Proses Forensik Digital DFIR Selepas Insiden Siber

Apakah DFIR dan Mengapakah Ia Berbeza daripada Penyelesaian Masalah IT?

DFIR menggabungkan dua disiplin: forensik digital yang memelihara bukti untuk analisis mendalam dan kegunaan undang-undang, serta respons insiden yang menumpukan perhatian kepada pembendungan dan pemulihan operasi. Berbeza daripada penyelesaian masalah IT biasa, DFIR mengutamakan integriti bukti. Setiap tindakan didokumentasikan, setiap fail dikira cincangannya (hash) dan setiap akses kepada bukti dicatatkan.

Bagi syarikat Malaysia, kualiti DFIR menentukan kejayaan tuntutan insurans siber, pelaporan kepada MaCERT/NACSA/BNM dan keupayaan mempertahankan diri dalam saman sivil oleh subjek data atau pelanggan. Kerja yang tergesa-gesa tanpa disiplin forensik boleh memusnahkan bukti yang penting selama-lamanya.

Rantaian Jagaan Bukti: Asas Bukti yang Boleh Dipertahankan

Rantaian jagaan bukti ialah dokumen yang mencatatkan siapa yang mengumpul, menyimpan, memindahkan dan menganalisis setiap item bukti, serta masa, lokasi dan cara perkara itu dilakukan. Tanpa rantaian jagaan bukti yang lengkap, bukti boleh dipertikaikan di mahkamah atau ditolak oleh pengawal selia.

Amalan terbaik merangkumi borang rantaian jagaan bukti bercetak atau digital yang ditandatangani pada setiap pemindahan, penyimpanan bukti dalam almari bukti berkunci dengan akses terkawal, pengiraan cincangan (SHA-256) bagi setiap imej sebelum dan selepas pemindahan, serta dokumentasi alat dan versi yang digunakan untuk pemerolehan bukti.

• Borang rantaian jagaan bukti untuk setiap item bukti.
• Cincangan SHA-256 sebelum dan selepas setiap pemindahan.
• Almari bukti berkunci dengan akses yang direkodkan.
• Dokumentasi alat, versi dan operator yang melakukan pemerolehan bukti.

Pemerolehan Bukti: Imej Cakera dan Longgokan Memori

Pemerolehan bukti (acquisition) ialah fasa pengumpulan bukti. Bagi hos yang dijangkiti, dua jenis pemerolehan adalah kritikal: longgokan memori (RAM) dan imej cakera (storan kekal). Memori mengandungi bukti meruap, iaitu proses yang sedang berjalan, sambungan rangkaian aktif dan kunci penyulitan yang tersimpan dalam memori, dan bukti ini hilang apabila kuasa dimatikan.

Imej cakera dibuat menggunakan alat seperti FTK Imager, dc3dd atau X-Ways untuk menghasilkan salinan bit demi bit (imej forensik) dalam format E01 atau mentah. Imej dihasilkan dengan penyekat tulis (write-blocker) untuk memastikan cakera asal tidak diubah suai. Longgokan memori dibuat menggunakan alat seperti WinPmem atau Magnet RAM Capture untuk menangkap RAM yang aktif.

Bagi persekitaran perusahaan dengan ratusan titik akhir, pemerolehan secara manual tidak praktikal. Velociraptor, Magnet AXIOM Cyber dan KAPE digunakan untuk pemerolehan terpilih (pengumpulan triaj) merentas seluruh persekitaran, iaitu mengambil artifak yang berkaitan sahaja (log peristiwa, prefetch, $MFT, cabang registri) untuk analisis pantas.

• Longgokan memori dahulu (sebelum sistem dimulakan semula): WinPmem, Magnet RAM.
• Imej cakera dengan penyekat tulis: FTK Imager, dc3dd, X-Ways.
• Pengumpulan triaj perusahaan: Velociraptor, KAPE, AXIOM Cyber.
• Forensik awan: syot kilat (snapshot) AWS/Azure/GCP dengan pengurusan identiti dan akses (IAM) yang ketat.

Analisis Forensik: Garis Masa, Penjejakan Silang IOC dan Korelasi

Selepas pemerolehan bukti, fasa analisis bermula. Objektif utamanya ialah membina semula garis masa serangan dari titik kemasukan pertama sehingga kesan akhir, mengenal pasti semua aset yang terjejas (skop impak) dan mengekstrak IOC untuk penjejakan silang merentas persekitaran.

Garis masa dibina daripada banyak sumber: log peristiwa Windows (Security, System, Application), log Sysmon, prefetch, ShimCache, AmCache, ScheduledTasks, $MFT, sejarah pelayar web dan log aplikasi. Alat seperti Plaso/log2timeline menghimpunkan sumber-sumber ini ke dalam satu garis masa induk (super timeline) yang boleh ditapis dan dianalisis.

Forensik memori menggunakan Volatility 3 atau Rekall untuk mengekstrak proses tersembunyi, DLL yang disuntik, sambungan rangkaian dan token kelayakan. Penemuan daripada memori sering mendedahkan teknik serangan tanpa fail yang tidak meninggalkan jejak pada cakera.

• Garis masa induk dengan Plaso/log2timeline dan Timesketch.
• Analisis memori dengan Volatility 3 / Rekall.
• Penjejakan silang IOC merentas persekitaran: pertanyaan EDR, peraturan YARA.
• Pengayaan risikan ancaman: VirusTotal, MISP, suapan pembekal.

Alat Standard Industri: X-Ways, EnCase, Volatility dan Velociraptor

Pasaran DFIR mempunyai beberapa alat yang menjadi standard industri. X-Ways Forensics dan EnCase Forensic ialah alat komersial untuk forensik cakera yang mendalam, dengan ciri pemulihan fail terpadam (carving), analisis tandatangan dan pelaporan. Magnet AXIOM popular untuk forensik peranti mudah alih (telefon pintar) dan awan.

Volatility 3 ialah standard sumber terbuka untuk forensik memori, dengan ratusan pemalam untuk pelbagai versi Windows, Linux dan macOS. Velociraptor (daripada Rapid7, diselenggarakan oleh komuniti) ialah platform forensik titik akhir dan pemburuan ancaman pada skala perusahaan. KAPE (Kroll Artifact Parser and Extractor) digunakan untuk pengumpulan triaj yang pantas.

Pilihan alat bergantung pada kes, tetapi disiplin proses (rantaian jagaan bukti, dokumentasi dan pengiraan cincangan) lebih penting daripada alat tertentu. Pasukan DFIR yang berpengalaman menggunakan gabungan 5–10 alat dalam setiap kes besar.

Pelaporan untuk Undang-Undang, Insurans dan Pengawal Selia

Hasil akhir kerja DFIR ialah laporan forensik bertulis. Laporan ini perlu memenuhi standard yang berbeza bergantung pada pembacanya: ringkasan eksekutif untuk lembaga pengarah, laporan teknikal terperinci untuk peguam dan pengawal selia, serta lampiran bukti untuk mahkamah jika perlu.

Komponen laporan yang lazim ialah ringkasan eksekutif, metodologi, rantaian jagaan bukti, penemuan (dengan garis masa dan IOC), analisis punca utama dan syor. Setiap dakwaan mesti disokong oleh bukti yang boleh dijejaki kepada artifak forensik tertentu, bukan pendapat tanpa sokongan.

Bagi tuntutan insurans siber, kualiti laporan menentukan jumlah tuntutan yang diluluskan. Bagi pelaporan kepada MaCERT/NACSA/BNM, format laporan biasanya perlu mengikut templat pengawal selia. Bagi litigasi, pernyataan saksi pakar perlu ditulis dengan teliti supaya bertahan semasa pemeriksaan balas.

Tuntutan Insurans dan Litigasi: Mengapakah DFIR Berkualiti Penting

Penanggung insurans siber semakin cekap menolak tuntutan yang lemah. Sebab penolakan yang lazim termasuk kekurangan kawalan prasyarat (pengesahan berbilang faktor, pengesanan dan respons titik akhir atau EDR, dan sandaran), kelewatan pemberitahuan serta kualiti forensik yang tidak mencukupi untuk membuktikan punca dan magnitud kerugian. Laporan DFIR yang lengkap dengan rantaian jagaan bukti yang ketat ialah pertahanan utama.

Dalam litigasi sivil, iaitu saman oleh subjek data PDPA atau pelanggan korporat yang menuntut pampasan perjanjian tahap perkhidmatan (SLA), bukti forensik yang boleh dipertahankan ialah keperluan asas. Tanpa DFIR yang berkualiti, plaintif boleh dengan mudah membuat dakwaan tanpa sangkalan teknikal.