JENIS-JENIS DAN PERBEDAAN DATA DALAM
BARANG BUKTI DIGITAL
MATA KULIAH : BUKTI DIGITAL
DOSEN PENGAMPU : Yudi Prayudi S.Si., M.Kom
WISNU PRANOTO 17917130
PRODI MAGISTER TEKNIK INFORMATIKA FAKULTAS TEKNOLOGI INDUSTRI
UNIVERSITAS ISLAM INDONESIA YOGYAKARTA
2.1 Dasar Teori
Dalam buku Angus McKenzie Marshall (2008)[1], yang berjudul Digital
Forensics, pada bab 4 tentang prinsip pemeriksaan barang bukti menceritakan secara
singkat yaitu setiap barang bukti yang didapatkan akan dianalisa dan di recovery terlebih dahulu. Jadi ada 4 katagori utama jenis file atau data yang paling utama yang
harus dipriksa diantaranya yaitu Live Data, Deleted File, Swap Space, dan Slack Space. Adapun penjelasan lebih lanjut mengenai 4 data tersebut sebagai berikut :
1. Live Data
Live data yaitu format data didalam sebuah sistem yang dapat langsung diakses oleh pengguna atau software secara langsung. Pada umumnya data-data tersebut merupakan hasil operasi normal dari perangkat atau software sebagai akibat dari tindakan yang disengaja.
Biasanya live data mempunyai nilai yang cukup kuat untuk dijadikan barang bukti dikarnakan data yang diperoleh terbukti secara langsung dan dilihat secara
langsung dan berhubungan dengan sesuatu yang bisa diakses maupun tindakan apa
yang telahdilakukan terhadap data atau file tersebut.
Selanjutnya, karena live data dibuat dengan di manage oleh sistem operasi atau oleh beberapa software, jadi live data cenderung memiliki timestamps atau semacam catatan waktu terhadap file tersebut dengan contohnya seperti kapan waktu file tersebut
dibuat, akapan waktu terakhir file tersebut diubah atau modifikasi, semua terekam oleh
sistem. Selain itu, dikarenakan file dari live data dibuat dan diakses langsung sistem operasi didalam sebuah software, maka live data mempunyai jejak waktu timestamps, tergantung dengan kesesuaian jam yang ada dalam perangkat tersebut.
Sebelum mendalami tipe file atau data yang lain, ada sedikit pembahasan tentang
timestamps. Pada umumnya hampir semua sistem operasi menggunakan 3 jenis
timestamps atau catatan waktu untuk file pada sistemnya, yaitu MAC yang dikenal
a. Modified yaitu mencatat waktu kapan terakhir kali file tersebut di modifikasi, dengan contoh seperti waktu terakhir file tersebut di simpan
b. Access yaitu mencatat waktu kapan terakhir kalinya file tersebut dibaca atau diakses. Kebanyakan sistem operasi hanya mencatat berdasarkan tanggal
terakhir diakses, bukan waktu pada tanggal tersebut. Jadi yang ada hanya
tanggal berapa terakhir diakses, bukan jam berapa terkahir di akses atau di
baca.
c. Created yaitu mencatat waktu ketika file tersebuat pertama kalinya dibuat dalam sistem sebagai file baru.
Jadi timestamps merupakan salah satu file yang mana dapat digunakan untuk membuat urutan sebuah kejadian atau seperti
Gambar 2.1 MAC
Pada gambar diatas menunjukkan kapan file tersebut dibuat pertama kalinya,
kemudian menunjukkan kapan file atau data dimodifikasi dan disimpan kembali dan
juga yang terakhir menunjukkan kapan file tersebut di kelola oleh pengguna.
2. Deleted Data
Yang dimaksud dengan deleted data merupakan data yang dihapus dari sistem oleh pengguna karna alasan tertentu. Keuntungan dari tim forensik, sebagian besar
sistem operasi tidak sepenuhnya menghapus data tersebut. Tapi data tersebut akan
dipindahkan ke tempat penyimpanan baru yang tidak terlihat dan dapat di akses
kembali. Dikarenakan dengan menghapus data yang besar akan memakan waktu akan
kembali dan menimpanya kembali jika diperlukan. Hal yang di maksud memindahkan
ke area yang baru dengan contoh jika kita bisa menghapus file dengan menggunakan
deleted biasa, file atau data tersebutakan pindah ke Recycle bin. Sayangnya, krena file telah ditandai sebagai “file yang dihapus”, meta data file tersebut tidak bisa lagi
dianggap sepenuhnya dapat diandalkan, dengan begitu informasi yang berhubungan
dengan pencatatan waktu MAC nya (Modified, Accessed, Created) juga tidak akan dapat dihandalkan sebagai file tersebut masih berstatus Live Data.
3. Swap Space
Fitur lain yang umum terdapat pada sistem operasi dan aplikasi modern adalah
kemampuan untuk menggunakan perangkat penyimpanan seolah-olah mereka ada
bagian RAM. Perkambangan dari teknologi membuat perangkat seolah-olah memiliki
memori utama lebih besar, sebagai cara untuk menjaga biaya hardware lebih murah.
Bayangkan juka harus membeli RAM, pembelian akan menjadi sangat mahal karena
harga RAM rata-rata 10 kali lebih mahal dari pada media penyimpanan data seperti
hardisk.
Adapun konsep dari swap space adalah, ketika menjalankan sebuah program secara multitasking, maka program yang berjalan dibawah program utama akan menyimpan
secara otomatis pada suatu area yang disebut swap space, dan saat program tersebut kembali dibuka, fungsi-fungsi dari program itu akan tetap berjalan.
Proses swapping dilakukan secara otomatis oleh software. User hanya dapat menentukan beberapa banyak kapasistas disk yang dapat digunakan sebagai swap area,
tetapi tidak bisa memilih program atau bagian mana yang akan bertukar keluar atau
masuk.
Karena user tidak memiliki kontrol proses, sistem akan memonitor penggunaan
memori tersebut dan mengidentifikasi daerah yang paling sering digunakan. apa bila
untuk menyimpan ke swap area dan kembali mengalokasikannya untuk data yang baru
maupun program.
Karena pengguna tidak dapat kontrol proses yang terjadi, dapat mengakibatkan
data yang ada didalam swap tidak pernah dibuat kedalam hardisk untuk alasan tertentu.
Swap space pada umumnya menjadi sumber informasi yang baik tentang password
untuk menginskipsi file dan data yang sensitif lainnya. Karena swap space selalu tetap
digunakan, dan tidak adanya meta data didalam area swap maka akan sulit menentukan
catatan waktu untuk berkaitan data yang tersimpan didalamnya.
4. Slack Space
Salack space adalah data yang disimpan bersamaan dengan live data, tapi tidak
sengaja diletakkan disana oleh user. Dalam buku yang berbeda menurut Davis, (2009)
bahwa slack merupakan sisa dari data yang berada dalam sektor data yang telah
ditimpa.Salack space cendrung muncul karena karakteristik dari perangkat
penyimpanan dan file systems yang mengharuskan bahwa ada jumlah minium data
yang harus ditulis, atau membaca dari, perangakat penyumpanan. Ukuran yang tepat
dari satuan alokasi minimum (MAU) sebuah file atau data yang tersimpan dalam
hardiks, semakin bersar kesempatan slack space berisi data yang berguna bagi
penyelidikan.
Gamabr 2.2 Penggunaan Minimum Alocation Unit
Pada gambar 2.2 di atas menunjukkan penggunaan MAU yang menyebabkan
terjadinya slack space ketika data ditulis pada perangkat. dari keempat blok ini, tiga
blok benar-benar terisi data, tapi ada slack space pada block keempat berisi data tidak
dari RAM. Kesimpulan dari slack space dalam forensik yaitu terkadang slack space
ada meninggalkan jejak sisa data atau file yang bisa dikelola. Contohnya pengguna
menghapus sebuah data dalam hardisknya yang sama besar ukuran filenya tersebut
menghabiskan 8 block area. Setelah itu user membuat data baru dengan kapasistas haya
blok are. Jadi sisa dari block area tersebut masih meninggalkan jejeak inforamasi file
yang telah dihapus sebelumnya oleh user, untuk mendapatkan informasi ini bisa di
dapat menggunakan software forensik untuk dianalisa oleh ahli forensik untuk
Referensi
[1]. Marshall, A. M. (2008). Digital Forensics : Digital Evidence in Criminal Investigation. Inggris: A John Wiley & Sons, Ltd
[2]. Davis, C. (2009). Hacking Exposed Computer Forensics, Second Edition.
[3]. Slack Space. (n.d.). Retrieved November 15, 2017,
