Forensik digital
Investigasi forensik digital umumnya terdiri dari 3 tahap: pengumpulan (akuisisi) atau imaging barang bukti, analisis, dan pelaporan. Pengetahuan yang paling penting adalah bahwa pemeriksaan forensik dilakukan dan dilaporkan dengan cara yang tidak bias dan dapat direproduksi.
Idealnya pengumpulan bukti atau akuisisi melibatkan pengambilan citra (imaging) memori volatil komputer (RAM), atau media penyimpanan lain, dan membuat duplikat sektor yang sama ("duplikasi forensik" atau "citra forensik") dari media tersebut, tindakan ini sering dibantu perangkat write blocking untuk mencegah modifikasi pada media asli. Pertumbuhan ukuran media penyimpanan dan perkembangannya, seperti komputasi
awan mengharuskan akuisisi secara 'langsung' dimana salinan data logical diambil alih-alih citra lengkap dari perangkat penyimpanan fisik. Citra yang diperoleh (atau salinan logical) dan media/data asli kemudian di-hash (menggunakan algoritma seperti SHA-1 atau MD5) dan nilai-nilainya dibandingkan untuk memverifikasi bahwa salinannya akurat.
Sebuah pendekatan alternatif (dan dipatenkan, yang disebut hybrid forensics atau distributed forensics) menggabungkan tahapan forensik digital dan ediscovery. Pendekatan ini diwujudkan dengan peralatan komersial yang disebut ISEEK yang dipresentasikan bersama dengan hasil tesnya pada konferensi tahun 2017.
Forensik statik menggunakan prosedur dan pendekatan konvensional dimana bukti di olah secara bit-by-bit image untuk melakukan proses forensik. Proses forensiknya sendiri berjalan pada sistem yang tidak dalam keadaan menyala. Forensik statik difokuskan pada pemeriksaan hasil imaging untuk menganalisis isi dari bukti digital, seperti berkas yang dihapus, riwayat penjelajahan web, berkas
fragmen, koneksi jaringan, berkas yang diakses, riwayat user login, dll guna membuat timeline berupa ringkasan tentang kegiatan yang dilakukan pada bukti digital sewaktu digunakan.
Saat perangkat dalam keadaan mati, data yang dapat diperiksa hanya yang tersimpan di memori statis, seperti diska keras. Namun, masih ada beberapa pemrosesan yang perlu dilakukan sebelum menganalisis data aktual pada unit penyimpanan. Ketika melakukan pemeriksaan forensik, terutama dalam penegakan hukum, harus diambil tindakan untuk menghilangkan peluang memodifikasi bukti yang
sebenarnya. Menyalakan perangkat dan mengoperasikannya bisa saja memodifikasi data asli dan dengan demikian mencemari bukti. Bukti yang terkontaminasi pada gilirannya tidak akan layak di pengadilan. Sehingga perlu membuat salinan bukti yang identik (dalam hal konten) menggunakan perangkat khusus atau komputer biasa dengan bantuan perangkat keras write blocker dan perangkat lunak
pencitraan diska (disk imaging). Dalam istilah forensik, salinan ini umumnya disebut disk image atau forensic disk image. Kemudian forensic disk image ini dibawa ke laboratorium forensik untuk dianalisis.
Dalam forensik langsung semua bukti digital dikumpulkan saat sistem sedang berjalan, sehingga pemeriksa mendapat kesempatan untuk mengumpulkan data volatil (mudah hilang) yang memuat informasi tentang apa yang sedang dilakukan perangkat. Tujuan utama dari penyelidikan langsung adalah untuk mengumpulkan data volatil sebanyak-banyaknya. Forensik langsung juga memberi kesempatan untuk memeriksa apakah
ada diska keras yang aktif dienkripsi sehingga bisa mengumpulkan data versi yang tidak terenkripsi. Implementasi full disk encryption (FDE) memastikan bahwa semua data pada diska keras dienkripsi saat komputer mati. Namun, data akan didekripsi saat komputer aktif. Oleh karena itu perlu melakukan pencarian menyeluruh untuk perangkat lunak enkripsi yang mungkin terpasang di
komputer. Jika ada tanda-tanda enkripsi, pemeriksa harus membuat logical image dari diska keras tersebut untuk menjamin bahwa data dapat dipertahankan dan tersedia untuk analisis nanti.
Selama fase analisis, seorang penyelidik mendapatkan bukti menggunakan sejumlah metodologi dan instrumen yang berbeda-beda. Pada tahun 2002, sebuah artikel dalam International Journal of Digital Evidence merujuk pada langkah ini sebagai "pencarian sistematis dan mendalam atas bukti yang terkait dengan dugaan kejahatan." Pada tahun 2006, peneliti forensik Brian Carrier menjelaskan mengenai "prosedur intuitif"
dimana bukti yang terang diidentifikasi terlebih dahulu lalu kemudian "pencarian menyeluruh dilakukan untuk melengkapi kekurangannya."
Analisis forensik pada dasarnya untuk menjawab pertanyaan penyelidikan dengan menganalisis data yang ditemukan pada citra forensik yang dibuat pada tahapan "pengumpulan bukti". Proses analisis yang sebenarnya dapat bervariasi antara investigasi, tetapi metodologinya secara umum termasuk melakukan pencarian kata kunci di seluruh media digital (dalam berkas serta dalam unallocated dan
slack space), memulihkan berkas yang dihapus dan ekstraksi informasi registry (misalnya untuk menampilkan akun pengguna, atau perangkat USB yang terpasang). Bukti yang telah diperoleh dianalisis untuk merekonstruksi peristiwa atau tindakan dan untuk mencapai kesimpulan, pekerjaan yang sering dapat dilakukan oleh personel yang kurang terspesialisasi.
Tahapan terakhir jika penyelidikan telah selesai, data yang diperoleh disajikan dalam bentuk laporan tertulis dengan istilah-istilah atau bahasa non-teknis. Laporan menyajikan temuan obyektif dan kesimpulan berdasarkan temuan tersebut. Isi laporan dapat berbeda tergantung undang-undang dan kebijakan lokal. Namun, secara umum laporan memuat:
Data kasus Data kasus memuat informasi orang yang memerintahkan pemeriksaan, beberapa identifier yang mejadi fokus penyelidikan dan informasi yang mengidentifikasi potongan bukti yang harus diperiksa. Poin utamanya adalah mempertahankan lacak balak serta agar dapat membedakan suatu pemeriksaan dari pemeriksaan lain. Informasi yang tepat yang harus dimuat dalam laporan
sangat bergantung pada peraturan dan undang-undang setempat. Tujuan pemeriksaan Tujuan pemeriksaan harus dinyatakan dalam laporan karena menyajikan apa yang dicari selama pemeriksaan. Tujuan pemeriksaan menggambarkan fokus dari pemeriksaan sehingga memberikan pembaca pemahaman tentang apa yang dia harapkan sebagai hasilnya. Menyatakan tujuan dimulai dengan pertanyaan atau tujuan yang diungkapkan
oleh orang yang memerintahkan pemeriksaan. Namun, bisa juga mencakup tujuan apa pun yang dilakukan oleh pemeriksa forensik ketika menganalisis kasus. Temuan Menyajikan temuan termasuk menyajikan potongan-potongan bukti yang ditemukan selama pemeriksaan. Temuan disajikan secara obyektif (sebagaimana adanya), dan tidak membuat kesimpulan atau interpretasi
subjektif. Kesimpulan Kesimpulan dibuat oleh ahli forensik berdasarkan temuan, pengetahuan dan pengalamannya. Sehingga kesimpulan dapat bersifat subyektif dan aspek yang sangat penting dalam menulis laporan forensik adalah memisahkan temuan obyektif dari kesimpulan subyektif. Saat menulis daftar kata, protokol harus dapat dimengerti oleh orang yang tidak memiliki keahlian IT.
Forensik digital umumnya digunakan baik dalam hukum pidana maupun penyelidikan pribadi. Biasanya forensik ini dikaitkan dengan hukum pidana, dimana bukti yang telah terkumpul digunakan untuk mendukung atau menentang hipotesis di depan pengadilan. Sama seperti bidang forensik lainnya, forensik digital biasanya merupakan bagian dari penyelidikan yang lebih luas yang mencakup
berbagai disiplin ilmu. Pada beberapa kasus, bukti yang terkumpul berfungsi sebagai bentuk pengumpulan intelijen yang digunakan untuk tujuan lain selain proses pengadilan (misalnya untuk menemukan, mengidentifikasi atau menghentikan kejahatan lain). Akibatnya, pengumpulan intelijen terkadang dilakukan dengan standar forensik yang kurang ketat.