Di era digital seperti sekarang, hampir semua aktivitas penting berjalan melalui jaringan komputer. Mulai dari transaksi perbankan, komunikasi perusahaan, layanan pemerintahan, hingga aktivitas sehari-hari seperti mengirim email atau membuka media sosial — semuanya melewati jaringan internet.

Namun di balik kelancaran itu, ada juga sisi gelapnya. Serangan siber seperti peretasan server, pencurian data, malware, hingga brute force attack sering kali terjadi melalui jaringan. Para penyerang tidak selalu meninggalkan jejak di komputer korban, tetapi hampir selalu meninggalkan jejak di lalu lintas jaringan.

Di sinilah Network Forensics berperan.

Secara sederhana, network forensics adalah cabang dari digital forensics yang berfokus pada mengumpulkan, merekam, dan menganalisis lalu lintas jaringan (network traffic) untuk menemukan bukti dari suatu insiden keamanan siber.

Melalui analisis paket data yang melintas di jaringan, seorang analis keamanan dapat menjawab berbagai pertanyaan penting, seperti:

• Siapa yang mengakses server?

• Data apa saja yang dikirim atau diterima?

• Apakah ada malware yang berkomunikasi dengan server luar?

• Dari alamat IP mana serangan berasal?

• Bagaimana urutan kejadian dari sebuah serangan?

Berbeda dengan disk forensics yang menganalisis data yang tersimpan di perangkat, network forensics bekerja dengan data yang sedang bergerak (data in motion) — yaitu paket-paket data yang berpindah dari satu perangkat ke perangkat lain melalui jaringan.

Karena itu, bidang ini sering dianggap sebagai “kamera CCTV” di dunia jaringan komputer, yang memungkinkan investigator digital merekonstruksi apa yang sebenarnya terjadi selama sebuah serangan berlangsung.

Pada artikel ini kita akan membahas secara santai namun tetap teknis tentang:

• Apa itu Network Forensics

• Mengapa bidang ini sangat penting dalam keamanan siber

• Jenis-jenis network forensics

• Tools yang sering digunakan

• Serta contoh praktikum investigasi serangan jaringan menggunakan Wireshark

Jadi kalau kamu penasaran bagaimana para analis keamanan bisa melacak hacker hanya dari paket data jaringan, artikel ini akan menjadi pintu masuk yang menarik untuk memahaminya.

Kenapa Network Forensics Penting?

Untuk memahami pentingnya network forensics, bayangkan sebuah kejadian sederhana.

Suatu hari sebuah perusahaan tiba-tiba menyadari bahwa database pelanggan mereka bocor. Ribuan data pengguna tersebar di internet. Tim IT langsung memeriksa server… tetapi tidak menemukan apa pun yang mencurigakan. Log sudah dihapus. File tidak berubah. Sistem terlihat normal.

Apakah itu berarti tidak ada serangan?

Belum tentu.

Serangan siber modern sering kali tidak meninggalkan jejak di dalam sistem, tetapi mereka hampir selalu meninggalkan jejak di jaringan. Saat seorang penyerang mencoba masuk, memindahkan data, atau berkomunikasi dengan server luar, semua aktivitas itu melewati jaringan dalam bentuk paket data.

Di sinilah network forensics menjadi sangat penting.

Dengan menganalisis lalu lintas jaringan, investigator dapat mereconstruct kejadian serangan, seperti menonton ulang rekaman CCTV setelah sebuah insiden terjadi.

Analogi: Network Forensics seperti CCTV di Jalan Raya

Bayangkan jaringan komputer seperti jalan raya besar di sebuah kota.

• Setiap kendaraan yang lewat adalah paket data

• Setiap persimpangan adalah router atau switch

• Setiap gedung adalah server atau komputer

Sekarang bayangkan terjadi perampokan di sebuah bank.

Jika polisi hanya memeriksa isi bank, mereka mungkin tidak menemukan banyak bukti. Tetapi jika mereka memiliki rekaman CCTV di jalan, mereka bisa melihat:

• Mobil apa yang datang

• Dari mana mobil itu berasal

• Ke mana mobil itu pergi setelah kejadian

• Jam berapa kejadian terjadi

Hal yang sama berlaku di dunia jaringan.

Network forensics bekerja seperti CCTV digital, yang memungkinkan analis keamanan melihat kembali lalu lintas data untuk mengetahui apa yang sebenarnya terjadi di balik layar jaringan.

Beberapa Alasan Mengapa Network Forensics Sangat Penting

Berikut beberapa alasan utama mengapa bidang ini menjadi komponen penting dalam keamanan siber modern.

1. Sebagian besar serangan terjadi melalui jaringan

Hampir semua serangan siber modern — mulai dari phishing, malware, ransomware, hingga data exfiltration — melibatkan komunikasi jaringan. Tanpa memantau lalu lintas jaringan, banyak aktivitas berbahaya akan luput dari perhatian.

2. Kejahatan digital selalu meninggalkan jejak jaringan

Walaupun penyerang dapat menghapus log pada komputer korban, mereka tidak selalu bisa menghapus jejak komunikasi jaringan yang sudah tercatat oleh sistem monitoring.

Ini seperti seseorang yang mencoba menghapus rekaman kamera di dalam gedung, tetapi lupa bahwa kamera di luar gedung masih merekam pergerakannya.

3. Membantu menemukan sumber serangan

Dengan analisis paket jaringan, investigator dapat mengetahui:

• alamat IP asal serangan

• server yang dihubungi oleh malware

• pola komunikasi yang mencurigakan

Informasi ini sangat penting untuk melacak pelaku serangan atau infrastruktur yang digunakan oleh penyerang.

4. Menjadi bukti digital dalam investigasi hukum

Dalam banyak kasus cybercrime, hasil analisis network forensics dapat digunakan sebagai bukti digital di pengadilan. Data seperti log jaringan, paket komunikasi, dan timeline serangan dapat membantu menjelaskan bagaimana sebuah serangan terjadi.

5. Membantu organisasi memperkuat pertahanan keamanan

Setelah sebuah serangan dianalisis, organisasi dapat memahami:

• celah keamanan yang dimanfaatkan

• metode serangan yang digunakan

• sistem mana yang paling rentan

Dari sana, mereka dapat memperbaiki strategi keamanan untuk mencegah serangan serupa di masa depan.

Singkatnya, tanpa network forensics, sebuah organisasi hanya bisa berkata:

“Kami tahu bahwa ada serangan.”

Tetapi dengan network forensics, mereka bisa menjawab:

• Siapa yang menyerang

• Dari mana serangan berasal

• Apa yang dilakukan penyerang

• Kapan serangan terjadi

• Bagaimana serangan itu berhasil

Dan informasi inilah yang membuat network forensics menjadi salah satu kemampuan paling penting dalam dunia keamanan siber modern.

Jenis-Jenis Network Forensics

Dalam praktiknya, network forensics tidak hanya satu pendekatan saja. Para analis keamanan biasanya mengelompokkan network forensics berdasarkan cara pengumpulan data, metode monitoring jaringan, dan tujuan investigasinya.

Supaya lebih mudah dipahami, kita bisa membaginya menjadi tiga kategori utama berikut.

1. Berdasarkan Metode Pengumpulan Data

Kategori pertama melihat kapan data jaringan dikumpulkan: apakah saat serangan sedang terjadi atau setelah insiden selesai.

Live (Real-Time) Network Forensics

Pada pendekatan ini, sistem keamanan memantau jaringan secara langsung saat data sedang mengalir.

Beberapa teknologi yang sering digunakan:

• IDS (Intrusion Detection System)

• IPS (Intrusion Prevention System)

• SIEM (Security Information and Event Management)

Pendekatan ini sangat berguna untuk mendeteksi serangan secara cepat sebelum dampaknya semakin besar.

Analogi sederhana:

Ini seperti satpam yang memantau CCTV secara langsung dan bisa segera bereaksi jika melihat aktivitas mencurigakan.

Post-Incident (Offline) Analysis

Pada metode ini, analis memeriksa data lalu lintas jaringan yang sudah direkam sebelumnya, biasanya dalam bentuk file PCAP (Packet Capture).

File ini dapat dianalisis menggunakan tools seperti:

• Wireshark

• NetworkMiner

• Zeek

Pendekatan ini sering digunakan dalam investigasi digital forensik setelah insiden terjadi.

Analogi sederhana:

Ini seperti polisi yang memutar ulang rekaman CCTV setelah sebuah kejahatan terjadi.

2. Berdasarkan Pendekatan Monitoring

Kategori kedua melihat bagaimana sistem memantau lalu lintas jaringan.

Active Network Forensics

Pendekatan ini melibatkan analisis aktif terhadap paket data yang melintas di jaringan.

Teknik yang sering digunakan:

• Deep Packet Inspection (DPI)

• Inline network monitoring

• Traffic filtering

Kelebihannya adalah deteksi serangan bisa lebih cepat dan lebih detail.

Namun pendekatan ini juga memiliki risiko karena sistem ikut berada di jalur lalu lintas jaringan, sehingga jika terjadi kesalahan konfigurasi bisa mempengaruhi performa jaringan.

Passive Network Forensics

Pada metode ini, sistem hanya mengamati lalu lintas jaringan tanpa mengubah atau mengganggu aliran data.

Teknologi yang biasanya digunakan:

• Network Tap

• Switch Mirror Port (SPAN Port)

Pendekatan ini lebih aman untuk investigasi forensik karena data yang diamati bersifat murni tanpa modifikasi.

Analogi sederhana:

• Active monitoring seperti polisi yang menghentikan kendaraan untuk diperiksa

• Passive monitoring seperti kamera lalu lintas yang hanya merekam kendaraan yang lewat

3. Berdasarkan Tujuan Investigasi

Kategori ketiga melihat apa yang sedang dicari dalam investigasi jaringan.

Intrusion Detection Forensics

Jenis ini fokus pada aktivitas penyerangan terhadap sistem.

Contoh yang sering dianalisis:

• Brute force login attempts

• Port scanning

• Exploit attempts

Analis biasanya melihat pola koneksi yang tidak normal pada jaringan.

Malware Communication Forensics

Jenis ini bertujuan mengidentifikasi komunikasi antara malware dan server pengendalinya.

Beberapa hal yang dianalisis antara lain:

• Command & Control (C2) server

• DNS tunneling

• Data exfiltration

Sering kali malware mencoba mengirim data korban ke server penyerang secara diam-diam.

Insider Threat Network Analysis

Tidak semua ancaman berasal dari luar. Kadang ancaman datang dari orang dalam organisasi.

Contoh aktivitas yang biasanya dianalisis:

• Transfer file dalam jumlah besar

• Upload data yang tidak wajar

• Login dari lokasi yang tidak biasa

Jenis analisis ini membantu organisasi mendeteksi penyalahgunaan akses oleh karyawan atau pihak internal.

Ringkasan Sederhana

Jika dirangkum, network forensics dapat dilihat dari tiga sudut pandang utama:

Dengan memahami ketiga kategori ini, kita bisa melihat bahwa network forensics bukan hanya sekadar menangkap paket data, tetapi juga tentang bagaimana menganalisis, memahami, dan merekonstruksi aktivitas yang terjadi di jaringan.

Tools Network Forensics yang Sering Digunakan

Setelah memahami konsep dan jenis-jenis network forensics, pertanyaan berikutnya adalah: alat apa yang digunakan untuk melakukan investigasi jaringan?

Dalam dunia keamanan siber, analis biasanya menggunakan berbagai tools khusus untuk menangkap, memantau, dan menganalisis lalu lintas jaringan. Tools ini membantu investigator melihat detail paket data, mengidentifikasi aktivitas mencurigakan, hingga merekonstruksi kejadian serangan.

Berikut beberapa tools network forensics yang paling populer dan sering digunakan di dunia profesional.

1. Wireshark

Wireshark adalah salah satu tools network analysis paling terkenal di dunia.

Tools ini digunakan untuk menangkap dan menganalisis paket data jaringan secara detail. Setiap paket yang melintas dapat diperiksa mulai dari header hingga isi payload.

Beberapa kemampuan utama Wireshark:

• Capture traffic secara real-time

• Analisis paket data secara mendalam

• Filtering paket berdasarkan protokol atau alamat IP

• Rekonstruksi sesi komunikasi jaringan

Wireshark sering digunakan oleh:

• Network engineer

• Cybersecurity analyst

• Digital forensic investigator

Karena kemampuannya yang sangat detail, Wireshark sering disebut sebagai mikroskopnya jaringan komputer.

2. tcpdump

tcpdump adalah tool command-line yang digunakan untuk menangkap paket jaringan langsung dari terminal.

Walaupun tampilannya sederhana, tcpdump sangat powerful dan sering digunakan di:

• server Linux

• sistem monitoring jaringan

• environment cloud

Keunggulan tcpdump antara lain:

• ringan dan cepat

• bisa berjalan di server tanpa GUI

• sangat cocok untuk troubleshooting jaringan

Banyak analis keamanan menggunakan tcpdump untuk mengambil capture awal sebelum dianalisis lebih lanjut menggunakan Wireshark.

3. NetworkMiner

NetworkMiner adalah tool network forensic yang fokus pada analisis artefak dari lalu lintas jaringan.

Berbeda dengan Wireshark yang menampilkan paket satu per satu, NetworkMiner mencoba mengekstrak informasi penting secara otomatis.

Contohnya:

• file yang ditransfer

• gambar yang dikirim melalui jaringan

• username dan password

• sesi komunikasi

Karena itu NetworkMiner sering digunakan dalam investigasi digital forensics setelah sebuah insiden keamanan terjadi.

4. Zeek (sebelumnya Bro)

Zeek adalah platform Network Security Monitoring (NSM) yang sangat powerful.

Alih-alih hanya menampilkan paket data, Zeek menganalisis lalu lintas jaringan dan menghasilkan log aktivitas yang terstruktur.

Contoh log yang dihasilkan:

• HTTP logs

• DNS logs

• SSL/TLS logs

• connection logs

Log ini sangat berguna untuk:

• mendeteksi serangan jaringan

• menganalisis perilaku malware

• memantau aktivitas jaringan dalam skala besar

Zeek banyak digunakan pada Security Operations Center (SOC) dan lingkungan enterprise.

5. Snort

Snort adalah Intrusion Detection System (IDS) yang digunakan untuk mendeteksi aktivitas mencurigakan di jaringan.

Snort bekerja dengan cara membandingkan lalu lintas jaringan dengan aturan (rules) keamanan.

Jika ditemukan pola yang mencurigakan, Snort akan memberikan peringatan.

Contoh serangan yang bisa dideteksi:

• port scanning

• brute force attack

• exploit attempts

• malware traffic

Karena sifatnya yang real-time, Snort sering digunakan untuk network monitoring dan early attack detection.

6. Security Onion

Security Onion adalah platform keamanan jaringan yang menggabungkan berbagai tools sekaligus dalam satu sistem.

Di dalamnya biasanya sudah terdapat:

• Zeek

• Snort / Suricata

• Elasticsearch

• Kibana

• Wireshark

Platform ini digunakan untuk membangun lingkungan monitoring keamanan jaringan secara lengkap.

Security Onion banyak digunakan untuk:

• lab cybersecurity

• training digital forensics

• SOC environment

Ringkasan Tools Network Forensics

Berikut ringkasan tools yang sering digunakan oleh analis keamanan jaringan:

Kenapa Tools Ini Penting?

Tanpa tools yang tepat, lalu lintas jaringan akan terlihat seperti jutaan paket data yang tidak berarti.

Namun dengan bantuan tools network forensics, analis keamanan dapat:

• melihat pola serangan

• mendeteksi aktivitas mencurigakan

• mengidentifikasi malware

• merekonstruksi kejadian serangan

Dengan kata lain, tools ini membantu mengubah data jaringan yang kompleks menjadi informasi yang bisa dipahami.

Jika kamu ingin, saya juga bisa membantu menulis bagian terakhir yang biasanya paling menarik dalam artikel seperti ini, yaitu:

“Praktikum Investigasi Serangan Jaringan Menggunakan Wireshark (Hands-on Lab)”

Bagian ini bisa dibuat seperti modul praktikum kampus atau pelatihan cybersecurity lengkap dengan langkah-langkah investigasi serangan brute force menggunakan Hydra + Wireshark. 🚀