Makalah Digital Forensik (FTK IMAGER)
Disusun Oleh Kelompok 2: Syahrul Awal (162199) Fuad Danindra (162196) Eka Feby Ayu Fitriani (162208) Tsalits Putri Ulinnuha (162211) Fauziah IL (162217) Maulana Abdi Ryan (162222) Supardi(12217)
SEKOLAH TINGGI MANAJEMEN INFORMATIKA DAN KOMPUTER (STMIK) DIPANEGARA MAKASSAR 2017/2018
1
Kata Pengantar Assalamu’alaikum Warahmatullahi Wabarakatuh Alhamdulillah, puji syukur kehadirat Allah SWT karena atas taufif dan rahmat-Nya kami dapat menyelesaikan makalah tentang “FTK Imager” ini. Shalawat serta salam senantiasa kita dengung sanjungkan kepada junjungan kita, Nabi Muhammad SAW, keluarga, sahabat serta semua umatnya hingga kini. Dan Semoga kita termasuk dari golongan yang kelak mendapatkan syafaatnya. Hanya kata syukur yang bisa penulis sampaikan sehingga makalah yang menjadi tugas pelajaran DIGITAL FORENSIK bisa terselesaikan dengan baik. Dilain sisi, kami juga mengucapkan terima kasih kepada semua pihak yang telah membantu dalam proses penyusunan makalah ini. Demikian yang dapat kami sampaikan, semoga makalah ini dapat menjadi salah satu panduan untuk lebih menghormati dosen dan bagi para pembaca. Kritik dan saran senantiasa kami harapkan agar makalah ini dapat lebih ditingkatkan kedepannya.
Makassar, Juni 2017
Penyusun
2
DAFTAR ISI
Kata Pengantar ................................................................................... i Daftar Isi ............................................................................................ ii
Pembahasan : A. Overview FTK Imager .................................................................. 1 B. Cara Menginstall FTK IMAGER .................................................. 3 C. Penggunaan FTK IMAGER .......................................................... 8 2. FTK IMAGER – Acquisition Tool ............................................... 13 3. Menggunakan FTK IMAGER untuk menjamin Keaslian Data Elektronik .............................................................. 15
3
A. FTK IMAGER Access Data
Forensic ToolKit Imager atau biasa di sebut “AD FTK
Imager” merupakan salah satu tools yang digunakan dalam dunia forensik digital untuk melakukan sistem akuisisi data yang dikembangkan oleh perusahaan AccessData. Dimana sistem akuisisi itu sendiri merupakan suatu sistem yang berfungsi untuk mengambil, mengumpulkan dan menyiapkan data, hingga memprosesnya untuk menghasilkan data yang dikehendaki. Jenis serta metode yang dipilih pada umumnya bertujuan untuk menyederhanakan setiap langkah yang dilaksanakan pada keseluruhan proses. Sebelum ditemukannya instrumentasi digital dan komputer (pc), proses pengolahan data dilakukan secara manual hampir 100% oleh manusia.
Sehingga pada saat itu besaran fisik diubah menjadi kebesaran yang langsung dapat diamati oleh panca indera manusia. Selanjutnya dengan adanya teknologi dibidang elektrikal, kebesaran fisik yang diukur sebagai data tersebut dikonversikan kedalam sinyal listrik dan ditampilkan dalam bentuk simpangan jarum, pendaran cahaya, dan sebagainya. Sejak ditemukannya teknologi digital dan komputer, sistem akuisisi data mengalami perkembangan dan perubahan yang sangat signifikan baik pada cara pengambilan data, mengumpulkan data, menyimpannya hingga mengolahnya menjadi data yang siap untuk diproses lebih lanjut.
4
Pada dasarnya FTK Imager bertujuan untuk melakukan akuisisi pada bukti digital (digital evidence) pada sebuah software. Pada saat hendak melakukan penambahan item bukti terdapat 5 pilihan sumber yang bisa dilakukan, yaitu : 1. Physical Drive, biasanya berupa harddisk atau flash disk, disini kita bicara mengenai drive secara fisik, jadi kalau kapasitas ada 500 gb maka image kita juga akan memiliki size sebesar 500 gb (kecuali kita compress), jadi kita akan mengclone harddisk secara fisik , tidak perduli apakah ada isinya atau tidak. Ini biasanya untuk melihat apakah ada file2 yang didelete 2. Logical Drive, berupa drive di computer, yaitu biasanya A:, C:, D:, dst. Bisa saja satu harddisk dibagi/ dipartisi menjadi 2 atau lebih logical Drive, misalnya C: untuk system dan D: untuk data. Kalau kita membuat Image dari Logical drive berarti satu drive utuh termasuk bagian yang kosong/tidak ada datanya 3. Image file, ini merupakan cloning dari suatu drive/folder/CDROM yang berupa suatu file dengan ekstensiaon ISO, VC4, dll tergantung softwarenya. Image berguna juga sebagai backup dari aslinya dan bisa disimpan dalam hardisk kita sehingga kita tidak perlu mencari2 di tumpukan CDROM kita misalnya. Image file biasanya hanya mengambil bagian drive/CDROM yang ada datanya saja untuk menghemat tempat 4. Contents of A folder, berupa folder dan isinya termasuk sub folder, kalau kita mau mengambil datanya saja dari suatu drive/CDROM/Flashdisk maka kita gunakan ini karena lebih menghemat tempat. 5. Fernico Device (Multiple CD), ini berupa alat untuk mengcloning banyak CD, Dalam melakukan akuisisi, FTK imager akan mengkalkulasi Hash value dari image dan juga membuat manifest dari image yang dibuatnya. Adapun hasil dari akuisisi itu berupa file dengan ekstensi .ad1, ad2, ad3 dan .txt. Hash value merupakan suatu nilai yang dihasilkan oleh suatu algoritma/perhitungan matematis atas suatu text, suatu file atau bahkan suatu Harddrive/CD/Flashdisk atau media penyimpanan lainnya. Hash value disebut juga sebagai checksum. 5
Suatu file/text/storage akan menghasilkan nilai yang sama jika berhasil dicloning/Dicopy atau dengan kata lain 2 buah text/file/storage disebut identik jika memiliki nilai hash yang sama. Semua Hash algoritma menggunakan sejumlah karakter sebagai sidik jari dari suatu kontent, berikut ini adalah nilai hash value dari berbagai algoritma yang ada sekarang atas suatu kontent, jika memakai metode/algoritma yang sama suatu file akan selalu menghasilkan nilai hash value yang sama. Checksum adalah angka yang mewakili jumlah digit dalam contoh data digital; digunakan untuk memeriksa apakah kesalahan telah terjadi dalam transmisi atau penyimpanan
B. Cara Menginstall FTK IMAGER 1. Installer terbaru bisa di download di http://marketing.accessdata.com/lp/ftkimager-3.4.0. Ada link diatas akan diminta alamat email anda sehingga link asli akan dikirim melalui alamat email anda, dan anda bisa mendownloadnya melalui pesan masuk yang dikirimkan oleh perusahaan accessdata pada email anda.
6
2. Setelah berhasil di download maka jalankan file setupnya dengan dobel klik (klik 2 kali) (misalnya AccessData FTK Imager 3.1.2.0 exe), sehingga tampil gambar berikut :
Tunggu sampai proses Extracting selesai. 3. Setelah proses Extracting selesai, langkah berikutnya klik Next :
7
4. Langkah berikutnya ceklis pada pilihan "I accept the terms in the license agreement kemudian klik Next.
5. Langkah berikutnya klik Next
8
6. Langkah selanjutnya klik Install untuk melakukan instalasi software.
7. Proses instalasi sedang berjalan dan tunggu sampai proses instalasi slesai
8. Jika instalasi selesai maka klik Finish tanpa menghilangkan centang dari "Launch AccessData FTK Imager" sehingga FTK Imager akan terbuka secara otomatis.
9
9. Tampilan Awal dari FTK Imager
Itulah langkah-langkah untuk melakukan instalasi pada software FTK Imager.
10
C. FITURE FTK IMAGER 1. Setelah memastikan write blocker aktif, maka proses akusisi dapat dimulai dengan mengkoneksikan flashdisk ke komputer. Setelah komputer mendeteksi adanya flashdisk, maka selanjutnya lakukan proses imaging dengan menjalankan software Access Data FTK Imager. Tampilan awal ketika software tersebut dibuka seperti gambar dibawah ini.
2. Langkah awal untuk memulai proses imaging yaitu klik menu File, kemudian pilih Create Disk Image. Kemudian akan muncul dialog box yang baru. Pilih Physical Drive karena akan dilakukan imaging terhadap fisik dari flashdisk.
11
Notes : •
Physical Drive, biasanya berupa harddisk atau flash drive. Pada opsi ini mengenai driver secara fisik.
•
Logical Drive, berupa drive di computer, yaitu biasanya A:, C:, D:, dll. Atau satu harddisk dibagi/ dipartisi menjadi 2 atau lebih logical Drive, misalnya C: untuk system dan D: untuk data. Kalau kita membuat Image dari Logical drive berarti satu drive utuh termasuk bagian yang kosong/tidak ada datanya
•
Image
file,
ini
merupakan
cloning
dari
suatu
drive/folder/CDROM yang berupa suatu file dengan ekstensiaon ISO, VC4, dll tergantung softwarenya. Image berguna juga sebagai backup dari aslinya dan bisa disimpan dalam hardisk kita sehingga kita tidak perlu mencarimencari di tumpukan CDROM kita misalnya. Image file biasanya hanya mengambil bagian drive/CDROM yang ada datanya saja untuk menghemat tempat •
Contents of A folder, berupa folder dan isinya termasuk sub folder, kalau kita mau mengambil datanya saja dari suatu drive/CDROM/Flashdisk maka kita gunakan ini karena
12
3. Kemudian klik Next, setelah itu pilih flashdisk yang digunakan. Pada kasus ini menggunakan Sandisk TransMemory USB Device. Setelah itu klik Finish.
4. Setelah itu, klik Add untuk memilih lokasi hasil imaging. Jangan lupa untuk mencontreng pilihan Verify images after they are created. Pilihan tersebut berguna untuk menghitung kode hash barang bukti dan hasil imaging kemudian mencocokkan keduanya.
13
5. Pilih Raw DD untuk format hasil imaging. Setelah itu isikan identitas barang bukti seperti gambar dibawah ini dan kemudian klik Next.
6. Kemudian pilih lokasi folder yang diinginkan dan buat nama file imaging. Lalu klik Finish.
7. Langkah terakhir, klik Start untuk memulai imaging. Dan gambar dibawah ini menunjukkan proses imaging sedang berlangsung.
14
8. Setelah proses imaging selesai, FTK akan memberikan laporan dan kode hash MD5 dan SHA1 flashdisk dan hasil akusisinya.
Setelah proses imaging selesai, jangan lupa untuk mencatat kode hash yang telah diberikan oleh Access Data FTK Imager. Demikianlah cara atau panduan bagaimana melakukan akusisi dan membuat imaging terhadap harddisk, flashdisk, SDCard, dan media penyimpanan lainnya.
15
2. FTK Imager – Acquisition Tool FTK imager merupakan sebuah acquisition tool digital forensik yang dibuat oleh AccessData. FTK imager ini gratis, namun jangan salah, fasilitas dan kemampuannya
tidak
kalah
dengan
software
acquisition
berbayar.
FTK Imager dapat didownload secara gratis di laman download AccessData (catatan : produk lain bisa didownload namun tidak bisa dijalankan karena membutuhkan license dongle yang harganya sangat mahal). Di situ Anda bisa mendownload versi instal dan versi lite yang tidak memerlukan instalasi. Dari pengalaman di lapangan, versi lite lebih fleksibel karena bisa dijalankan via USB flashdisk di komputer suspect.
FTK Imager dapat digunakan untuk membuat image sebuah drive (physical imaging), membuat image isi sebuah folder, maupun membuat custom image yang terdiri atas file-file yang kita pilih saja. Masing-masing opsi sangat berguna di dalam kondisi lapangan yang berbeda-beda dan jenis evidence yang kita cari. Physical imaging akan membuat image dari harddisk suspect, oleh karena itu tentu saja memakan waktu yang lama karena kita harus mengkopi seluruh konten harddisk ke dalam media eksternal kita yang biasanya menggunakan port USB 16
(misal HDD eksternal). Dibandingkan dengan hardware clone dan hardware imaging yang menggunakan hardware, kecepatan physical imaging dari FTK imager ini tentu kalah jauh. Namun FTK imager sangat berguna terutama di lingkungan di mana kita tidak bisa serta-merta mencopot harddisk untuk melakukan kloning maupun imaging menggunakan hardware, sebagai contoh komputer yang masih tersegel garansi, laptop DELL (harddisk terletak di bagian paling dalam), dan server. Di sinilah FTK imager berperan penting dalam data acquisition sekaligus menjaga agar verifikasi evidence tetap dilakukan, karena FTK imager akan mengkalkulasi Hash value dari image dan juga membuat manifest dari image yang dibuatnya. Kita telah membahas secara sekilas manfaat FTK imager dalam dunia digital forensik. Nah, FTK imager ini juga ada manfaatnya dalam pemakaian komputer kita sehari-hari loh. Dari pengalaman, FTK imager mampu mendeteksi drive yang tidak terbaca oleh windows explorer. Syaratnya tentu saja hardware drive tersebut mampu dideteksi oleh Windows. Untuk mengeceknya, masuk ke control panel-> administrative tools -> drive management. Perhatikan apakah hardware baru anda telah terdeteksi, bila sudah mampu terdeteksi namun tidak terbaca di windows explorer maka gunakanlah FTK IMAGER, kemudian add evidence item, pilih physical drive, next. Di jendela selanjutnya anda akan melihat daftar seluruh hardware media penyimpanan yang dapat dipilih. Carilah di antara daftar ini flashdisk atau HDD eksternal Anda yang tidak terdeteksi oleh windows explorer, kemudian klik finish. Sesaat kemudian FTK imager akan me load isi drive dan Anda bisa memulai memindahkan isinya ke tempat lain. FTK imager juga bisa mengkopi file-file sistem yang terprotect yang biasanya kita tidak bisa sembarangan mengkopinya, semisal file-file registry. Di FTK imager kita juga bisa melihat beberapa file yang statusnya sudah terhapus, unallocated space, dan orphan.
17
3. Menggunakan FTK Imager untuk menjamin keaslian Data Elektronik Data elektronik yang kita peroleh dari WP harus dijamin keasliannya, dengan kata lain tidak boleh diubah satu byte-pun agar hasil analisa kita bisa diyakini kebanarannya karena sesuai dengan pepatah “Garbage In Garbage out” maka jika inputnya salah maka apapun hasilnya pasti juga dianggap salah. Oleh karena itu ada beberapa cara yang bisa kita lakukan untuk menjamin keaslian data tersebut : 1. Kita pastikan bahwa data diberikan dalam bentuk yang Read Only, seperti dalam media CR-ROM yang hanya bisa ditulis sekali 2. Kita lakukan Cloning atas data tersebut sehingga kita memiliki salinannya baik dalam bentuk pisik ataupun image file 3. Kita Buat file list yang berisi daftar semua file dalam CD_ROM tersebut
Kita buat Hash value untuk CD tersebut untuk menjamin bahwa datanya adalah identik/ sama dengan aslinya, karena jika satu bytepun dari file2 tersebut diubah maka nilai hash valuenya pun berubah (baca Pengertian Hash Value). Hal2 diatas bisa kita lakukan dengan software gratisan yang disebut FTK Imager
18
