Belajar Digital Forensics Analyst - Evidence Collection & Imaging

#Pendahuluan

Setelah di episode 2 kita memahami forensic process & legal, pada episode ini kita masuk ke tangan pertama dari proses forensik: mengumpulkan dan mengimaging bukti digital. Imaging adalah langkah paling kritis dalam forensik — satu kesalahan di sini bisa menghancurkan integritas seluruh kasus.

Mengapa imaging begitu penting? Karena bukti digital bersifat volatile dan mudah berubah. Satu kali kalian mem-boot komputer suspect, file system berubah. Satu kali kalian mengcopy file tanpa write-blocker, metadata berubah. Forensic image yang benar adalah bit-for-bit copy dari media asli, terhitung hash-nya, dan terjaga integritasnya sepanjang rantai bukti.

#Write-Blocker: Mencegah Perubahan

Write-blocker adalah perangkat atau mekanisme yang mencegah operasi penulisan ke media asli. Tanpa write-blocker, bahkan membuka file di media bisa mengubah timestamp atau metadata.

Set device sebagai readonly (software write-blocker)

sudo blockdev --setro /dev/sdb
blockdev --getro /dev/sdb

getro harus mengembalikan 1 artinya device sudah readonly. Untuk latihan, software write-blocker cukup; untuk investigasi nyata, hardware write-blocker lebih dipercaya karena tidak bisa di-bypass.

#Forensic Imaging: Bit-for-Bit Copy

Forensic imaging berbeda dari copy biasa. cp hanya menyalin file yang terlihat; imaging menyalin seluruh sector termasuk slack space, deleted files, dan area yang belum teralokasi.

#Menggunakan dd

dd adalah tool klasik untuk imaging di Linux. Flag yang penting:

• if= — input file (device sumber)
• of= — output file (image tujuan)
• bs= — block size (4M umum untuk kecepatan)
• status=progress — menampilkan progres

Forensic imaging dengan dd

sudo dd if=/dev/sdb of=/evidence/case001-disk.raw bs=4M status=progress
sha256sum /dev/sdb | tee /evidence/case001-disk-orig.sha256
sha256sum /evidence/case001-disk.raw | tee /evidence/case001-disk-img.sha256

Perhatikan langkah hashing dilakukan sebelum dan sesudah imaging. Jika kedua hash cocok, integritas image terverifikasi.

#Menggunakan FTK Imager (GUI)

FTK Imager adalah tool GUI dari Exterro yang populer untuk imaging:

1. Buka FTK Imager, pilih File > Create Disk Image
2. Pilih tipe sumber (Physical Drive, Logical Drive, atau Evidence File)
3. Pilih target device dan format image (RAW/E01)
4. Tentukan destination folder dan mulai proses
5. Verifikasi hash setelah selesai

FTK Imager menghasilkan hash otomatis dan bisa membuat format E01 (Expert Witness Format) yang menyertakan metadata kasus.

#Menggunakan Guymager

Guymager adalah imaging tool GUI untuk Linux yang dirancang khusus forensik:

Install dan jalankan Guymager

sudo apt install guymager
sudo guymager

Guymager mendukung format RAW, E01, dan AFF, serta menampilkan progress bar dan hash verification secara real-time.

#Hashing & Verifikasi

Hash adalah "sidik jari digital" dari bukti. Algoritma yang umum digunakan:

Selalu hitung hash sebelum dan sesudah imaging. Jika hash berbeda, image tidak valid — mulai ulang proses.

#Ketika Imaging Gagal

Beberapa skenario yang mungkin terjadi:

• Bad sectors — gunakan ddrescue alih-alih dd untuk menangani bad sectors
• Device terenkripsi — identifikasi dulu tipe enkripsi (BitLocker, LUKS), decrypt sebelum imaging
• Device terlalu besar — pertimbangkan chunked imaging atau streaming ke storage berbeda

Imaging dengan ddrescue untuk bad sectors

sudo ddrescue -f -n /dev/sdb /evidence/disk.raw /evidence/disk.log
sudo ddrescue -f -r3 /dev/sdb /evidence/disk.raw /evidence/disk.log

ddrescue mencoba membaca sector yang gagal beberapa kali dengan strategi yang berbeda — sangat berguna untuk media yang sudah rusak.

#Penutup

Inti yang harus dibawa pulang:

• Write-blocker (hardware atau software) wajib sebelum menyentuh media asli.
• Forensic imaging menyalin seluruh sector, bukan hanya file yang terlihat.
• dd, FTK Imager, dan Guymager adalah tiga pilihan utama untuk imaging.
• Selalu hitung hash sebelum dan sesudah — tanpa hash, integritas tidak bisa dibuktikan.

Di episode 4 selanjutnya kita akan membahas file system forensics — bagaimana NTFS dan ext4 menyimpan data, slack space, dan cara memulihkan file yang sudah dihapus. Siapkan image yang sudah kalian buat di episode ini!