Live Forensics Method for Acquisition on the Solid State Drive (SSD) NVMe TRIM Function

Abstract

SSD currently has a new storage media technology namely Solid State Drive Non-volatile Memory Express (SSD NVMe). In addition, SSD has a feature called TRIM. The TRIM feature allows the operating system to tell SSDs which blocks are not used. TRIM removes blocks that have been marked for removal by the operating system. However, the TRIM function has a negative effect for the digital forensics specifically related to data recovery. This study aimed to compare the TRIM disable and enable functions to determine the ability of forensics tools and recovery tools to restore digital evidence on the NVMe SSD TRIM function. The operating system used in this study was Windows 10 professional with NTFS file system. Typically, acquisition is conducted by using traditional or static techniques. Therefore, there was a need of a technique to acquire SSD by using the live forensics method without shutting down the running operating system. The live forensics method was applied to acquire SSD NVMe directly to the TRIM disable and enable functions. The tools used for live acquisition and recovery were FTK Imager Portable. The inspection and analysis phases used Sleutkit Autopsy and Belkasoft Evidence Center. This research found that in the recovery process of TRIM disabled and enabled, TRIM disabled could find evidence while maintaining the integrity of evidence. It was indicated by the same hash value of the original file and the recovery file. Conversely, when TRIM is enabled, the files were damaged and could not be recovered. The files were also not identical to the original so the integrity of evidence was not guaranteed.

Penerapan Metode K-Nearest Neighbor Dalam Mendeteksi Kerusakan SSD

“…Lain halnya dengan memori yang mudah menguap (volatile memory) seperti RAM, data yang sudah tersimpan pada SSD tidak akan hilang meskipun daya listriknya tidak ada. Menurut (Pranoto, 2020) penyimpanan SSD menggunakan non volatile memory yaitu memori yang datanya dapat ditulis dan dihapus, tetapi tetap ada walaupun dalam kondisi mati (off) karena SSD tidak menggunakan disk magnetis seperti Harddisk tradisional. Sedangkan menurut (Ramdhan, R.A, Y.Prayudi, dan B, 2017) SSD singkatan dari Solid State Drive atau Solid State Disk, adalah perangkat penyimpan data yang menggunakan rangkaian IC sebagai memori untuk menyimpan data atau informasi.…”

Analisis Forensik Metadata Kamera CCTV Sebagai Alat Bukti Digital

“…Digital forensic memiliki dua kategori alat bukti berupa bukti fisik dan bukti digital. Istilah lain bukti fisik dan bukti digital disebut sebagai bukti elektronik dan bukti digital, dimana alat bukti elektronik memiliki bentuk fisik dan bentuk yang dapat dilihat visual, seperti personal computer, smartphone, kamera, hard disk dan lain-lain [4] [5], sedangkan alat bukti berupa digital merupakan alat bukti yang diekstrak atau diperoleh kembali dari alat bukti elektronik bisa berupa file, email, pesan, gambar, video, log maupun teks [6].…”

“…Selanjutnya, dalam mencari 5 karakteristik Chain of Custody pada rekaman kamera CCTV diperlukan sebuah kerangka kerja Common Phases of Computer Forensics Investigation Models [11] dengan metodologi live forensic [5] dalam mengambil objek komponen dari artefak bukti digital dalam keadaan aktif. Teknik yang diperlukan dalam menganalisis hasil rekaman kamera CCTV, informasi metadata dan Hash suatu file yang terkandung dalam video memerlukan prinsip ilmu digital forensik, karena alat bukti digital pada dasarnya memiliki ciri yang mudah digandakan dan ditransmisi sehingga sangat rentan dilakukan modifikasi dan menghilangkan data yang ada serta mudah dikontaminasi oleh data yang baru dan sensitif terhadap waktu sehingga dibutuhkan sebuah kerangka kerja ilmiah untuk proses investigasi.…”

Analisis Digital Forensik Rekaman Kamera CCTV Menggunakan Metode NIST (National Institute of Standards Technology)

“…Tahap collection merupakan tahap mengidentifikasi, pelabelan, rekaman serta pengambilan data dari sumber data yang relevan secara prosedural agar tetap terjaga integritas dari data yang di dapat dari rekaman kamera. Pelabelan alat bukti pada penelitian ini didapat dari jenis kamera CCTV stand alone jenis DVR yang merupakan jenis perangkat elektronik perekam video menjadi format digital ke dalam media seperti HDD, USB Flash Disk, SSD maupun CD [14] (compression/decompression), yaitu channel yang dapat menentukan mono maupun stereo untuk rekaman jenis audio dan ukuran stream. Ekstraksi ini mendapkan informasi audio dengan format ADPCM (Adaptive differential pulse-code modulation) yang menjelaskan langkah kualitas data yang diperlukan untuk rasio sinyal terhadap noise atau sinyal-sinyal yang tidak diingikan dalam suatu sistem informasi.…”