Cara Kerja Komputer

Setiap kali sebuah komputer diaktifkan, maka sebuah proses yang disebut booting akan terjadi pertama kali.Ada tiga tahap proses dalam proses booting, yaitu CPU reset, Power-On-Self-Test (POST), dan disk boot.

CPU reset

CPU reset merupakan proses yang dilakukan PC pertama kali. Hal ini karena CPU merupakan komponen yang paling penting. Maka CPU reset
dilakukan pertama untuk memulai semua aktifitas. CPU reset biasanya
dipicu oleh tombol power, namun bisa juga dilakukan dari jaringan atau sistem lainnya. Setelah CPU aktif maka Basic Input Output System (BIOS) akan aktif juga.

BIOS bekerja melayani pergerakan data diseputar komputer karena disinilah informasi sistem input dan output ditentukan. BIOS dapat dilindungi dengan menggunakan password untuk dapat mulai bekerja. Jadi tanpa password BIOS yang benar komputer tidak akan bekerja. Pada BIOS terdapat program yang bernama Power-On-Self-Test (POST).

POST

Akan melakukan testing terhadap komponen dasar dari komputer. Ketika CPU mengaktifkan BIOS, program POST di jalankan. Yang pertama kali diperiksa oleh POST adalah integritas CPU dan program POST itu sendiri. Selebihnya, program POST akan memeriksa disk drive, monitor, RAM, dan keyboard. Pada saat BIOS sudah aktif dan POST belum selesai dilakukan, Anda dapat menginterupsi proses booting dan melakukan konfigurasi CMOS.

CMOS merupakan memori kecil untuk menyimpan BIOS beserta konfigurasi pentingnya seperti media yang melakukan booting, pengaturan processor, memori, dan banyak lagi. Di sini juga disimpan waktu dan penanggalan yang akurat untuk komputer tersebut. CMOS dilengkapi dengan batere khusus agar data-data di dalamnya tidak hilang.

Disk boot

Disk boot dibutuhkan setelah POST selesai karena komputer telah siap untuk menjalankan sistem operasi yang sangat berguna untuk menghubungkan manusia dengan komputer. Menjalankan sistem operasi diperlukan sebuah sistem inisialisasi awal yang akan menggabungkan semua fungsi komputer menjadi satu dan siap digunakan. Sistem awal ini kemudian disimpan dalam media yang dapat dibaca komputer. Media ini disebut dengan istilah disk boot.

Untuk melanjutkan penggunaan komputer, disk boot mutlak harus ada apapun medianya. Pengaturan media mana yang akan menjadi disk boot bisa Anda lakukan di dalam BIOS. Setelah semuanya selesai, Anda sudah siap untuk menggunakan komputer.

Loading Sistem Operasi

Setelah tiga proses awal dilalui, maka komputer akan dikendalikan menggunakan sistem operasi. Seperti Anda ketahui, banyak sekali sistem operasi yang beredar saat ini, seperti sistem operasi Windows, Linux, dll.

Tiga hal penting yang harus dimengerti tentang sistem operasi adalah cara kerja sistem operasi itu sendiri (kernel), file system, dan user interface (shell), dan jangan lupakan aplikasi yang berjalan di atasnya.

Cara kerja sistem operasi windows meliputi pengertian tentang sistem account pada Windows NT dan keluarganya, file access control, registry, sistem logging, dan banyak lagi. Semuanya memiliki tingkat kepentingan yang sama, namun umumnya sistem logging dan registry merupakan komponen yang akan sering dilihat.

Sistem logging merupakan komponen dokumentasi penggunaan komputer karena pada log inilah tercatat semua pergerakan data. Di dalam sistem operasi Windows NT/2000/XP, logging disimpan dalam direktori “%systemroot%\system32\config\” (c:\winnt\system32\config\). File-file log yang ada di dalamnya termasuk file Appevent.evt (berisi catatan-catatan penggunaan aplikasi), Secevent.evt (merekam aktifitas yang berhubungan dengan security termasuk login), Sysevent.evt (mencatat semua kejadian-kejadian yang  berhubungan dengan sistem seperti misalnya waktu shutdown). Selain file-file ini masih banyak lagi file log yang tersedia untuk bisa diamati/dilihat ulang kembali.

Bagi seorang penyidik (pencari bukti kejahatan) registry ini merupakan salah satu komponen penting dalam penyidikan  digital. Sistem Windows menggunakan registry untuk menyimpan konfigurasi sistem dan detail penggunaan sistem operasi. Jadi dari key-key yang ada di dalam registry, banyak informasi yang bisa Anda dapatkan seperti kapan waktu akses sebuah aplikasi, file apa yang diakses menggunakan aplikasi tersebut, di mana letak file yang diakses, dan banyak lagi. Untuk melihat-lihat isi registry biasanya digunakan program sederhana bawaan Windows yaitu Regedt32 (regedit).

Memahami file system berguna untuk mengetahui bagaimana data-data Anda disusun di dalam harddisk, data apa saja yang dimodifikasi, data apa saja yang disembunyikan, data apa saja yang telah di hapus, sistem partisi harddisk, dan banyak lagi. FAT, NTFS dan WinFS merupakan file system yang digunakan oleh Windows. Proses pengumpulan bukti digital dari file system biasanya adalah seputar recovery data yang telah terhapus dan pemeriksaan data-data yang dimodifikasi.

Recovery file yang telah dihapus menjadi sangat penting dalam penyidikan karena dapat mengorek kembali informasi-informasi lama yang sengaja maupun tidak sengaja di hapus. Biasanya proses ini mengandalkan program recovery seperti misalnya Ontrack. Easy-Recovery Pro atau DataLifter. Cukup banyak jenis-jenis data yang dapat dikembalikan dengan menggunakan aplikasi ini.

File dan data yang telah dimodifikasi juga dapat dilihat dengan menyelidiki informasi yang terkandung dalam file system FAT, NTFS atau WinFS. Ketika sebuah file masuk kedalam PC melalui media apapun, sebuah sistem penanda dari file system akan diberikan pada file tersebut. Sistem penanda ini disebut datetime stamp. Penanda ini berisi tanggal dan waktu dimana file tersebut pertama kali masuk ke dalam PC. Ketika file tersebut diakses, dimodifikasi, atau dipindahkan tempatnya, date-time stamp akan berubah untuk menandai aksi-aksi ini.

FAT, NTFS dan WinFS mempunyai karakteristik sendiri dalam melakukan penandaan ini dan mengumpulkannya menjadi sebuah informasi. Dengan memahami karakteristik ini, para penyidik dapat mengetahui aksi-aksi apa yang telah terjadi terhadap file-file bukti dan kapan hal tersebut terjadi. Aplikasi seperti Encase Forensic Edition dapat melayani Anda dalam melakukan penyidikan jenis ini.