DIGITAL FORENSIC

 Menurut Ruby Alamsyah, “digital forensik adalah ilmu yang menganalisa

barang bukti digital sehingga dapat dipertanggungjawabkan di pengadilan.
Barang bukti digital merupakan hasil ekstrak dari barang bukti elektronik
seperti Personal Komputer, mobilephone, notebook, server, alat teknologi
apapun yang mempunyai media penyimpanan dan bisa dianalisa”.
 Menurut Muhammad Nuh Al-Azhar, “digital forensic merupakan aplikasi
bidang ilmu pengetahuan dan teknologi komputer untuk kepentingan
pembuktian hukum (Pro Justice), yang dalam hal ini adalah untuk
membuktikan kejahahatan berteknologi tinggi atau computer crime secara
ilmiah (scientific) hingga bisa mendapatkan bukti - bukti digital yang
dapat digunakan untuk menjerat pelaku kejahatan tersebut”.
 Menurut Prof (Dr) SC Gupta, "forensik digital didefinisikan sebagai
penggunaan metode ilmiah yang berasal dan terbukti terhadap pelestarian,
koleksi, validasi, identifikasi, analisis, interpretasi dan presentasi bukti
digital yang berasal dari sumber-sumber digital untuk tujuan memfasilitasi
atau melanjutkan rekonstruksi peristiwa ditemukan pidana atau membantu
untuk mengantisipasi tindakan yang tidak sah terbukti mengganggu
operasi yang direncanakan.”
 Menurut Noblett, “digital forensik adalah ilmu yang berperan untuk
mengambil, menjaga, mengembalikan, dan menyajikan data yang telah
diproses secara elektronik dan disimpan di media komputer. Jadi dari
pengertian diatas dapat disimpulkan bahwa digital forensik merupakan
teknik atau cara menangani barang bukti digital untuk diproses dan
menghasilkan informasi yang berguna untuk keperluan pengadilan”.
 Menurut Marcella, “digital forensik adalah aktivitas yang berhubungan
dengan pemeliharaan, identifikasi,  pengambilan/penyaringan, dan
dokumentasi bukti digital dalam kejahatan komputer”.
 Menurut Casey, “digital forensik adalah karakteristik bukti yang
mempunyai kesesuaian dalam mendukung pembuktian fakta dan
mengungkap kejadian berdasarkan bukti statistik yang meyakinkan.
 Menurut Ken Zatyko, "Ilmu digital forensik: Penerapan ilmu komputer
dan prosedur investigasi untuk tujuan hukum yang melibatkan analisis
bukti digital (informasi nilai pembuktian yang disimpan atau
ditransmisikan dalam bentuk biner) setelah otoritas pencarian yang tepat,
lacak balak, validasi dengan matematika ( fungsi hash), penggunaan alat-
alat divalidasi, pengulangan, pelaporan, dan presentasi mungkin ahli“.
 
 Menurut Brian, “digital forensik sains dalam kalimat 54 kata sebagai
penggunaan metode ilmiah yang berasal dan terbukti terhadap
pelestarian, koleksi, validasi, identifikasi, analisis, interpretasi,
dokumentasi, dan presentasi bukti digital berasal dari sumber digital
untuk tujuan memfasilitasi atau melanjutkan rekonstruksi peristiwa
ditemukan pidana, atau membantu untuk mengantisipasi tindakan
yang tidak sah terbukti mengganggu operasi yang direncanakan”.

 Dari definisi diatas dapat disimpulkan bahwa Digital Forensik adalah

penggunaan teknik analisis dan investigasi untuk mengidentifikasi,
mengumpulkan, memeriksa dan menyimpan bukti/informasi yang
secara magnetis tersimpan/disandikan pada komputer atau media
penyimpanan digital yang berguna untuk alat bukti yang sah dalam
pengadilan.
 Tahapan dalam melakukan forensik digital ada 4 (empat) :

#[Link]. Pemeriksa atau auditor dari komputer forensik harus menilai bukti
digital yang ada dengan memberikan nilai yang netral. maksudnya adalah nilai atau
prasangka bahwa bukti belum masuk kepada yang memberikan keringanan atau
memberatkan kasus.
#[Link]. Acquisition berarti bahwa bukti digital sangat rentan, dan bisa
mudah rusak, hilang, dan lain [Link], Pemeriksaanpun harus dilakukan dengan
hati hati. adapun yang paling tepat adalah menggunakan bukti digital bukan yang
asli. Bukti digital yang asli harus dilindungi agar tetap terjaga.
#[Link]. Tujuan dari proses examination ini adalah untuk mengambil serta
menganalisis bukti digital yang ada. Ekstrak disini mengacu pada proses pemulihan
data digital yang diperoleh atau recovery informasi dari suatu media forensik.
Analisisnya mengacu pada metode yang telah ditetapkan dan menjadi standar
forensik.
#[Link] dan Reporting. Analisis dan observasi pada foreksik digital harus
dibuat dokumentasi dan laporannya agar benar benar bisa menjadi acuan bagi
forensik selanjutnya. kemudian bisa menjadi bahan penelitian apakah metode yang
sudah dilakukan sudah efektif.
 BEBERAPA HAL YANG PERLU DIPERHATIKAN KETIKA
MELAKUKAN PROSES FORENSIK

a. Order of Volatility. Tahap ini mengacu pada urutan sebagaimana seharusnya

mengumpulkan bukti. Secara umum, pengumpulan bukti harus dimulai dari yang
paling volatil atau mudah berubah. Sebagai contoh adalah RAM (Random Access
Memory) yang datanya akan hilang setelah komputer dimatikan. Oleh karena itu,
hal penting yang harus diperhatikan adalah tidak mematikan sebuah komputer jika
dicurigai telah terlibat dalam sebuah security incident dan mungkin menyimpan
bukti yang berharga. Berikut ini adalah order of volatility, dimulai dari data yang
paling rentan untuk berubah atau hilang:
•Data pada cache memory, termasuk cache processor and cache hard drive

•Data pada RAM, termasuk proses sistem and jaringan

•Swap file/paging file pada system disk drive
•Data stored pada local disk drives

•Logs stored pada remote systems

•Archive media

b. Data Acquisition & Preservation of Evidence. Ketika melakukan akuisisi data

untuk bukti, sangat penting untuk mengikuti prosedur khusus untuk memastikan
bahwa bukti tersebut tidak dimodifikasi. Beberapa hal yang dapat diperhatikan
dalam prosedur ini seperti capture system image, take hashes, network traffic and
logs, capture video, record time offset, screenshots, witness interviews.
c. Chain of Custody (CoC). CoC adalah sebuah proses yang menunjukkan
bahwa segala bukti terjamin telah dikendalikan dan ditangani dengan benar setelah
proses pengumpulan. Buku Digital Forensik oleh Muhammad Nuh Al Azhar
menjelaskan secara detail bagaimana bermacam forensik digital dilakukan dengan
menjaga CoC. Seperti contoh, forensik komputer biasanya berkaitan dengan
pencarian file baik yang masih ada ataupun yang telah dihapus sebagai barang bukti
digital.
CoC forensik komputer membutuhkan kehati-hatian karena sifat data digital adalah
volatile dan mudah berubah. Perbedaan time stamp (created-modified-access) pada
file log misalnya, dapat merusak bukti digital dan tidak dapat diterima oleh
pengadilan. Penanganan awal terhadap bukti elektronik berupa komputer yang
didapatkan saat mati atau menyala juga berbeda.
d. Legal Hold. Legal hold mengacu kepada perintah pengadilan untuk
mempertahankan berbagai jenis data sebagai bukti.
e. Recovery of Data. Secara umum, pemulihan data mengacu pada
pengembalian data yang hilang, seperti mengembalikan file rusak/korup dari sebuah
backup. Namun, dalam konteks forensic, memungkin untuk melakukan pemulihan
data yang telah disengaja dan tidak sengaja terhapus.
e. Recovery of Data. Secara umum, pemulihan data mengacu pada
pengembalian data yang hilang, seperti mengembalikan file rusak/korup dari sebuah
backup. Namun, dalam konteks forensic, memungkin untuk melakukan pemulihan
data yang telah disengaja dan tidak sengaja terhapus.
f. Active Logging for Intelligence Gathering. Bagi sebuah organisasi untuk terlibat
dalam kecerdasan strategis atau pengumpulan kontraintelijen dengan meningkatkan
jumlah data yang mereka kumpulkan. Sebagai contoh, strategi active logging dapat
membantu sebuah organisasi mendapat jumlah data attacker secara signifikan.
g. Track Man-Hours and Expense. Sebuah investigasi dapat memakan
waktu yang lama, dan pada bisnis, waktu adalah uang. Ketika waktu terus bergulir,
suatu departemen/divisi yang dapat mengidentifikasi berapa waktu dan biaya yang
dihabiskan harus mendapatkan persetujuan terhadap anggaran yang telah diminta.
Selain itu, penilaian risiko kuantitatif berdasarkan keputusan penggunaan sejumlah
uang secara spesifik seperti biaya dan nilai asset. Jika sebuah insiden membutuhkan
keterlibatan dari professional security dalam tim, jam kerja dan biaya yang
dikeluarkan oleh tim respon insiden harus dimasukkan dalam penilaian.
Semoga bermanfaat.
Kegunaan Ilmu Forensik

Untuk dapat membuat terang suatu perkara dengan cara memeriksa dan
menganalisa barang bukti mati, sehingga dengan ilmu forensik haruslah
didapat berbagai informasi, yaitu :

Information on corpus delicti. Dengan ilmu forensik kita bisa mengetahui

bahwa telah terjadi sesuatu atau kasus. dan kita bisa mengetahui
kebenarannya melalui forensik. yaitu dengan melakukan analisa sesuai
dengan kaidah forensik.
Information on modus operandi. Dengan adanya ilmu forensik kita bisa
mengetahui pelaku pelaku dari tindak kejahatan atau kasus. dengan
adanya ilmu forensik bisa menangkap pelaku dan motif dari pelaku.
Linking a suspect with a victim. Dengan ilmu forensik kita bisa
mengetahui hubungan antara pelaku dengan korban. Apa saja yang telah
pelaku lakukan pada korban. sehingga dari forensik bisa diketahui apakah
seseorang adalah pelaku atau korbannya
Linking a person to a crime scene. Dengan adanya forensik kita bisa
mengetahui latar belakang dari kejadian suatu kejahatan. selain itu kita bisa
mereka dari layar kejadian seperti apa kejadian pada saat ini.
Disproving or supporting a Witness ’s Testimony. Dengan adanya
forensik kita bisa memastikan bahwa kesaksian bisa dikatakan benar atau
salah. Kesaksian yang benar adalah kesaksian yang sesuai dengan hasil
forensik. Jika kesaksian tidak sesuai maka bisa dikatakan bahwa
seseorang telah bersaksi palsu.
Identification of a suspect. Dengan adanya forensik kita bisa menetapkan
siapa saja yang bisa dicurigai jika telah terjadi kasus. Melalui hasil forensik
akan ada jejak digital yang akan mengarah kepada seseorang. Yang
statusnya dari saksi kemudian lanjut kepada tersangka. Dan terakhir akan
menjadi terdakwa jika antara bukti yang ada, sesuai dengan kesaksian dan
hasil investigasi.
Providing Investigative leads. Dengan ilmu forensik kita bisa melakukan
investigasi yang terarah. Karena, kita telah mengantongi beberapa
petunjuk.
Contoh Software Digital Forensik

Dalam melakukan pekerjaannya, seorang auditor forensik digital memerlukan

software atau tool yang akan membentu proses forensiknya. Adapun tool foreksinya
adalah sebagai berikut:
Tool Yang Berbasis Windows
#[Link]. eNCase merupakan software untuk analisis data digital yang sangat
komprehensif. Tool ini biasa digunakan untuk melakukan forensik jika ada insiden
atau kasus yang berkaitan dengan dunia digital. untuk mendapatkannya bisa
mengakses laman [Link]
#[Link] (Forensics Tool Kit). FTK merupakan tool kit untuk melakukan investigasi
forensik digital yang mumpuni. tool ini bisa diakses [Link]
#[Link] dari X-Ways. WinHex biasa digunakan untuk forensik gambar, logical
preview,tapi bersifat low level recovery dan digunakan untuk recovery file, untuk tool
ini dapat diakses d laman [Link]
#[Link] Forensic. Mobile Edit Forensic merupakan tool besutan dari
Compelson yang digunakan untuk memeriksa dan mengakses handphone. untuk
mendapatkannya dapat mengakses laman [Link]
#[Link] My Files. Tool ini biasa dgunakan untuk mendapatkan kembali data
yang telah terhapus atau terformat baik sengaja atau tidak sengaja. Bahkan dapat
mengmbalikan data yang ada di media digital yang rusak namun belum parah
kerusakannya.
Tool Yang Berbasis Linux
#[Link] Sleuth Kit (TSK). Tool ini digunakan untuk analisis yang komprehensif, biasa digunakan
untuk analisis data seperti gambar, berkas, baik yang hilang, korup, dan terhapus.
#[Link]. Tool ini merupakan versi GUI dari aplikasi The Sleuth Kit, lebih menarik bukan.
#[Link]. Guymager adalah tool yang digunakan untuk proses analisa gambar, hashing
dan verifikasi file.
#[Link]. Tool ini digunakan untuk merecovery berkas berbasis pemindaian atau scan
secara sector dengan melihat signature dari masing masing format filenya.
#[Link]. Tool ini digunakan untuk melihat metadata dari file foto

Selain ada software atau tool yang digunakan untuk digital forensik sebagai berikut:
#[Link] (Digital Evidence & Forensic Toolkits). DEFT adalah distro linux yang dibangun
khusus untuk digital forensik. Distro ini dijalankan secara live melalui pendrive atau DVD
sehingga lebih mudah dan efisien. DEFT dibundle dengan DART (Digital Advanced Response
Toolkit) yaitu aplikasi yang digabungkan agar dapat dijalankan di sistem operasi windows. Untuk
mendapatkan tool DEFT ini dapat mendownload di laman [Link]
#[Link]. HELIX adalah toolkit forensik digital yang dikembangkan untuk menangani insiden
kejahatan digital. aplikasi ini juga memiliki keunggulan yaitu dapat dijalankan secara live di 3
sistem operasi yakni Windows, Mac OS dan Linux. Lalu Helix juga memiliki fitur imaging drive
hingga pendeteksian file yang dienkripsi dengan algorita tertentu. di dalam Helix dibundle dengan
software-software forensik di antaranya SleuthKit, LinEn, crypsetup dll. Untuk dapat
menggunakan Helix bisa mengunjungi laman [Link].
#[Link]. (Computer AIded Investigative Environment). CAINE adalah distro linux yang
dikembang oleh pengembang program dari italia yang digunakan untuk melakukan digital
forensik. Tool ini mendukung auditor untuk melakukan analisis digital forensik melalui 4 tahap
digital forensik. Selain itu aplikasi ini memiliki GUI yang baik dan toolkit yang user friendly. CAINE
dapat didapatkan di laman [Link].
Anti Forensik
Anti Forensik adalah tindakan yang dilakukan untuk menghilangkan bukti
digital diperlukan dalam proses digital forensik. Tindakan ini seperti
menggunakan Wipe Data pada MEDIA digital seperti flashdisk, harddisk,
memory card dan lain lain yang sedang dilakukan proses digital forensik
pada barang digital tersebut. Lalu tindakan anti forensik lainnya yang lebih
ekstrim yaitu melakukan media perangkat keras dengan cara dibanting atau
dihancurkan maupun dialiri arus listrik pendek agar tidak bisa dilakukan
forensik digital.

Anti-Forensics
 Software yang digunakan untuk membatasi/mempersulit penemuan alat
bukti oleh investigator dengan cara merusak alat bukti
 Melakukan penyembunyian data (data hiding) atau pengaburan
inforamasi
 Memanfaatkan keterbatasan dari tool-tool atau alat komputer forensik.
 Bekerja menggunakan beberapa OS spt Windows, LINUX, MAC dll
 FORENSIK DIGITAL TERBAGI KE DALAM BEBERAPA BAGIAN

•Computer forensic; merupakan cabang dari forensik digital yang

berkaitan dengan bukti pada komputer serta media penyimpanan digital
dan bertujuan untuk memproses bukti-bukti tersebut sebagaimana
harusnya.
•Mobile device forensic; adalah cabang forensik digital mengenai akuisisi
perangkat seluler untuk memulihkan bukti digital seperti catatan panggilan
masuk dan keluar, daftar kontak, SMS dan MMS, kredensial akun
pengguna, dan file system yang akan digunakan sebagai kepentingan
investigasi.
•Network forensic; adalah bagian dari forensik digital yang digunakan
untuk menemukan bukti digital seperti sumber serangan keamanan pada
suatu jaringan.
 Definisi Computer Forensic. Proses ilmiah dalam melakukan penemuan,
pencarian, analisis dan pengumpulan barang bukti dari suatu sistem komputer
dengan sebuah standard dan dokumentasi tertentu untuk dapat diajukan sebagai
bukti hukum yang sah

Definisi Computer Forensic

 Komputer forensik juga dapat diartikan setiap aktivitas yang berhubungan dengan
pemeliharaan, identifikasi, pengambilan – penyaringan dan dokumentasi serta interpretasi bukti
pada media sistem komputer
 Investigator Forensic melakukan penyelidikan dan analisis komputer untuk menentukan
potensi bukti legal
 Metode metode yang digunakan untuk
 Penemuan informasi atau data pada sistem komputer
 Pengembalian/Recovery file yang sudah di hapus, enkripsi, atau mengalami kerusakan.
 Monitoring Aktifitas seseorang
 Mendeteksi pelanggaran terhadap kebijakan (policy) perusahaan
 Contoh Computer Forensic
 Pemulihan email-email yang terhapus
 Melakukan investigasi setelah pemutusan hubungan kerja
 Recovery barang bukti setelah media storage (harddisk) diformat
 Melakukan investigasi/penyelidikan setelah beberapa pengguna mengambil alih
sistem

Kenapa butuh bukti

 Banyak kejadian kejahatan komputer dan penyalahgunaannya
 Lingkungan Non Bisnis (spt Public Sector ): bukti dikumpulkan
oleh
unsur pemerintahan (Kepolisian), di tingkat pusat maupun daerah
untuk kejahatan yang berhubungan dengan :
 Pencurian rahasia dagang
 Penipuan
 Pemerasan
 Espionasi Industri
 Pornografi
 Investigasi SPAM
 Penyebar Virus/Trojan
 Penyelidikan Pembunuhan
 Pelanggaran HAKI
 Penyalahgunaan informasi pribadi
 Pemalsuan
Kenapa butuh bukti (lanjutan)
 Kejahatan dan penyalahgunaan komputer
 Pada Lingkungan Bisnis:
 Pencurian atau perusakan kekayaan intelektual
 Melakukan kegiatan yang tidak sah
 Pelacakan aktivitas dari kebiasaan browsing
 Rekonstruksi kejadian
 Menyimpulkan Motif
 Menjual bandwidth perusahaan
 Kesalahan pemberhentian klaim
 Pelecehan Seksual
 Pembajakan Software

Siapa yang menggunakan Computer Forensic?

 Jaksa Penuntut pada kasus Pidana
 Masyarakat (Civil Ligitation)
 Perusahaan Asuransi
 Sektor Swasta
 Penegakan Hukum pada Pejabat
 Perorangan/Pribadi
Kebutuhan Pengetahuan dalam Komputer Forensik
 Hardware
 BIOS
 Operating Systems
 Windows 3.1/95/98/ME/NT/2000/2003/XP/VISTA/7/8/10
 DOS
 UNIX
 LINUX
 VAX/VMS
 Symbian, Blackberry, MAC, Android
 Software
 Forensic Tools
 Forensic ToolKit (FTK)
 EnCASE
Pedoman dalam pemrosesan alat bukti
 Perusahaan jasa Forensic memiliki standar dan prosedur
yang umumnya langkahnya berlaku secara umum
 Contoh Langkah memproses alat bukti digital berupa
Komputer/Notebook sbb:

Step 1: Shut down the computer

 Considerations must be given to volatile information
 Prevents remote access to machine and destruction of
evidence (manual or ant-forensic software)
Step 2: Document the Hardware Configuration of The
System
 Note everything about the computer configuration prior to
re-locating
Pedoman dalam pemrosesan alat bukti (lanjutan)
Step 3: Transport the Computer System to A Secure Location
 Do not leave the computer unattended unless it is locked in a
secure location
Step 4: Make Bit Stream Backups of Hard Disks and Floppy
Disks
Step 5: Mathematically Authenticate Data on All Storage
Devices
 Must be able to prove that you did not alter any of the
evidence after the computer came into your possession
Step 6: Document the System Date and Time
Step 7: Make a List of Key Search Words
Step 8: Evaluate the Windows Swap File
Pedoman dalam pemrosesan alat
bukti (lanjutan)

 Step 9: Evaluate File Slack

 File slack is a data storage area of which most computer
users
are unaware; a source of significant security leakage.
 Step 10: Evaluate Unallocated Space (Erased Files)
 Step 11: Search Files, File Slack and Unallocated Space
for Key Words
 Step 12: Document File Names, Dates and Times
 Step 13: Identify File, Program and Storage Anomalies
 Step 14: Evaluate Program Functionality
 Step 15: Document Your Findings
 Step 16: Retain Copies of Software Used
Metode metode penyembunyian Informasi/Data
 Covert Channels – Menyembunyikan saat transmisi
 Memanfaatkan waktu dan media penyimpanan bersama (Shared Storage)
untuk mentransmisikan data melalui channel/koneksi milik umum/pihak lain
 Teknik Enkoding
 Steganography: Seni menyimpan informasi dengan berbagai bentuk bentuk
tersembunyi yang tidak disadari oleh pihak lain

Metode metode penyembunyian Informasi/Data

 Contoh pada informasi:
 To human eyes, data usually contains known forms, like images, e-mail, sounds,
and text. Most Internet data naturally includes gratuitous headers, too. These are
media exploited using new controversial logical encodings: steganography and
marking.  Sederhana dan sering tanpa disadari

Metode metode penyembunyian Informasi/Data

 Watermarking: Menyembunyikan informasi didalam data lain.
 Informasi dapat disembunyikan dihampir semua format file  Format file yang
digunakanuntuk watermarking
 Image files (JPEG, GIF)
 Sound files (MP3, WAV)
 Video files (MPG, AVI)
 Informasi yang disembunyikan dapat dienkripsi atau tidak dienkripsi
 Banyak aplikasi tersedia online dan gratis untuk digunaka
Metode metode penyembunyian Informasi/Data • Manipulasi Hard
Drive/File System • Slack Space • Hidden Drive • Bad Sector • Extra Track
• Mengubah Nama file dan Ekstensi (File [Link] dirubah menjadi [Link],
[Link] menjadi [Link])

• Metode lain – Memanipulasi request HTTP dengan merubah urutan

elemen • Saat ini belum ada software yang dapat digunakan untuk umum,
hanya untuk kalangan tertentu (agen rahasia atau pemerintah) • Belum
dapat atau Sulit untuk dideteksi, karena aksesnya sama seperti access http
yang biasa – Enkripsi: Informasi tidak disembunyikan, tetapi dilakukan
pengacakan sehingga tidak dapat dibaca selain pemilik. – Si pemilik data
tidak peduli datanya diketahui atau tidak.
Metode deteksi dan recovery data • Steganalysis – Seni dalam mendeteksi dan
melakukan decoding data tersembunyi • Menyembunyikan informasi pada media
digital/elektronik lain membutuhkan penambahan/perubahan bentuk pada properti
data tersebut atau memunculkan karakteristik data yang berbeda • Bentuk-bentuk
perubahan karakteristik data tersebut disebut dengan signature pada metode
steganografi. • Software Steganalysis dapat digunakan untuk mencari dan
mempelajari sebuah signature.
• Metode Steganalysis – Deteksi – Pengamatan User/Manusia – Software analysis
– Tool Disk analysis dapat digunakan untuk mencari hidden tracks/sectors/data
pada sebuah hard drive – RAM slack – Filter pada Firewall/Routing filters dapat
digunakan untuk mencari data tersebunyi atau tidak falid dalam header IP
datagram – Statistic Analysis – Frequency Scanning
• Metode Steganalysis – Recovery – Melakukan Recovery pada data
watermarking sangat sulit • Saat ini hanya sedikit cara yang ditemukan untuk
merecover informasi tersebunyi dan terenkripsi pada watermarking. – Data
tersembunyi pada Hard Disk paling mudah didapatkan. – Data yang sudah
dihapus dapat di rekonstruksi kembali, bahkan pada Hard Disk yang sudah secara
magnetik diformat/wiped/low level format – Pada Swap File secara umum terdapat
password dan kunci enkripsi yang tersimpan dalam kondisi plain text
(unencrypted) – Tersedia banyak Software Tools untuk • Search/Scan dan
reconstruksi data terhapus • Membongkar Enkripsi • Menghapus/destroy informasi
tersembunyi (overwrite
Tahapan Computer Forensics :

 Secara umum Forensik Komputer terdiri dari 4 tahap.

 Akusisi (Acquisition). Secara fisik atau jarak jauh memeroleh akses ke

komputer, jaringan dan pemetaan dari sistem, atau perangkat penyimpanan fisik
eksternal.

 Identifikasi (Identification). Mengidentifikasi data apa saja yang dapat

dipulihkan atau diperoleh secara elektronik dengan menggunakan tools atau
software computer forensic.

 Evaluasi (Evaluation). Mengevaluasi informasi yang diperoleh atau data yang

dapat direcovery untuk menentukan apakah tersangka pelaku benar pernah
melakukan pelanggaran dan dapat dilakukan penuntutan di pengadilan.

 (Penyajian) Presentation. Tahapan penyajian bukti bukti yang telah didapatkan

dengan cara atau istilah yang dapat dipahami oleh para pengacara, para staff dan
management yang bukan orang teknis dan sesuai dengan kriteria alat bukti yang
sah.
Cabang Digital Forensik. Di dalam dunia digital forensik ada cabang yang masing masing terbagi ke
dalam media digital yang berbeda. Cabang digital forensik itu antara lain:

#[Link] Forensic/Forensik Komputer. Forensik komputer adalah bentuk forensik

yang mengkhususkan media komputer yang menjadi target auditnya. disiplin yang
dibutuhkan dalam analisanya adalah disiplin ilmu komputer. namun, selain itu perlu
juga disiplin yang berhubungan dengan komputer seperti internet, Internet Of Things
(IOT), pemrograman. Adapun yang menjadi perhatian utama dalam forensik kopmuter
seperti sistem operasi, perangkat keras, dan perangkat yang berkaitan dengan
komputer terutama file log dari sistem koputer.

#[Link] Forensics/Forensik Wifi. Forensik Wifi adalah bentuk forensik yang

mengkhususkan media digital wifi. Media wifi saat ini sangat kompleks yang terdiri dari
berbagai perangkat. Dalam proses forensik yang dibutuhkan seperti file log yang ada
di dalam perangkat wifi.

#[Link] Fraud Investigation

Forensik Email berarti melakukan analisa terhadap email. Sebenarnya email ini bisa
menjadi bagian dari forensik komputer tapi dibedakan agar khusus kepada surat
elektronik karena softwarenya berbeda.
Cabang Digital Forensik
Di dalam dunia digital forensik ada cabang yang masing masing terbagi ke dalam media digital yang
berbeda. Cabang digital forensik itu antara lain:

#[Link] Forensic/Forensik Perangkat Mobile

Forensik perangkat mobile merupakan cabang forensik digital yang berkaitan dengan
bukti digital dari perangkat mobile. perangkat mobile berhubungan dengan satelit,
GPS, dan masih banyak lagi. selain menganalisa perangkat mobile nya, auditor perlu
menganalisa perangkat yang berhubungan seperti operator dan aplikasi yang
digunakan oleh pelaku.

#[Link] Forensic/Forensik Jaringan

Forensik Jaringan berkaitan dengan pemantauan dan analisis lalu lintas jaringan.
Adapun analisis dilakukan pada jaringan lokal dan maupun jaringan internet. Selain
analisa pada lalu lintas juga analisa pada perangkat yang terdapat file log. Lalu Lintas
jaringan bisa di endus atau sniffing atau di blok, yang kemudian di analisis
menggunakan beberapa tool.

#[Link] Forensic
Forensik database merupakan cabang dari forensik digital yang berkaitan dengan
analisis pada objek berupa database. Banyak yang bisa dianalisis dari sebuah
database, misalkan metadata dari database. Sebuah database menyimpan aktivitas
yang bisa menjadi bukti digital.
#[Link] Forensics
Penggunaan drone yang semakin banyak saat ini memandang perlu dilakukan
forensik drone. Dalam forensik ini berhubungan dengan forensik lainnya seperti mobile
forensik dan komputer forensik. Selain itu analisa yang biasa dilakukan adalah jalur
dari drone itu sendiri.

#[Link] Forensic
Forensik audio atau suara adalah jenis forensik yang melalukan analisa pada suara
yang menjadi sumber bukti digital.

#[Link] Forensic
Forensik Video sebenarnya bisa digabungkan dengan forensik audio. Dimana video
bisa menjadi sumber bukti digital. CCTV bisa menjadi sumber bukti digital ini, tapi
kadang menjadi masalah yaitu resolusi yang rendah mengakibatkan kualitas video
yang yang buruk. Hal ini bisa menyulitkan tim auditor forensik.

#[Link] Forensic
Forensik gambar berkaitan dengan bukti digital berupa gambar gambar. Melalui
gambar kita bisa menggali informasi media pengambilan gambar, kemudian keaslian
gambar, selain itu apakah gambar terdapat pesan tersembunyi menggunakan
steganografi.
Prinsip Dasar Menangani Digital Evidence
Di dalam forensik dgital terdapat empat prinsip dalam menganalisa bukti digital.
Prinsip ini d dikeluarkan oleh ACPO yaitu Association of Chief Police Office yang
bekerja sama dengan 7Safe. Keempat prinsip ini antara lain:

Prinsip ke 1:
No action taken by law enforcement agencies, persons employed within those
agencies or their agents should change data which may subsequently be relied upon
in court
ACPO
Artinya Lembaga hukum dan atau petugasnya dilarang mengubah bukti digital yang
tersimpan di dalam media yang akan dibawa ke pengadilan.
Prinsip ke 2:
In circumstances where a person finds it necessary to access original data, that
person must be competent to do so and be able to give evidence explaining the
relevance and the implications of their actions.
ACPO
Artinya jika seseorang akan mengakses bukti digital, maka orang tersebut harus
berkompetensi dan mampu menjelaskan mengapa tindakan itu perlu dilakukan.
Prinsip ke 3:
An audit trail or other record of all processes applied to digital evidence should be
created and preserved. An independent third party should be able to examine those
processes and achieve the same result.
ACPO
Artinya tindakan audit perlu dibuat rekaman dan laporan. sehingga apabila ada pihak
indipenden yang melakukan analisa maka hasilnya akan sama.
Prinsip ke 4:
The person in charge of the investigation has overall responsibility for ensuring that
the law and these principles are adhered to.
ACPO
Artinya adalah seseorang yang bertanggungjawab terhadap semua proses investigasi
harus memaskan bahwa semua prinsip telah dilakukan.
 Metode Digital Forensik

Metode yang menjadi rujukan dalam digital forensik seperti metode dari NIJ
(National Institure of Justice), berikut ini adalah metode tersebut :
#[Link]. Tahapan identifikasi yang dilakukan adalah mencari bukti
digital mana saja yang dapat digunakan untuk mengungkap sebuah insiden.
Biasanya yang menjadi bukti digital seperti komputer, hard disk, memori card,
drone, operator seluler, rekaman bicara, email dan lain lain yang berpotensi
untuk menyimpan bukti digital.
#[Link]. Tahapan collection merupakan kegiatan mengumpulkan
barang bukti untuk mendukung investigasi digital forensik. biasanya dilakukan
dengan mengambil perangkat keras atau mengkopi perangkat lunak. Adapun
jika barang bukti digital berupa gambar, suara, video dan lainnya makan
berkas terebut diambil dan digandakan karena hanya menganalisa berkas
kopi nya saja agar tidak rusak.
#[Link]
Tahap examination addalah aktivitas pemeriksaan terhadap bukti digital yang telah
berhasil dikumpulkan. Setiap barang bukti yang diperiksa juga harus dijaga
keasliannya, untuk itu perlu dilakukan metode hashing yaitu mengidentifikasi berkas
apakah asli atau tidak.
#[Link]
Tahapan analisis ini adalah tahapan yang utama dimana kita menganalisis bukti digital
untuk mendapatkan informasi yang dibutuhkan untuk mengungkap kasus yang sedang
ditangani.
#[Link]
Tahap reporting adalah tahapan terakhir dari metode ini. Pada tahapan ini yang
dilakukan adalah membuat laporan mulai dari tahapan pertama sampai terakhir.
Laporan pada digital forensik biasanya dibuat lengkap muali dari tahapan identifikasi
seperti apa, kemudian pada tahapan analisis menggunakan tool apa.
Barang Bukti Digital
Barang bukti sangat penting dalam melakukan investigasi terhadap kasus kejahatan komputer
maupun yang berkaitan seperti kejahatan online lainnya. Karena hanya dengan berbekal bukti digital
inilah sebuah kasus dapat dipecahkan. Oleh karena itu kedudukan barang bukti digital sangat vital
sebagai penentu keberhasilan penyelesaian suatu kasus kejahatan.

Jenis Forensik Berdasarkan Sifat Media

#[Link] Statik atau Static Forensic

Forensik ini adalah jenis forensik yang bukti digital dianalisis secara manual
bit per bit. Selain itu media digital yang menjadi tempat bukti digital berada
diakses ketika media tersebut tidak menyala. analisa pada forensik ini fokus
kepada pencarian informasi seperti berkas berkas komputer berupa gambar,
video, berkas lainnya dimana riwayat penggunaan, dan data yang ada telah
diubah, dan dihapus.

#[Link] Langsung atau Live Forensic

Perbedaan pada forensik langsung ini adalah dalam halpengumpulan bukti
[Link] pengumpulan data dilakukan ketika media tersebut masih
menyala. contohnya adalah analisa pada forensik jaringan komputer. Tujuan
pada forensik ini adalah mengumpulkan data sebanyak banayaknya untuk
dianalisa.
 Top 10 free tools for digital forensic investigation

1. SIFT Workstation
SIFT (SANS investigative forensic toolkit) Workstation is a freely-available virtual appliance that
is configured in Ubuntu 14.04. SIFT contains a suite of forensic tools needed to perform a
detailed digital forensic examination. It is one of the most popular open-source incident response
platforms.
Download SIFT Workstation
2. Autopsy
Autopsy is a GUI-based open-source digital forensic programme to analyse hard drives and
smartphones efficiently. Autospy is used by thousands of users worldwide to investigate what
happened in a computer.
Autopsy was designed to be an end-to-end platform, with modules that come out-of-the-box and
others that are available from third parties. Some of the modules provide timeline analysis,
keyword searching, data carving, and Indicator of Compromise using STIX.
Download Autopsy
3. FTK Imager
FTK Imager is a data preview and imaging tool used to acquire data (evidence) in a forensically
sound manner by creating copies of data without making changes to the original evidence. It
saves an image of a hard disk, in one file or in segments, which may be reconstructed later on. It
calculates MD5 hash values and confirms the integrity of the data before closing the files.
Download FTK Imager
4. DEFT. DEFT is a household name when it comes to digital forensics and intelligence activities.
The Linux distribution DEFT is made up of a GNU/Linux and DART (Digital Advanced Response
Toolkit), a suite dedicated to digital forensics and intelligence activities. On boot, the system does
not use the swap partitions on the system being analysed. During system startup, there are no
automatic mount scripts.
Download DEFT
5. Volatility. Also built into SIFT, Volatility is an open-source memory forensics framework
for incident response and malware analysis. It is written in Python and supports Microsoft Windows,
Mac OS X, and Linux (as of version 2.5). Forensic analysis of raw memory dump will be performed
on a Windows platform. The Volatility tool is used to determine whether the PC is infected or not.
Subsequently, the malicious programme can be extracted from the running processes from the
memory dump.
Download Volatility
6. LastActivityView. LastActivityView is a tool for the Windows operating system that
collects information from various sources on a running system, and displays a log of actions made
by the user and events that occurred on this computer. The activity displayed by LastActivityView
includes: Running an .exe file, opening open/save dialog-box, opening file/folder from Explorer or
other software, software installation, system shutdown/start, application or system crash and
network connection and disconnection.
Download LastActivityView
7. HxD. HxD is a carefully designed and fast hex editor which, in addition to raw disk editing and
modifying of main memory (RAM), handles files of any size. The easy-to-use interface offers
features such as searching and replacing, exporting, checksums/digests, insertion of byte patterns,
a file shredder, concatenation or splitting of files, statistics and much more.
Download HxD
8. CAINE
CAINE offers a complete forensic environment that is organised to integrate existing
software tools as software modules and to provide a friendly graphical interface. This is
a digital forensics platform and graphical interface to the Sleuth Kit and other digital
forensics tools.
Download CAINE
9. Redline
Redline is a free endpoint security tool that provides host investigative capabilities to
users to find signs of malicious activity through memory and file analysis and the
development of a threat assessment profile.
Redline can help audit and collect all running processes and drivers from memory, file-
system metadata, registry data, event logs, network information, services, tasks and
web history; and analyse and view imported audit data, including the ability to filter
results around a given timeframe.
Download Redline
10. PlainSight
PlainSight is a versatile computer forensics environment that allows you to perform
forensic operations such as: getting hard disk and partition information, extracting user
and group information, examining Windows firewall configuration, examining physical
memory dumps, extracting LanMan password hashes and previewing a system before
acquiring it.
Download PlainSight
 MELAKUKAN PERFECT COPY MENGGUNAKAN FTK IMAGER
FTK Imager bisa mengambil barang bukti tanpa merubah metadata dari file.
FTK Imager adalah sebuah tools untuk melakukan preview dan pembuatan
image yang dapat kita gunakan untuk melakukan pengujian barang bukti
digital. FTK imager juga dapat melakukan perfect copy (image forensik) tanpa
merubah data atau metadata dari bukti aslinya.
Cara membuat image dengan FTK Imager adalah sebagai berikut:
1 Download dan install FTK Imager di :
[Link]
2. Setelah selesai install, klik File > Create Disk Image
5. Setelah memilih drive yang akan dipilih, klik add di bagian image destination
untuk menentukan hasil dari copy image yang kita lakukan

Tentukan format dari

image, disini memakai
format Raw (dd) -

SMART format file dari

program SMART -

E01 format file dari

EnCase -

AFF (Advanced
Forensic Format) 7.

Menambahkan
Informasi pada barang
bukti
7. Masukkan detail dari Drive yang akan kita buat imagenya.
9. Setelah semua proses selesai klik start untuk memulai proses imaging, untuk
1TB hardisk biasanya memakan waktu 11-12 jam (Semakin besar size storage
semakin lama waktu prosesnya)
Berikut merupakan cara mounting image barang bukti digital dari image tersebut:
2. Pilih image yang akan dimount dalam bentuk apa
1) Lakukan Perfect Copy terhadap folder “Whatsup Image”
yang ada
di Hadphone Anda dan simpan ke folder D:\\KASUS
MOBILE
2) Kalau sudah lakukan capture screen terhadap isi folder
D:\\KASUS
MOBILE dengan menekan tombol PrtScr, insertlah tampilan
tersebut di MS word dan simpan dengan nama file Tugas 4
FTK
[Link]
3) Semua nama nama file gambar disimpan di tugas [Link].
4) File Tugas 4 FTK [Link] dan tugas [Link] kirim ke
WA saya.
Overview

 Introduction  30% teori

 Proses forensic
 70% practice
 Imaging
 Hashing concept
 Computer forensic tools
 analysis steganografi
 Linux forensic
 Recovering data
 Network Forensic
Digital Forensic

Menurut Ruby Alamsyah

ilmu yang menganalisa barang bukti digital
sehingga dapat dipertanggungjawabkan di
pengadilan. Barang bukti digital tersebut
termasuk handphone, notebook, server, alat
teknologi apapun yang mempunyai media
penyimpanan dan bisa dianalisa.
Digital Forensic

Contoh Bukti Digital

 E-mail, alamat e-mail

 Wordprocessor/spreadsheet files

 Source code dari perangkat lunak

 Files berbentuk image ( .jpeg, .tif, dll)

 Web browser bookmarks, cookies

Digital Forensic
Empat Elemen Kunci Forensik

 Identifikasi dari Bukti Digital

 Penyimpanan Bukti Digital

 Analisa Bukti Digital

 Pelaporan Bukti Digital

Digital Forensic
Prosedur Forensik
1. Membuat copies dari keseluruhan log data, files, dan
lain-lain yang dianggap perlu pada suatu media yang
terpisah
2. Membuat fingerprint dari data secara matematis (contoh
hashing algorithm, MD5)
3. Membuat fingerprint dari copies secara matematis
4. Membuat suatu hashes masterlist
5. Dokumentasi yang baik dari segala sesuatu yang telah
dikerjakan
computer investigation prosess

 imaging
 extraction
 analysis
imaging
 Install deft8
 Install SIFT
 Install FTK
Digital Forensic
Ekstraksi Image
Penggunaan dd di Linux
dd adalah bagian dari paket coreutils (di Linux), dan
umumnya terinstall di semua varian UNIX. Format
perintah dd adalah :
dd if=/dev/namadevice of=namafile bs=besar_sektor
count=banyak_sektor
Digital Forensic
Ekstraksi Image
Contoh penggunaan dd di Linux :
Untuk mengambil partisi pertama di IDE kedua
(hdb1) sebesar 650MB :

dd if=/dev/hdb1 of=image_hdb1 bs=1024k

count=650
Digital Forensic
Ekstraksi Image
Perintah yang digunakan untuk mengkloning
seluruh drive :
“dd if=/dev/sda of=/dev/sdb”

Dalam contoh ini /dev/sda adalah perangkat yang

akan dikloning ke /dev/sdb sebagai device target
Digital Forensic
Ekstraksi Image

Menghapus Isi Drive Anda Secara Tuntas

dd if=/dev/zero of=/dev/sda
Digital Forensic
Perintah fdisk
Digital Forensic
Perintah grep
grep = digunakan untuk mencari file untuk baris
yang cocok dengan pola tertentu

Contoh penggunaan :
Ps –aux | grep apache2
Digital Forensic
Perintah grep
 file system | introduction
 sebuah metoda untuk memberi nama pada berkas dan
meletakkannya pada media penyimpanan.
 Semua sistem operasi mulai dari DOS, Windows,
Macintosh dan turunan UNIX memiliki Sistem berkas
sendiri untuk meletakkan file dalam sebuah struktur
hirarki.
 Contoh dari sistem berkas termasuk di dalamnya FAT,
NTFS, HFS dan HFS+, EXT2, EXT3, ISO 9660, ODS-
5, dan UDF. Beberapa sistem berkas antara lain juga
journaling file system atau versioning file system,
Sistem berkas juga menentukan konvensi penamaan
berkas dan peletakan berkas pada stuktur direktori.
 file system | introduction
 FAT16 (File Allocation Table)
 Kelemahan
 FAT16 mempunyai kapasitas tetap jumlah cluster
dalam partisi, jadi semakin besar Harddisk maka
ukuran cluster akan semakin besar, artinya file sekecil
apapun tetap akan memakan 32Kb dari harddisk
 Kelebihan
 FAT16 adalah sebuah file system yang kompatibel
hampir di semua Operating System baik itu Windows
95/98/me, OS/2 , Linux dan bahkan Unix.
 file system | introduction
 FAT32
 Kelebihan
 FAT32 menawarkan kemampuan menampung jumlat
cluster yang lebih besar dalam partisi. Selain itu juga
mengembangkan kemampuan harddisk menjadi lebih
baik dibanding FAT16.
 Kelemahan
 terbatasnya Operating System yang bisa mengenal
FAT32
 file system | introduction
 NTFS
 Kelebihan
 NTFS menawarkan security yang jauh lebih baik ,
kompresi file , cluster dan bahkan support enkripsi data.
 NTFS merupakan file system standar untuk Windows Xp
dan apabila anda melakukan upgrade Windows biasa anda
akan di tanyakan apakah ingin mengupgrade ke NTFS atau
tetap menggunakan FAT.
 NTFS juga memiliki fitur untuk menampung lebih dari satu
buah ruangan data dalam sebuah berkas. Fitur ini disebut
dengan Alternate Data Stream.
 file system | introduction
 EXT 2
 EXT3
 EXT4
 HFS Plus (Hierarchical File Sistem Plus)
 Versi terbaru dari MAC OS X yaitu MAC OS X
10.6 (Snow Leopard) mampu membaca file sistem
FAT 16, 32 dan NTFS. Tetapi memerlukan
perubahan sistem pada pengaturan untuk
mengotomatisasi pada MAC OS X 10.6.
 file system | introduction

Data Analysis Layers

Communications analysis (e. g. IP networks)
Physical Storage Analysis

 Memory Analysis
 Volume Analysis
 DatabaseAnalysis
 Swap Space Analysis

 File System Analysis

 Application/OS Analysis
 file system | introduction

Physical Storage Media Analysis Network Analysis

Memory Analysis Volume Analysis

Database Analysis File System Analysis Swap Space Analysis

 file system | introduction
 Physical evidence
 A structured stream of bits from a hard disk or flash card
 Volume
 Collection of storage locations
 Partitioning: dividing a single volume into multiple smaller
volumes
 Assembly: combining multiple volumes into one larger volume
 Examples:
 DOS partition
 Apple partitions
 RAID (Redundant Array of Inexpensive Disks)
 file system | introduction

 File System
 Collection of data structures that allow an application
to create, remove, read and write files, in order to:
 find files
 recover deleted files
 find hidden data
 The result of the analysis may be:
 portions of file contents
 data fragments
 metadata associated with files
 file system | introduction

 Files
 Application layer
 Structure based on the application or OS that created
the file
 From the file system perspective a directory, a rawtext file,
a Windows registry file, an HTML file, they all look the
same
 They have different structures and different tools are
needed to analyse each
 file system | introduction
 Analysing process
 Hard disk – bit stream
 Physical Media Analysis
 Sectors of Data
 Volume Analysis
 Volume
 File System Analysis
 File
 Application Analysis
 file system | introduction

Hardisk

Physical
Media Sector Of Data
Analysis

Volume
Volume
Analysis

File System
File
Analysis

Aplication
Analysis
file system | HD Technology
 file system | HD Technology
 Media penyimpanan
 yang terdapat satu atau
lebih plat lingkaran
(plattern)
 untuk menyimpan &
menulis data
file system | HD Technology

[Link]
 file system | HD Technology
 Data disimpan pada
permukaan platter
dalam bentuk sector dan
tracks.
 Tracks merupakan
lingkaran yang
konsentris dan Sector
merupakan bagian dari
track yang dibagi-bagi
lagi sehingga
membentuk pie.
 file system | HD Technology
 Track secara umum dapat
dilihat dalam garis berwarna
kuning, sedangkan Sector
berwarna biru.
 Sector berisi fixed number of
bytes (maksudnya jumlah
byte yang tetap) biasanya 256
atau 512.
 Di dalam level drive maupun
sistem operasi, sector sering
di kelompokan bersama yang
disebut sebagai clusters.
File System Analysis | Practice
[] Sleuthkit overview
[] Tools
[] Practice
 file system | sleuthkit
 TSK (The Sleuth Kit)
 Open-source toolkit for digital forensic
investigations.
 Command-line access to many individual
tools that can be used to conduct
investigations.
 file system | sleuthkit
 Imaging
dd
dd if=/dev/sda1 of=/evidence/[Link]

If = input file of = out file

 file system | sleuthkit
 File System Tool
 File System Layer Tools
 File Name Layer Tools
 Meta Data Layer Tools
 Data Unit Layer Tools
 File System Journal Tools
 file system | sleuthkit
 File System Layer Tools
 fsstat
 Shows file system details and statistics including
layout, sizes, and labels
 file system | sleuthkit
 File Name Layer Tools
 ffind
 Finds allocated and unallocated file names that point to
a given meta data structure
 file system | sleuthkit
 Meta Data Layer Tools
 Icat
 Extracts the data units of a file, which is specified by its meta
data address (instead of the file name).
 Ifind
 Finds the meta data structure that has a given file name pointing
to it or the meta data structure that points to a given data unit.
 ils
 Lists the meta data structures and their contents in a pipe
delimited format.
 istat:
 Displays the statistics and details about a given meta data
structure in an easy to read format
 file system | sleuthkit
 Data Unit Layer Tools
 Blkcat
 Extracts the contents of a given data unit.
 Blkls
 Lists the details about data units and can extract the unallocated
space of the file system.
 Blkstat
 Displays the statistics about a given data unit in an easy to read
format.
 Blkcalc
 Calculates where data in the unallocated space image (from
blkls) exists in the original image. This is used when evidence is
found in unallocated space.
 file system | sleuthkit
 File System Journal Tools
 Jcat
 Display the contents of a specific journal block.
 Jls
 List the entries in the file system journal
 file system | sleuthkit
 Disk Tools
 disk_sreset
 This tool will temporarily remove a HPA if one exists.
After the disk is reset, the HPA will return.
 disk_stat
 This tool will show if an HPA exists
 file system | sleuthkit
 Other Tools
 hfind
 Uses a binary sort algorithm to lookup hashes in the NIST NSRL,
Hashkeeper, and custom hash databases created by md5sum.
 mactime
 Takes input from the fls and ils tools to create a timeline of file
activity.
 Sorter
 Sorts files based on their file type and performs extension
checking and hash database lookups.
 Sigfind
 Searches for a binary value at a given offset. Useful
forrecovering lost data structures.
 file system | sleuthkit
• Imaging
• Integrity Checking
• Analisa image HAKI.001
• Stegano in outguess
 file system | sleuthkit
• Mencari informasi
• # fls [Link]

• # istat [Link] 5 | less (example)

• # icat [Link] 5 > [Link] (example)

 file system | sleuthkit
Gather information about the image
•img_stat HAKI.001
•mmls HAKI.001
•Gather information about filesystem(s
•fsstat -o 63 HAKI.001
•Show root directory:
•fls -o 63 HAKI.001
•Show directory content
•fls -o 63 HAKI.001 222767
 file system | sleuthkit
Show all deleted files with inodes:
# fls -o 63 -Frd [Link]
Show all filenames for an inode:
# ffind -o 63 [Link] 22222
Get information and content
istat -o 10260 [Link] 2222
Get data
# icat -o 10260 [Link] 2139 >
filename.2139
 file system | reference
• [1] Brian Carrier. File System Forensic Analysis. Addison
Wesley Professional, 2005.
[Link]
• [2] CARRIER, B RIAN: The Sleuth Kit.
[Link]
• [3] CARRIER, B RIAN: The Sleuth Kit Wiki, TSK Tool Overview.
[Link]