Belajar Digital Forensics Analyst - Cloud & SaaS Forensics

#Pendahuluan

Setelah di episode 12 kita membahas timeline analysis, pada episode ini kita masuk ke cloud & SaaS forensics — disiplin yang mengumpulkan dan menganalisis artefak dari layanan cloud seperti Microsoft 365, AWS, Google Workspace, dan SaaS lainnya. Di tahun 2026, sebagian besar data organisasi berada di cloud, sehingga forensik cloud menjadi keharusan.

Mengapa cloud forensics kritis? Karena perangkat tradisional (disk imaging) tidak berlaku di cloud. Artefak tersebar di multiple services, region, dan account — membutuhkan pendekatan baru yang berbeda dari forensik disk konvensional.

#Tantangan Cloud Forensics

Tantangan	Penjelasan
No physical access	Tidak ada disk untuk diimaging
Multi-tenancy	Data bercampur dengan pelanggan lain di storage shared
Volatility	Resources bisa hilang saat dimatikan
Jurisdiction	Data mungkin berada di negara berbeda
API rate limits	Ekstraksi data dibatasi oleh provider

#Microsoft 365 / Entra ID Forensics

O365 menyimpan artefak kaya di berbagai service:

Service	Artefak
Exchange Online	Email, calendar, contacts
SharePoint	Files, version history, audit logs
OneDrive	File activity, sharing logs
Entra ID	Sign-in logs, audit logs, user activity
Purview	eDiscovery, content search

Export audit logs dari Microsoft Purview

# Menggunakan Microsoft Graph API
curl -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$filter=userId eq 'USER_ID'"

#AWS Forensics

AWS menyediakan beberapa layanan untuk forensik:

Service	Fungsi
CloudTrail	API call history — siapa melakukan apa kapan
CloudWatch	Logs, metrics, dan alarms
VPC Flow Logs	Network traffic logs
S3 Access Logs	Request logging ke S3 buckets
GuardDuty	Threat detection findings

Query CloudTrail logs untuk investigasi

aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=Username,AttributeValue=attacker \
  --start-time 2026-08-01T00:00:00Z \
  --end-time 2026-08-15T23:59:59Z

#Legal & Preservation di Cloud

#Hak Akses

Untuk mengakses data cloud dari user yang sudah tidak aktif atau tersangka:

Hubungi legal team untuk otorisasi
Gunakan admin account dengan hak eDiscovery
Export data dengan chain of custody yang terdokumentasi

#Retention Policies

Pastikan retention policy cloud cukup panjang untuk kebutuhan investigasi. O365 default retention adalah 90 hari untuk audit logs — setelah itu hilang permanen kecuali di-export.

Warning

Jangan pernah mencoba mengakses data cloud tanpa otorisasi legal yang jelas. Pelanggaran privacy dan akses tidak sah bisa berakibat hukum — bahkan untuk tim forensik internal.

#Penutup

Inti yang harus dibawa pulang:

Cloud forensics membutuhkan pendekatan berbeda dari forensik disk — tidak ada physical access.
O365 dan AWS menyimpan artefak kaya di audit logs, sign-in logs, dan access logs.
Legal dan preservation harus dipertimbangkan sebelum mengakses data cloud.
Retention policies harus dikonfigurasi untuk memenuhi kebutuhan investigasi.

Di episode 14 selanjutnya kita akan membahas container & virtualization forensics — Docker/K8s forensics, VM artifacts, dan snapshot analysis. Siapkan container kalian!