UNIVERSITAS GUNADARMA INVESTIGASI KASUS TI Pengantar Komputer Forensik Teknologi Informasi UNIVERSITAS GUNADARMA TEKNIK INDUSTRI - TEKNIK INFORMATIKA Komputer Forensik 2010

INVESTIGASI KASUS TEKNOLOGI INFORMASI A. Prosedur Forensik yang biasa dilakukan Investigator Membuat copies dari keseluruhan log data, files dll yang dianggap perlu pada suatu media yang terpisah. Membuat fingerprint dari data secara matematis (contoh hashing algorithm, MD5). Membuat fingerprint dari copies secara matematis. Membuat suatu hashes masterlist. Dokumentasi yang baik dari segala sesuatu yang telah dikerjakan. Selain itu perlu dilakukan investigasi lanjutan dengan menggunakan metodologi forensik TI. Metode Search and seizure biasanya lebih banyak digunakan dibanding metode pencarian informasi. Komputer Forensik 2010

A1. Metode Search dan Seizure Selain melakukan tahap Search dan Seizure mulai dari identifikasi sampai dengan evaluasi hipotesa, metode ini juga memberikan penekanan dan batas-batas untuk investigator agar hipotesa yang dihasilkan sangat akurat, yaitu : Jangan merubah bukti asli Jangan mengeksekusi program pada bukti (komputer) terutama Operating Systemnya Tidak mengijinkan tersangka untuk berinteraksi dengan bukti (komputer) Sesegera mungkin mem-backup bukti yang ada dalam komputer tersangka. Jika pada saat diidentifikasi komputer masih menyala, jangan dimatikan sampai seluruh data termasuk temporary selesai dianalisa dan disimpan. Rekam seluruh aktifitas investigasi Jika perlu, pindahkan bukti ke tempat penyimpanan yang lebih aman . Komputer Forensik 2010

A2. Pencarian Informasi Hal-hal yang harus diperhatikan dalam pencarian informasi sebagai bukti tambahan untuk memperkuat hipotesa, yaitu : Jika melakukan penggalian informasi lebih dalam ke saksi, gunakan wawancara interaktif, sehingga bukti yang ada dapat di cross-check agar keberadaan bukti tersebut diakui oleh tersangka Jika memungkinkan, rekonstruksi dilakukan dengan / tanpa tersangka sehingga apa yang masih belum jelas dapat tergambar dalam rekonstruksi. Komputer Forensik 2010

B. Data Recovery Data recovery merupakan bagian dari analisa forensik yang merupakan komponen penting untuk mengetahui apa yang telah terjadi, rekaman data, korespondensi dan petunjuk lainnya Komputer Forensik 2010

C. Pengelompokan Analisa Media Pengelompokan ini bertujuan untuk mengetahui aliran dan proses dalam media yang digunakan dalam kejahatan. Dari pengelompokan ini dapat disimpan informasi penting yang didukung oleh sistem yang ada. Pengelompokan dalam bentuk laporan ini diisi dengan keadaan fakta di lapangan Komputer Forensik 2010

D. Pembuatan Laporan dalam Analisa Media Beberapa hal penting yang perlu dimasukkan dalam laporan analisa media adalah sbb : Tanggal dan waktu terjadinya pelanggaran hukum pada CPU Tanggal dan waktu pada saat investigasi Permasalahan yang signifikan terjadi Masa berlaku analisa laporan Penemuan yang berharga (bukti) Teknik khusus yang dibutuhkan atau digunakan (contoh; password cracker) Bantuan pihak yang lain (pihak ketiga) Pada saat penyidikan, pelaporan dalam bentuk worksheet ini di cross-check dengan saksi yang ada, baik yang terlibat langsung maupun tidak langsung . Komputer Forensik 2010

E. Log Out Evidence – Visual Inspection and Inventory Tahapan yang dilalui dalam inspeksi komputer secara visual adalah : Log out seluruh komputer untuk dianalisa lebih lanjut Jika ada media penyimpanan yang lain (CD / disket), diberi label khusus agar bukti tersebut tetap utuh. Inspeksi visual dilakukan dengan melakukan physical makeup Buka casing CPU, identifikasi dan analisa sirkuit internal, buat catatan apa saja yang ada dalam CPU tersebut. Catat juga kartu tambahan (expansion cards) jika ada. Beri rekomendasi apakah CPU tersebut bisa dijadikan sebagai barang bukti fisik atau tidak. Catat keseluruhan letak perangkat keras (harddisk, CD ROM, RAM dsb) Dokumentasikan dalam bentuk gambar sebelum dan sesudah identifikasi dan analisa. Komputer Forensik 2010

Data File Memahami media penyimpanan File system Format Partisi Menbagi media secara logika File system Mendefinisikan bagaimana file dinamai, disimpan, diakses dan diorganisir pada logical volume Komputer Forensik 2010

Jenis File System FAT12 FAT16 FAT32 NTFS HPFS ext2fs ext3fs HFS HFS plus UFS CDFS ISO 9660 MAC OS MSDos dan windows Unix windows CDRom Linux OS Komputer Forensik 2010

Teknik meng-copy file Logical backup Bit stream imaging Mengcopy file dan directori secara logika tersimpan di media penyimpanan Bit stream imaging Copy mebcakup free space dan slack space Komputer Forensik 2010

Informasi lain Informasi yang dibutuhkan dan menjelaskan data file sewaktu user beraktivitas : Waktu modifikasi Waktu pengaksesan Waktu pembuatan Komputer Forensik 2010

Memeriksa Data Pemeriksaan dilakukan terhadap data backup Proses : Akses read only Untuk menjaga konsistensi – integritas data Write bloker Untuk mencegah memodifikasi terhadap data yang diperiksa Komputer Forensik 2010

Mengekstrak Data Melakukan ekstraksi data, dengan melihat kerakteristik file Jika ragu gunakan aplikasi untuk mengetahui header information file Contoh aplikasi : Program identifyimagefile Atau program lain Komputer Forensik 2010

Menggunakan Software Forensik Terdapat beberapa software foerensik untuk menangani data file : File viewer Uncompressing files Menampilkan struktur direktori dlam interface grafis Mengidentifikasi file yang tidak dikenal Melakukan pencarian terhadap string atau pola tertentu Mengakses metadata Komputer Forensik 2010

Data Sistem Operasi Data non - volatile Data volatile File konfigurasi Logs file Application file Data files Swap files Dump files Hibernation files Temporary files Data volatile Slack space Free space Network configuration Network connection Running process Open files Login session Operating system time Komputer Forensik 2010

Penanganan Data Berdasarkan Prioritas Network connection Login sessions Contents of memory Running processes Open files Network configuration Operating system time Komputer Forensik 2010

Kuis 6 Sebutkan sumber daya dalam komputer forensik ? Jelaskan mengapa database memiliki ruang dan fungsi tersendiri dalam konteks sumber daya ? Jelaskan komponen – komponen pengolahan ? Jelaskan pembagian dari brainware ? Jelaskan tentang BUS, cache memory dan RAM ? Komputer Forensik 2010

Terima Kasih Komputer Forensik 2010