Komputer Forensik adalah praktek mengumpulkan, menganalisis dan melaporkan data digital dengan cara yang sesuai dengan ketentuan hukum. Hal ini dapat digunakan dalam mendeteksi dan mencegah kejahatan pada setiap sengketa di mana bukti disimpan secara digital. Komputer forensik mengikuti proses yang sama dengan disiplin ilmu forensik lainnya.

Penggunaan komputer forensik

Komputer mungkin merupakan sarana 'tindak kejahatan', misalnya hacking atau denial of service attacks (DOS) atau mereka mungkin menahan bukti berupa email, log historys, dokumen atau file lainnya yang relevan dengan kejahatan seperti pembunuhan, penculikan, penipuan dan perdagangan narkoba.

Bukan hanya isi email, dokumen dan file lainnya yang mungkin menarik untuk diteliti tetapi juga 'metadata' yang terkait dengan file-file. Komputer forensik dapat mengungkap kapan pertama kali dokumen muncul pada komputer, saat terakhir diedit, ketika terakhir disimpan atau dicetak dan atau tindakan apa saja yang dilakukan kepada file ini. 

Pedoman Seorang Komputer Forensik

Barang bukti yang dapat diterima itu harus dapat digunakan dan tidak merugikan, yang berarti bahwa pada semua tahap dari investigasi forensik barang bukti harus diterima menurut pikiran penyidik.

Banyak pedoman yang dapat digunakan untuk memandu penyidik diantara ini adalah Association of Chief Police Officers Good Practice Guide for Digital Evidence[PDF] Meskipun Panduan ACPO ditujukan untuk penegakan hukum yang berada di inggris, namun prinsip utamanya dapat berlaku untuk semua kegiatan komputer forensik. 

Empat prinsip utama dari panduan ini adalah sebagai berikut: 

Tidak ada tindakan yang dapat mengubah data yang dimiliki pada media komputer atau penyimpanan sehingga dapat digunakan pada proses pengadilan.

Dalam keadaan di mana seseorang merasa perlu untuk mengakses data asli yang ada pada komputer atau media penyimpanan, orang tersebut harus ahli/pakar dalam melakukannya dan mampu memberikan bukti menjelaskan relevan dan implikasi dari tindakan mereka. 

Jejak audit atau catatan lain dari semua proses yang diterapkan harus dibuat dan di dokumentasikan sebagai bukti elektronik.

Orang yang bertanggung jawab pada penyelidikan memiliki tanggung jawab keseluruhan untuk memastikan bahwa hukum dan prinsip-prinsip ini dipatuhi.

Proses Akuisisi

Dalam situasi apa komputer tersangka dibutuhkan oleh seorang komputer forensik ? 

Secara tradisional, seorang komputer forensik akan membuat salinan (copy) informasi dari perangkat yang di selidiki. Melalui salinan inilah seorang komputer forensik bekerja, sehingga bukti asli tidak berubah sama sekali.

Namun, kadang-kadang penyelidikan tidak mungkin dilakukan dalam keadaan komputer mati (off). Hal ini mungkin akan mengakibatkan kerugian keuangan atau yang lainnya bagi pemilik komputer yang bersangkutan. Pemeriksa juga mungkin akan menghindari situasi ini sehingga dapat membuat bukti yang berharga hilang secara permanen. Dalam kedua keadaan ini seorang komputer forensik perlu melakukan 'live acquisition' yang akan program kecil pada komputer tersangka untuk menyalin (atau memperoleh) data ke hard drive .

Dengan menjalankan program seperti itu dan menyalin drive komputer tersangka, pemeriksa akan membuat perubahan dan / atau penambahan pada  komputer yang sebelumnya tidak ada sebelumnya. Namun, bukti yang dihasilkan akan tetap dianggap diterima apabila pemeriksa mampu menunjukkan mengapa tindakan tersebut dianggap perlu, dan semua tindakan tersebut mereka dokumentasikan dan mereka mampu menjelaskan kepada pengadilan konsekuensi dari tindakan mereka.

Tahapan pemeriksaan

Proses pemeriksaan komputer forensik dibagi menjadi enam tahapan, disajikan dalam urutan kronologis seperti berikut: 

Kesiapan 

Kesiapan forensik merupakan tahap penting dan kadang-kadang diabaikan dalam proses pemeriksaan. Seorang komputer forensik harus mampu memberikan pemahaman kepada klien tentang kesiapan sistem; misalnya, pemeriksaan forensik akan memberikan bukti kuat jika fitur audit ini telah telah diaktifkan sebelum terjadinya kejadian apapun.

Untuk pemeriksaan forensik sendiri perlu kesiapan dan pelatihan yang cukup, pengujian rutin serta verifikasi perangkat lunak dan peralatan yang digunakan, pengetahuan tentang undang-undang, dan mampu berurusan dengan isu-isu yang tak terduga.

Evaluasi

Tahap evaluasi meliputi penerimaan instruksi, klarifikasi, analisis risiko yang tidak jelas atau ambigu dan alokasi peran serta sumber daya. 

Jika akuisisi ini dilakukan di tempat bukan di laboratorium komputer forensik, maka tahap ini termasuk dari mengidentifikasi dan mengamankan perangkat yang dapat menyimpan bukti dan mendokumentasikan kejadian. Wawancara atau pertemuan dengan pengguna dapat memeberikan informasi yang relevan dalam pemeriksaan (pengguna akhir komputer, atau orang yang bertanggung jawab dalam penyediaan layanan komputer, seperti administrator IT) biasanya akan dilakukan pada tahap ini.

Tahap koleksi juga melibatkan pelabelan, pemberian nomor dan menyimpan barang bukti.

Analisis

Analisis ini tergantung pada spesifikasi masing-masing pekerjaan. Pemeriksa biasanya melakukan dialog kepada klien selama analisis dan dari dialog ini akan dapat mempersempit ruang penyelidikan. Analisis harus akurat, menyeluruh, berimbang, tercatat, berulang, dan diselesaikan dalam skala waktu yang ditetapkan sesuai sumber daya yang dialokasikan.

Ada segudang alat yang tersedia untuk analisis komputer forensik. Pemeriksaan dapat menggunakan alat apapun yang dirasa nyaman selama itu mendukung. Persyaratan utama dari peralatan komputer forensik adalah bahwa itu tidak mengaapa digunakan, hal itu dimaksudkan untuk memastikan bahwa pemeriksaan telah teruji sebelum proses analisis berlangsung. 

Presentasi

Tahap ini biasanya melibatkan pemeriksa yang melaporkan terstruktur temuan mereka, hal ini juga akan mencakup informasi lain yang pemeriksa anggap relevan dengan penyelidikan.

Laporan tersebut harus ditulis sesuai hasil pemikiran akhir; Pemeriksa juga harus siap untuk berpartisipasi dalam pertemuan atau konferensi via telepon untuk membahas dan menguraikan laporan. 

Ulasan

Seperti dengan tahap kesiapan, tahap Ulasan sering diabaikan. Namun, tahap ulasan yang dimasukkan ke dalam setiap pemeriksaan dapat membantu menghemat biaya dan meningkatkan tingkat kualitas dengan membuat pemeriksaan kedepannya lebih efektif dan efisien

Sebuah tinjauan dari pemeriksaan dibuat sederhana, cepat dan dapat dimulai pada salah satu tahap di atas. Ini mungkin termasuk analisis dasar apa saja yang salah, apa yang baik, dan bagaimana belajar dari hal tersebut agar dapat dimasukkan ke dalam pemeriksaan kedepannya.

 ________________________