Perbandingan Tools Forensics pada Fitur TRIM SSD NVMe Menggunakan Metode Live Forensics

Abstract

SSD saat ini memiliki teknologi media penyimpanan yang baru yaitu Solid State Drive Non-volatile Memory Express (SSD NVMe). Selain itu, SSD memiliki fitur bernama TRIM. Fitur TRIM memungkinkan sistem operasi untuk memberitahu SSD terkait block mana saja yang sudah tidak digunakan. TRIM berfungsi menghapus block yang telah ditandai untuk dihapus oleh sistem operasi. Namun fungsi TRIM memiliki efek atau nilai negatif bagi bidang forensik digital khususnya terkait dengan recovery data. Penelitian ini bertujuan untuk melakukan perbandingan fungsi TRIM disable dan enable guna mengetahui kemampuan tools forensics dan tools recovery dalam mengembalikan bukti digital pada SSD NVMe fungsi TRIM. Sistem operasi yang digunakan dalam penelitian ini adalah Windows 10 profesional dengan file system NTFS. Selama ini, teknik akuisisi umumnya digunakan secara tradisional atau static. Oleh karena itu diperlukan teknik untuk mengakuisisi SSD dengan menggunakan metode live forensics tanpa mematikan sistem operasi yang sedang berjalan. Penerapan metode live forensics digunakan untuk mengakuisisi SSD NVMe secara langsung pada fungsi TRIM disable dan enable. Tools yang digunakan untuk live akuisisi dan recovery adalah FTK Imager Portable dan Testdisk. Prosentase recovery TRIM disable menggunakan tool Autopsy dan Testdisk 100% sehingga dapat menemukan barang bukti dan menjaga integritas barang bukti, hal ini dibuktikan dengan nilai hash yang sama pada file asli dan file hasil recovery, Sedangkan tool Belkasoft hanya 3%. Sementara pada TRIM enable menggunakan tool Autopsy, Belkasoft, dan Testdisk 0%, file hasil recovery mengalami kerusakan dan tidak dapat di-recovery.

Implementation of Live Forensic Method on Fusion Hard Disk Drive (HDD) and Solid State Drive (SSD) RAID 0 Configuration TRIM Features

“…This section explains how researchers apply the live forensic method in recovering HDD and SSD fusion data with RAID 0 configurations with TRIM features based on the guidelines and requirements in the Indonesian National Standard (SNI) 27037:2014 [14]- [15]. These stages can be seen in Fig.…”

Comparative Analysis of Cloning-Hashing Applications for Securing Digital Evidence

“…The lack of trust in digital forensics processes and the absence of a set set of rules for evaluation provide a smooth and accessible avenue for defense attorneys to challenge the evidence in courtrooms [12]. They found several loopholes in the process of collecting and comparing evidence to create reasonable doubts over the accuracy and credibility of the evidence [13]. Some cases also dispute the validity of digital forensics applications and methods.…”

Analisa Kinerja Aplikasi Digital Forensik Autopsy untuk Pengembalian Data menggunakan Metode NIST SP 800-86

“…Seperti jika digunakan untuk menggali aktivitas transaksi dompet digital, autopsy dapat mengungguli aplikasi Belkasoft Evidence Center, dengan temuan sebanyak 8 aktivitas transaksi, sementara Belkasoft Evidence Center dengan temuan sebanyak 7 aktivitas transaksi [14]. Pada penelitian sebelumnya yang telah dilakukan oleh [15], dilakukan perbandingan untuk mengukur kinerja dari 3 aplikasi forensik untuk pengembalian data dengan media SSD yaitu Autopsy, Belkasoft, dan Testdisk, hasil akhir penelitian menunjukkan bahwa Persentase recovery TRIM disable dengan menggunakan aplikasi Autopsy dan Testdisk adalah 100% sehingga dapat menemukan barang bukti dan menjaga integritas dari barang bukti tersebut. Pada penelitian tersebut dapat dilihat bahwa aplikasi autopsy mempunyai potensi yang baik terutama untuk kategori kegiatan data recovery dengan media SSD.…”