Digital Forensics

Urutan akuisisi: materi paling volatil diambil lebih dulu (RFC 3227):

  1. Memori (RAM)
  2. Live state (koneksi, proses, cache)
  3. Disk image
  4. Log arsip & backup

  dc3dd if=/dev/sda of=/evidence/disk.dd hash=sha256

Chain of custody wajib: - Catat siapa, kapan, di mana, bagaimana bukti diambil - Hitung hash (SHA-256) sebelum dan sesudah - Simpan di media terpisah dan terkontrol

  sha256sum disk.dd > disk.dd.sha256

Bukti yang integritasnya tak terbukti tak berguna di pengadilan. Preservasi > analisis.