Membangun Home Lab Digital Forensics dengan Anggaran Terbatas

Tujuan home lab bukan mengoleksi tool sebanyak mungkin. Tujuannya adalah lingkungan latihan yang dapat diulang, terisolasi, dan tidak merusak barang bukti. Anda bisa mulai dengan komputer yang sudah ada dan menambah storage ketika kebutuhan tumbuh.

Arsitektur minimum#

Jika hanya memiliki RAM 8 GB, jalankan satu VM pada satu waktu dan gunakan memory image publik. Jangan mengunduh malware aktif untuk latihan pertama.

Isolasi jaringan#

Buat tiga mode: offline untuk sampel berisiko, host-only untuk komunikasi analyst-target, dan NAT sementara hanya untuk update. Jangan bridge target ke jaringan rumah/kantor. Matikan shared clipboard, drag-and-drop, dan shared folder pada VM berisiko.

Internet
   |
[Host utama] --- [Evidence drive]
   |
Host-only switch
   +--- Analyst VM
   +--- Target VM (snapshot, tanpa route Internet)

Struktur evidence yang konsisten#

cases/DFIR-2026-001/
  00_admin/       scope, notes, chain-of-custody
  01_originals/   read-only acquisition
  02_working/     salinan analisis
  03_exports/     hasil plugin dan timeline
  04_report/      temuan dan lampiran

Hash file original dan working copy. Set original read-only. Jangan menjalankan tool yang menulis metadata langsung pada evidence.

Tool gratis yang cukup untuk mulai#

• Volatility 3 untuk memory forensics.
• Autopsy/Sleuth Kit untuk filesystem image.
• Wireshark untuk packet capture.
• CyberChef versi lokal untuk decoding/transformasi.
• Timesketch opsional ketika timeline mulai besar.

Latihan pertama yang aman#

1. Jalankan Windows VM dan buka Notepad, browser, serta PowerShell dengan command sederhana.
2. Catat PID dan waktu.
3. Akuisisi RAM dengan tool tepercaya.
4. Hash hasil.
5. Di analyst VM jalankan windows.pslist, cmdline, dlllist, dan netscan.
6. Cocokkan output dengan catatan ground truth.
7. Tulis laporan satu halaman: apa yang terlihat, tidak terlihat, dan mengapa.

Anggaran dan prioritas belanja#

Prioritas pertama adalah RAM, lalu storage. GPU belum dibutuhkan untuk belajar acquisition, timeline, filesystem, dan memory artifacts. Write blocker hardware penting untuk pekerjaan profesional pada media fisik, tetapi untuk lab awal gunakan image publik dan workflow read-only.

Batas etis#

Gunakan data milik sendiri atau dataset yang memang disediakan untuk pendidikan. Jangan menganalisis perangkat orang lain tanpa otorisasi. Simpan data personal seminimal mungkin dan hapus sesuai retensi latihan.

Snapshot bukan backup evidence#

Snapshot VM berguna untuk mengulang latihan, tetapi jangan menganggapnya pengganti evidence copy. Simpan memory/disk image di luar virtual disk target. Dokumentasikan snapshot sebelum eksperimen, tindakan yang dilakukan, lalu snapshot setelahnya bila dibutuhkan. Dengan ground truth ini Anda dapat membandingkan apa yang benar-benar ditemukan tool.

Rencana belajar empat minggu#

Kapan upgrade?#

Tambah RAM bila VM sering swap, storage bila evidence menghambat retensi, dan NIC terpisah bila membuat network lab lebih kompleks. Jangan membeli GPU sebelum workload memang membutuhkan training model. Nilai lab berasal dari repeatability: orang lain mampu mengikuti catatan dan memperoleh hasil yang sama.