Akusisi file

Persiapan

Assalamualaikum, untuk memulai tutorial kali ini terkait cara melakukan akuisisi (Imaging / Acquisition) pada Media Penyimpanan, terdapat beberapa hal yang perlu disiapkan guna lancarnya tutorial cara akuisisi ini, yaitu :

1. Akuisisi menggunakan DD, Siapkan Kali Linux sebagai sistem yang akan melakukan proses akuisisi, atau bisa menggunakan Bootable USB Kali Linux.
2. Akuisisi menggunakan FTK Imager pada Windows + Write Blocker
3. Media Penyimpanan yang akan di akuisisi (Mis. Thumb Drive / Flash Drive)

Proses Akuisisi

A. AKUISISI MENGGUNAKAN DD DENGAN TOOL DC3DD PADA KALI LINUX

• Setelah Anda berhasil masuk kedalam sistem Kali Linux, kemudian colokkan Media Penyimpanan pada USB Port Laptop yang nantinya akan di akuisisi.

Gambar A1. Tampilan Dekstop sistem Kali Linux yang sudah terpasang Media Penyimpanan pada USB Port Laptop

• Kemudian buka Terminal pada Kali Linux, kemudian ketikkan printah print -l yang berfungsi untuk melihat daftar Media Penyimpanan yang ada pada Device (Laptop) kemudian akan muncul list Media Penyimpanan baik secara Physical Storage atau Logical Storage. Pada gambar sebelumnya (Gambar A2) terdapat informasi yang muncul yakni Disk /dev/sda : 465.8 GiB, maksudnya yaitu Media tersebut tergolong informasi Physical Storage dengan ukuran 465 GiB dengan Path System yaitu /dev/sda, lalu ada drive lain juga dengan path /dev/sdb dengan ukuran 8GiB yang merupakan Thumbdrive sebagai USB Bootable.

Gambar A2. Perintah fdisk -l berfungsi untuk melihat daftar Media Penyimpanan yang terinstall oleh sistem

• Setelah mengetik printah fdisk -l , kemudian scroll agak kebawah, lalu akan muncul informasi Media Penyimpanan yg akan di akuisisi, kebetulan karena ukuran Thumb Drive sama berukuran 8GiB. Path Media penyimpanan yang akan diakuisisi berada pada /dev/sdc

Gambar A3. Media Penyimpanan yg akan di akuisisi terletak pada path /dev/sdc

• Kemudian untuk perintah memulai akuisisi, ketikkan format perintah seperti ini : dc3dd if=/dev/media_yg_diakuisisi of=lokasi_hasil_akuisisi/nm_file.dd hash=md5 . Jadi contoh yg pada tutorial ini yaitu terlihat pada gambar dibawah :

Gambar A4. Perintah untuk memulai akuisisi

• Kemudian jika proses berhasil, maka akan tampil informasi hasil proses akuisisi dan juga termasuk terbentuk nya hash pada hasil akuisisi dan yang paling penting ada informasi dc3dd completed at waktu_selesainya_akuisisi

Gambar A5. Informasi yang dihasilkan ketika selesai proses akuisisi

B. AKUISISI MENGGUNAKAN FTK IMAGER + WRITEBLOCKER PADA WINDOWS

• Langkah pertama yaitu, install Software WriteBlocker seperti installasi software biasa nya.
• Selanjutnya klik kanan lalu properties pada shortcut aplikasi WriteBlocker yang ada di desktop, Centang Run Compatibility Mode dan pilih menjadi Windows Vista, lalu centang Run this program as an administrator

              Gambar B1. Pengaturan Compatibility Program

• Selanjutnya jalankan aplikasi WriteBlocker sebelum mencolokkan Media Penyimpanan yang akan di akuisisi. Lalu aktifkan WriteBlocker dengan memilih USB Write Block Enable pada pilihan Write Block Options. Kemudian Klik tombol Apply untuk mengaktifkan.

Gambar B2. Memilh Opsi USB Write Block Enable

Gambar B3. respon ketika mengklik tombol apply

Gambar B4. Aplikasi Write Blocker sudah aktif (Enabled)

• Colokkan Media penyimpanan Anda setelah Write Block sudah aktif, kemudian buka Aplikasi FTK Imager untuk memulai melakukan akuisisi.

Gambar B5. Tampilan Utama FTK Imager

• Buka menu File, lalu pilih Create Disk Image.

Gambar B6. Create Disk Image untuk memulai akuisisi

• Selanjutnya pilih Physical Drive. Karena kita akan melakukan akuisi drive beserta struktur file yang ada pada disk/device media penyimpanan tersebut.

Gambar B7. Memilih Physical Drive untuk mengakuisisi secara fisikal

• Kemudian pilih Drive mana yang akan di akuisisi, sebagai bantuan, Anda bisa menjadikan Ukuran media penyimpanan sebagai acuan device/drive mana yang akan di akuisisi.

Gambar B8. Memilih Drive yg ingin di akuisisi

• Kemudian memilih Destination Image Type atau ekstensi file hasil akuisisi.

Gambar B9. memilih Destination Image Type atau ekstensi file akuisisi

• Selanjutnya mengisi Informasi Evidence.

Gambar B10. mengisi informasi dari evidence item

• Lalu memilih Image Destination atau tujuan lokasi penyimpanan hasil akuisisi beserta nama file dan ektensi nya, usahakan free space yang disediakan tempat tujuan file akuisisi harus lebih besar dari ukuran drive media penyimpanan yang di akuisisi. Kemudian pada opsi Image Fragment Size (dengan satuan MB), berikan nilai 0 agar file hasil akuisisi tidak terpecah (split) menjadi beberapa bagian. Misalkan jika Anda mengisi 1024, maka nanti file hasil akuisisi akan berjumlah 8, karena ukuran media penyimpanan yang diakuisisi sebesar 8 MB (1024MB atau 1GB di kalikan 8). kemudian klik tombol Finish.

Gambar B11. memilih folder tujuan dari file akuisisi

• Kemudian akan muncul windows untuk mengkonfirmasi dari proses sebelumnya yaitu sumber yang akan di dijadikan image dan tujuan file image. Kemudian klik tombol start.

Gambar B12. Tampilan jendela konfirmasi sebelum melakukan proses Create Image

• Tunggu proses hingga selesai

Gambar B13. Proses pembuatan Image dan Verifikasi Image

• Hasil proses pembuatan image sudah selesai dan menghasilkan informasi seperti nama file, dan hasil verifikasi berupa hash file.

Gambar B14. proses akuisisi dan telah berhasil di verifikasi

C. MEMVERIFIKASI HASH DARI HASIL AKUISI DARI KEDUA TOOLS

Selanjutnya untuk memverifikasi Hash dari hasil file akuisisi dc3dd dan FTK Imager dapat dilakukan dengan banyak cara, bisa menggunakan aplikasi atau melalui terminal pada linux. Berikut contoh mudahnya melalui penggunaan terminal pada linux

Gambar B15. Hasil verifikasi Hash kedua file hasil akuisisi terlihat sama.