FREEZING THE SCENE

Bagian 1 klik disini

Bagian 2

Beberapa faktor yang tidak berkaitan secara fisik dengan barang bukti :

1. Rangkaian pemeliharaan - Merupakan rekaman penanganan barang bukti dari penyitaan sampai di bawa ke pengadilan. Dokumentasinya harus menyatakan siapa, apa, di mana, kapan, mengapa dan bagaimana. Lebih rinci hal itu akan lebih baik.

2. Batasan waktu bisa sangat krusial pada beberapa penyelidikan. Khususnya kasus yang melibatkan kehidupan manusia. Misalkan saja bila bukti yang ada berkaitan dengan rencana serangan teroris.

3. Informasi yang tidak diumumkan - Informasi yang berkaitan dengan client

Prioritas pengumpulan data harus dilakukan berdasarkan volatilitas :

1. Register, peripheral memori, dan cache

2. Memori (kernel dan fisik)

3. Keadaan jaringan

4. Proses yang sedang berjalan

5. Disk

6. Floppy, media backup

7. CD ROM, printout

Dengan menganalogikan prinsip ketidakpastian Heisenberg yaitu “Melakukan pengujian sekumpulan atau suatu bagian dari sistem akan menimbulkan gangguan pada komponen lainnya. Sehingga akan mustahil untuk melakukan capture keseluruhan sistem pada satu saat saja.” Mengumpulkan barang bukti sangat memakan waktu. Banyak barang bukti dalam bentuk terenkripsi atau hidden. Terdapat program yang dipergunakan untukrecovery password dari perusahaan software yang dipercaya. Program untuk mengeksploitasi kelemahan pada beberapa sistem bisa didownload dari internet atau diperoleh dari penegak hukum. File bisa disimpan dengan ekstension yang menipu atau gambar yang disimpan seperti dokumen teks, misal kasus gambar porno anak-anak yang disimpan dalam nama README.TXT di folder setup.

1. Pemrosesan Barang Bukti

Terdapat perdebatan dalam komunitas forensik untuk melakukan plug suatu sistem, misalnya apakah diperlukan untuk mematikan mesin. Sistem operasi bersangkutan akan merupakan kuncinya. Jika ada suatu usaha compromise atau penyusupan, penyelidikan diarahkan pada proses yang ada di memori, sistem file yang dipetakan melalui jaringan, koneksi mencurigakan lainnya pada host tersebut dan port apa yang sedang dipergunakan.

Panduan umum pemrosesan barang bukti berikut diambil dari :

- Shut down computer perlu dipertimbangkan kerusakan proses yang berjalan di background.

- Dokumentasikan konfigurasi hardware dari sistem: perhatikan bagaimana komputer di set up karena  mungkin akan diperlukan restore kondisi semula pada tempat yang aman.

- Pindahkan sistem komputer ke lokasi yang aman.

- Buat backup bit dari hard disk dan floppy.

- Uji otentifitas data pada semua perangkat penyimpanan.

- Dokumentasikan tanggal dan waktu yang berhubungan dengan file computer.

- Buat daftar keyword pencarian karena terdapat tool forensik yang bisa dipergunakan untuk pencarian informasi yang relevan.

- Evaluasi swap file.

- Evaluasi file slack, terdiri dari dump memori yang terjadi selama file ditutup.

- Evaluasi unallocated space (erased file). Fungsi undelete di DOS bisa dipergunakan untuk melakukan restore

- Pencarian keyword pada file, file slack, dan unallocated space

- Dokumentasikan nama file, serta atribut tanggal dan waktu

- Identifikasikan anomali file, program dan storage

- Evaluasi fungsionalitas program untuk mengetahui kegunaannya

- Dokumentasikan temuan dan software yang dipergunakan

- Buat copy dari software yang dipergunakan

Merupakan keputusan sulit berespon pada insiden sedemikian agar tidak mengakibatkan korupsi data. Hal ini sangat bergantung pada sistem operasinya. Karena barang bukti  bisa berada pada file tapi bisa juga pada file slack, erased atau swap. Misal pada Windows saat start akan membuka file baru yang menyebabkan overwrite data sebelumnya.

Bagian 3 klik disini

Bagian 4 klik disini