Success

HHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH
HHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH HHHHHHHHHHHH HHHHHHHHHHHHHHHHHHHHHHHHHHHH
HHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH HHHHHHHHHHHH HHHHHHHHHHHHHHHHHHHHHHHHHHHH
HHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH HHHHHHHHHHHH HHHHHHHHHHHHHHHHHHHHHHHHHHHH
HHHHHHHHHHHHHHHHHHHHH HHHH HHH HHHHHH HHH HHH HH HH H HHHH HH
HHHHHHHHHHHHHHHHHHHH H HH H HH HHH HH HHHHHHH HHHHHH HH H H
HHHHHHHHHHHHHHHHHHHH HH HHHHH H HH H HH HHHHHH HHH HH H HH H
HHHHHHHHHHHHHHHHHHHH HHHHH HHHHH H HH H HH HHHHH HHHH HH H HH HHHH
HHHHHHHHHHHHHHHHHHHH H HH H HH H HH H HH HHHH HHHHH HH H HH H H
HHHHHHHHHHHHHHHHHHHHH HHHH HHH H HHH HHH HHH HH HH H HHH HH
HHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH
echo|zine, Vol 3 Issue 11, 05-05-05


------------| Digital Forensic: Investigasi Insiden Keamanan
Biatch-X


"How prepared is your environment? If you are not sure, then you are
not prepared."
-- John Tan.


------| Preface


Mungkin kalian sudah pernah mendengar nama 'forensik'. Apabila terdapat
suatu kejadian kriminal dan pelaku tidak ditemukan, adalah tugas ahli
forensik yang mengungkap ciri khas atau sesuatu yang unik pada tempat
kejadian atau korban sehingga pelaku kejahatan dapat dilacak. Hal tersebut
dimungkinkan karena setiap tindakan kriminal pasti meninggalkan jejak
walaupun hanya sehelai rambut.

Kali ini kita akan membahas 'Digital Forensic', hampir mirip dengan
'forensic' yang biasa digunakan oleh pihak kepolisian untuk menemukan
jati diri (identity) dari pelaku kejahatan tersebut. Yang membedakan
hanya terletak pada 'aerial' (tempat).

Tujuan artikel ini adalah pengenalan terhadap 'Digital Forensic' dan
memahami bagaimana sebuah proses investigasi dilakukan dengan pemicu
sebuah insiden keamanan.


------| Investigasi


Dalam melakukan analisis sebuah komputer yang telah berhasil disusupi,
terkadang memakan waktu lebih lama daripada aksi penyusupan itu sendiri.
Kecepatan sebuah organisasi memberikan respon sebuah insiden tergantung
dari kewaspadaan yang dimiliki organisasi tersebut.

Sebagai ilustrasi, jika sebuah usaha hacking untuk mengambil alih sebuah
system membutuhkan waktu sekitar 2 jam, maka proses investigasi insiden
yang terjadi dapat membutuhkan waktu 40 jam (mungkin juga lebih) untuk
mendapatkan 'false-positive report' dan berbagai 'evidences'. Waktu yang
dialokasikan tersebut belum termasuk aktivitas memperbaiki dan mengembalikan
(restoring) data yang kemungkinan besar ikut hilang pada proses intrusi.

Perbedaan 'cost' antara proses pencegahan dan perbaikan cukup besar dan
ikut mempengaruhi kesigapan sebuah organisasi dalam menghadapi sebuah
insiden pada sistem yang mereka miliki.


---| Key questions


Untuk mempersiapkan yang terbaik sebelum terjadinya sebuah penyusupan,
sebuah organisasi perlu untuk menjawab beberapa pertanyaan penting.

* Bagaimana sebaiknya kami menyediakan laporan dari sebuah
penyusupan yang terjadi?
* Ketika sebuah penyusupan terdeteksi, apa rencana kelanjutan-bisnis
kedepan?
* Data apa yang harus kami tangkap (capture) sebelum, sementara,
dan sesudah terjadinya suatu penyusupan?


---| Collecting the Evidence


Dalam sebuah kasus pembunuhan, polisi akan mengumpulkan semua bukti dan
petunjuk dimulai dengan menghentikan semua akses fisik ke TKP (Tempat
Kejadian Perkara) dan membuat dokumentasi gambar (picture/image) dari
TKP. Pada kasus investigasi digital, seorang investigator yang menangani
kasus penyusupan sistem akan melakukan hal serupa. Informasi sebuah
penyusupan umumnya terdapat pada 'hard disk' dari sistem. Pengumpulan
bukti dilakukan dengan membuat digital image (salah satu cara adalah
melakukan disk mirrorring) dari sistem yang disusupi untuk menjaga
keaslian informasi selama proses investigasi. Secara ideal, investigator
akan membuat sistem tersebut offline dan menyimpan disk asli sebagai
bukti dan melakukan analisis pada salinan disk berupa image.

Pembuatan salinan disk berupa image harus dilakukan secepat mungkin
untuk menjaga integritas dari bukti penyusupan karena setiap user
yang memiliki akses dapat menghilangkan atau mengacaukan bukti kejahatan
dengan melakukan proses overwrite pada file. Bahkan pada back-up system
yang dilakukan secara reguler dapat memodifikasi waktu pada sistem
seperti 'last accessed', 'last modified' dan 'create' sebuah file.
Beberapa aplikasi bahkan dapat memberikan 'null point' pada
'time-accessed logs'.


---| Retaining The Evidence


Selanjutnya yang harus dilakukan dalam proses 'digital forensic' adalah
mengumpulkan sebuah buti terjadinya penyusupan pada sistem. Lalu menetapkan
rantai penyidikan (chain-of-custody). Beberapa dokumen harus disiapkan
untuk menyimpan bukti penyidikan yang akan digunakan di pengadilan.
Sebuah formulir isian dari setiap item akan sangat membantu proses
penyidikan. Formulir tersebut harus membuat penjelasan mengenai item
yang dimaksud serta hal-hal pendukung lainnya.

Penyidikan dilakukan terhadap salinan image dari disk yang asli. Image
tersebut harus dikirimkan kepada ahli digital forensic melalui kurir
yang dipercaya. Sementara disk yang asli harus disimpan bersama
chain-of-custody.

Contoh formulir isian yang dapat digunakan:


+-------------------------------------------------------+
| |
| * SUBLIME SECURITY LABS * |
| |
| |
| Item Description : |
| ......................................... |
| ......................................... |
| ......................................... |
| |
| |
| CHAIN OF CUSTODY DOCUMENTATION |
| |
| Name |
| ......................................... |
| |
| Signature |
| ......................................... |
| |
| Date & Time |
| ......................................... |
| |
| Purpose |
| ......................................... |
| ......................................... |
| ......................................... |
| ......................................... |
| ......................................... |
| ......................................... |
| |
| |
| |
+-------------------------------------------------------+


Jika disk asli tidak dapat dibuat offline untuk dibuatkan image-nya, maka
bukti lain dapat dipergunakan. Bukti yang dimaksud termasuk yang bersifat
non-computing seperti saksi mata atau logfiles dari

* Intrusion Detection System (IDS) dan Firewall logs, yang tersimpan
di komputer lain seperti Management Service Provider
* Logs dari komputer lain yang ikut dipakai oleh intruder.

Perlu diperhatikan catatan waktu yang tertera pada log dan disesuaikan
dengan Greenwich Mean Time (GMT).

Hal yang harus diperhatikan dengan seksama adalah Backdoors. Backdoors
dapat berupa aplikasi remote, konfigurasi sistem yang salah, penambahan
user baru, extra services atau memodifikasi proses.


------| Business Continuity


---| Reconstitution


Aturan pertama dari 'reconstitution' adalah melakukan re-install dan
'restore backup' untuk mengantisipasi 'service setting' yang vulnerable,
hal ini untuk mengurangi kemungkinan sistem akan disusupi kembali.
Lakukan juga terhadap prosedur penyimpanan. Dalam banyak kasus, restorasi
data tidak dapat dihindarkan, tetapi dapat diminimalisasi.


---| Host Hardening


Jangan pernah bergantung pada patches saja. Walaupun operating system dan
aplikasi telah menyediakan patch untuk setiap vulnerability, seringkali
lemah dalam filesystem permission. Host hardening membatasi semua yang
tidak mempunyai fungsi vital. Ini termasuk setting konfigurasi keamanan
yang baik dan edukasi user.

Setelah sistem dibersihkan dari fungsi-fungsi yang tidak perlu, penggunaan
aplikasi pengganti yang cenderung aman sangatlah disarankan, sebagai contoh
penggunaan telnet diganti dengan SSH. Selain itu, pembatasan hak akses user
yang dibatasi untuk menjalankan service juga disarankan seperti memberikan
hak akses kepada program 'su' hanya kepada staff administrasi saja.


---| Logging


Ketika insiden penyusupan terjadi, Anda harus melakukan pengumpulan bukti
dan melakukan analisis, 'system hardening', dan membangun kembali sistem
tersebut. Sebuah logging system yang komplit dan akurat dapat membantu
proses penyidikan.

Untuk menggunakan log secara efektif, jawablah pertanyaan dibawah ini.

* Informasi apa yang tersimpan didalam log?
* Dimanakah log akan disimpan?
* Bagaimana log akan dilindungi?
* Bagaimana melakukan korelasi log dari beberapa sistem komputer?
* Bagaimana caranya waktu disamakan (synchronized)?

Jika Anda dapat menjawab semua pertanyaan diatas dan telah mengimplementasi-
kannya, berarti Anda telah selangkah lebih maju daripada para penyusup.

---| Recovering from 'Incident'

* Image system disk suspected of being compromised.
* Document incident evidence and chain of custody.
* Safeguard copies of evidence.
* Reinstall as much as possible.
* Restore only what cannot be reinstalled.
* Harden the system.
* Look for additional weaknesses.
* Continually patch and harden the system.
* Regularly audit the system.


------| Conclusion


Digital Forensic dapat menyita waktu anda, ambillah beberapa waktu untuk
segera menyiapkan sistem Anda dari serangan sebelum serangan itu terjadi.
Ini akan sangat membantu Anda untuk melakukan analisis, mengumpulkan bukti
dan memperbaiki sistem serta 'data restore' juga sangat menghemat waktu
ketika sistem Anda disusupi.


"Planning and policies are the keys to successful forensic analysis."
-- John Tan.

"when a wannabe become a true hacker, they leave a unique trace of who
they are."
-- vQ.


------| References


* John Tan @ SBQ - www.sbq.com
* Secure Business Quarterly, 196 Broadway. Cambridge, MA 02139 USA
* http://www.ietf.org/internet-drafts/draft-ietf-syslog-auth-00.txt
* http://citeseer.nj.nec.com/bishop90security.html
* Stealing the Network. (Chapter: The Art of Tracking by M. Burnett)


------| Greetz


ISIC Staff, eCHO staff and Chatterz, Aikmel Crew and Chatterz, 1st Link,
kudel, X-Window, Bandung (cewek-cewek disana cakep-cakep euy), HyDr4,
mitha_cute, AHL Boys, mitha_moore, Co_bain, anak² sukaluyu (Bdg),
para eggdroperz, slashcore, jimgeovedi dan kalian semua.

SSL Staff (mari kita lanjutkan Project Indonesia Bebas Intruder), K-159,
yudhax, SlimJim100, SakitJiwa, Pey.

EgLa (the best thing that ever happen to myself).


---| EOF

(SUMBER.ezine.echo.or.id/ezine11/echo11-004.txt)

IT Audit & Forensics

Definisi IT Audit

IT Audit : Penilaian / pengujian kontrol dalam sistem informasi atau infrastruktur teknologi informasi.

Proses IT Audit:
Mengumpulkan dan mengevaluasi bukti-bukti bagaimana sistem
informasi dikembangkan, dioperasikan, diorganisasikan, serta
bagaimana praktek dilaksanakan:
● Apakah IS melindungi aset institusi: asset protection, availability
● Apakah integritas data dan sistem diproteksi secara cukup (security,
confidentiality )?
● Apakah operasi sistem efektif dan efisien dalam mencapai tujuan
organisasi, dan lain-lain.

19 Langkah Umum Audit TSI

● Kontrol lingkungan:
1. Apakah kebijakan keamanan (security policy) memadai dan efektif ?
2. Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dr external auditor
3. Jika sistem dibeli dari vendor, periksa kestabilan finansial
4.Memeriksa persetujuan lisen (license agreement)
● Kontrol keamanan fisik
5. Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai
6. Periksa apakah backup administrator keamanan sudah memadai (trained,tested)
7. Periksa apakah rencana kelanjutan bisnis memadai dan efektif
8. Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai
● Kontrol keamanan logikal
9. Periksa apakah password memadai dan perubahannya dilakukan reguler
10.Apakah administrator keamanan memprint akses kontrol setiap user
11.Memeriksa dan mendokumentasikan parameter keamanan default
12.Menguji fungsionalitas sistem keamanan (password, suspend userID, etc)
13.Memeriksa apakah password file / database disimpan dalam bentuk tersandi dan tidak dapat dibuka oleh pengguna umum
14.Memeriksa apakah data sensitif tersandi dalam setiap phase dalam prosesnya
15.Memeriksa apakah prosedur memeriksa dan menganalisa log memadai
16.Memeriksa apakah akses kontrol remote (dari tempat yang lain) memadai: (VPN,
CryptoCard, SecureID, etc)
● Menguji Kontrol Operasi
17.Memeriksa apakah tugas dan job description memadai dalam semua tugas dalam operasi tsb
18.Memeriksa apakah ada problem yang signifikan
19.Memeriksa apakah kontrol yang menjamin fungsionalitas sistem informasi telah memadai

Alasan dilakukannya Audit IT

Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain :
1. Kerugian akibat kehilangan data.
2. Kesalahan dalam pengambilan keputusan.
3. Resiko kebocoran data.
4. Penyalahgunaan komputer.
5. Kerugian akibat kesalahan proses perhitungan.
6. Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

Manfaat Audit IT.

A. Manfaat pada saat Implementasi (Pre-Implementation Review)
1. Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
2. Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
3. Mengetahui apakah outcome sesuai dengan harapan manajemen.
B. Manfaat setelah sistem live (Post-Implementation Review)
1. Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
2. Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
3. Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
4. Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan atau prosedur yang telah ditetapkan.
5. Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
6. Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak lanjutnya.



Definisi IT Forensics

1. penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal.
2. Menurut Noblett, yaitu berperan untuk mengambil, menjaga, mengembalikan, dan menyajikan data yang telah diproses secara elektronik dan disimpan di media komputer.
3. Menurut Judd Robin, yaitu penerapan secara sederhana dari penyidikan komputer dan teknik analisisnya untuk menentukan bukti-bukti hukum yang mungkin.
4. Ilmu yang berhubungan dengan pengumpulan fakta dan bukti pelanggaran keamanan sistem informasi serta validasinya menurut metode yang digunakan.

Tujuan IT Forensics

Bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi / kejahatan komputer.
Kejahatan Komputer dibagi menjadi dua, yaitu :
1. Komputer fraud.
Kejahatan atau pelanggaran dari segi sistem organisasi komputer.
2. Komputer crime.
Merupakan kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum.

Metodologi umum dalam proses pemeriksaan insiden sampai proses hukum:

1. Pengumpulan data/fakta dari sistem komputer (harddisk, usb-stick, log, memory-dump, internet, dll) – termasuk di dalamnya data yang sdh terhapus
2.Mendokumentasikan fakta-fakta yang ditemukan dan menjaga integritas data selama proses forensik dan hukum dengan proteksi fisik, penanganan khusus, pembuatan image, dan menggunakan algoritma HASH untuk pembuktian / verifikasi
3.Merunut kejadian (chain of events) berdasarkan waktu kejadian
4.Memvalidasi kejadian2 tersebut dengan metode “sebab-akibat”
5.Dokumentasi hasil yang diperoleh dan menyusun laporan
6.Proses hukum (pengajuan delik, proses persidangan, saksi ahli, dll)

(SUMBER.sidodolipet.blogspot.com/2010/04/it-audit-forensics.html)

Digital Forensics

Apakah Digital Forensics?

Digital Forensics adalah istilah yang digunakan ketika digital seni yang dikumpulkan dari sebuah sistem komputer di forensically suara yang tepat. Dengan kata lain, seni digital seperti dokumen, spreadsheet, gambar dan email dapat diambil dari komputer, PDA atau jenis perangkat digital dengan kemampuan penyimpanan. Bahan-bahan tersebut kemudian dianalisis dan diawetkan. Operasi ini dapat sering dilakukan meskipun data telah sengaja terhapus. Digital Forensics prosedur akan mengizinkan forensik pemeriksa untuk mengungkapkan bukti digital, dan ditampilkan secara tepat waktu dan tanggal informasi yang telah dibuat, diinstal, atau di-download, serta ketika ia terakhir diakses. Walaupun kejahatan komputer yang pertama terjadi di tahun 1970-an, computer forensics masih relatif baru lapangan. Meskipun kami sekarang memiliki lebih banyak PC dan perangkat selular pengguna kemudian lamanya, permintaan Digital Forensics cepat meningkat. Komputer laptop, PDA dan ponsel dengan kemampuan menyimpan gambar, terhubung ke internet dan e-mail, lebih banyak dan lebih sering memerlukan kebutuhan Digital Forensics untuk menentukan tindakan yang akan diambil dalam kasus litigasi pidana, korporasi spionase, dan tuduhan pornografi anak, Demikian pula, tindakan terorisme serta praktik tdk puas karyawan dan perilaku kecurangan pasangannya, semua ada satu hal di Common mereka sering memanfaatkan sistem komputer dan perangkat mobile untuk membantu mereka dalam tindakan tidak etis dan kejahatan. Bukti yang meninggalkan kegiatan-kegiatan tersebut adalah mudah terdeteksi melalui prosedur digital forensics.

Digital Forensics atau Computer Forensics?

Pada masa lalu, komputer forensik penyelidikan telah PC dan Laptop sistem sebagai target utama mereka untuk pemeriksaan. Di dalam tahun-tahun sebelumnya, komputer bidang forensik telah dipaksa untuk memperluas jangkauannya, alat-alat dan teknik investigasi untuk tetap sejajar dari pribadi teknologi yang digunakan oleh masyarakat umum. Peralatan seperti Cell phones, PDA’s, Blackberrys dan sistem GPS digunakan setiap hari, dan dapat berisi informasi penting dari tes pesan sms, email, telepon dan log sebelumnya tujuan koordinat GPS. Oleh karena itu istilah Digital Forensics menjadi sangat populer sebagai komputer forensik dan memperluas lapangan juga digital analisis perangkat teknologi baru.

Apa yang dapat terampil digital forensik pemeriksa lakukan?

J terampil digital forensik pemeriksa dapat memulihkan file yang telah dihapus dari komputer. Ia dapat melihat situs Web yang telah dikunjungi dari komputer tertentu bahkan setelah browser sejarah dan cache telah dihapus dan dihapus. Digital forensik pemeriksa dapat meninjau sebelumnya komunikasi yang dikirim dan diterima melalui pesan cepat dan chatting aplikasi seperti yahoo instant messenger dan msn messenger. Proses forensik yang juga akan mengembalikan dihapus atau tersembunyi gambar dan pesan email. Selain itu adalah yang forensik pemeriksa terlatih untuk menganalisa dan dihapus kembali membuat pesan teks dan log panggilan dari ponsel, PDA dan perangkat Blackberry.

Bagaimana Swasta penyidik bisa mendapatkan keuntungan dari Digital Forensics

Digital Forensics swasta dapat membantu penyidik dengan berbagai cara oleh prinsipnya mengidentifikasi dan menyimpan informasi penting biaya dan waktu. Sering 2-3 jam digital forensik pemeriksaan teknik dapat mengekspos bukti lebih dari beberapa hari kemudian dan surveilans dumpster diving. Dihapus data dari perangkat digital seperti ponsel dan pesan teks lainnya bertindak sering kembali, misalnya, apakah Anda memiliki istri klien percakapan olahpesan cepat? Apakah email yang dihapus dipulihkan? Apa website itu tersangka kunjungi?

Beberapa contoh di bawah ini menguraikan cara digital forensics swasta dapat membantu penyidik dalam kasus tertentu dan tugas:

Zina kasus:

Online chatting atau sms pesan teks yang sering digunakan untuk mengadakan rapat dan memberikan bersuami komunikasi untuk menghindari kecurigaan oleh pasangannya.

Kasus Penipuan:

Hal ini sering dilakukan untuk menentukan kapan dan jika dokumen itu diubah. Kecuali dokumen yang dihasilkan oleh sebuah mesin ketik, ada yang selalu atau setidaknya telah ada satu salinan elektronik somewhere. Selain itu yang paling umum pengolah kata, “Microsoft Word” yang merupakan bagian dari Microsoft office suite embeds Meta data ke dalam setiap dokumen. Meta data ini dapat memberikan informasi penting seperti identitas pengirimnya dan komputer di mana dokumen itu terdiri. Hal yang sama juga berlaku untuk aplikasi spreadsheet Microsoft Excel.

Tailing seorang tersangka:

Bila seorang tersangka tailing, bayangkan bagaimana informatif dapat mengetahui dia tujuan sebelumnya, sebelum memulai tugas. Anda mungkin berkata! Hal ini tidak sepenuhnya begitu, terutama jika individu telah dijalani oleh mobil dan menggunakan GPS (Global Positioning System). Beberapa dari yang terbaru dalam advancements Digital Forensics membolehkan untuk media informasi yang paling umum dari sistem GPS.

Kasus pelecehan:

Ada banyak berbagai jenis pelecehan. Hal ini sering terjadi bahwa klien Anda mungkin tidak hanya akan menerima pelecehan dalam orang, tetapi juga melalui telepon, dan / atau email. J forensik pemeriksa dapat melestarikan log yang menerima panggilan telepon dari ponsel dan hadir sebagai bukti menjaga ketat oleh sebuah rantai dari tahanan. Setiap email yang dikirimkan dari sumber ke suatu tujuan tertentu daun informasi yang terdapat dalam email. Informasi ini disebut sebagai header email. Yang dapat menganalisis forensik pemeriksa email header dan jejak kembali ke asal dari alamat IP yang telah dikirim.

Surveilans:

Ketika mempertimbangkan surveilans, kebanyakan tentang teknik tradisional seperti: tailing, stakeouts dan video surveillance. Namun, teknik modern komputer juga dapat menjadi aset berharga untuk pribadi penyidik. Ada semacam perangkat sebagai spy ware program dan keystroke logger yang akan memberikan informasi real time tentang apa, di mana dan bila ada hal-hal yang diduga terjadi pada komputer.

Siapa yang berhak untuk mencari sebuah komputer atau perangkat digital?

Keempat Perubahan perlindungan terhadap serangan haram pencarian dan hanya berlaku bagi badan pemerintah seperti penegakan hukum. Keempat Perubahan tidak berlaku untuk pencarian pribadi. J swasta pencarian atau dapat dilakukan oleh orang yang berwenang memiliki hak hukum untuk data yang tersimpan pada komputer, seperti pengusaha atau pasangan. Sejak komputer adalah milik umum, pasangan dapat memberikan izin kepada swasta pencarian dari komputer

Kesimpulan:

Dalam dunia yang dinamis Swasta Investigasi, sangat penting untuk beradaptasi dengan teknologi baru dan dapat menyediakan klien dengan layanan yang kompetitif tertinggi derajat. Paling penting adalah penting untuk menjaga klien dalam domain Anda untuk semua kebutuhan mereka investigasi. Oleh karena itu pelatihan swasta penyelidik dalam seni Digital Forensics atau bermitra dengan ahli forensik digital adalah sebuah langkah penting dalam pengamanan tidak hanya stabilitas dan dirgahayu bisnis Anda tetapi memastikan bahwa ia sudah siap untuk memenuhi persyaratan yang exigencies teknologi masa depan.

(SUMBER.blog.binadarma.ac.id/nayel/?p=122)

Forensik Teknologi Informasi (IT Forensics)

Ini adalah Perlunya Perkembangan IT Forensics

1.1 Latar Belakang Masalah

Pada abad ke 21 ini perkembangan teknologi sudah semakin pesat. Terutama teknologi informasi yang tiap harinya mengalami kemajuan. Penggunaan teknologi informasi juga sudah merambah ke setiap sendi kehidupan manusia.

Contohnya, setiap organisasi membutuhkan banyak data untuk diolah menjadi sebuah informasi yang berguna bagi organisasi tersebut. Data seperti ini biasa disimpan atau di transfer oleh sistem komputer, personal digital assistants (PDA), networking equipment dan sumber – sumber data lainnya. Untuk itu penting adanya analisa data. Karena analisa data dapat digunakan untuk berbagai tujuan, seperti merekonstruksi kejadian keamanan komputer, trouble shooting permasalahan operasional dan pemulihan dari kerusakan sistem yang terjadi secara mendadak.

Analisa data terdiri dari analisa data komputer dan analisa data jaringan. Analisa data komputer berhubungan dengan data pada media penyimpanan suatu komputer, sedangkan analisa data jaringan berhubungan dengan data yang melintas pada suatu jaringan. Jadi, jika kedua jenis analisa ini dikombinasikan maka dapat menangani dan memberikan dukungan operasional terhadap suatu masalah.

Untuk melakukan analisa ini, ada proses – proses yang harus dilakukan, diantaranya acquisition, examination, utilization dan review. Biasanya dalam melakukan proses – proses tersebut terdapat kesulitan, untuk itu penulis membuat guide lines proses – proses tersebut. Hal ini diupayakan untuk memudahkan penyelenggaraan proses analisa data tersebut, serta untuk memberikan informasi atas penggunaan proses dengan empat kategori sumber data utama, diantaranya file, sistem operasi, lalu lintas jaringan dan aplikasi.

1.2 Batasan masalah

Yang menjadi batasan masalah pada penulisan ilmiah adalah dimana proses dan teknik analisa data yang akan diperkenalkan didasarkan pada prinsip forensik digital. Dimana forensik digital adalah aplikasi dari ilmu pengetahuan kepada indentifikasi, koleksi, analisa, dan pengujian dari bukti digital. Untuk itu disini hanya akan membahas penggunaan data yang bersumber dari data files, operating system, network traffic, application dan sumber data lainnya secara garis besarnya saja.

1.3 Tujuan penelitian

Tujuan dari penelitian ini adalah memberikan suatu standar guide lines, supaya kita dapat menentukan tools yang seperti apa yang dapat digunakan dalam menghadapi suatu masalah berdasarkan sumber data yang kita gunakan, karena hal ini merupakan bagian dari proses analisa data.

1.4 Metode Penelitian

Metode pada penelitian ini yaitu dengan menggunakan Studi Pustaka dimana bahan materi guide lines ini diperoleh dengan cara mengumpulkan beberapa artikel yang mempunyai keterkaitan dengan masalah ini, terutama yang berkaitan dengan computer forensics.

Sumber (amutiara.wordpress.com/category/information.../it-forensics/.../2/)

IT Audit & Forensic

IT Audit

* Latar Belakang:

– ICT telah dimanfaatkan sedemikian (i) luas dan (ii) dalam, dan banyak institusi / organisasi bergantung pada ICT, sehingga resiko bisnis semakin besar

* Definisi:

– Penilaian / pengujian kontrol dalam sistem informasi atau infrastruktur teknologi informasi

* Proses IT Audit:

– Mengumpulkan dan mengevaluasi bukti-bukti bagaimana sistem informasi dikembangkan, dioperasikan, diorganisasikan, serta bagaimana praktek dilaksanakan:

* Apakah IS melindungi aset institusi: asset protection, availability
* Apakah integritas data dan sistem diproteksi secara cukup (security, confidentiality )?
* Apakah operasi sistem efektif dan efisien dalam mencapai tujuan organisasi, dan lain-lain (coba cari pertanyaan2 lain)

* Stakeholders:

– Internal IT Deparment

– External IT Consultant

– Board of Commision

– Management

– Internal IT Auditor

– External IT Auditor

* Kualifikasi Auditor:

– Certified Information Systems Auditor (CISA)

– Certified Internal Auditor (CIA)

– Certified Information Systems Security Professional (CISSP)

– dll

* Output Internal IT:

– Solusi teknologi meningkat, menyeluruh & mendalam

– Fokus kepada global, menuju ke standard2 yang diakui

* Output External IT:

– Rekrutmen staff, teknologi baru dan kompleksitasnya

– Outsourcing yang tepat

– Benchmark / Best-Practices

* Output Internal Audit & Business:

– Menjamin keseluruhan audit

– Budget & Alokasi sumber daya

– Reporting

Metodologi & Framework

* Framework Besar:

1. IT Audit
2. Analisis Resiko berdasarkan hasil audit
3. Memeriksa “kesehatan” system & security benchmarking terhadap sistem yang lain / standard
4. Hasil dari ketiganya (1,2,3) melahirkan konsep keamanan sistem Informasi
5. Hasil dari konsep keamanan: panduan keamanan sistem (handbook of system security)

* Metodologi IT Audit:
o CobiT : www.isaca.org
o BS 7799 – Code of Practice (CoP) : www.bsi.org.uk/disc/
o BSI -IT baseline protection manual : www.bsi.bund.de/gshb/english/menue.htm
o ITSEC: www.itsec.gov.uk
o Common Criteria (CC) : csrc.nist.gov/cc/

COBIT

* Dikembangkan oleh ISACA
* Membantu dalam implementasi sistem kontrol di sistem IT
* (mungkin) cocok untuk self-assesement tapi kurang cocok untuk mengembangkan buku petunjuk keamanan sistem
* Dokumentasi detail kurang
* Tidak begitu user-friendly

BS 7799 – Code of Practice

* Code of Practice for Inform. Security Management
* Dikembangkan oleh UK, BSI: British Standard
* Security baseline controls:

– 10 control categories

– 32 control groups

– 109 security controls

– 10 security key controls

* Kategori kontrol:

– System access control

– Systems development & maintenance

– Business continuity planning

– Compliance

– Information security policy

– Security organization

– Assets classification & control

– Personnel security

– Physical & environmental security

– Computer & network management

* Digunakan untuk self-assasement: konsep keamanan dan kesehatan sistem
* Tidak ada metodologi evaluasi dan tidak diterangkan bagaimana assemen thd keamanan sistem
* Sangat user-friendly sangat mudah digunakan (menurut yang sudah menggunakan)

BSI (Bundesamt für Sicherheit in der Informationstechnik)

* IT Baseline Protection Manual (IT- Grundschutzhandbuch )
* Dikembangkan oleh GISA: German Information Security Agency
* Digunakan: evaluasi konsep keamanan & manual
* Metodologi evaluasi tidak dijelaskan
* Mudah digunakan dan sangat – detail – sekali
* Tidak cocok untuk analisis resiko
* Representasi tdk dalam grafik yg mudah dibaca
* IT security measures
* Safeguards catalogue
* Threats catalogue
o 5 categories of threats
* Security Measures (example):

* 7 areas
* 34 modules (building blocks)

* 6 categories of security measures

– Protection for generic components

– Infrastructure

– Non-networked systems

– LANs

– Data transfer systems

– Telecommunications

– Other IT components

* Komponen generik:

– Organisation

– Personnel

– Contingency Planning

– Data Protection

* Infrastruktur:

– Buildings, Cabling, Rooms, Office, Server Room, Storage Media Archives, Technical Infrastructure Room, Protective cabinets, Home working place

* Human error

ITSEC, Common Criteria

* ITSEC: IT Security Evaluation Criteria
* Developed by UK, Germany, France, Netherl. and based primarily on USA TCSEC (Orange Book)
* Based on systematic, documented approach for security evaluations of systems & products
* Common Criteria (CC)
* Developed by USA, EC: based on ITSEC
* ISO International Standard
* Evaluation steps:
o Definition of functionality
o Assurance: confidence in functionality

Komparasi Metodologi

* Standardisation
* Ease of use
* Independence
* Update frequency
* CobiT
* Certifyability
* BS 7799
* BSI
* ITSEC
* Applicability in practice
* Efficiency
* Presentation of results
* Adaptability

19 Langkah Umum Audit TSI

* Kontrol lingkungan:

1. Apakah kebijakan keamanan (security policy) memadai dan efektif ?
2. Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dr external auditor
3. Jika sistem dibeli dari vendor, periksa kestabilan finansial
4. Memeriksa persetujuan lisen (license agreement)

* Kontrol keamanan fisik:

1. Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai
2. Periksa apakah backup administrator keamanan sudah memadai (trained,tested)
3. Periksa apakah rencana kelanjutan bisnis memadai dan efektif
4. Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai

* Kontrol keamanan logikal:

1. Periksa apakah password memadai dan perubahannya dilakukan reguler

10. Apakah administrator keamanan memprint akses kontrol setiap user

11. Memeriksa dan mendokumentasikan parameter keamanan default

12. Menguji fungsionalitas sistem keamanan (password, suspend userID, etc)

13. Memeriksa apakah password file / database disimpan dalam bentuk tersandi dan tidak dapat dibuka oleh pengguna umum

14. Memeriksa apakah data sensitif tersandi dalam setiap phase dalam prosesnya

15. Memeriksa apakah prosedur memeriksa dan menganalisa log memadai

16. Memeriksa apakah akses kontrol remote (dari tempat yang lain) memadai: (VPN, CryptoCard, SecureID, etc)

* Menguji Kontrol Operasi:

17. Memeriksa apakah tugas dan job description memadai dalam semua tugas dalam operasi tsb

18. Memeriksa apakah ada problem yang signifikan

19. Memeriksa apakah kontrol yang menjamin fungsionalitas sistem informasi telah memadai

IT Forensic

* Bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi
* Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum
* Metodologi umum dalam proses pemeriksaan insiden sampai proses hukum:

1. Pengumpulan data/fakta dari sistem komputer (harddisk usb-stick, log, memory-dump, internet, dll) – termasuk di dalamnya data yang sdh terhapus
2. Mendokumentasikan fakta-fakta yang ditemukan dan menjaga integritas data selama proses forensik dan hukum dengan proteksi fisik, penanganan khusus, pembuatan image, dan menggunakan algoritma HASH untuk pembuktian / verifikasi
3. Merunut kejadian (chain of events) berdasarkan waktu kejadian
4. Memvalidasi kejadian2 tersebut dengan metode “sebab-akibat”
5. Dokumentasi hasil yang diperoleh dan menyusun laporan
6. Proses hukum (pengajuan delik, proses persidangan, saksi ahli, dll)

Kebutuhan

* Hardware:

– Harddisk IDE & SCSI kapasitas sangat besar, CD-R, DVR drives

– Memori yang besar (1-2GB RAM)

– Hub, Switch, keperluan LAN

– Legacy hardware (8088s, Amiga, …)

– Laptop forensic workstations

* Software:

– Viewers (QVP http://www.avantstar.com/, http://www.thumbsplus.de/

– Erase/Unerase tools Diskscrub/Norton utilities)

– Hash utility (MD5, SHA1)

– Text search utilities (dtsearch http://www.dtsearch.com/)

– Drive imaging utilities (Ghost, Snapback, Safeback,…)

– Forensic toolkits : Unix/Linux: TCT The Coroners Toolkit/ForensiX , Windows: Forensic Toolkit

– Disk editors (Winhex,…)

– Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…)

– Write-blocking tools (FastBloc http://www.guidancesoftware.com) untuk memproteksi bukti-bukti

Forensik

* Prinsip:

– Forensik bukan proses Hacking

– Data yang didapat harus dijaga jgn berubah

– Membuat image dari HD / Floppy / USB-Stick / Memory-dump adalah prioritas tanpa merubah isi, kadang digunakan hardware khusus

– Image tsb yang diotak-atik (hacking) dan dianalisis – bukan yang asli

– Data yang sudah terhapus membutuhkan tools khusus untuk merekonstruksi

– Pencarian bukti dengan: tools pencarian teks khusus, atau mencari satu persatu dalam image

Kesimpulan

* CobiT: Metode audit untuk semua proses IT
* ITSEC, CC: Pendekatan evaluasi yang sistematik
* BS7799, BSI:

– Evaluasi yang detail dan digunakan sebagai dokumentasi “best-practice”

– Detailed audit plans, checklists, tools for technical audits (operating systems, LANs, etc.)

* IT Forensik:

– Ilmu yang berhubungan dengan pengumpulan fakta dan bukti pelanggaran keamanan sistem informasi serta validasinya menurut metode yang digunakan (misalnya metode sebab-akibat)

– Memerlukan keahlian dibidang IT ( termasuk diantaranya hacking) – dan alat bantu (tools) baik hardware maupun software

* Auditor dan Dokter-komputer-forensik: penuh dengan tanggungjawab dan harus independen, diasses secara formal

(Sumber : Avinanta Tarigan)

Computer forensics adalah suatu metode untuk mengidentifikasi, mengekstrak dan menemukan informasi dari media digital seperti komputer dan “hard drives”.

Computer forensics dalam artian sempit, hanya diaplikasikan kepada proses evaluasi komputer, “data storage’ dan “processing devices”[1]. Computer forensic biasanya dimanfaatkan terkait dengan hukum dan persidangan.

Lalu, apa yang dimaksud dengan “Computer Anti Forensics” adalah suatu metode untuk membuat para “computer forensics investigator” kesulitan dalam melaksanakan tugasnya.

======= Forensic: Know your enemy:lol: —|

Sebelum memulai Pembahasan tentang Anti-forensic, ada baiknya terlebih dahulu saya mengajak kita semua untuk menjadi Ahli Computer Forensic. Ya, kita akan menjadi ahli komputer forensic, untuk dapat mengetahui cara kerjanya dan bagaimana meng-”counter”-nya untuk keperluan anti-forensic nantinya. Dalam hal ini, saya sengaja mengambil contoh untuk merecover sebuah file yang telah dihapus oleh attacker (kita? :lol: )

Sebagai contoh file yang dihapus adalah log files (syslog, httpd log,
firewall log) yang merupakan sumber vital bagi ahli computer forensic, adapun alasan kedua lebih kepada artikel ini, yaitu kemungkinan kita dapat/harus melakukan recovery saat mesin masih menyala/ proses belum di “kill”.

Catatan: Pada artikel kali ini saya menggunakan user root, baik dalam proses computer forensic atau Anti-forensic, jangan tanyakan saya bagaimana mendapatkan root atau kenapa harus menggunakan user root, karena jika pertanyaan itu terbersit pada benak anda, maka dengan berat hati saya meminta anda untuk tidak melanjutkan membaca artikel ini, karena akan melukai hati dan merusak otak anda!

Go away, kiddo.. ini Anti-forensics !

========= Recover file yang terhapus —|

Sekarang, kita akan coba menghapus file syslog lalu me-recover-nya kembali, sebelum itu, untuk memastikan file ini masih di akses/buka oleh system, maka ada baiknya kita lihat isinya, sekaligus sebagai metode verifikasi setelah proses recovery nanti.

——————– untuk keperluan recovery & verifikasi ——————–

root@hell:~# tail -f syslog
Feb 10 14:20:47 hell NetworkManager: [1235028047.728549] nm_hal_device\
Feb 10 14:20:47 hell NetworkManager: [1235028047.959516] nm_hal_device\
Feb 10 14:20:47 hell NetworkManager: [1235028047.982317] nm_hal_device\
Feb 10 14:21:23 hell sendmail[5406]: unable to qualify my own domain name (hell)
Feb 10 14:21:24 hell dhclient: bound to 192.168.16.14 — renewal in 984139
Feb 10 14:21:24 hell sendmail[6860]: My unqualified host name (hell) unknown;
Feb 10 14:21:27 hell ntpdate[6782]: step time server 91.189.94.4 offset -207.\
Feb 10 14:22:24 hell sendmail[6860]: unable to qualify my own domain name (hell)
Feb 10 14:25:46 hell anacron[6522]: Job `cron.daily’ started
Feb 10 14:25:46 hell anacron[7003]: Updated timestamp for job `cron.daily’ to\

**** Isi dari syslog saya mutilasi dengan “\”, dan setelahnya dihapus, untuk mengurangi “junk” dan mengikuti ketentuan length < 80. :lol: **** Sebelum memulai proses penghapusan, ada baiknya kita mencatat nomer inode dari file syslog, untuk mempermudah kita dalam melakukan sorting menggunakan “lsof” nantinya root@hell:~# stat /var/log/syslog File: `/var/log/syslog’ Size: 91967 Blocks: 8 IO Block: 4096 regular file Device: 801h/2049d Inode: 99810 Links: 1 Access: (0640/-rw-r—–) Uid: ( 102/ syslog) Gid: ( 4/ adm) Access: 2009-02-10 25:51:19.000000000 +0700 Modify: 2009-02-10 25:51:01.000000000 +0700 Change: 2009-02-10 25:51:01.000000000 +0700 root@hell:~# /var/log/syslog memiliki inode “99810″, ——————– untuk keperluan recovery & verifikasi ——————- Kita akan menggunakan perintah remove “rm” dengan opsi “rf” terhadap file syslog root@hell:~# rm -rf /var/log/syslog Silahkan di cek, root@hell:~# ls -la /var/log/syslog. ls: cannot access /var/log/syslog.: No such file or directory root@hell:~# ls -la /var/log/syslog ls: cannot access /var/log/syslog: No such file or directory root@hell:~# stat syslog stat: cannot stat `syslog’: No such file or directory Sampai disini proses penghapusan sukses dilaksanakan. ========= Lsof; proses recovery file —| Sekarang, Kita akan mencoba untuk mengembalikan file log yang telah kita hapus, dalam hal ini kita akan menggunakan lsof untuk mendapatkan info file dan merecovernya, mengikuti “kultur” sistem operasi dan filesystem yang digunakan. Lsof adalah suatu utilitas yang berfungsi untuk menampilkan semua informasi secara komprehensif dari suatu file/direktori, file spesial, network file (internet socket, NFS, unix domain socket), dsb. Informasi yang kita perlukan adalah PID (process id), serta file descriptor. Seluruh proses akan memiliki suatu direktori khusus dalam direktori “/proc” dengan nomer PID sebagai namanya, dan sebelum proses induk tersebut di “kill”, maka meskipun data telah dihapus dengan “rm”, kopian dari data tersebut akan berada di sini. (got the point?) Adapun pemetaan path lengkapnya akan seperti berikut, /proc/process id/fd/file descriptor =========== Forensic recovery di mulai —| Sekarang, kita perlu untuk mendapatkan informasi file syslog, dengan menggunakan lsof dan melakukan “sorting” memanfaatkan nomer inode-nya, root@hell:~# lsof | grep 99785 syslogd 5484 syslog 2w REG 8,1 91967 99785 /var/log/syslog (deleted) Sehingga, didapatkan PID=5484 dan file descriptor=2 (dari 2w), dan apabila kita sesuaikan dengan pemetaan path untuk pseudo-filesystem adalah, root@hell:~# ls -l /proc/5484/fd/2 l-wx—— 1 root root 64 [X] 14:27 /proc/5484/fd/2 ->/var/log/syslog (deleted)
root@hell:~#

**** X= berisi tanggal, 2009-02-10 ****

Maka akan tampil satu blok berwarna merah, yang menandakan link
/proc/5484/fd/2 sudah dihapus.

root@hell:~# file /proc/5484/fd/2
/proc/5484/fd/2: broken symbolic link to `/var/log/syslog (deleted)’

Karena sesungguhnya “rm” hanya menghapus link ke inode, dan atribut, informasi dan blok data dari file tersebut tidak tersentuh, maka cara termudah untuk me-recovery-nya adalah dengan mengkopikan file tersebut kembali. Sebagai contoh digunakan nama “syslog” kembali,

root@hell:~# cp /proc/5484/fd/2 syslog

lalu, periksalah hasilnya untuk melihat isinya,

root@hell:~# tail -f syslog
Feb 10 14:20:47 hell NetworkManager: [1235028047.728549] nm_hal_device\
Feb 10 14:20:47 hell NetworkManager: [1235028047.959516] nm_hal_device\
Feb 10 14:20:47 hell NetworkManager: [1235028047.982317] nm_hal_device\
Feb 10 14:21:23 hell sendmail[5406]: unable to qualify my own domain name (hell)
Feb 10 14:21:24 hell dhclient: bound to 192.168.16.14 — renewal in 984139
Feb 10 14:21:24 hell sendmail[6860]: My unqualified host name (hell) unknown;
Feb 10 14:21:27 hell ntpdate[6782]: step time server 91.189.94.4 offset -207.\
Feb 10 14:22:24 hell sendmail[6860]: unable to qualify my own domain name (hell)
Feb 10 14:25:46 hell anacron[6522]: Job `cron.daily’ started
Feb 10 14:25:46 hell anacron[7003]: Updated timestamp for job `cron.daily’ to\

dan kita yang seolah ahli komputer forensik akan dapat kembali membaca file log yang (dianggap) terhapus oleh attacker. **we are doomed**

======= Anti forensic —|

Setelah diatas kita membuktikan bahwa penggunaan ‘rm’ hanyalah menghapus link ke inode atau lebih dikenal dengan index node, yang menyimpan atribut dari suatu file, dan inode di identifikasi dengan nomer yang unik untuk tiap inode. Atribut dari suatu file itu adalah semisal: tipe file, “permission”, info pemilik dan grup, ukuran file, jumlah link (soft/hard), alamatnya di blok data, dsb.

Saya tidak berusaha mengulas dan bercerita lebih jauh tentang file di unix/linux, jadi kita akan “skip” hal ini. (sorry , no candy for you all kiddo)

Penggunaan “rm” dalam melakukan penghapusan file dari mesin target tidaklah efissien, karena para ahli komputer forensik dapat dengan mudah untuk kembali me-recover data-data, baik log, dsb, hal tersebut sudah saya buktikan diatas.

Penggunaan “lsof” hanyalah salah satu cara, banyak sekali aplikasi/utility/tools yang dapat digunakan untuk me-recover file, bahkan keseluruhan data di media, baik saat komputer menyala atau setelah restart,”single mode” atau “network mode”.

========= Secure Data Deletion —|

Secure Data Deletion adalah salah satu teknik tertua/tradisional dari anti-forensics, suatu metode yang sangat mudah, efisien dan “simple” untuk dilakukan, dibanding dengan berbagai teknik lain seperti enkripsi, “steganography”, modifikasi data, penyembunyian data, dsb. Meskipun resiko untuk diketahui akan relatif lebih mudah, tetapi untuk kegiatan computer rforensic, apabila data yang dibutuhkan tidak didapatkan maka akan mempersulit/memperlambat kegiatannya.

Beberapa aplikasi yang bisa anda manfaatkan adalah: srm, wipe, shred, dsb, tetapi dalam demo ini saya mengunakan shred di sistem operasi GNU/Linux dengan filesystem ext3.

Sejak 2008 Shred masuk kedalam paket penting dari GNU (GNU coreutils) dan akan membuat secara default terinstall, sehingga anda tidak perlu melakukan instalasi aplikasi Secure Data Deletion lainnya.

=========== Shred —|

Apa yang dilakukan Shred adalah dengan menulis ulang file/s secara berulang kali dengan tujuan mempersulit kemungkinan untuk merecover data yang sudah dihapus.

Shred, bagaikan pisau bermata dua. Tetapi shred juga memiliki berbagai
keterbatasan pada jenis file system tertentu, terkompresi dan yag memiliki dukungan snapshot, dan untuk detilnya silahkan baca manual shred.

Untuk lebih jelasnya kita akan menggunakan shred dan mencoba me-recovery data tersebut kembali seperti yang sudah kita lakukan di atas.

=========== Shred Beraksi —|

Sekarang, kita akan kembali menghapus file syslog, sebelum itu, untuk memastikan file ini masih di akses/buka oleh system, maka ada baiknya kita lihat, sekaligus sebagai metode verifikasi setelah proses recovery (seperti diatas).

root@hell:~# tail -f /var/log/syslog
Feb 10 15:01:01 hell sm-msp-queue[8122]: n1J7f194007446: to=postmaster, delay=\
Feb 10 15:17:01 hell /USR/SBIN/CRON[8262]: (root) CMD ( cd / && run-parts –\
Feb 10 15:20:01 hell sm-msp-queue[8304]: My unqualified host name (hell) \
Feb 10 15:21:01 hell sm-msp-queue[8304]: unable to qualify my own domain name \
Feb 10 15:21:01 hell sm-msp-queue[8304]: n1J7f194007446: to=postmaster, delay=\
Feb 10 15:40:01 hell /USR/SBIN/CRON[8468]: (smmsp) CMD (test -x /etc/init.d/\
Feb 10 15:40:01 hell sm-msp-queue[8483]: My unqualified host name (hell) \
Feb 10 15:41:01 hell sm-msp-queue[8483]: unable to qualify my own domain name \
Feb 10 15:41:01 hell sm-msp-queue[8483]: n1J7f194007446: to=postmaster, delay=\

Catat inode dari file syslog, akan bermanfaat saat proses melakukan recovery.
“Inode /var/log/syslog” adalah “99810″

root@hell:~# stat /var/log/syslog
File: `/var/log/syslog’
Size: 2400 Blocks: 8 IO Block: 4096 regular file
Device: 801h/2049d Inode: 99810 Links: 1
Access: (0640/-rw-r—–) Uid: ( 102/ syslog) Gid: ( 4/ adm)
Access: 2009-02-10 15:41:19.000000000 +0700
Modify: 2009-02-10 15:41:01.000000000 +0700
Change: 2009-02-10 15:41:01.000000000 +0700
root@hell:~#

Selanjutnya kita akan menghapus file tersebut dengan menggunakan shred, untuk mengerti penggunaan opsi yang diberikan, silahkan cek manual dari shred

root@hell:~# shred –random-source=/dev/urandom -u /var/log/syslog

Shred terbukti telah berhasil menghapus file /var/log/syslog,

root@hell:~# ls -la /var/log/syslog
ls: cannot access /var/log/syslog: No such file or directory
root@hell:~# stat syslog
stat: cannot stat `syslog’: No such file or directory

Selanjutnya adalah me-”list” file/s yang masih terbuka, dan seperti sebelumnya, karena syslog akan secara kontinyu di tulisi oleh sistem, maka otomatis file tersebut akan dianggap masih ada,

root@hell:~# lsof | grep 99810
syslogd 5484 syslog 3w REG 8,1 0 99810 /var/log/0 (deleted)

Lihat dan samakan inode number dari file syslog, dan kita temukan bahwa saat ini yang tercatat adalah file “0″, berbeda dengan saat kita menghapus menggunakan “rm”.

Selanjutnya, seperti saat kita me-”recovery” file syslog sebelumnya adalah dengan hanya mengkopikannya kembali dari direktori tempat pseudo-filesystem.

root@hell:~# cp /proc/5484/fd/3 syslog
root@hell:~# tail -f syslog

root@hell:~# file syslog
syslog: empty

Dan kemudian setelah kita periksa ternyata file tersebut tidak mengandung data apapun a.k.a empty.

Yup, “we are done now homey”, Bisa tidur nyenyak, karena proses recovery menjadi hal yang relatif sulit bagi para ahli-forensik.

======= Referensi —|

[1] http://www.forensicswiki.org/
[2] lsof manual
[3] shred manual

(Sumber www.untukku.com/.../anti-forensic-seek-and-destroy-untukku.html )