. File-file sistem komputer diidentifikasi oleh 2 atribut: file extensions dan file signature. Suatu file extension adalah akhiran berupa nama pada file komputer yang teraplikasikan yang menunjukkan format dari file tersebut. sedangkan suatu file signature (dapat juga dikatan sebagai magic number) adalah satu set dari beberapa karakter yang tersimpan pada bagian awal dari file. Setiap jenis file / file type dapat dikenal dengan mudah melalui extension.

Bagian yang sangat penting dalam analisis forensic adalah Timeline.  analisis timeline dalam forensik digital merupakan urutan waktu dalam sebuah kejadian. Timeline digunakan agar dapat merekonstruksi urutan peristiwa dalam kejadian. Tanpa kronologi kejadian yang akurat, penegak hukum akan kesulitan memetakan tindakan pelaku kejahatan dalam melakukan kejahatannya.

Di Indonesia terdapat banyak sekali kasus yang menggunakan ilmu forensic, salah satu kasus yang pernah Hype adalah Kasus pembunuhan menggunakan “kopi sianida” yang dilakukan oleh jessica kumala wongso. Para ahli forensik menggunakan cctv digital untuk menguak kasus tersebut. Salah satu Ahli Digital Forensik melalui Rekaman CCTV Muhammad Nur Al-Azhar Msc . adalah Ahli yang melakukan Forensik Imagine terhadap flashdisk yang ber isi Rekaman CCTV di TKP. Merekam jelas tindakan yang dilakukan oleh Jessica.

https://www.binadarma.ac.id

Dosen : Suryayusra, M.Kom

Matakuliah : Komputer Forensik

 

Studi Literatur Ilmu Forensik Komputer

LATAR BELAKANG

Keberadaan ilmu komputer forensik ini sangat dibutuhkan saat sekarang apalagi dimasa mendatang, karena banyaknya kejahatan-kejahatan berbasis komputer/digital yang tidak dapat dibuktikan secara nyata, sehingga terkadang tidak diakui sebagai alat bukti di pengadilan untuk kasus-kasus seperti ini. Maka tidak heran di institusi seperti kepolisian memiliki departemen khusus untuk komputer forensik ini.

Kejahatan cyber memiliki barang bukti yang bersifat elektronis/digital dan membutuhkan metoda pengelolaan yang khusus sehingga dapat memenuhi persyaratan forensik untuk digunakan sebagai barang bukti. Faktanya semakin maju ilmu pengetahuan ditambah dengan akhlak manusia yang semakin merosot dan jauh dari nilai-nilai Agama, kiranya perlu adanya monitoring dari setiap aktivitas manusia yang menyangkut kepentingan masyarakat, apalagi dengan adanya akses internet yang mudah, bahkan dari telepon selular, orang dapat mengakses apa saja yang ada di dunia ini.

Ketika suatu kejahatan komputer terjadi maka pihak pengelola sistem akan melakukan tahapan penanganan kasus (incident handling). Proses yang sering melibatkan tim yang disebut CERT (Computer Emergency Response Team). Untuk itu mendukung pekerjaan itu dibutuhkan perangkat Manajemen Kasus Forensik yang dapat membantu penegak hukum dalam melakukan tugas forensic dengan cara melakukan dokumentasi serta menarik kesimpulan secara sistematis dan logis, maka dikembangkan suatu solusi Sistem Manajemen Kasus Forensik. Sistem yang dikembangkan ini dibuat merupakan pengembangan dari SAFFA.

TUJUAN DAN MANFAAT

Tujuan forensik komputer adalah untuk mengamankan dan menganalisis bukti digital dan untuk mengetahui manajemen kasus forensic dalam mengambil bukti-bukti digital agar tidak terkontaminasi pada saat data di ambil.

Manfaatnya adalah untuk memudahkan para ahli komputer forensik untuk menarik kesimpulan secara sistemastis dan logis.

DASAR TEORI

Definisi forensik komputer menurut Noblett adalah proses mengambil, menjaga, mengembalikan, dan menyajikan data yang telah diproses secara elektronik dan disimpan di media komputer. Tujuan forensik komputer adalah untuk mengamankan dan menganalisis bukti digital. McKemmish mendefinisikan forensik computer adalah proses mengidentifikasi, menjaga, menganalisa, dan menyajikan bukti digital (digital evidence) dalam tata cara yang diterima secara hukum. Kedua definisi tersebut berprioritas pada pemulihan (recovery) dan analisis data.

Kejahatan komputer secara luas dapat didefinisikan sebagai kegiatan kriminal yang meliputi infrastruktur teknologi informasi, termasuk akses tak berhak (unauthorized access), intersepsi ilegal, gangguan data termasuk pengaksesan data secara ilegal yang bersifat merusak, penghapusan data, kerusakan data, perubahan data atau penyembunyian data pada komputer, interferensi sistem, penyalahgunaan device, pemalsuan (pencurian ID), serta penipuan secara elektronik.

Menghadapi kejahatan dengan kompleksitas yang tinggi ini membutuhkan waktu yang lama dan teknik yang khusus agar dapat membawanya ke pengadilan. Analisis forensik merupakan suatu langkah penting dalam penanganan kejahatan komputer. Terutama ketika ingin membawanya menjadi suatu kasus di pengadilan. Komputer dan datanya sebagai barang bukti tidak dapat ditangani tanpa suatu pertimbangan dan aturan yang ketat. Berikut tahapan metoda pengelolaan barang bukti yang sering melibatkan tim yang disebut CERT (Computer Emergency Response Team)

1. Identifikasi : mendeteksi permasalahan atau serangan

2. Koordinasi : memperkirakan kerusakan yang terjadi

3. Mitigasi : mengendalikan kerusakan

4. Investigasi : memeriksa kerusakan

5. Edukasi : mempelajari kasus yang terjadi untuk perbaikan sistem

Dalam menindak-lanjuti kasus kejahatan komputer, selain masalah pengumpulan dan menyajikan bukti-bukti yang diperlukan penyidik, terdapat juga permasalahan lain yaitu dokumentasi hasil uji forensik komputer. Hal-hal yang didokumentasikan ini adalah segala hal yang berhubungan dengan kejahatan termasuk bagaimana proses penanganan barang bukti tersebut.

Dokumentasi yang baik, dan tersusun dalam metode pemrosesan yang diterapkan secara konsisten, bertindak sebagai pengingat bagi spesialis komputer dan dapat menjadi kunci penting dalam kesuksesan atau kegagalan suatu persidangan kejahatan komputer. Dokumentasi itu harus lengkap, ditail, akurat, dan komprehensif. Tanpa kemampuan untuk rekonstruksi secara akurat terhadap apa yang telah terjadi, bukti penting dapat dipertanyakan. Langkah-langkah analisis dalam dokumentasi harus sesuai dengan pedoman-pedoman yang dipergunakan secara nasional maupun internasional.

Langkanya SDM penegak hukum untuk bidang forensik, menjadikan tahapan forensik dan dokumentasinya menjadi beban berat bagi para petugas dan penyidik. Sehingga dibutuhkan suatu sistem manajemen kasus forensik yang akan meringankan kerja petugas untuk melakukan tahapan-tahapan forensik yang benar, menghasilkan laporan forensik yang merunut bukti-bukti tersebut secara logis, dan membantu menarik kesimpulan dan menyajikannya sebagai suatu bukti di pengadilan.

Untuk mengatasi kebutuhan tersebut, penegak hukum dalam melakukan analisis forensik melakukan dokumentasi serta menarik kesimpulan secara sistematis dan logis, maka dikembangkan suatu solusi Sistem Manajemen Kasus Forensik. Sistem yang dikembangkan ini dibuat merupakan pengembangan dari SAFFA-NG.

SAFFA-NG merupakan pengembangan lebih lanjut dan perubahan secara mendasar arsitektur SAFFA dengan menggunakan komponen Open Source untuk menggantikan komponen proprietary yang tadinya digunakan SAFFA. Hanya konsep dan pendekatan SAFFA saja yang tetap masih digunakan. SAFFA-NG ini merupakan kerjasama riset antara Universitas Gunadarma, peneliti RVS Arbeitsgrupe – Bielefeld University, dan Andreas Vangerow (P3 Consulting GmbH), dengan masukan dari Kepolisian Negara bagian Niedersachsen (LKA Niedersachsen) serta kerja sama dengan badan pemerintahan Indonesia seperti Komisi Pemberantas Korupsi (KPK), dan Kepolisian Indonesia.

HASIL DAN PEMBAHASAN

SAFFA merupakan software pertama yang tersedia secara bebas yang digunakan untuk sistem pengelolaan bukti digital dan pengelolaan data forensik. Memang telah ada beberapa perangkat lunak forensik seperti :

• Encase [http://www.guidancesoftware.com/]

• X-Ways [http://www.x-ways.net]

• Autopsy [http://www.sleuthkit.org/autopsy/]

• PyFLAG [http://www.pyflag.net/]

• TimeCoronerToolkit [http://www.porcupine.org/forensics/tct.html]

Tetapi perangkat lunak tersebut berdiri sendiri dan relatif merupakan forensik aras bawah, yang belum mendukung ke pengambilan runutan kesimpulan. SAFFA-NG dapat memanfaatkan keluaran dari perangkat lunak aras bawah tersebut, sebagai masukan dari pengolahanan bukti digital. Sehingga SAFFA-NG dapat merangkum hasil perolehan dari berbagai perangkat bantu tersebut. SAFFA-NG ini menggunakan berbagai komponen perangkat lunak Open Source yaitu :

• GNU/Linux

• Tomcat Server, sebagai server untuk aplikasi Saffa JSP

• Database XML

• OpenOffice sebagai converter berbagai document yang dijalankan dalam modus server

Perangkat lunak yang hampir mirip dengan fungsi SAFFA ini adalah Open Computer Forensic Architecture dari kepolisian Belanda [http://ocfa.sourceforge.net]. Tetapi OSCA tersebut lebih pada program untuk membangun framework server yang akan digunakan untuk melakukan pekerjaan forensik, bukan memberikan panduan tahapan forensik seperti halnya SAFFA. Dari sis User Interface, SAFFA memiliki pendekatan lebih ke arah pengguna, jadi pengguna lebih dilibatkan dalam menentukan User Interface. Untuk penggunaan di Indoensia, tim pengembang SAFFA banyak mendapat masukan dari pihak KPK, serta dicobakan juga di Kepolisian Republik Indonesia.

Pada dasarnya pengguna sistem ini akan terbagi menjadi 3 jenis aktor yaitu,

• Petugas forensik, pada dasarnya petugas ini yang melakukan pencarian bukti-bukti digital pada perangkat yang digunakan sebagai bukti

• Penyidik, yang melakukan penyidikan dengan menggunakan data hasil forensik. Penyidik akan menganalisis kasus dari bukti forensik, secara logis dan sistematis dengan bantuan SAFFA-NG. Dalam penyidikan, dapat saja penyidik menemukan suatu bukti baru yang akan diberikan kepada petugas forensik.

• Jaksa/pembela, memperoleh keluaran berupa laporan forensik untuk digunakan di pengadilan.

SAFFA mendokumentasikan hasil analisis uji forensik komputer dengan menggunakan aliran kerja yang terdiri dari tahapan-tahapan yang sesuai dengan bakuan kerja forensik. Pada tiap tahapan petugas mengisikan formulir yang berbeda. Pada formulir tersebut informasi dari hasil analisis dapat disimpan dan jika analisis tersebut dibuka lagi penyelidik dapat memprosesnya lebih lanjut tetapi tanpa merusak informasi pada analsis sebelumnya. Semua text field diperuntukkan bagi pertanyaan atau point tertentu yang berhubungan dengan analisis forensik dan sesuai dengan pedoman/guideline yang digunakan. Point-point tersebut diistilahkan sebagai index SAFFA. SAFFA terdiri dari 5 Index dan beberapa subindex.

Sedikit berbeda dengan sistem database atau workflow, maka SAFFA ini harus memiliki beberapa fitur di dalam sistem database yang digunakan sebagai Digital Evidence Bag. Fitur tersebut adalah :

• Mendukung enkripsi

• Mendukung versioning

• Mendukung kontrol integritas

 

KESIMPULAN

Menurut saya keberadaan ilmu komputer forensik ini sangat dibutuhkan saat sekarang karena banyaknya kejahatan-kejahatan berbasis komputer/digital yang tidak dapat dibuktikan secara nyata. Untuk itu mendukung mengungkap bukti-bukti kejahatan digital dibutuhkan perangkat Manajemen Kasus Forensik yang dapat membantu penegak hukum dalam melakukan tugas forensic dengan cara melakukan analisis forensik serta menarik kesimpulan secara sistematis dan logis, maka dikembangkan suatu solusi Sistem Manajemen Kasus Forensik. Sistem yang dikembangkan ini dibuat merupakan pengembangan dari SAFFA.

Dengan menggunakan SAFFA-NG maka penyidik dan penegak hukum dapat melakukan analisis forensik secara lebih efisien, terarah, serta mengikuti suatu panduan yang formal. Juga memungkinkan adanya pertukaran informasi antar institusi investigasi internasional. Pengembangan sistem ini juga bertujuan untuk menghasilkan sebuah laporan hasil analisis uji forensik komputer dalam bahasa yang berbeda-beda agar dapat digunakan oleh berbagai institusi investigasi internasional.

https://www.binadarma.ac.id  

Dosen : Suryayusra, M.Kom

 

Tutorial Autopsy

 Autopsy adalah sebuah antarmuka grafis untuk tool-tool didalam sleuth kit, yang memudahkan pengguna dalam melakukan investigasi. Mereka dapat menganalisis disk dan file system windows dan unix (NTFS, FAT, UFS1/2, EXT2/3). Autopsy menyediakan fungsi manajemen kasus, integritas gambar, pencarian kata kunci, dan operasi lainnya. Autopsy menggunakan perl untuk menjalankan program-program sleuth kit dan mengubah hasilnya ke HTML, oleh karena itu pengguna autopsy membutuhkan web client untuk mengakses fungsi-fungsinya.

Jika sudah mendownload aplikasi autopsy maka klik kanan pada aplikasi autopsy kemudian open,maka akan muncul gambar seperti ini

Tunggu beberapa saat sampai tampilan muncul seperti di bawah ini. Jika ingin membuat kasus baru maka pilih create new case 

Kemudian tampilannya akan seperti ini, maka buatlah kasus baru yang kalian inginkan

Penjelasan tentang setiap fitur yang ada di autopsy 

Data Sources Pada Fitur Ini Kita Dapat Melihat Semua File Maupun Folder Pada Drive Yang Kita Akan Analisis

View Yaitu Untuk Menampilkan Tipe File,File Yang Telah Di Hapus Dan Ukuran Dari File Tersebut. Pada Fitur View Ada 2 Yaitu By Extention Dan By Mime Type

a) Tampilan  “ By Extention ”

Di dalam By Extention dan By Mime Type ini ada beberapa fitur yang dapat digunakan yaitu :

1.“By Extention  Image ”  Yaitu Menampilkan Semua File Image  Atau Gambar  Pada Data  Atau Drive Yang Akan Di Analisis 

2.“By Extention Video “ Yaitu Menampilkan Semua File Video Pada Data Atau Drive Yang Akan Dianalisis

3.“ By Extention  Audio “ Yaitu Menampilkan Semua File Audio Pada Data Atau Drive Yang Akan Di Analisis

4.“ By Extention Archives  “ Yaitu Menamp[Ilkan Semua File Arsip Pada Data Atau Drive Yang Akan Di Analisis .

5.“ By Extention  Document “ Yaitu Menampilkan  Semua File Dokumen  < Html,Office,Pdf,File Txt,File Rtf>   Pada Data Atau Drive Yang Akan Di Analsis

b)Tampilan By Mime Type

1.“By Mime Type Aplication “ Yaitu Menampilkan Semua Aplikasi Pada Drive Atau Data Yang Akan Di Analisis Dengan Bentuk Folder.

2."By Mime Type Audio “ , Yaitu Menampilkan Semua File Audio Pada Drive Atau Data Yang Akan Di Analisis.

3.“ By Mime Type Image “ , Yaitu Menampilkan Semua File Gambar Pda Drive Atau Data Yang Akan Di Analisis , Tetapi Dalam Bentuk Folder.

4.“ By Mime Type Text “ , Yaitu Menampilkan File-File Text Berupa File Log,Xml,Dll.

5.“ By Mime Type  Videos “ , Yaitu Menampilkan Semua File Video Dalam Bentuk Folder.

Pada Fitur View Juga Terdapat Fitur “Deleted File” , Yaitu Menampilkan Semua Data Atau File Yang Telah Dihapus Sebelumnya , Ada Dua Opsi Yaitu “ File System Dan All”

1.File System , Yaitu Menampilkan Apa Apa Saja File Atau Data Yang Telah Di Hapus Pada Directory System Atau File System

2.All , Yaitu Menampilkan Semua Data Yang Telah Di Hapus Tanpa Trerkecuali

Pada Fitur “ View “ Juga Terdapat Fitur File Size , Yaitu Menbampilkan Sesuai Dengan Ukuran File Yang Akan Di Cari / Di Analisis

1. Mb 50 – 200 Mb , Yaitu Menampilkan File Dengan Ukuran 50mb – 200mb

2.Mb 200 – 1 Gb , Yaitu Menampilkan File Dengan Ukuran 200 Mb – 1 Gb

3.1 Gb -  0 ,  Yaitu Menampilkan Semua File Diatas 1Gb

Result Yaitu Menampilkan Extarctin Conten , Keyword Hits , Hashset Hits , Email , Konten Menarik Serta Akun Pada Directory Yand Di Analis

1.Extractin Conten Yaitu Meanmpilkan  File Exit Meta data 

2.Keyword Hits , Yaitu Menampilkan Kata Kunci Menarik Atau Yang Sering Di Gunakan Pada File , Termasuk Email Adress

3.Hashset Hits , Yaitu Meanmpilkan Hashset Terpopuler Seperti Email Message , Interesting Item , Dan Akun

Add Data Source , Berfungsi Menambahkan Data Atau Analisis Baru Entah Itu Berupa Local Disk, Disk Image, File Log, Maupun Unallocated Image File

View Images And Video Yaitu Menampilkan Secara Langsung File Gambar Dan Video Yang Ada Pada Data Yang Akan Di Analisis

Timeline Yaitu Analisis Garis Waktu Yang Berguna Untuk Berbagai Jenis Investigasi Dan Sering Di Gunakan Untuk Menjawab Pertanyaan Tentang Kapan Computer Di Gunakan Atau Kejadian Apa Yang Terjadi Sebelum Atau Sesudah Peristiwa Tertentu.

General Report Akan Menampilkan Laporan Umum Seperti File Html, Fille Excel, File Text, Penambahan Hashset, Google Eart, Stik, Tsk, Body File.

Close Case Yaitu Menutup Atau Keluar Dari Kasus.

https://www.binadarma.ac.id

Dosen : Suryayusra, M.Kom

Tutorial Helix

Helix adalah system operasi berbasis Linux yang dikembangkan dari distro linux Ubuntu Pengembang Helix adalah e-Fense Inc., sebagai system operasi khusus untuk kegiatan forensik. Helix dibundel dengan banyak tool-tool forensik baik yang sifatnya open source atau pun closed source. Helix hadir dalam dua versi, versi gratis dan versi berbayar yang dua-duanya dikembangkan oleh e-Fense Inc.

Bukalah drive Helix yang sudah kalian download kemudian doubleclick Helix.exe sehingga tampil jendela berikut:

Pilih tombol Accept kemudian akan muncul halaman berikut ini.

1.Preview System Information

Pilihan ini akan memberi Anda informasi dasar sistem. Ini termasuk Operasi versi sistem, informasi jaringan, informasi pemilik, dan ringkasan drive di sistem. Selain itu, ada halaman kedua yang akan menampilkan daftar proses yang sedang berjalan.

2.Acquire a “live” image of a Windows System using dd

Opsi ini akan memungkinkan penyelidik untuk membuat salinan hard drive, floppy disk, atau memori, dan menyimpannya di media lokal yang dapat dipindahkan, atau melalui jaringan.

3.Incident Response tools for Windows Systems

Opsi ini menyediakan akses ke 20 alat, yang semuanya dapat dijalankan langsung dari CDROM. Satu kali anda klik icon tersebut, akan muncul segitiga kecil, disamping icon tersebut. Mengklik segitiga kecil ini akan memberikan akses ke halaman alat lainnya.

4.Browse contents of the CD-ROM and Host OS

Ini adalah file sederhana yang akan memberi penyelidik informasi tentang yang dipilih mengajukan. Ini akan menampilkan nama file, tanggal dibuat, diakses dan dimodifikasi, Atribut, CRC, MD5 dan ukuran file. Karena sifat sistem operasi windows, pertama kali Anda memilih file; dia akan menampilkan tanggal akses akses terakhir. Jika Anda memilih file yang sama lagi, itu akan menampilkan tanggal dan waktu akses sebelumnya. Ini adalah fitur dari sistem operasi windows, dan dapat tidak dicegah. Ini adalah salah satu masalah dengan memeriksa sistem langsung – penyelidik tindakan dapat memodifikasi sistem.

5.Scan for Pictures from a live system

Alat ini akan memungkinkan penyelidik dengan cepat memindai sistem untuk melihat apakah ada tersangka gambar grafis pada sistem tersangka. Banyak format grafik yang berbeda dikenali, dan ditampilkan sebagai thumbnail.

6.Investigative Notes

Alat ini akan memungkinkan penyelidik untuk dengan cepat menambahkan beberapa komentar ke log transaksi yang sedang dibuat saat GUI Helix sedang berjalan. Catatan ditambahkan ke log transaksi, dan kemudian disimpan dalam file PDF saat pengguna keluar dari GUI Helix3.

 https://www.binadarma.ac.id

 Dosen : Suryayusra, M.Kom

ANALISIS TIMELINE DIGITAL FORENSIK

Apa yang dimaksud dengan timeline? Secara umum Timeline merupakan urutan waktu dalam sebuah kejadian. Menurut Rosenberg & Grafton, 2010 menjelaskan bahwa timeline atau yang biasa dikenal dengan lini masa adalah cara untuk menampilkan daftar dari kejadian dalam bentuk kronologi yang terkadang dijelaskan sebagai artefak proyek. Dari definisi tersebut dapat diambil kesimpulan bahwa timeline dapat menggambarkan proses kejadian secara detail yang menjalaskan suatu kejadian.

Di dalam dunia forensik timeline sangat berperan penting dalam mendukung proses pembuktian dan analisa kasus. Hal ini disampaikan oleh Khan, Chatwin, & Young, 2007 yang menyatakan bahwa timeline berfungsi sebagai cara untuk mengidentifikasi bukti kejahatan digital. Dalam analisis forensic, Timeline digunakan untuk merekonstruksi urutan peristiwa dalam suatu kejadian. Tanpa kronologi kejadian yang akurat, penegak hukum akan kesulitan memetakan tindakan pelaku kejahatan dalam melakukan kejahatannya. Namun, karena jumlah peristiwa yang terjadi biasanya sangat besar, maka timeline yang dihasilkan dapat cukup rumit untuk dilakukan analisis. Hal ini membuat banyak interpretasi timeline karena pengambilan keputusan yang sangat sulit. Selain itu, rekonstruksi peristiwa adalah proses yang kompleks dimana setiap kesimpulan harus didukung oleh bukti-bukti yang dikumpulkan ketat sehingga memberikan kredibilitas penuh.

Sebuah masalah yang sangat signifikan dalam analisis timeline digital adalah kredibilitas. Untuk membuat sebuah timeline  dinyatakan keabsahannya sangat tergantung pada time stamps. Time stamps sendiri merupakan catatan waktu dalam sebuah file ataupun sistem terhadap event atau perubahan terakhir dari file ataupun sistem tersebut. Namun  tidak menutup kemungkinan time stamps itu dapat terjadi error. Hal ini disebabkan selain timestamp rawan rusak, juga timestamp mudah dilakukan modifikasi.. Errornya time stamp dapat disebabkan oleh faktor internal dan external. Faktor internal diantaranya seperti errornya setingan waktu yang ada pada perangkat (seperti jika batrai CMOS komputer habis, maka setingan jam tidak akan akurat) dan bisa juga perbedaan GMT dari waktu tersebut (padahal seharusnya menggunakan GMT +7, tapi setingan malah menggunakan GMT +5). Faktor external penyebab errornya time stamp bisa karena diubah oleh pelaku kejahatan. Sehingga untuk membuat catatan waktu yang valid membutuhkan ketekunan dan kreativitas investigator.

Membuat timeline dalam setiap kasus membutuhkan pendekatan yang berbeda. Hal ini mengakibatkan sulitnya membuat sebuah metodologi agar timeline bisa diotomatisasi. Sehingga banyak yang masih dilakukan secara manual dengan mengurutkan kejadian satu persatu secara manual berdasarkan timestamps data yang ditemukan dalam barang bukti digital. Mengkombinasikan data waktu kejadian antara time stamps data digital dengan waktu kejadian secara langsung (mengurutkan kejadian secara manual seperti berdasarkan waktu laporan kejadian, keterangan saksi, pengakuan tersangka) juga merupakan sebuah langkah untuk membuat valid timeline. Dengan beragamnya jenis file dan jenis standarisasi filesystem pada setiap sistem operasi membuat  ebih sulitnya mendapatkan timestamp yang tepat. Dan secara tidak langsung akan mempersulit proses pembuatan timeline. 

Contoh pada Windows menggunakan file system sendiri dengan NTFS nya, linux menggunakan ext4, dan Mac menggunakan HFS nya.Untuk ketiga file system ini karena populer maka sudah hampir semua software forensik dapat membaca timestamps dari file-file yang ada didalamnya. Namun untuk file system yang kurang populer seperti ZFS (Zettabyte File System) mempunyai masalah tersendiri. Ini karena ZFS mempunyai struktur yang komplek untuk penyimpanan data dan metadata nya. Karena ZFS sendiri banyak digunakan untuk storage kelas Enterprise. Semakin beragam standarisasi maka semakin rumit pula dalam menentukan keabsahan timestamp dan penyusunan timeline. Walaupun sekarang banyak tools forensik yang sudah dapat membaca dan menerjemahkan beberapa filesystem tersebut.

Salah satu peneliti dari Australia, (Leigh & Shi, 2014) yang berhasil menemukan cara untuk membuat analisis timeline di ZFS menggunakan metadata ZFS dan menggunakan struktur internal ZFS sebagai sumber analisis timeline nya. Dalam eksperimennya mereka menggunakan sistem Free BSD 9.1 dan ZFS Pool version 28. Kemudian mereka membuat 9 ZFS Pool untuk dilakukan ujicoba mengekstraksi metadata file-file di dalam ZFS Pool tersebut untuk mendapatkan time stamps nya baru kemudian dilakukan analisis timeline nya. Namun diakhir penelitiannya, tetap saja masalah yang dulu tetap ada. Yaitu apabila jam yang ada dalam sistem dirubah atau seseorang melakukan manipulasi waktu, maka termanipulasi jugalah time stamps file-file yang ada dalam sistem tersebut. 

Timeline Analysis pada forensik web

Jika pada sebelumnya kita berbicara tentang timeline dalam sebuah file system dalam komputer yang mempunyai masalah dengan jika dimanipulasinya jam dalam sistem komputer tersebut, hal ini sedikit berbeda dengan menganalisis timeline dalam web server. (Chandrawanshi & Gupta, 2013) dalam penelitiannya memaparkan bahwa dalam sebuah sistem web server, jika terjadi serangan, maka untuk menganalisisnya yang paling terbaik yaitu dengan menggunakan log dari web server itu. Web log files digunakan untuk menyelidiki informasi mengenai siapa saja yang pernah mengakses web server itu dan apa saja yang dilakukan.

Bahkan (Chandrawanshi & Gupta, 2013) berhasil membuat tool untuk membuat timeline secara otomatis dengan menggunakan sumber dari web log files tersebut. Dari sumber web log files yang didapatkan, mereka melakukan analisis dengan metode yang mereka sebut “pre-prosess dan teknik pathanalysis” untuk mendapatkan informasi mengenai URL yang mengakses server tersebut. Setelah dilakukan analisis, berikutnya mereka memvisualisasikan hasil analisis nya sehingga timeline nya nampak dengan jelas. Adapun metodologi pre-proses dan path analysis yang mereka gunakan tersebut dapat dilihat dalam gambar dibawah ini.

Dalam pendekatan keilmuan forensik, gambar ini menjelaskan tahapan-tahapan atau langkah yang dapat digunakan untuk melakukan investigasi pada forensik web, diantaranya adalah

• Langkah pertama : Melakukan analisa waktu dan hari berdasarkan terjadinya peristiwa
• Langkah kedua : Mengintegrasikan file log sesuai kebutuhan
• Langkah ketiga : Mengidentifikasi parameter untuk analisis, yang membantu untuk mengumpulkan bukti-bukti dari aktivitas berbahaya seperti (IP ADDRESS, DATE, MAC ADDRESS dll)
• Langkah empat : Dalam file log terintegrasi, mencari kegiatan untuk sering pengunjung dengan alamat ip mereka, akses file, byte ditransfer dll
• Langkah lima: Konfirmasi alamat IP dari pengguna berbahaya, dengan menganalisis perilaku.
• Langkah enam : Merekonstruksi hipotesis acara waktu dengan menganalisis bukti-bukti dan entri log file.
• Langkah tujuh : Menghasilkan laporan sebagai bukti.
• Langkah delapan : Semua laporan ke pengadilan, yang mendukung penuntutan untuk meyakinkan pengadilan terhadap terdakwa.

Dari pendekatan tersebut dapat dibangun secara otomatis timeline berdasarkan log file pada web server. Kemudian digambarkan jika konsistensi waktu yang menggambarkan aktifitas lampau dalam bentuk timeline dapat menggambarkan secara sistematik kejadian secara benar. Akan tetapi yang terjadi di pengadilan biasanya dibahas proses kejadian secara detail dan menyeluruh. Sehingga dengan timeline kita dapat mendukung alat bukti dan membuktikan alibi seseorang. Walaupun rekonstruksi yang dibangun melalui timeline tidak mampu membuktikan hipotesis secara pasti dan mutlak tanpa memperhatikan hipotesis lainnya, sehingga harus ada kombinasi antara rekonstruksi, pengujian sehingga dapat memastikan kredibilitas penyelidikan.

 

Kesimpulan

Melakukan analisis timeline sangat penting dilakukan agar dapat merekonstruksi kejadian yang telah berlangsung. Tetapi pada intinya, masalah terbesar yang dihadapi dalam melakukan analisis timeline yaitu adanya manipulasi time stamps terhadap file-file ataupun sistem komputer. Ketika tools atau software dapat membaca timestamps dan mampu membuat timeline secara otomatis, dan jika ternyata time stamps yang ada itu telah dimanipulasi sebelumnya oleh pelaku kejahatan, maka rekonstruksi kejadian bisa berantakan. Karena yang sering terjadi adalah kerusakan timestamp sehingga terdapat missing link saat disusun dalam sebuah timeline. Sehingga untuk melakukan menyusun timeline agar dapat merekonstruksi kejadian, investigator harus mampu melakukan analisis timeline secara manual dengan mengkombinasikan waktu kejadian berdasarkan keterangan korban dan saksi.Melakukan rekonstruksi peristiwa atau kejadian yang dibangun berdasarkan timeline juga tidak seuanya bisa dipastikan kredibilitasnya, kecuali dikombinasikan dengan pengujian bukti. 

Dapat dipahami juga pada penelitian analisis timeline dalam webserver ini bahwa pelaku kejahatan tidak bisa merubah ataupun memanipulasi waktu karena semua tercatat dalam log web server. Walaupun pelaku berhasil menembus sistem keamanan komputer dan merubah jam yang ada di server, namun tetap akan terbaca waktu yang sebenarnya berdasarkan log sebelumnya. Kecuali mungkin pelaku kejahatan menghapus log tersebut, tapi tetap saja, log itu bisa direcovery kembali menggunakan software forensik.

https://www.binadarma.ac.id

Dosen : Suryayusra, M.Kom

Apakah multimedia forensic sama dengan computer forensic ?

Bidang yang paling menarik di dunia komputasi saat ini adalah Cyber ​​​​Forensics. Salah satu bidang yang paling menarik di Cyber ​​Forensics yaitu Multimedia Forensics. Forensik Komputer adalah praktik mengumpulkan, menganalisis, dan melaporkan bukti digital sehingga dapat diterima di pengadilan. Penyelidik forensik harus mengekstrak fakta pembuktian dari komputer yang terlibat dan menggunakan fakta ini untuk membuat skenario logis. Multimedia Forensik hadir sebagai fase kedua, di mana metode ilmiah digunakan untuk analisis konten.

Dalam sebuah paper yang berjudul “Multimedia Forensics is Not Computer Forensics” yang dibuat oleh Rainer Bohme, Felix C. Freiling, Thomas Gloe dan Matthias Kirchner. Diawal papernya, penulis membahas tentang sebuah ontology yang mereka buat tentang forensik secara umum.

Dilihat dari sudut pandang forensic digital, Forensik akan terbagi menjadi dua. Forensik analog dan forensik digital. Forensik analog berperan untuk menemukan jejak di bukti fisik sedangkan forensik digital terbatas hanya untuk melakukan eksplorasi terhadap bukti digital. Kebanyakan orang sudah sangat paham dengan bukti fisik. Karena bukti fisik tersebut berwujud dan dapat dilihat secara kasat mata. 

Bukti digital berbeda dengan bukti fisik karena bukti digital tidak berwujud dan lebih abstrak karena berupa bit string hasil ekstrak dari memori dan perangkat penyimpanan komputer. Sehingga komputer forensik dan multimedia forensik saling berbagi ketergantungan terhadap bukti digital yang menjadi kesatuan dalam forensik digital. Pembagian ontology tersebut seperti gambar dibawah ini.

Forensik Analog

Dalam forensik analog ada prinsip yang terkenal yaitu prinsip pertukaran yang menyatakan bahwa setiap dua entitas berinteraksi maka masing-masing entitas akan meninggalkan jejak pertukaran. Seperti misalnya sidik jari, jejak kaki, rambut, goresan, atau luka.

Selain itu Kirk juga menyatakan sebuah prinsip dalam forensik analog ini yaitu “Barang bukti fisik tidak bisa salah, tidak bisa bersumpah palsu, tidak bisa hilang. Hanya kegagalan manusia untuk bisa menemukan, mempelajari, dan memahaminya.”

Bukti fisik terbukti sangat handal dalam fakta pembuktian. Kejelian dan ketelitian penyidik sangat dihandalkan karena pelaku bisa saja melakukan rekayasa terhadap jejaknya dan menyebabkan tuduhan palsu. Penyelidikan yang cermat dari bukti fisik cenderung akan memberikan fakta pembuktian yang sangat handal dalam persidangan.

Forensik Komputer

Setiap pelaku akan membuat kesalahan dan akan meninggalkan pola aktivitas kriminal di barang bukti. Namun sifat bukti digital ini memungkinkan untuk pelaku menutupi jejaknya dengan sempurna. Tidak seperti forensik analog yang memiliki keterbatasan praktis, dalam forensik digital, pelaku tahu semua tentang kelemahan penyidik dan mereka dapat  beradaptasi dan bisa menyembunyikan fakta. 

Selain itu ternyata di beberapa kantor penyelidik forensik, biaya untuk melakukan pembuktian forensik digital cenderung diberikan lebih sedikit dari pada forensik analog. Sehingga seharusnya kantor penyelidikan yang didanai Negara harus membuat keputusan tentang alokasi sumber daya untuk mengeksplorasi bukti fisik dan bukti digital.

Situasi yang berbeda muncul jika komputer forensik dipahami dalam arti luas yang mencakup bukti fisik dan bukti digital (dijelaskan dalam paper ini hanya mencakup bukti digital). Bukti fisik tambahan meskipun mahal dan rumit untuk mendapatkannya, bisa sangat indikatif terhadap sisi informasi. Bukti digital yang disimpan dalam perangkat lain (misalnya komputer yang terkoneksi melalui jaringan) dapat memberikan informasi tambahan jika integritasnya aman. Intinya jangan mengabaikan bukti sekecil apapun karena bisa menjadi petunjuk.

Forensik Multimedia

Salah satu bukti digital yang sering ditemukan dan dianalisis dari media penyimpanan hasil sitaan yaitu data multimedia digital. Pada saat sekarang ini, data multimedia digital sangat mudah dimanipulasi. Dengan penggunaan software editing yang canggih memungkinkan pengguna yang berpengalaman untuk melakukan mengubah media digital hanya dengan usaha yang kecil. Efeknya, penggunaan data multimedia dalam pengadilan akan mempertanyakan keaslian media yang digunakan tersebut.

Dua cabang dasar dalam forensik multimedia yaitu yang pertama untuk mendeteksi adanya scenario manipulasi dan mengidentifikasi skenario yang terjadi. Forensik multimedia yang dibahas dalam paper ini bukan tentang menganalisis semantic dari objek media digital. Teknik dari forensik multimedia hanya bertujuan untuk menguji keaslian dan sumber data digital. Data multimedia hanya akan dapat digunakan jika data tersebut terpercaya dan otentik. 

Dalam forensik multimedia, biasanya penyidik memanfaatkan dua sumber utama jejak digital :

• Karakteristik perangkat yang diakuisisi  dapat di cek untuk dapat diketahui identifikasi scenario dan kecocokkannya (mendeteksi scenario manipulasi.
• Artefak hasil akusisi untuk dapat mendeteksi adanya scenario manipulasi

Sumber pertama digunakan untuk mengetahui proses capturing data multimedia. Setiap perangkat memiliki karakteristik yang khusus untuk membedakan jenis, model, atau spesifikasi perangkat. Sehingga hasil capturing data multimedia dapat dicocokkan dengan karakterisitik khusus perangkatnya. Salah satu karakteristik perangkat yang mungkin dipelajari adalah CCD/CMOS Sensor Noise. Hal ini sama dengan pengasumsian di forensik analog dimana sebuah proyektil peluru dapat dianalisis dan dicocokkan dengan senjatanya. 

Hubungan dengan Komputer Forensik

Meskipun kedua forensik komputer dan forensik multimedia sama-sama mengeksplorasi bukti digital. Dalam forensik multimedia ini, diasumsikan bahwa hasil yang dicapture dari perangkat multimedia merupakan representasi digital dari suatu realitas yang dapat dikenali. Adanya sensor yang mengubah fenomena alam ke proyeksi diskrit menyiratkan bahwa forensik multimedia harus dilihat sebagai ilmu empiris.

Seorang pelaku kejahatan tidak akan mungkin memanipulasi data multimedia seperti foto tanpa meninggalkan jejak. Tidak seperti komputer forensik, bukti digital forensik multimedia terkait dengan dunia luar dan tidak bisa diproduksi oleh mesin (seperti foto, memerlukan objek dunia luar, begitupun suara, dan video).

Ada beberapa cara untuk mendeteksi keaslian sebuah file multimedia. Diantaranya PRNU-based camera identification yang menggunakan distribusi noise sensors dan menggabungkannya dengan Gaussian distribution. Selain itu ada juga model untuk mendeteksi tindakan copy-paste yang menggunakan analisis pixel untuk melakukan pendeteksiannya. 

Kualitas pembuktian fakta yang dihasilkan oleh forensik multimedia tergantung pada kualitas modelnya. Semakin baik modelnya maka semakin jelas dan terprediksi realitasnya. 

Counter-Forensics

Dalam forensik analog atau forensik klasik, menghilangkan jejak kejahatan sangatlah sulit, karena tindakan penghilangan jejak itu sendiri juga akan menimbulkan jejak baru. Sebagai contoh, menghilangkan bekas sidik jari dengan cairan pembersih akan menyisakan jejak lain yang tanpa disadari si pelaku. Jadi hanya kegagalan manusia untuk mencari fakta pembuktian dalam kasus forensik analog.

Hal ini berbeda dengan forensik komputer. Dimana komputer memiliki keterbatasan dan memungkinkan si pelaku berpandangan jauh untuk menghilangkan jejak. Sebagai contoh pelaku kejahatan melakukan sebuah kejahatan dan semua bukti tertinggal di komputernya, akan tetapi jika si pelaku ternyata sudah menghapus, mengisi, menghapus, mengisi, hingga berkali-kali maka jejak kejahatannya juga akan terhapus dan hanya tinggal sedikit kemungkinan untuk dapat mengembalikan jejaknya. Atau si pelaku melakukan kejahatan dengan menggunakan sistem operasi live cd dimana data tidak tersimpan di harddisk dan hanya tersimpan di RAM, begitu komputer mati, maka semua jejak juga hilang.

 

Kesimpulan

Jika ada yang menanyakan “Apakah multimedia forensic sama dengan computer forensic?” maka jawabannya adalah  multimedia forensic tidak sama dengan computer forensic. Mengapa ? forensik multimedia bukanlah forensik komputer dikarenakan teknik analisis dan tujuan pencarian barang bukti yang berbeda. Pada forensik komputer, tujuan akhirnya yaitu menemukan barang bukti digital dalam perangkat elektronik. Namun pada forensik multimedia tujuannya yaitu untuk mendeteksi adanya manipulasi dan mengidentifikasi scenario yang terjadi. Mengidentifikasi scenario yang terjadi disini maksudnya seperti contoh diatas, ketika ada sebuah foto digital maka akan diforensik multimedia untuk mencari foto tersebut dibuat dengan perangkat apa. 

Namun multimedia forensic sangat berkaitan dengan computer forensic. Karena Forensik multimedia tidak akan bisa dikerjakan tanpa bantuan forensik komputer. Karena bahan untuk melakukan forensik multimedia tergantung dari bagaimana forensik komputer mampu menemukan barang bukti digitalnya. 

https://www.binadarma.ac.id 
Dosen Suryayusra, M.Kom

 

EMAIL FORENSIK

Surat Elektronik atau biasa dikenal dengan E-mail adalah salah satu layanan paling populer yang digunakan melalui internet dan telah menjadi sumber komunikasi utama bagi organisasi dan publik. Email sudah digunakan orang sejak awal terbentuknya internet sekitar tahun 1969. Pengguna email tidak hanya perusahaan, tetapi juga anggota masyarakat cenderung menggunakan email dalam aktivitas bisnis penting mereka seperti perbankan, berbagi pesan resmi, dan berbagi file rahasia. Namun, media komunikasi ini juga menjadi rentan terhadap serangan. 

Peretas dapat memalsukan header email dan mengirim email secara anonim untuk tujuan jahat mereka. Peretas juga dapat mengeksploitasi server relai terbuka untuk melakukan rekayasa sosial besar-besaran. Email adalah sumber serangan phishing yang paling umum. Untuk mengurangi serangan ini dan menangkap orang yang bertanggung jawab, kami menggunakan forensik email dan teknik seperti melakukan analisis header, investigasi server, sidik jari pengirim surat, dll.

Forensik email adalah analisis sumber dan konten pesan email, identifikasi pengirim dan penerima, tanggal dan waktu email dan analisis semua entitas yang terlibat. Forensik email juga berubah menjadi forensik sistem klien atau server yang dicurigai dalam pemalsuan email.

 Arsitektur Email

Pada saat pengguna mengirim email kepada penerima, email ini tidak langsung masuk ke server email penerima melainkan harus melewati beberapa server. Sistem Email memiliki dua komponen, yaitu Mail User Agent (MUA) adalah program email yang digunakan untuk membuat dan membaca pesan email di ujung klien (berhubungan dengan pengguna). Ada beberapa MUA yang tersedia seperti Outlook express, Gmail, dan Lotus Notes. Mail Transfer Agent (MTA) adalah server yang menerima pesan yang dikirim dari MUA (yang melakukan pengiriman). Setelah MTA menerima pesan, MTA menerjemahkan informasi header untuk menentukan ke mana pesan itu pergi, dan mengirimkan pesan ke MTA yang sesuai pada mesin penerima. Setiap kali MTA menerima pesan, MTA memodifikasi header dengan menambahkan data. Ketika MTA terakhir menerima pesan, MTA menerjemahkannya dan mengirimkannya ke MUA penerima, sehingga pesan tersebut dapat dilihat oleh penerima.

Teknik Investigasi Forensik Email 

• Analisis Header Email

Email Forensik dimulai dengan mempelajari header email karena berisi sejumlah besar informasi atau bukti utama tentang pesan email. Analisis ini terdiri dari studi tentang isi dan header email yang berisi info tentang email yang diberikan. Analisis header email membantu mengidentifikasi sebagian besar kejahatan terkait email seperti spear phishing, spamming, email spoofing, dll. Spoofing adalah teknik yang digunakan untuk berpura-pura menjadi orang lain, dan pengguna normal akan berpikir sejenak bahwa itu adalah temannya atau seseorang yang sudah dia kenal. Hanya saja seseorang mengirim email dari alamat email palsu teman mereka, dan bukan karena akun mereka diretas.

Analisis header email harus dimulai dari bawah ke atas, karena informasi paling bawah adalah informasi dari pengirim, dan informasi paling atas adalah tentang penerima. Di bagian sebelumnya ditunjukkan bahwa email berjalan melalui beberapa MTA. Detail ini dapat ditemukan di header email. Dengan menganalisis header email, seseorang dapat mengetahui apakah email yang diterimanya dari alamat email palsu atau asli. Berikut adalah tampilan header email:

Untuk memahami informasi header, perlu memahami kumpulan bidang terstruktur yang tersedia di header. Berikut ini adalah beberapa nama dan deskripsi bidang dasar.

•  Investigasi Server

Dalam jenis investigasi ini, melibatkan duplikat pesan yang disampaikan dan log pekerja dieksplorasi untuk membedakan sumber email. Bahkan jika pelanggan (pengirim atau penerima) menghapus pesan email mereka yang tidak dapat dipulihkan, pesan-pesan ini mungkin dicatat oleh server (Proxy atau Penyedia Layanan) dalam porsi besar. Proxy ini menyimpan duplikat semua pesan setelah penyampaiannya. Selanjutnya, log yang disimpan oleh pekerja dapat dikonsentrasikan untuk mengikuti lokasi PC yang bertanggung jawab untuk melakukan pertukaran email. Bagaimanapun, Proxy atau ISP menyimpan duplikat email dan log server hanya untuk beberapa waktu dan beberapa mungkin tidak bekerja sama dengan penyelidik forensic lebih jauh,

•  Taktik Umpan

Dalam investigasi jenis ini, email dengan tag http: “<img src>” yang memiliki sumber gambar di PC mana pun yang diperiksa oleh pemeriksa dikirim ke pengirim email yang sedang diselidiki yang berisi alamat email asli (asli). Saat email dibuka, bagian log yang berisi alamat IP dari pihak penerima (pengirim pelakunya) direkam di server HTTP, orang yang menghosting gambar dan sepanjang baris ini, pengirimnya adalah diikuti. Bagaimanapun, jika orang di ujung penerima menggunakan proxy, maka alamat IP dari server proxy dilacak.

Server proxy berisi log, dan yang dapat digunakan lebih lanjut untuk mengikuti pengirim email yang sedang diselidiki. Jika log server proxy tidak dapat diakses karena beberapa alasan, maka pemeriksa dapat mengirim email jahat yang memiliki Embedded Java Apple t yang berjalan di sistem komputer penerima atau halaman HTML dengan Objek X Aktif untuk melacak orang yang diinginkan .

• Investigasi Perangkat Jaringan

Perangkat jaringan seperti firewall, reuters, switch, modem, dll. berisi log yang dapat digunakan untuk melacak sumber email. Dalam jenis investigasi ini, log ini digunakan untuk menyelidiki sumber pesan email. Ini adalah jenis investigasi forensik yang sangat kompleks dan jarang digunakan. Ini sering digunakan ketika log Proxy atau penyedia ISP tidak tersedia karena beberapa alasan seperti kurangnya pemeliharaan, kemalasan atau kurangnya dukungan dari penyedia ISP.

•  Analisis Tertanam Perangkat Lunak

Beberapa data tentang pembuat email bergabung dengan catatan atau arsip mungkin digabungkan dengan pesan oleh perangkat lunak email yang digunakan oleh pengirim untuk menulis surat. Informasi tentang pengirim email, file atau dokumen yang dilampirkan dapat disertakan dengan pesan oleh perangkat lunak email yang digunakan oleh pengirim untuk membuat email. Informasi ini dapat dimasukkan dalam bentuk header khusus atau dalam bentuk konten MIME sebagai Transport Neutral Encapsulation Format (TNEF). Meneliti email untuk seluk-beluk ini dapat mengungkap beberapa data penting tentang preferensi dan pilihan email pengirim yang dapat mendukung pengumpulan bukti sisi klien. Pemeriksaan dapat mengungkap nama dokumen PST, alamat MAC, dan sebagainya dari PC pelanggan yang digunakan untuk mengirim pesan email.

•  Analisis Lampiran

Di antara virus dan malware, kebanyakan dikirim melalui koneksi email. Memeriksa lampiran email sangat mendesak dan penting dalam setiap pemeriksaan terkait email. Tumpahan data pribadi adalah bidang pemeriksaan penting lainnya. Ada perangkat lunak dan alat yang dapat diakses untuk mendapatkan kembali informasi terkait email, misalnya, lampiran dari hard drive sistem komputer. Untuk pemeriksaan koneksi yang meragukan, penyidik ​​mengunggah lampiran ke sandbox online, misalnya VirusTotal untuk memeriksa apakah dokumen tersebut merupakan malware atau bukan. Namun, penting untuk mengelola di bagian atas daftar prioritas bahwa terlepas dari apakah catatan melewati penilaian, misalnya, VirusTotal, ini bukan jaminan bahwa itu sepenuhnya dilindungi. Jika ini terjadi.

•  Sidik Jari Pengirim Surat

Saat memeriksa bidang Diterima di header, perangkat lunak yang menangani email di ujung server dapat diidentifikasi. Di sisi lain, setelah memeriksa bidang X-mailer , perangkat lunak yang menangani email di ujung klien dapat diidentifikasi. Bidang header ini menggambarkan perangkat lunak dan versinya yang digunakan di akhir klien untuk mengirim email. Data tentang PC klien pengirim ini dapat digunakan untuk membantu pemeriksa merumuskan strategi yang kuat, dan dengan demikian baris-baris ini menjadi sangat berharga.

 Alat Forensik Email

Dalam dekade terakhir, beberapa alat atau perangkat lunak investigasi TKP email telah dibuat. Tetapi sebagian besar alat telah dibuat secara terpisah. Selain itu, sebagian besar alat ini tidak seharusnya menyelesaikan masalah terkait kesalahan digital atau PC tertentu. Sebaliknya, mereka direncanakan untuk mencari atau memulihkan data. Ada peningkatan dalam alat forensik untuk memudahkan pekerjaan penyelidik, dan ada banyak alat luar biasa yang tersedia di internet. Beberapa alat yang digunakan untuk analisis forensik email adalah sebagai berikut:

1. Email TrackerPro, menyelidiki header pesan email untuk mengenali alamat IP dari mesin yang mengirim pesan sehingga pengirim dapat ditemukan. Itu dapat mengikuti pesan yang berbeda pada saat yang sama dan memantaunya secara efektif. Lokasi alamat IP adalah data kunci untuk menentukan tingkat bahaya atau legitimasi pesan email. Alat luar biasa ini dapat menempel pada kota tempat email kemungkinan besar berasal. Ini mengenali ISP pengirim dan memberikan data kontak untuk pemeriksaan lebih lanjut. Cara asli ke alamat IP pengirim dicatat dalam tabel kemudi, memberikan data area tambahan untuk membantu menentukan area pengirim yang sebenarnya. Unsur pelaporan penyalahgunaan di dalamnya dapat dimanfaatkan dengan baik untuk mempermudah pemeriksaan lebih lanjut. Untuk melindungi dari email spam, itu memeriksa dan memverifikasi email terhadap daftar hitam spam misalnya Spamcops. Ini mendukung berbagai bahasa termasuk filter spam bahasa Jepang, Rusia dan Cina bersama dengan bahasa Inggris. Elemen penting dari alat ini adalah pengungkapan penyalahgunaan yang dapat membuat laporan dapat dikirim ke Penyedia Layanan (ISP) pengirim. ISP kemudian dapat menemukan cara untuk menemukan pemegang akun dan membantu menghentikan spam.
2. Xtraxtor, yang luar biasa ini dibuat untuk memisahkan alamat email, nomor telepon, dan pesan dari berbagai format file. Ini secara alami membedakan area default dan dengan cepat menyelidiki informasi email untuk Anda. Klien dapat melakukannya tanpa banyak kesulitan mengekstrak alamat email dari pesan dan bahkan dari lampiran file. Xtraxtor membuat kembali pesan yang terhapus dan tidak dibersihkan dari berbagai konfigurasi kotak surat dan akun surat IMAP. Selain itu, ia memiliki antarmuka yang mudah dipelajari dan fitur bantuan yang baik untuk membuat aktivitas pengguna lebih sederhana, dan menghemat banyak waktu dengan email cepat, mempersiapkan fitur motor dan de-dubing. Xtraxtor kompatibel dengan file MBOX Mac dan sistem Linux dan dapat menyediakan fitur canggih untuk menemukan info yang relevan.
3. Advik (Alat pencadangan email), adalah alat yang sangat bagus yang digunakan untuk mentransfer atau mengekspor semua email dari kotak surat seseorang, termasuk semua folder seperti terkirim, konsep, kotak masuk, spam, dll. Pengguna dapat mengunduh cadangan akun email apa pun tanpa banyak usaha. Mengonversi cadangan email dalam format file yang berbeda adalah fitur hebat lainnya dari alat yang luar biasa ini. Fitur utamanya adalah Filter Muka . Opsi ini dapat menghemat banyak waktu dengan mengekspor pesan yang kita butuhkan dari kotak surat dalam waktu singkat. Fitur IMAP memberikan opsi untuk mengambil email dari penyimpanan berbasis cloud dan dapat digunakan dengan semua penyedia layanan email. Advikdapat digunakan untuk menyimpan cadangan lokasi yang kami inginkan dan mendukung berbagai bahasa bersama dengan bahasa Inggris, termasuk Jepang, Spanyol, dan Prancis.
4. Systools MailXaminer, dengan bantuan alat ini, klien diizinkan untuk mengubah saluran pencarian mereka tergantung pada situasi. Ini memberi klien alternatif untuk melihat ke dalam pesan dan koneksi. Terlebih lagi, alat email forensik ini juga menawarkan bantuan lengkap untuk pemeriksaan email ilmiah baik di area kerja maupun administrasi email elektronik. Ini memungkinkan pemeriksa menangani lebih dari satu kasus melalui dan melalui cara yang sah. Demikian juga, Dengan bantuan alat analisis email ini, spesialis bahkan dapat melihat detail obrolan, melakukan pemeriksaan panggilan, dan melihat detail pesan antara berbagai klien aplikasi Skype. Fitur utama dari perangkat lunak ini adalah mendukung banyak bahasa bersama dengan bahasa Inggris termasuk Jepang, Spanyol dan Prancis dan Cina dan format yang digunakan untuk mengembalikan surat yang dihapus dapat diterima oleh pengadilan. Ini memberikan tampilan manajemen Log di mana tampilan yang baik dari semua aktivitas ditampilkan.Systools MailXaminer kompatibel dengan dd, e01, zip dan banyak format lainnya.
5. Adcomplain yang digunakan untuk melaporkan surat komersial dan posting botnet dan juga iklan seperti "hasilkan uang cepat", "uang cepat", dll. Adcomplain sendiri melakukan analisis header pada pengirim email setelah mengidentifikasi surat tersebut dan melaporkannya ke ISP pengirim.

Menurut pendapat saya, Secara garis besar Email digunakan oleh hampir setiap orang yang menggunakan layanan internet di seluruh dunia. Scammers dan Cybercriminals dapat memalsukan header email dan mengirim email dengan konten berbahaya & penipuan secara anonim, yang dapat menyebabkan kompromi dan peretasan data. Dan inilah yang menambah pentingnya pemeriksaan forensik email. Penjahat dunia maya menggunakan beberapa cara dan teknik untuk berbohong tentang identitas mereka seperti 

1. Pemalsuan, Untuk menyembunyikan identitasnya sendiri, orang jahat memalsukan header email dan mengisinya dengan informasi yang salah. Ketika spoofing email digabungkan dengan spoofing IP, sangat sulit untuk melacak orang yang sebenarnya di baliknya.
2. Jaringan tidak sah, Jaringan yang telah disusupi (termasuk kabel dan nirkabel keduanya) digunakan untuk mengirim email spam untuk menyembunyikan identitas.
3. Buka relai email, Relai email yang salah konfigurasi menerima email dari semua komputer termasuk komputer yang tidak seharusnya diterima. Kemudian meneruskannya ke sistem lain yang juga harus menerima email dari komputer tertentu. Jenis relai surat ini disebut relai surat terbuka. Relay semacam itu digunakan oleh scammers dan hacker untuk menyembunyikan identitas mereka.
4. Buka Proksi, Mesin yang memungkinkan pengguna atau komputer terhubung melaluinya ke sistem komputer lain disebut server proxy . Ada berbagai jenis server proxy seperti server proxy perusahaan, server proxy transparan, dll. Tergantung pada jenis anonimitas yang mereka berikan. Server proxy terbuka tidak melacak catatan aktivitas pengguna dan tidak memelihara log, tidak seperti server proxy lain yang menyimpan catatan aktivitas pengguna dengan stempel waktu yang tepat. Jenis server proxy ini (server proxy terbuka) memberikan anonimitas dan privasi yang berharga bagi scammer atau orang jahat.
5. Penganonim, Anonymizers atau re-mailer adalah situs web yang beroperasi dengan kedok melindungi privasi pengguna di internet dan menjadikannya anonim dengan sengaja menjatuhkan header dari email dan dengan tidak memelihara log server.
6. Koneksi Internet yang Tidak Dapat Dilacak, Warnet, kampus universitas, organisasi yang berbeda menyediakan akses internet kepada pengguna dengan berbagi internet. Dalam hal ini, jika log yang tepat tidak dipelihara dari aktivitas pengguna, sangat mudah untuk melakukan aktivitas ilegal dan penipuan email dan lolos begitu saja.

Analisis forensik email digunakan untuk menemukan pengirim dan penerima email yang sebenarnya, tanggal dan waktu penerimaannya, dan info tentang perangkat perantara yang terlibat dalam pengiriman pesan. Ada juga berbagai alat yang tersedia untuk mempercepat tugas dan menemukan kata kunci yang diinginkan dengan mudah. Alat-alat ini menganalisis header email dan memberikan hasil yang diinginkan penyidik ​​forensik dalam waktu singkat.

https://www.binadarma.ac.id

Dosen : Suryayusra, M.Kom