Belajar Digital Forensics Analyst - Database & App Forensics

#Pendahuluan

Setelah di episode 14 kita membahas container & virtualization forensics, pada episode ini kita masuk ke database & app forensics — analisis artefak dari database (MySQL, PostgreSQL, SQLite) dan aplikasi (ERP, CRM, web apps). Di era digital, sebagian besar data organisasi tersimpan di database, sehingga kemampuan menggali data dari sumber ini menjadi keterampilan inti.

Mengapa database forensics penting? Karena database mencatat transaksi, perubahan data, dan akses user secara detail. Ketika data dicuri atau dimanipulasi, artefak database sering menjadi bukti terkuat.

#Database Forensics

#PostgreSQL Forensics

Query PostgreSQL audit logs

SELECT usename, datname, client_addr, query, query_start
FROM pg_stat_activity
WHERE query NOT LIKE '%pg_stat_activity%'
ORDER BY query_start DESC;

#SQLite Forensics

SQLite banyak digunakan oleh aplikasi mobile dan desktop. Database SQLite berisi:

Analisis database SQLite

sqlite3 /evidence/app_data.db ".tables"
sqlite3 /evidence/app_data.db "SELECT * FROM users ORDER BY created_at DESC;"
sqlite3 /evidence/app_data.db ".dump" > /evidence/full_dump.sql

#MySQL/MariaDB Forensics

#Application Forensics

#Web Application Artefak

Analisis access log web server

cat /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20

#ERP & CRM Forensics

Sistem ERP (SAP, Oracle) dan CRM (Salesforce) menyimpan artefak transaksi bisnis:

• Audit trails — perubahan data dengan user dan timestamp
• Change logs — modifikasi master data
• Transaction logs — aktivitas bisnis
• Access logs — siapa yang mengakses data apa

#Data Recovery dari Database

Database modern menggunakan journaling untuk recovery:

Recover data dari WAL PostgreSQL

# Restore dari WAL
pg_waldump /var/lib/postgresql/14/main/pg_wal/000000010000000000000001
 
# Atau restore dari base backup + WAL
pg_basebackup -D /recovery/data

#Penutup

Inti yang harus dibawa pulang:

• PostgreSQL WAL logs dan MySQL binary logs mencatat semua perubahan data.
• SQLite database berisi artefak yang kaya dari aplikasi mobile dan desktop.
• Web application logs (access, error, application) adalah sumber artefak utama.
• Database journaling memungkinkan recovery data yang sudah dihapus.

Di episode 16 selanjutnya kita akan membahas anti-forensics & countermeasures — teknik yang digunakan attacker untuk menghindari deteksi dan cara mengatasinya. Siapkan otak analitis kalian!