Mengungkap Jejak Digital yang Terhapus: Konsep Data Carving dan Praktiknya di Kali Linux

Penulis : Dedy Suhariyanto

Halo teman-teman mahasiswa pasca sarjana Teknik informatika Universitas Pamulang yang saya banggakan, karyawan ataupun enthusiat dunia IT! Pernahkah kalian secara tidak sengaja memformat flashdisk atau menghapus file penting sesaat sebelum deadline tugas? Panik, kan? Tapi di dunia Data Forensics, kita tahu satu rahasia besar: “Terhapus bukan berarti hilang sepenuhnya.” Sedikit cerita terkait get data back, dulu sewaktu masih sebagai teknikal  support  salah satu jobdesk yang tidak tertulis adalah di mintain tolong mengambil data yang sudah ke format atau corrupt oleh rekan rekan karyawan. Bonus dari pekerjaan ini adalah banyak data yang tak terduga akhirnya bisa di akses kembali, tentunya ada data yang pribadi sekali dan terkadang beberapa data yang terkena virus pun bisa tidak sengaja akan running di pc kita, tapi ga ngaruh karena operating system yang saya gunakan linux, tapi artikel kali ini saya tidak menceritakan pengalaman saya tersebut tapi di artikel kita kali kita akan membedah salah satu teknik paling fundamental dalam investigasi forensik digital, yaitu Data Carving. Kita akan membahas sains di balik bagaimana data disimpan, mengapa data yang “dihapus” masih bisa diselamatkan, dan tentu saja, kita akan langsung mempraktikkannya menggunakan tools yang ada di Kali Linux yang saya running di virtual machine saya.

Bagi kalian yang sedang mencari topik riset tesis di bidang Keamanan Siber atau Forensik Digital, teknik ini adalah dasar yang wajib dipahami!

Membedah Konsep Ilmiah: Mengapa Data Masih Ada?

Untuk memahami forensik, kita harus paham bagaimana sistem operasi (seperti Windows, Linux, atau macOS) menyimpan data. Saat kita menyimpan sebuah file, sistem operasi melakukan dua hal:

• Menyimpan isi data (konten file) ke dalam blok fisik di dalam storage (hard disk/flashdisk).
• Membuat sebuah “Peta” atau “Pointer” di dalam File System (seperti FAT32 atau NTFS) yang mencatat di mana lokasi fisik data tersebut berada.

Apa yang terjadi saat kita menekan tombol “Delete”?

Secara ilmiah, sistem operasi tidak benar-benar menghancurkan isi data tersebut karena proses itu memakan waktu. Yang dilakukan OS hanyalah menghapus “Pointer” atau petunjuk lokasinya saja. Ruang yang tadinya berisi data kita kini ditandai sebagai Unallocated Space (ruang kosong yang siap ditimpa data baru).

Selama blok fisik tersebut belum ditimpa (overwritten) oleh data baru, isi file lama kita masih bersemayam utuh di dalam storage.

Mengenal Data Carving dan Magic Numbers

Lalu, jika petanya sudah dihapus, bagaimana cara kita menemukan file tersebut? Di sinilah teknik Data Carving bekerja.

Data Carving adalah proses mengekstrak sekumpulan data dari dalam storage tanpa bergantung pada File System. Teknik ini bekerja dengan cara membaca storage secara byte-by-byte, mencari pola unik yang disebut File Signature atau Magic Numbers.

Setiap format file memiliki header (kepala) dan footer (ekor) berupa heksadesimal (hex) yang identik. Contohnya:

• File JPEG selalu dimulai dengan heksadesimal: FF D8 FF E0 dan diakhiri dengan FF D9.
• File PDF dimulai dengan: 25 50 44 46 (yang jika diterjemahkan ke ASCII berbunyi %PDF).

Tools forensik akan mencari header ini, lalu menyalin data ke bawahnya hingga menemukan footer, dan voila! File yang terhapus berhasil direkonstruksi.

Sesi Praktik: Data Carving Menggunakan Kali Linux

Sekarang, mari kita buktikan teori di atas. Kita akan menggunakan Kali Linux, OS favorit para cybersecurity enthusiast. Kita akan menggunakan dua tools bawaan: dd untuk imaging (kloning barang bukti) dan foremost untuk carving.

Skenario: Kita memiliki flashdisk (atau file image) yang berisi gambar penting yang baru saja terformat atau terhapus.

Terlihat pada tampilan desktop di kali linux terdapat drive dari flashdisk dengan 2 file yang masih belum di delete sebagai bahan percobaan

Langkah 1: Kloning Barang Bukti (Bit-Stream Imaging)

Dalam forensik digital, aturan emas pertama adalah: Jangan pernah mengutak-atik barang bukti asli. Kita harus membuat kloning bit-per-bit dari flashdisk tersebut.

Buka terminal di Kali Linux, cari path flashdisk kalian (misal: /dev/sdb), lalu jalankan perintah kloning:

sudo dd if=/dev/sdb of=barang_bukti.img bs=4M status=progress

• if (input file) = lokasi flashdisk asli.
• of (output file) = file image hasil kloning yang akan kita analisis.

bs = block size untuk mempercepat proses.

Langkah 2: Proses Data Carving dengan Foremost

Setelah file barang_bukti.img selesai dibuat, kita akan membedahnya menggunakan Foremost, sebuah program carving open-source yang awalnya dikembangkan oleh agen khusus dari US Air Force Office of Special Investigations.

Jalankan perintah berikut di terminal:

sudo foremost -t jpeg,pdf -i barang_bukti.img -o hasil_recovery

• -t = tipe file yang ingin dicari (misalnya jpeg dan pdf). Jika dikosongkan, ia akan mencari semua jenis file.
• -i = input file image kita.
• -o = folder tempat menyimpan file yang berhasil diselamatkan.

Langkah 3: Verifikasi Hasil

Masuk ke folder hasil_recovery yang baru saja dibuat. Di dalamnya, Foremost secara otomatis menyortir file yang berhasil diselamatkan ke dalam folder berdasarkan ekstensinya (misal: folder pdf/, jpg/). Buka folder tersebut, dan kalian akan melihat file-file yang sebelumnya “terhapus” kini kembali dari kematian!

Kesimpulan dan Peluang Riset Tesis

Praktik Data Carving membuktikan bahwa menghapus file dari antarmuka OS tidak menjamin data tersebut hilang. Dari kacamata keamanan, ini adalah alasan mengapa kita butuh teknik Wiping atau enkripsi data sebelum membuang storage lama.

Peluang Riset Tesis:
Bagi teman-teman yang sedang bingung mencari topik tesis, area ini sangat luas untuk diteliti. Kalian bisa meneliti:

• Komparasi algoritma recovery tools (Foremost vs Scalpel vs Photorec) pada berbagai jenis File System modern (seperti APFS atau ext4).
• Tingkat keberhasilan Data Carving pada storage berbasis Solid State Drive (SSD) yang memiliki fitur TRIM aktif.

Semoga artikel ini bermanfaat dan memberi pencerahan untuk perkuliahan Data Forensic kita. Jangan gunakan ilmu ini untuk kejahatan, ya! Tetap beretika, dan selamat bereksplorasi di dunia Digital Forensics!