Kesalahan Umum dalam Menangani Barang Bukti Digital

Kesalahan tidak selalu membuat bukti tidak berguna, tetapi menambah ketidakpastian. Respons profesional adalah berhenti, mencatat apa yang terjadi, menilai dampak, dan tidak menutupi kesalahan.

Kesalahan sebelum akuisisi#

1. Tidak memastikan otorisasi. Perbaikan: tetapkan scope, pemilik sistem, dan periode data.
2. Mematikan perangkat tanpa memahami volatilitas. RAM, connection, dan key dapat hilang. Tentukan urutan akuisisi berdasarkan tujuan.
3. Membiarkan user terus memakai perangkat. Aktivitas baru mengubah artefak.
4. Tidak mencatat waktu dan timezone. Timeline kemudian sulit disatukan.

Kesalahan saat akuisisi#

5. Mount read-write. OS dapat mengubah metadata. Gunakan write blocker bila relevan.
6. Menganalisis original. Selalu buat master dan working copy.
7. Tidak merekam tool/version/command. Hasil tidak reproducible.
8. Hanya satu hash tanpa verifikasi salinan. Hash pada titik transfer penting.
9. Storage tujuan terlalu kecil. Akuisisi berhenti dan harus diulang.

Kesalahan saat analisis#

10. Mengubah timestamp karena membuka file. Analisis image atau copy read-only.
11. Menyimpulkan dari satu indikator. Korelasikan process, filesystem, registry, network, dan identity.
12. Mengabaikan false positive. Catat hipotesis benign.
13. Tidak memisahkan fakta dan interpretasi. “Hash X ditemukan” adalah fakta; “pelaku mengunduh malware” adalah interpretasi.

Kesalahan pada pelaporan dan penyimpanan#

14. Screenshot tanpa sumber/query. Sertakan event ID, command, dan export.
15. Mengirim evidence lewat kanal tidak terkontrol. Gunakan encrypted storage, least privilege, dan expiry.
16. Retention tidak jelas. Data sensitif disimpan selamanya tanpa alasan.

Jika kesalahan sudah terjadi#

Contoh: analyst tanpa sengaja membuka drive bukti secara read-write. Jangan “memperbaiki” log. Cabut dengan prosedur aman, catat waktu dan aksi, ambil image secepatnya, bandingkan dengan sumber lain, tentukan artefak yang mungkin berubah, dan masukkan keterbatasan dalam laporan.

Checklist meja kerja#

• Scope dan otorisasi tersedia.
• Jam tersinkron atau offset dicatat.
• ID evidence sudah diberikan.
• Original dilindungi.
• Tool, version, dan command tercatat.
• Hash diverifikasi.
• Working copy terpisah.
• Catatan fakta dibedakan dari interpretasi.
• Transfer dan akses diaudit.
• Keterbatasan dilaporkan.

Forensik yang matang tidak berpura-pura sempurna; ia membuat setiap tindakan dapat dijelaskan.

Prioritas berdasarkan volatilitas#

Urutan tidak selalu RAM lalu disk. Pertimbangkan risiko perubahan, kebutuhan bisnis, enkripsi, dan kemampuan tool. Pada server kritis, acquisition dapat memengaruhi layanan. Dokumentasikan trade-off: data apa yang mungkin hilang dan mengapa keputusan tersebut proporsional.

Skenario latihan review#

Seorang teknisi menerima laptop menyala, memfoto layar, mencabut kabel jaringan, menjalankan collection script, lalu memasukkan perangkat ke locker. Temukan gap: otorisasi belum disebut, jam/timezone tidak diverifikasi, tool/version dan hash output belum dicatat, kondisi power/encryption tidak dijelaskan, serta transfer ke locker belum mempunyai penerima dan seal ID.

Corrective action yang berguna#

• Checklist akuisisi satu halaman.
• Case ID otomatis dan label tercetak.
• Template command log.
• Verifikasi hash saat transfer.
• Access review evidence store bulanan.
• Tabletop insiden per kuartal.

Budaya pelaporan#

Jika staf takut melaporkan kesalahan, organisasi kehilangan kesempatan menilai dampak. Pisahkan human error yang dilaporkan jujur dari pelanggaran sengaja. Catat fakta, konservasi bukti tersisa, dan perbaiki kontrol sistemik.