Belajar Digital Forensics Analyst - File System Forensics
Anatomi NTFS dan ext4, slack space, deleted file recovery, dan analisis metadata adalah keterampilan inti untuk membaca bukti di level filesystem
#Pendahuluan
Setelah di episode 3 kita berhasil membuat forensic image, pada episode ini kita belajar membaca image tersebut di level filesystem. File system forensics adalah kemampuan untuk memahami bagaimana data disimpan di disk, menemukan artefak tersembunyi, dan memulihkan file yang sudah dihapus.
Mengapa ini penting? Karena sebagian besar bukti digital tersimpan di filesystem. Memahami cara NTFS dan ext4 menyimpan metadata, timestamp, dan data di slack space akan membuka pintu temuan yang tidak terlihat oleh tools biasa.
#Anatomi NTFS (Windows)
NTFS adalah filesystem standar Windows. Untuk forensik, tiga struktur kritis:
| Struktur | Fungsi Forensik |
|---|---|
| MFT (Master File Table) | Setiap file punya entry di MFT — berisi nama, timestamp, permission, dan pointer ke data |
| $LogFile | Journal NTFS — merekam perubahan, berguna untuk timeline |
| $UsnJrnl | Change journal — mencatat setiap perubahan file dengan detail |
#Timestamp NTFS (MACB)
NTFS menyimpan empat timestamp untuk setiap file:
- Modified — kapan isi file terakhir diubah
- Accessed — kapan file terakhir dibuka
- Changed (MFT Modified) — kapan metadata file berubah
- Birth (Created) — kapan file pertama kali dibuat
Timestamp ini adalah artefak kritis untuk pembuatan timeline. Perhatikan bahwa attacker bisa memodifikasi timestamp (timestomping) — topik yang akan dibahas di episode 16.
#Anatomi ext4 (Linux)
ext4 menggunakan struktur yang berbeda:
| Struktur | Fungsi Forensik |
|---|---|
| Inode | Setiap file punya inode — berisi metadata, permission, pointer blok data |
| Journal | Merekam perubahan untuk konsistensi, berguna untuk replay |
| Superblock | Informasi filesystem: ukuran, blok bebas, mounting history |
| Directory entries | Struktur direktori yang menghubungkan nama file ke inode |
stat /etc/passwd
ls -i /etc/passwdstat menampilkan semua metadata inode termasuk timestamp, ukuran, dan blok data. Ini adalah informasi pertama yang dicari seorang analis forensik.
#Slack Space
Slack space adalah area kosong antara akhir data file dan batas alokasi blok berikutnya. Karena filesystem mengalokasikan blok dalam ukuran tetap (misal 4KB), file berukuran 1.5KB akan mengisi satu blok penuh — sisa 2.5KB-nya berisi data dari operasi sebelumnya (atau bahkan data dari file lain).
Di sinilah sisa-sisa data sensitif bisa ditemukan: potongan password, bagian email, atau data aplikasi yang sudah dihapus tapi belum tertimpa.
# Di Autopsy, buka file → pane Hex Viewer
# Scroll ke akhir data file, area setelah end-of-file marker adalah slack space#Deleted File Recovery
Ketika file dihapus di ext4, inode ditandai sebagai bebas tapi data aslinya masih di disk sampai tertimpa oleh file baru. Di NTFS, MFT entry ditandai sebagai deleted tapi masih bisa dibaca.
Prinsip recovery:
- Identifikasi — cari file dengan flag deleted di MFT atau inode
- Recovery — ekstrak data dari blok yang masih utuh
- Verifikasi — pastikan file hasil recovery konsisten dan lengkap
Tools yang membantu: Autopsy (GUI), foremost, scalpel, dan extundelete.
Note
Recovery file tidak selalu sempurna. Jika blok data sudah tertimpa oleh file baru, file hasil recovery akan terpotong atau corrupt. Semakin cepat imaging dilakukan setelah insiden, semakin besar peluang recovery.
#Metatdata Analysis
Metadata mengungkap lebih banyak dari yang terlihat:
- Extended attributes — bisa menyimpan data tersembunyi di NTFS dan ext4
- Alternate Data Streams (ADS) — fitur NTFS yang memungkinkan data tersembunyi dalam file
- File signatures — header file bisa mengidentifikasi tipe asli meski ekstensi diubah
# Di Autopsy, tab Properties → ADS section
# Atau gunakan PowerShell:
Get-Item .\file.txt -Stream *ADS sering digunakan untuk menyembunyikan malware atau data sensitif karena tidak terlihat di Explorer biasa.
#Penutup
Inti yang harus dibawa pulang:
- NTFS menyimpan data di MFT, $LogFile, dan $UsnJrnl; ext4 di inode, journal, dan superblock.
- Slack space bisa berisi sisa data sensitif dari operasi sebelumnya.
- Deleted file masih bisa dipulihkan selama bloknya belum tertimpa.
- ADS di NTFS adalah tempat tersembunyi yang sering terlewat.
Di episode 5 selanjutnya kita akan membahas Windows forensics — registry, artifacts seperti Prefetch dan AmCache, serta pembuatan timeline dari artefak Windows. Siapkan Windows image kalian!