Tinjauan Literatur : Forensik Digital pada Lingkungan Manufaktur (SCADA, ICS, dan IIoT)

 1. Fondasi dan Urgensi Forensik Digital

Seiring dengan bertransisinya sistem industri dan aktivitas harian menuju otomatisasi berbasis Industrial Internet of Things (IIoT), Cyber-Physical Systems (CPS), dan Supervisory Control and Data Acquisition (SCADA), integrasi antara Teknologi Informasi (Information Technology/IT) dan Teknologi Operasional (Operational Technology/OT) menjadi tak terelakkan (Kebande & Awad, 2024). Dahulu, sistem kontrol industri beroperasi secara terisolasi dari jaringan publik (Awad dkk., 2018; Karabiyik dkk., 2018; Spyridopoulos dkk., 2013). Namun, tuntutan konektivitas dan efisiensi modern mendorong sistem-sistem kritis ini terhubung ke jaringan bisnis dan internet (Thron dkk., 2022). Hal ini membuka celah potensi serangan siber yang amat luas (Spyridopoulos dkk., 2013).

Dalam konteks ini, forensik digital muncul sebagai pilar pertahanan dan respons insiden yang amat krusial. Thron dkk. (2022) menegaskan bahwa forensik digital merupakan bagian penting dari strategi pertahanan siber ketika insiden keamanan terjadi. Forensik digital bukan sekadar kegiatan ekstraksi data mentah atau pencatatan sistem, melainkan disiplin ilmu pengetahuan yang terstruktur, dengan unsur seperti otoritas pencarian yang sah, rantai pemeliharaan bukti (chain of custody), validasi, repetabilitas, dan pelaporan (Thron dkk., 2022). Disiplin ini bertujuan merekonstruksi peristiwa siber, membuktikan keabsahan fakta, serta memastikan akuntabilitas atas insiden keamanan (Karabiyik dkk., 2018).

Definisi Forensik Digital: Forensik digital adalah proses ilmiah yang mencakup akuisisi (acquisition), pemeriksaan (examination), analisis (analysis), dan pelaporan (reporting) atas bukti digital yang ditemukan pada perangkat elektronik atau jaringan, guna mengungkap tindak kejahatan siber, menentukan skenario serangan, serta menyajikan temuan yang sah secara hukum (admissible in court) (Karabiyik dkk., 2018; Thron dkk., 2022).

Secara strategis, penerapan forensik digital dalam organisasi dan penegakan hukum memiliki 3 tujuan utama:

• Atribusi Pelaku dan Pembuktian Hukum: Mengidentifikasi secara pasti siapa yang melakukan serangan (who), metode apa yang digunakan (how), serta kapan serangan terjadi (when), sehingga bukti yang dikumpulkan memenuhi syarat legalitas untuk membawa pelaku ke meja hijau (Karabiyik dkk., 2018; Pandian dkk., 2024).
• Pemulihan Aset Digital: Membantu organisasi melacak, mengisolasi, dan memulihkan aset digital yang dicuri, dirusak, atau dikompromikan (seperti data finansial, kekayaan intelektual, dan informasi pribadi), sehingga meminimalkan kerugian finansial maupun operasional (Pandian dkk., 2024).
• Respons Insiden dan Intelijen Ancaman: Menganalisis cakupan serta dampak serangan guna memahami celah kerentanan yang dieksploitasi (Pandian dkk., 2024). Pemahaman ini selanjutnya digunakan untuk memperkuat arsitektur pertahanan siber organisasi dari ancaman serupa di masa depan (Spyridopoulos dkk., 2013).

2. Lanskap Ancaman Siber Modern

Lanskap kejahatan siber saat ini sangat dinamis dan beragam. Para pelaku kejahatan siber (cybercriminals) memanfaatkan berbagai strategi teknis dan manipulasi psikologis untuk mengeksploitasi kerentanan dalam sistem individual, korporasi, hingga infrastruktur fisik kritis (Pandian dkk., 2024).

Salah satu studi kasus historis paling ikonik yang membuka mata dunia industri adalah serangan malware Stuxnet pada Juli 2010. Stuxnet merupakan malware teridentifikasi pertama yang dirancang secara khusus untuk menyerang sistem otomatisasi industri, dan diperkirakan menginfeksi 50.000 hingga 100.000 komputer di seluruh dunia (Karabiyik dkk., 2018). Malware ini diyakini menyebabkan kerusakan signifikan pada program nuklir Iran (Thron dkk., 2022; Karabiyik dkk., 2018). Kasus Stuxnet menunjukkan bahwa isolasi jaringan saja bukan pertahanan yang efektif secara mutlak untuk menjamin keamanan sistem kritis (Karabiyik dkk., 2018).

Berdasarkan data studi investigasi forensik yang dilaporkan Pandian dkk. (2024), berikut perbandingan kategori ancaman siber utama beserta frekuensi kejadiannya:

Kategori Ancaman	Frekuensi Kasus	Mekanisme / Tujuan Utama	Dampak terhadap Korban
Malware Attacks	45 kasus	Pengiriman kode berbahaya (virus, worm, Trojan, ransomware) untuk merusak atau mengambil alih sistem.	Kerusakan sistem, penyanderaan data, penghentian operasional, dan kerugian finansial skala besar.
Phishing	30 kasus	Pengelabuan berbasis manipulasi psikologis untuk memancing korban menyerahkan kredensial sensitif.	Pencurian identitas, akses ilegal ke akun sensitif, dan awal masuknya intrusi jaringan.
Data Breaches	22 kasus	Penetrasi ilegal ke dalam basis data atau sistem penyimpanan untuk mengekstraksi informasi rahasia.	Kebocoran data pribadi/korporasi, sanksi regulasi, dan hilangnya kepercayaan publik.
Identity Theft	18 kasus	Penggunaan data pribadi orang lain tanpa izin untuk keuntungan finansial atau tindakan kriminal.	Kerugian finansial pribadi korban dan penipuan atas nama identitas tercuri.
Cyber Espionage	15 kasus	Pencurian rahasia dagang, kekayaan intelektual, atau data geopolitik oleh entitas terorganisasi.	Kerugian daya saing bisnis, ancaman keamanan nasional, dan kebocoran rahasia strategis.

3. Peta Bukti Digital dan Perangkat Analisis Forensik

Dalam sebuah investigasi, bukti digital (digital evidence) dapat tersebar di berbagai lapisan infrastruktur teknologi. Pengumpulan bukti harus dilakukan secara komprehensif karena setiap komponen menyimpan rekam jejak (breadcrumbs) aktivitas sistem yang berbeda (Karabiyik dkk., 2018; Pandian dkk., 2024).

Identifikasi dan pemetaan artefak digital pada setiap lapisan arsitektur SCADA/ICS/IIoT sangat krusial untuk merekonstruksi garis waktu kejadian (timeline analysis) saat terjadi insiden siber. Thron dkk. (2022) menyebut sumber data sebagai pusat analisis forensik dan menekankan perlunya mengidentifikasi sejak tahap perencanaan data yang belum tersedia. Penyusunan lini masa peristiwa merupakan inti fase analisis dalam model Karabiyik dkk. (2018) maupun Spyridopoulos dkk. (2013).

Awad dkk. (2018) menggambarkan arsitektur SCADA sebagai pusat kontrol (historian, MTU, HMI), jaringan komunikasi, dan perangkat lapangan (PLC, RTAC, RTU). Kebande dan Awad (2024) menggunakan model empat lapisan, yaitu persepsi, jaringan, kontrol, dan aplikasi. Pada laboratorium Karabiyik dkk. (2018), infrastruktur dibagi ke zona HMI, zona SCADA, dan zona korporat/eksternal. Empat zona di bawah ini merupakan sintesis penulis modul dari rujukan-rujukan tersebut, bukan klasifikasi yang diusulkan satu sumber tunggal.

Berdasarkan data Pandian dkk. (2024), berikut 5 sumber bukti digital utama beserta frekuensi penemuannya dalam kasus:

1. Komputer dan Laptop (65 kasus): Sumber bukti paling dominan, menyimpan file sistem, registry, arsip dokumen, serta artefak memori volatil (Pandian dkk., 2024).
2. Log Jaringan / Network Logs (55 kasus): Menyediakan catatan lalu lintas komunikasi, alamat IP sumber/tujuan, stempel waktu, dan pola komunikasi antar-perangkat, yang membantu merekonstruksi peristiwa digital (Pandian dkk., 2024).
3. Perangkat Seluler / Mobile Devices (42 kasus): Smartphone dan tablet yang menyimpan data lokasi (GPS), pesan singkat, log panggilan, dan riwayat aplikasi (Pandian dkk., 2024).
4. Layanan Awan / Cloud Services (28 kasus): Log akses jarak jauh, penyimpanan file virtual, dan aktivitas basis data terdistribusi (Pandian dkk., 2024).
5. Media Portabel / Removable Media (12 kasus): USB flash drive dan hard disk eksternal yang kerap digunakan sebagai media ekstraksi data atau vektor infeksi awal (Pandian dkk., 2024). Studi kasus serangan malware berbasis USB pada lingkungan ICS dibahas oleh Betts dkk. (dalam Awad dkk., 2018).

Untuk mengekstraksi dan menganalisis data dari berbagai sumber bukti di atas, investigator forensik mengandalkan seperangkat alat dan teknik khusus. Frekuensi penggunaannya menurut Pandian dkk. (2024) disajikan berikut:

Alat / Teknik Forensik	Frekuensi Penggunaan	Fungsi Utama bagi Investigator
Disk Imaging Software	70 kasus (70%)	Membuat salinan forensik identik (bit-for-bit replica) dari media penyimpanan dengan tetap mempertahankan metadata dan stempel waktu (timestamps) asli.
File Recovery Software	60 kasus	Mengidentifikasi dan memulihkan file yang telah terhapus, tersembunyi, atau terfragmentasi di dalam struktur sistem file.
Network Packet Analyzer	48 kasus	Memeriksa log lalu lintas jaringan, menganalisis paket data, serta mengidentifikasi titik masuk intrusi dan pola komunikasi mencurigakan.
Memory Forensics Tools	35 kasus	Menganalisis memori volatil (RAM) saat sistem berjalan untuk menemukan proses tersembunyi, enkripsi, dan malware aktif.
Malware Analysis Platforms	25 kasus	Mengisolasi, mendekripsi, dan membongkar (reverse engineering) sampel malware untuk mengidentifikasi perilaku serta Indicators of Compromise (IoC).

Penting untuk dipahami bahwa alat forensik umum di atas berkaitan langsung dengan lingkungan industri (OT). Pada laboratorium yang dilaporkan Karabiyik dkk. (2018), Wireshark dipasang untuk mendeteksi dan menyaring lalu lintas jaringan SCADA dan protokol basis data, sementara Microsoft SQL Server merekam peristiwa PLC, data sensor, dan informasi alarm. Secara konseptual, kombinasi keduanya dapat menjadi instrumen kunci untuk membuktikan titik awal serangan Denial of Service (DoS) berbasis UDP flooding dan mengorelasikan dampaknya terhadap proses fisik. Wireshark dapat digunakan untuk menangkap lonjakan abnormal lalu lintas paket UDP di level jaringan, sedangkan basis data historian merekam kegagalan pembaruan telemetri sensor secara temporal. Perlu dicatat bahwa Karabiyik dkk. (2018) melaporkan bukti serangan terutama dari perubahan nilai pada basis data dan HMI, sedangkan tangkapan paket yang mendokumentasikan banjir UDP tidak disajikan dalam hasilnya.

Ketersediaan alat analisis forensik yang canggih tidak akan memberikan hasil yang sah di mata hukum tanpa didukung oleh alur kerja investigasi yang terstruktur dan terstandarisasi.

4. Metodologi Investigasi Forensik 7-Langkah

Guna memastikan proses investigasi berjalan secara ilmiah, terulang (repeatable), dan diakui secara hukum (forensically sound), investigator forensik digital menggunakan kerangka kerja berurutan (Thron dkk., 2022). Pada lingkungan SCADA/ICS, metodologi ini disesuaikan menjadi Metodologi Investigasi 7-Langkah yang diusulkan oleh Wu dkk. (2013) dan diadopsi oleh Karabiyik dkk. (2018).

Rincian Fase Investigasi:

1. Phase 1: Identification & Preparation
• Memahami arsitektur operasional sistem (komponen IT, OT, dan SCADA/ICS) (Karabiyik dkk., 2018). Informasi minimal yang perlu dikumpulkan mencakup diagram jaringan, detail konfigurasi, dan change log bila tersedia (Spyridopoulos dkk., 2013).
• Menentukan cakupan investigasi dan legalitas/yurisdiksi hukum, serta menyiapkan tim multidisiplin (Pandian dkk., 2024). Alat yang dipilih perlu diuji bersama sumber datanya (Thron dkk., 2022) dan menggunakan perangkat yang tervalidasi (Ghoshal & Janghu, 2023).
2. Phase 2: Identifying Data Sources
• Mengidentifikasi pengontrol sistem (PLC, RTU, HMI, database Historian), jenis data yang dapat dikumpulkan, dan lokasinya (Karabiyik dkk., 2018; Spyridopoulos dkk., 2013).
• Mencatat seluruh tindakan awal secara ketat ke dalam dokumentasi resmi, karena dokumentasi pada fase ini esensial bagi investigasi yang forensically sound (Karabiyik dkk., 2018).
3. Phase 3: Preservation, Prioritizing, & Collection
• Mengamankan lokasi fisik dan logis perangkat dari perusakan atau akses tanpa izin (Pandian dkk., 2024), serta menyimpan data yang ditangkap pada media eksternal di tempat yang aman (Spyridopoulos dkk., 2013). Data bervolatilitas tinggi diprioritaskan lebih dulu, dengan urutan mulai dari register dan cache, tabel routing dan ARP, memori, sistem berkas sementara, hingga disk (Spyridopoulos dkk., 2013).
• Urgensi Kritis, Live vs. Static Acquisition pada Ekosistem OT: Pada sistem TI konvensional, pemutusan daya (power off) sering dilakukan untuk pengambilan citra statis, sehingga seluruh data volatil hilang (Awad dkk., 2018; Karabiyik dkk., 2018). Pada ekosistem IIoT/SCADA yang mengontrol infrastruktur kritis (seperti pembangkit listrik atau fasilitas pengolahan air), integritas dan keselamatan proses fisik dapat terganggu oleh metode forensik, dan banyak perangkat tidak dapat begitu saja dimatikan (Thron dkk., 2022). Dampak serangan terhadap OT dapat meluas hingga kerusakan fisik, gangguan produksi, dan risiko keselamatan publik (Ghoshal & Janghu, 2023). Oleh karena itu, investigasi SCADA umumnya mengandalkan Live Acquisition (pengambilan data saat sistem berjalan) guna mengekstraksi artefak volatil pada memori RAM dan data jaringan yang terancam hilang jika daya dimatikan (Karabiyik dkk., 2018; Thron dkk., 2022). Metode Static Acquisition (kloning disk dalam kondisi mati) hanya diterapkan jika komponen telah terisolasi secara aman tanpa mengganggu kelangsungan operasional kritis.
4. Phase 4: Examination
• Menerapkan teknik pemfilteran data untuk mereduksi informasi yang tidak relevan (Karabiyik dkk., 2018).
• Menggunakan perangkat lunak pemulihan (recovery tools) dan pencitraan (imaging) untuk memunculkan artefak tersembunyi (Karabiyik dkk., 2018; Pandian dkk., 2024).
5. Phase 5: Analysis
• Menganalisis artefak yang berhasil dipulihkan dan menyusun lini masa peristiwa (timeline of events) (Karabiyik dkk., 2018; Spyridopoulos dkk., 2013).
• Mengkorelasikan log jaringan, perubahan data sensor, dan aktivitas eksekusi file untuk membuktikan metode serangan (Karabiyik dkk., 2018; Pandian dkk., 2024).
6. Phase 6: Reporting & Presentation
• Menyusun laporan rinci yang mencakup metodologi, alat yang digunakan, asumsi, dan batasan analisis (Pandian dkk., 2024).
• Melampirkan dokumen rantai pemeliharaan bukti (Chain of Custody) untuk menjamin keabsahan bukti di pengadilan (Karabiyik dkk., 2018; Thron dkk., 2022).
7. Phase 7: Review Results
• Tinjauan menyeluruh terhadap seluruh proses investigasi untuk mengidentifikasi data inkulpatori (menunjukkan kesalahan) atau ekskulpatori (membebaskan dari tuduhan) (Karabiyik dkk., 2018).
• Menguji ulang hipotesis awal investigasi berdasarkan fakta akhir yang ditemukan, karena investigator dapat membuktikan atau membantah penjelasan yang dibuat sebelumnya (Karabiyik dkk., 2018).

5. Studi Kasus Forensik: Serangan IP Flooding pada Sistem SCADA/ICS

Dalam sebuah eksperimen laboratorium forensik SCADA di Sam Houston State University, para peneliti menguji ketahanan infrastruktur sistem kontrol industri terhadap serangan DoS berupa UDP/IP Flooding (Karabiyik dkk., 2018). Serangan ini diluncurkan menggunakan perangkat Low Orbit Ion Cannon (LOIC) dari stasiun kerja penyerang terhadap komponen fisik SCADA yang terhubung ke Programmable Logic Controller (PLC) (Karabiyik dkk., 2018). Dari serangkaian pengujian yang dilakukan, hanya UDP flooding inilah yang berhasil mengganggu operasi sistem (Karabiyik dkk., 2018).

Sistem SCADA yang diuji menggunakan perangkat lunak InduSoft Web Studio HMI yang terhubung ke database Microsoft SQL Server untuk mencatat data sensor setiap 12 detik secara otomatis (Karabiyik dkk., 2018). Ketika serangan UDP Flooding diluncurkan via LOIC ke alamat IP target, terjadi gangguan pada operasi sensor dan aktuator yang teramati pada HMI maupun basis data (Karabiyik dkk., 2018).

Penjelasan Teknis Anomali Fisik-Siber (Intuitive Grokkability):

Penjelasan mekanisme di bawah ini merupakan interpretasi penulis modul. Karabiyik dkk. (2018) melaporkan efek yang teramati, bukan mekanisme penyebabnya.

Mengapa serangan banjir IP pada lapisan jaringan dapat membuat sensor fisik (seperti Rotary Encoder atau Humidity Sensor) mendadak berhenti atau menghasilkan nilai yang anjlok pada database? Ketika LOIC membanjiri alamat IP target dengan paket UDP dalam jumlah masif, lalu lintas jaringan mengalami kejenuhan ekstrem (network buffer saturation/starvation). Antrean antarmuka komunikasi PLC terisi penuh oleh paket serangan, sehingga paket telemetri data riil yang dikirimkan oleh sensor fisik terhalang dan gagal mencapai HMI maupun database MS SQL Server. Karena HMI/Historian tidak menerima pembaruan status (telemetry updates) yang baru, sistem merekam data usang (stale data), membekukan tampilan derajat rotasi pada nilai terakhir, atau mengembalikan nilai pembacaan ke batas bawah dasar (raw baseline default).

6. Keutuhan Bukti: Aspek Hukum, Etika, dan Chain of Custody

Dalam dunia forensik digital, aspek teknis harus berjalan beriringan dengan kepatuhan hukum dan etika profesional (Pandian dkk., 2024). Bukti digital bersifat sangat rapuh (fragile), karena dapat dimanipulasi, dihapus, atau dirusak sehingga diperlukan protokol yang ketat untuk menjaganya (Pandian dkk., 2024). Chain of custody sendiri adalah proses dokumentasi bukti sejak ditemukan hingga dibawa ke persidangan, dan hasil investigasi yang mematuhinya dapat diterima di pengadilan (Thron dkk., 2022). Jika integritas bukti terganggu, bukti tersebut dinyatakan tidak dapat diterima di pengadilan (inadmissible in court) (Ghoshal & Janghu, 2023; Thron dkk., 2022).

Selain itu, investigator wajib mematuhi regulasi privasi data dan bertindak secara objektif tanpa bias guna menjamin bahwa proses investigasi tidak melanggar hak-hak hukum individu maupun organisasi (Pandian dkk., 2024).

Untuk memastikan integritas bukti tetap terjaga sejak titik pengumpulan hingga ruang sidang, seorang investigator siber muda wajib menerapkan aturan emas pemeliharaan integritas bukti melalui Chain of Custody Checklist berikut:

• 1. Catat Identitas dan Lokasi Bukti Secara Rinci
  
  Mengidentifikasi, mengambil foto lokasi fisik, dan mendokumentasikan spesifikasi perangkat, nomor seri, alamat IP/MAC, serta kondisi tepat saat bukti digital ditemukan (Pandian dkk., 2024; Spyridopoulos dkk., 2013).
• 2. Terapkan Hash Kriptografis (MD5/SHA-256)
  
  Segera membuat nilai hash kriptografis pada media penyimpanan asli dan salinan forensik (image) saat akuisisi untuk membuktikan bahwa data tidak mengalami perubahan 1 bit pun di kemudian hari (Pandian dkk., 2024). Penggunaan metode kriptografis untuk menjaga data tidak berubah selama pengiriman dan penyimpanan juga ditekankan oleh Ghoshal dan Janghu (2023), sedangkan Spyridopoulos dkk. (2013) menyebut validasi integritas log dengan fungsi hash.
• 3. Pelihara Formulir Rantai Pemeliharaan (Chain of Custody Form)
  
  Mencatat secara kronologis setiap individu yang menyentuh, memindahkan, menguji, atau menyimpan barang bukti (mencakup tanggal, waktu, nama investigator, dan tujuan tindakan) (Spyridopoulos dkk., 2013; Thron dkk., 2022).
• 4. Amankan Bukti dalam Lingkungan Terisolasi
  
  Menyimpan media fisik dan salinan data di fasilitas penyimpanan yang aman untuk mencegah manipulasi atau akses tanpa izin (Pandian dkk., 2024; Spyridopoulos dkk., 2013). Penggunaan kantong anti-statik/Faraday bag merupakan praktik umum, tetapi tidak dibahas dalam ketujuh sumber.

---

Penutup

Forensik digital bukan sekadar profesi teknis, melainkan sebuah komitmen terhadap kebenaran dan keadilan di era digital. Investigator forensik siber adalah garda depan pertahanan yang bertugas mengurai benang kusut kejahatan siber, melindungi integritas infrastruktur kritis masyarakat, dan memastikan bahwa ruang siber tetap menjadi tempat yang aman, terpercaya, dan akuntabel bagi semua orang.

---

Daftar Pustaka

1. Awad, R. A., Beztchi, S., Smith, J. M., Lyles, B., & Prowell, S. (2018). Tools, Techniques, and Methodologies: A Survey of Digital Forensics for SCADA Systems. Proceedings of ICSS 2018 at ACSAC 2018. ACM. https://doi.org/10.1145/3295453.3295454
2. Ghoshal, S., & Janghu, A. (2023). The Role of Forensics in OT Security: Enhancing Cyber Incident Response and Threat Mitigation. International Journal of Scientific Research in Engineering and Management (IJSREM), 7(8). https://doi.org/10.55041/IJSREM25071
3. Karabiyik, U., Celebi, N., Yildiz, F., Holekamp, J., & Rabieh, K. (2018). Forensic Analysis of SCADA/ICS System with Security and Vulnerability Assessment. 2018 ASEE Annual Conference & Exposition, Paper ID #22382. American Society for Engineering Education.
4. Kebande, V. R., & Awad, A. I. (2024). Industrial Internet of Things Ecosystems Security and Digital Forensics: Achievements, Open Challenges, and Future Directions. ACM Computing Surveys, 56(5), Article 131. https://doi.org/10.1145/3635030
5. Pandian, A. P., Ravikumar, K., Anakath, A. S., Kareem, D. A., & Kannadasan, R. (2024). Forensic Investigation of Malicious Activities in Digital Environments. 2024 4th International Conference on Data Engineering and Communication Systems (ICDECS). IEEE. https://doi.org/10.1109/ICDECS59733.2023.10502503
6. Spyridopoulos, T., Tryfonas, T., & May, J. H. R. (2013). Incident Analysis & Digital Forensics in SCADA and Industrial Control Systems. 8th IET International System Safety Conference incorporating the Cyber Security Conference 2013. IET. https://doi.org/10.1049/cp.2013.1720
7. Thron, R., Dirnberger, H., Tjoa, S., & Quirchmayr, G. (2022). Requirements and Challenges for Digital Forensic Readiness in Industrial Automation and Control Systems. 2022 The 3rd International Conference on Industrial Engineering and Industrial Management (IEIM 2022). ACM. https://doi.org/10.1145/3524338.3524374