ANALISIS TIMELINE DIGITAL FORENSIK

Apa yang dimaksud dengan timeline? Secara umum Timeline merupakan urutan waktu dalam sebuah kejadian. Menurut Rosenberg & Grafton, 2010 menjelaskan bahwa timeline atau yang biasa dikenal dengan lini masa adalah cara untuk menampilkan daftar dari kejadian dalam bentuk kronologi yang terkadang dijelaskan sebagai artefak proyek. Dari definisi tersebut dapat diambil kesimpulan bahwa timeline dapat menggambarkan proses kejadian secara detail yang menjalaskan suatu kejadian.

Di dalam dunia forensik timeline sangat berperan penting dalam mendukung proses pembuktian dan analisa kasus. Hal ini disampaikan oleh Khan, Chatwin, & Young, 2007 yang menyatakan bahwa timeline berfungsi sebagai cara untuk mengidentifikasi bukti kejahatan digital. Dalam analisis forensic, Timeline digunakan untuk merekonstruksi urutan peristiwa dalam suatu kejadian. Tanpa kronologi kejadian yang akurat, penegak hukum akan kesulitan memetakan tindakan pelaku kejahatan dalam melakukan kejahatannya. Namun, karena jumlah peristiwa yang terjadi biasanya sangat besar, maka timeline yang dihasilkan dapat cukup rumit untuk dilakukan analisis. Hal ini membuat banyak interpretasi timeline karena pengambilan keputusan yang sangat sulit. Selain itu, rekonstruksi peristiwa adalah proses yang kompleks dimana setiap kesimpulan harus didukung oleh bukti-bukti yang dikumpulkan ketat sehingga memberikan kredibilitas penuh.

Sebuah masalah yang sangat signifikan dalam analisis timeline digital adalah kredibilitas. Untuk membuat sebuah timeline  dinyatakan keabsahannya sangat tergantung pada time stamps. Time stamps sendiri merupakan catatan waktu dalam sebuah file ataupun sistem terhadap event atau perubahan terakhir dari file ataupun sistem tersebut. Namun  tidak menutup kemungkinan time stamps itu dapat terjadi error. Hal ini disebabkan selain timestamp rawan rusak, juga timestamp mudah dilakukan modifikasi.. Errornya time stamp dapat disebabkan oleh faktor internal dan external. Faktor internal diantaranya seperti errornya setingan waktu yang ada pada perangkat (seperti jika batrai CMOS komputer habis, maka setingan jam tidak akan akurat) dan bisa juga perbedaan GMT dari waktu tersebut (padahal seharusnya menggunakan GMT +7, tapi setingan malah menggunakan GMT +5). Faktor external penyebab errornya time stamp bisa karena diubah oleh pelaku kejahatan. Sehingga untuk membuat catatan waktu yang valid membutuhkan ketekunan dan kreativitas investigator.

Membuat timeline dalam setiap kasus membutuhkan pendekatan yang berbeda. Hal ini mengakibatkan sulitnya membuat sebuah metodologi agar timeline bisa diotomatisasi. Sehingga banyak yang masih dilakukan secara manual dengan mengurutkan kejadian satu persatu secara manual berdasarkan timestamps data yang ditemukan dalam barang bukti digital. Mengkombinasikan data waktu kejadian antara time stamps data digital dengan waktu kejadian secara langsung (mengurutkan kejadian secara manual seperti berdasarkan waktu laporan kejadian, keterangan saksi, pengakuan tersangka) juga merupakan sebuah langkah untuk membuat valid timeline. Dengan beragamnya jenis file dan jenis standarisasi filesystem pada setiap sistem operasi membuat  ebih sulitnya mendapatkan timestamp yang tepat. Dan secara tidak langsung akan mempersulit proses pembuatan timeline. 

Contoh pada Windows menggunakan file system sendiri dengan NTFS nya, linux menggunakan ext4, dan Mac menggunakan HFS nya.Untuk ketiga file system ini karena populer maka sudah hampir semua software forensik dapat membaca timestamps dari file-file yang ada didalamnya. Namun untuk file system yang kurang populer seperti ZFS (Zettabyte File System) mempunyai masalah tersendiri. Ini karena ZFS mempunyai struktur yang komplek untuk penyimpanan data dan metadata nya. Karena ZFS sendiri banyak digunakan untuk storage kelas Enterprise. Semakin beragam standarisasi maka semakin rumit pula dalam menentukan keabsahan timestamp dan penyusunan timeline. Walaupun sekarang banyak tools forensik yang sudah dapat membaca dan menerjemahkan beberapa filesystem tersebut.

Salah satu peneliti dari Australia, (Leigh & Shi, 2014) yang berhasil menemukan cara untuk membuat analisis timeline di ZFS menggunakan metadata ZFS dan menggunakan struktur internal ZFS sebagai sumber analisis timeline nya. Dalam eksperimennya mereka menggunakan sistem Free BSD 9.1 dan ZFS Pool version 28. Kemudian mereka membuat 9 ZFS Pool untuk dilakukan ujicoba mengekstraksi metadata file-file di dalam ZFS Pool tersebut untuk mendapatkan time stamps nya baru kemudian dilakukan analisis timeline nya. Namun diakhir penelitiannya, tetap saja masalah yang dulu tetap ada. Yaitu apabila jam yang ada dalam sistem dirubah atau seseorang melakukan manipulasi waktu, maka termanipulasi jugalah time stamps file-file yang ada dalam sistem tersebut. 

Timeline Analysis pada forensik web

Jika pada sebelumnya kita berbicara tentang timeline dalam sebuah file system dalam komputer yang mempunyai masalah dengan jika dimanipulasinya jam dalam sistem komputer tersebut, hal ini sedikit berbeda dengan menganalisis timeline dalam web server. (Chandrawanshi & Gupta, 2013) dalam penelitiannya memaparkan bahwa dalam sebuah sistem web server, jika terjadi serangan, maka untuk menganalisisnya yang paling terbaik yaitu dengan menggunakan log dari web server itu. Web log files digunakan untuk menyelidiki informasi mengenai siapa saja yang pernah mengakses web server itu dan apa saja yang dilakukan.

Bahkan (Chandrawanshi & Gupta, 2013) berhasil membuat tool untuk membuat timeline secara otomatis dengan menggunakan sumber dari web log files tersebut. Dari sumber web log files yang didapatkan, mereka melakukan analisis dengan metode yang mereka sebut “pre-prosess dan teknik pathanalysis” untuk mendapatkan informasi mengenai URL yang mengakses server tersebut. Setelah dilakukan analisis, berikutnya mereka memvisualisasikan hasil analisis nya sehingga timeline nya nampak dengan jelas. Adapun metodologi pre-proses dan path analysis yang mereka gunakan tersebut dapat dilihat dalam gambar dibawah ini.

Dalam pendekatan keilmuan forensik, gambar ini menjelaskan tahapan-tahapan atau langkah yang dapat digunakan untuk melakukan investigasi pada forensik web, diantaranya adalah

• Langkah pertama : Melakukan analisa waktu dan hari berdasarkan terjadinya peristiwa
• Langkah kedua : Mengintegrasikan file log sesuai kebutuhan
• Langkah ketiga : Mengidentifikasi parameter untuk analisis, yang membantu untuk mengumpulkan bukti-bukti dari aktivitas berbahaya seperti (IP ADDRESS, DATE, MAC ADDRESS dll)
• Langkah empat : Dalam file log terintegrasi, mencari kegiatan untuk sering pengunjung dengan alamat ip mereka, akses file, byte ditransfer dll
• Langkah lima: Konfirmasi alamat IP dari pengguna berbahaya, dengan menganalisis perilaku.
• Langkah enam : Merekonstruksi hipotesis acara waktu dengan menganalisis bukti-bukti dan entri log file.
• Langkah tujuh : Menghasilkan laporan sebagai bukti.
• Langkah delapan : Semua laporan ke pengadilan, yang mendukung penuntutan untuk meyakinkan pengadilan terhadap terdakwa.

Dari pendekatan tersebut dapat dibangun secara otomatis timeline berdasarkan log file pada web server. Kemudian digambarkan jika konsistensi waktu yang menggambarkan aktifitas lampau dalam bentuk timeline dapat menggambarkan secara sistematik kejadian secara benar. Akan tetapi yang terjadi di pengadilan biasanya dibahas proses kejadian secara detail dan menyeluruh. Sehingga dengan timeline kita dapat mendukung alat bukti dan membuktikan alibi seseorang. Walaupun rekonstruksi yang dibangun melalui timeline tidak mampu membuktikan hipotesis secara pasti dan mutlak tanpa memperhatikan hipotesis lainnya, sehingga harus ada kombinasi antara rekonstruksi, pengujian sehingga dapat memastikan kredibilitas penyelidikan.

 

Kesimpulan

Melakukan analisis timeline sangat penting dilakukan agar dapat merekonstruksi kejadian yang telah berlangsung. Tetapi pada intinya, masalah terbesar yang dihadapi dalam melakukan analisis timeline yaitu adanya manipulasi time stamps terhadap file-file ataupun sistem komputer. Ketika tools atau software dapat membaca timestamps dan mampu membuat timeline secara otomatis, dan jika ternyata time stamps yang ada itu telah dimanipulasi sebelumnya oleh pelaku kejahatan, maka rekonstruksi kejadian bisa berantakan. Karena yang sering terjadi adalah kerusakan timestamp sehingga terdapat missing link saat disusun dalam sebuah timeline. Sehingga untuk melakukan menyusun timeline agar dapat merekonstruksi kejadian, investigator harus mampu melakukan analisis timeline secara manual dengan mengkombinasikan waktu kejadian berdasarkan keterangan korban dan saksi.Melakukan rekonstruksi peristiwa atau kejadian yang dibangun berdasarkan timeline juga tidak seuanya bisa dipastikan kredibilitasnya, kecuali dikombinasikan dengan pengujian bukti. 

Dapat dipahami juga pada penelitian analisis timeline dalam webserver ini bahwa pelaku kejahatan tidak bisa merubah ataupun memanipulasi waktu karena semua tercatat dalam log web server. Walaupun pelaku berhasil menembus sistem keamanan komputer dan merubah jam yang ada di server, namun tetap akan terbaca waktu yang sebenarnya berdasarkan log sebelumnya. Kecuali mungkin pelaku kejahatan menghapus log tersebut, tapi tetap saja, log itu bisa direcovery kembali menggunakan software forensik.

https://www.binadarma.ac.id

Dosen : Suryayusra, M.Kom