Disk carving untuk Recovery Solid State Drive Volume ReFS dan NTFS Dengan Fitur TRIM

Abstract

Tujuan utama dari forensik digital adalah untuk mengumpulkan, mengembalikan, dan menganalisis bukti digital, seperti data dari perangkat penyimpanan seperti Hard Disk Drive (HDD), flashdisk, Solid State Drive (SSD), dan semua perangkat penyimpanan yang terhubung ke laptop atau komputer. Saat ini, teknologi komputer semakin membutuhkan kecepatan yang lebih tinggi dalam membaca dan menyalin data. Salah satu jenis penyimpanan yang populer adalah SSD. Solid State Drive memiliki fungsi yang beragam, salah satunya adalah kemampuan untuk memindahkan dan menyimpan data dalam format New Technology File System (NTFS). Karena kebutuhan akan integritas data dengan ketahanan terhadap kerusakan dan format NTFS yang telah mencapai batas data yang tersedia, Microsoft mengembangkan file sistem terbaru yang tangguh dalam menangani ketersediaan dan integritas data, yaitu Resilient File System (ReFS). ReFS memiliki batas penyimpanan data yang lebih besar dan fitur integritas data yang lebih baik dibandingkan dengan NTFS, yang memiliki batasan penyimpanan sebesar 256 terabyte. Perbedaan antara NTFS dan ReFS ini menyebabkan metadata file sistem menjadi faktor penentu dalam investigasi untuk mengambil data yang telah dihapus dari penyimpanan SSD. Umumnya, akuisisi data dari SSD dilakukan pada file sistem berformat NTFS. Oleh karena itu, diperlukan teknik khusus untuk mengakuisisi SSD dengan file sistem berformat ReFS tanpa mematikan sistem operasi yang sedang berjalan. Sistem operasi yang digunakan dalam penelitian ini adalah Windows 11 Enterprise Versi 21H2, yang sudah mendukung format volume ReFS versi 3.7. Hasil dari penelitian ini adalah perbandingan tingkat keberhasilan recovery data dari file sistem NTFS dan ReFS pada SSD. Penelitian ini diharapkan dapat memberikan pemahaman baru dalam melakukan recovery bukti digital pada SSD dengan file sistem ReFS dan NTFS, yang akan membantu penyidik dalam menjalankan investigasi digital.