Forensik digital menyelidiki apa yang terjadi setelah insiden keamanan. Para penyelidik mengumpulkan bukti dari disk, memori, log jaringan, dan perangkat seluler. Mereka menyimpannya dengan hati-hati agar dapat digunakan di pengadilan. Pekerjaan ini sebagian bersifat teknis, sebagian lagi prosedural. Satu langkah yang salah dapat membuat bukti tidak dapat diterima. Rantai pengawasan, pencegah penulisan, dan verifikasi hash adalah praktik standar.

Investigasi menjawab pertanyaan-pertanyaan. Bagaimana penyerang masuk? Apa yang mereka akses? Berapa lama mereka berada di dalam sistem? Apakah mereka berhasil mengekstrak data? Jawaban-jawaban tersebut membentuk respons dan strategi hukum. Forensik juga mendukung respons insiden. Memahami serangan membantu mengendalikannya dan mencegah terulangnya kejadian serupa. Alat-alat yang digunakan beragam, mulai dari perangkat lunak komersial seperti EnCase dan FTK hingga opsi sumber terbuka seperti Autopsy dan Volatility. Forensik memori sangat berharga karena malware seringkali hanya berada di RAM dan tidak meninggalkan jejak di disk. Forensik seluler merupakan spesialisasi tersendiri, dengan perangkat terenkripsi dan pencadangan cloud yang menambah kompleksitas. Bidang ini selalu tertinggal. Perangkat baru, sistem operasi baru, dan skema enkripsi baru menciptakan tantangan baru. Para penyelidik beradaptasi.

Sumber bukti forensik

• Citra disk — file, data yang dihapus, dan artefak.
• Memory dump — proses yang berjalan dan malware di RAM
• Log jaringan — pola lalu lintas dan koneksi
• Perangkat seluler — pesan, aplikasi, dan data lokasi

Ilmu forensik bukan hanya tentang menangkap penjahat. Ini tentang memahami apa yang terjadi agar hal itu tidak terjadi lagi.