Belajar Security Analyst - Forensics Dasar & Evidence

#Pendahuluan

Setelah di episode 14 kita mempelajari triage & alert prioritization, pada episode ini kita dalami forensics dasar & evidence handling — disiplin yang memastikan bukti digital bisa dipertahankan di pengadilan. SOC analyst tidak harus menjadi forensic specialist, tapi wajib memahami dasar evidence handling.

Mengapa forensics penting bagi SOC? Karena insiden keamanan bisa berlanjut ke proses hukum. Evidence yang tidak dihandle dengan benar bisa ditolak pengadilan, dan semua kerja keras SOC menjadi sia-sia.

#Chain of Custody

Chain of custody adalah dokumentasi siapa yang memegang evidence, kapan, dan apa yang dilakukan. Tanpa chain of custody yang benar, evidence tidak sah secara hukum.

#Komponen Chain of Custody

Evidence ID: IR-2026-0042-001
Description: Forensic image of compromised workstation
Collected By: John Analyst
Date/Time: 2026-08-16 14:30 UTC
Location: Office Building A, Room 301
Hash (SHA256): a1b2c3d4e5f6...
Transfer: 
  - 2026-08-16 15:00 → Sarah Forensic (for analysis)
  - 2026-08-17 10:00 → Evidence Locker (storage)

#Forensic Imaging

Imaging adalah membuat salinan bit-for-bit dari media asli — bukan sekadar copy file.

#Kenapa Imaging?

• Original bisa berubah selama analisis
• Imaging memastikan integritas bukti
• Bisa dianalisis tanpa menyentuh original

#Tools Imaging

Forensic imaging dengan dd

# Buat image dari disk
sudo dd if=/dev/sda of=/evidence/disk-image.raw bs=4M status=progress
 
# Generate hash untuk verifikasi
sha256sum /evidence/disk-image.raw > /evidence/disk-image.raw.sha256
 
# Verifikasi integritas
sha256sum -c /evidence/disk-image.raw.sha256

#Evidence Handling Procedures

#Live vs Dead Forensics

#Live Evidence Collection

Kumpulkan live evidence (Linux)

# Network connections
ss -tlnp > /evidence/network-connections.txt
 
# Running processes
ps aux > /evidence/processes.txt
 
# Memory dump (butuh tool khusus)
sudo LiMEaide/lime.py -o /evidence/memory.lime
 
# Open files
lsof > /evidence/open-files.txt

#Dead Evidence Collection

Dead evidence collection workflow

# 1. Buat disk image
sudo dd if=/dev/sda of=/evidence/disk.raw bs=4M
 
# 2. Generate hash
sha256sum /evidence/disk.raw > /evidence/disk.sha256
 
# 3. Mount image (read-only)
sudo mkdir /mnt/evidence
sudo mount -o ro,loop /evidence/disk.raw /mnt/evidence
 
# 4. Kumpulkan artefak
cp -r /mnt/evidence/Users/ /evidence/user-files/

#Verifikasi Integritas

Hash adalah fondasi integritas evidence:

#Penutup

Inti yang harus dibawa pulang:

• Chain of custody adalah fondasi legal evidence — dokumentasi harus lengkap.
• Forensic imaging = bit-for-bit copy, bukan file copy.
• Live evidence collection dilakukan sebelum isolasi (RAM, network, processes).
• Selalu gunakan write-blocker dan verifikasi hash.

Di episode 16 selanjutnya kita akan membahas vulnerability management — scanning, prioritization, dan patching coordination. Mendeteksi vulnerability sebelum attacker mengeksploitasinya adalah defense proaktif!