> For the complete documentation index, see [llms.txt](https://dika-maulidal.gitbook.io/home/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dika-maulidal.gitbook.io/home/digital-forensics/linux-forensics/acquisition.md).

# Acquisition

Dalam fase akuisisi data, pembuatan citra disk (*disk imaging*) yang akurat adalah langkah krusial. Panduan ini membahas tiga alat utama: `dd`, `dcfldd`, dan `dc3dd`. Ketiganya merupakan utilitas berbasis baris perintah yang digunakan untuk membuat salinan bit-per-bit dari media penyimpanan.

Setiap alat memiliki evolusi fitur yang disesuaikan untuk kebutuhan investigasi forensik yang dapat diverifikasi.

### Perbandingan Alat Akuisisi

Berikut adalah tabel ringkasan perbedaan antara ketiga alat tersebut:

| Fitur                 | dd                          | dcfldd                               | dc3dd                                    |
| --------------------- | --------------------------- | ------------------------------------ | ---------------------------------------- |
| **Tahun Rilis**       | 1974                        | 2002                                 | 2008                                     |
| **Pengembang**        | Utilitas Unix Dasar         | US Dept. of Defense (Lab Forensik)   | US Dept. of Defense (Cyber Crime Center) |
| **Indikator Progres** | Tidak ada secara default    | Berdasarkan jendela hash             | Real-time (persentase, kecepatan, waktu) |
| **Hashing**           | Tidak ada bawaan            | On-the-fly (hashing granular)        | Mendukung log hash terpisah              |
| **Fitur Khusus**      | Konversi & salin file dasar | Membagi output menjadi beberapa file | Pattern writing (untuk hapus drive)      |

### 1. Alat: `dd`

`dd` (sering disebut *Disk Descriptor* atau secara sarkastik *Disk Destroyer*) adalah alat yang paling tua dan biasanya sudah terinstal secara *default* di hampir semua distro Linux.

```bash
sudo dd if=/dev/sda3 of=/path/ke/image1.dd bs=4M
```

* `if` (Input File): Sumber data (misalnya partisi disk)
* `of` (Output File): Destinasi citra disk
* `bs` (Block Size): Mengoptimalkan kecepatan transfer. Nilai 4M dianggap sebagai keseimbangan optimal antara kecepatan dan sumber daya.

{% hint style="danger" %}
Hati-hati jangan sampai tertukar antara if dan of. Jika Anda salah memasukkan opsi ini, Anda dapat menghapus data pada drive sumber secara permanen.
{% endhint %}

{% hint style="info" %}
Karena `dd` tidak menampilkan progres, Anda bisa menggunakan perintah `watch` di terminal terpisah untuk memantau pertumbuhan file: `watch -n 0.1 ls -lh`.
{% endhint %}

### 2. Alat: `dcfldd`

Dikembangkan untuk mengatasi keterbatasan `dd`, alat ini fokus pada transparansi dan verifikasi integritas data.

#### Fitur Unggulan

* **Hashing Granular**: Menghitung nilai hash pada interval tertentu (misal: setiap 1GB data).
* **Status Output**: Memberikan informasi saat proses mencapai jendela hash yang ditentukan.

#### Contoh Perintah

```bash
sudo dcfldd if=/dev/sda3 of=image2.dd bs=4M hash=sha256 hashwindow=1G
```

* `hashwindow=1G`: Memberikan output hash SHA-256 setiap 1 gigabyte data yang diproses untuk verifikasi bertahap

### 3. Alat: `dc3dd`

Ini adalah alat yang paling modern dan sangat direkomendasikan untuk laporan forensik karena kemampuan *logging*-nya yang mendalam

#### Keunggulan Utama

* Tanpa Parameter `bs`: Parameter *block size* sudah dihapus/otomatis dalam versi terbaru.
* Output Informatif: Menampilkan persentase penyelesaian dan kecepatan transfer secara *real-time*.
* Logging: Dapat memisahkan log aktivitas dan log hash ke file berbeda.

#### Contoh Perintah

```bash
sudo dc3dd if=/dev/sda3 of=image3.dd log=dc3dd.log hash=sha256 hlog=hashes.log
```

* `log`: Menyimpan detail baris perintah, waktu mulai, dan statistik ke file log.
* `hlog`: Menulis nilai hash ke file terpisah untuk dokumentasi bukti.

### Catatan

{% hint style="warning" %}

* **Identifikasi Sumber**: Gunakan perintah `df` untuk melihat *mount point*.
  * `/dev/sda` (Tanpa angka): Mencitrakan seluruh disk (Praktik terbaik).
  * `/dev/sda3`: Hanya mencitrakan partisi tertentu.
* **Integritas**: Selalu jalankan dengan izin `sudo` untuk memastikan akses penuh ke perangkat keras.
  {% endhint %}