Tahap awal proses forensik merupakan
hal yang kritis karena menentukan keberhasilan proses forensik. Tahap ini
merupakan proses pengumpulan data dan pengintaian.
2.1.1 Pengumpulan Data Volatil
Data volatil dikumpulkan dari
berbagai sumber, yakni register proses, memori virtual dan fisik, proses-proses
yang sedang berjalan, maupun keadaan jaringan. Sumber informasi tersebut pada
umumnya mempunyai informasi dalam periode yang singkat, sehingga waktu
pengumpulan bersifat kritis dan harus sesegera mungkin diambil setelah terjadi
insiden. Misalnya alamat MAC (Media Access Control) dari computer yang
berkomunikasi dengan computer sasaran yang berada pada subnet yang sama , yang
tersimpan pada ARP (Address Resolution Protocol) cache, segera dibuang setelah
terjalin komunikasi dengan computer lainnya, sehingga data tersebut harus
segera diambil.
Sumber informasi volatil yang
penting beserta instruksi-instruksi yang digunakan untuk menangkap informasi
tersebut diantaranya:
•Proses-proses yang sedang berjalan
(ps atau /proc)
•Hubungan jaringan yang aktif
(nestat)
•ARP cache (arp)
•List of open file (lsop)
•Memori Fisik dan Virtual (/dev/mem,
/dev/kmem)
