Belajar Digital Forensics Analyst - Network Forensics | Belajar Digital Forensics Analyst

#Pendahuluan

Setelah di episode 7 kita membahas memory forensics, pada episode ini kita masuk ke network forensics — disiplin yang menganalisis lalu lintas jaringan untuk menemukan bukti serangan, exfiltration data, dan komunikasi malware. Di era modern, hampir semua serangan melibatkan jaringan, sehingga kemampuan ini menjadi keharusan.

Mengapa network forensics penting? Karena jaringan adalah "jalan raya" tempat data bergerak. Kalian bisa melihat siapa berbicara dengan siapa, data apa yang dikirim, dan kapan komunikasi terjadi — bahkan jika semua log di mesin target sudah dihapus attacker.

#PCAP Analysis dengan Wireshark

Wireshark adalah tool standar untuk analisis paket. Dasar yang harus dikuasai:

#Display Filter

Display filter memungkinkan kalian memfilter paket yang sudah ditangkap:

Filter paket dengan Wireshark display filter

# HTTP traffic
http
 
# Traffic ke IP tertentu
ip.addr == 192.168.1.100
 
# DNS queries
dns
 
# Failed TCP connections
tcp.flags.reset == 1

#Stream Follow

Wireshark bisa me-reconstruct percakapan TCP dari beberapa paket menjadi satu stream yang mudah dibaca:

Klik kanan paket TCP → Follow → TCP Stream
Seluruh percakapan akan ditampilkan dalam satu panel

Ini sangat berguna untuk melihat HTTP requests, FTP commands, atau SMTP emails.

#Intrusion Detection Artifacts

#Pola Serangan di Network

Serangan	Artefak Jaringan
Port scanning	Banyak SYN ke port berbeda dalam waktu singkat
Brute force	Banyak failed login ke service yang sama
C2 communication	Periodic beaconing ke IP/domain tunggal
Data exfiltration	Upload besar ke IP tidak dikenal
DNS tunneling	Query DNS abnormal (subdomain sangat panjang)

#Detecting Beaconing

Malware modern sering melakukan beaconing — koneksi periodik ke command & control server. Deteksi pola ini:

Cari pola periodic connection dengan tshark

tshark -r capture.pcap -Y "dns" -T fields -e dns.qry.name | sort | uniq -c | sort -rn | head -20

Jika ada domain yang di-query secara periodik (misal setiap 60 detik), itu adalah kandidat C2.

#Exfiltration Detection

Data exfiltration sering terjadi melalui:

HTTP/HTTPS POST — data dikirim dalam request body
DNS tunneling — data di-encode dalam DNS query
ICMP tunneling — data disembunyikan dalam ping
Cloud storage — upload ke Dropbox, Google Drive, dll.

Deteksi upload besar dengan tshark

tshark -r capture.pcap -Y "http.request.method == POST" -T fields -e http.content_length | sort -n -r | head -10

Note

Analisis HTTPS lebih menantang karena data terenkripsi. Kalian perlu TLS keys atau man-in-the-middle untuk dekripsi. Dalam investigasi, minta kunci TLS dari tim infrastruktur atau gunakan network tap yang sudah dikonfigurasi sebelumnya.

#Network Timeline Reconstruction

Gabungkan network artifacts dengan disk dan memory analysis untuk membuat timeline komprehensif:

Ekstrak timestamp dari paket (Wireshark)
Cross-reference dengan log aplikasi
Identifikasi pivot points — saat attacker mendapat akses pertama
Lacak lateral movement dari satu host ke host lain

#Penutup

Inti yang harus dibawa pulang:

Wireshark display filter dan stream follow adalah fondasi network forensics.
Pola serangan (scanning, brute force, beaconing, exfiltration) punya signature jaringan khas.
DNS tunneling dan ICMP tunneling adalah teknik exfiltration canggih yang harus dikenali.
Network analysis paling powerful saat dikombinasikan dengan disk dan memory analysis.

Di episode 9 selanjutnya kita akan membahas email & web forensics — header email, browser artifacts, dan web history analysis. Siapkan data email kalian!