Part 1: Bedah Kritis volGPT (Elsevier 2024) — Menakar Batasan SOTA, Daubert Standard, dan Celah Kedaulatan Data pada Forensik Memori

Dalam lanskap penanganan insiden keamanan siber (Incident Response), memori akses acak (Random Access Memory / RAM) adalah sumber kebenaran paling otentik. Mengacu pada hierarki pengumpulan bukti digital RFC 3227 (Order of Volatility), artefak memori memuat jejak eksekusi yang belum sempat dihapus oleh penyerang: fileless shellcode, injeksi DLL ke proses sistem, kunci enkripsi simetris ransomware, hingga soket komunikasi aktif ke server Command and Control (C2).

Meskipun Volatility 3 telah menjadi standar de-facto global dalam ekstraksi artefak memori Windows, industri menghadapi friksi operasional yang sangat berat: The Data Silo Problem.

Keluaran dari setiap plugin Volatility (windows.pslist, windows.malfind, windows.netscan, windows.handles, dan windows.cmdline) bersifat terkotak-kotak dalam tabel terpisah. Seorang analis forensik dituntut mencocokkan Process ID (PID) lintas ribuan baris teks secara manual. Durasi triase manual ini rata-rata memakan waktu 4 hingga 8 jam, memicu kelelahan kognitif (analyst fatigue), dan sering kali terlambat menghentikan ransomware yang sedang aktif mengenkripsi piringan penyimpanan.

---

1. Menakar State-of-the-Art (SOTA): Hadirnya volGPT (Oh et al., Elsevier 2024) #

Untuk mengatasi kebuntuan tersebut, penelitian mutakhir yang sangat menarik perhatian komunitas akademik adalah paper karya Oh et al. dari Korea University yang dipublikasikan di jurnal bergengsi Forensic Science International: Digital Investigation (Elsevier, Vol. 49, Juli 2024), berjudul:

"volGPT: Evaluation on triaging ransomware process in memory forensics with Large Language Model" (DOI: 10.1016/j.fsidi.2024.301756)

Bagaimana volGPT Bekerja? #

Arsitektur volGPT memanfaatkan kemampuan pemrosesan bahasa alami Large Language Model (LLM) komersial berbasis cloud (OpenAI GPT-4). Alurnya sebagai berikut:

1. Volatility mengekstrak log teks mentah dari dump memori korban ransomware.
2. Log tekstual dipotong (chunking) dan disisipkan ke dalam prompt template.
3. Prompt dikirimkan melalui koneksi internet via API ke server OpenAI di cloud.
4. Model GPT-4 membaca baris-baris log tersebut dan mengeluarkan ringkasan analisis naratif mengenai proses mana yang terindikasi sebagai ransomware.

Paper Oh et al. (2024) membuktikan bahwa penggunaan model bahasa mampu menghemat waktu pembacaan log dari hitungan jam menjadi hitungan menit. Ini adalah sebuah capaian State-of-the-Art yang penting dalam eksplorasi otomasi DFIR.

---

2. Analisis Kritis: 4 Celah Riset (Research Gap) yang Fundamental

Sebagai pengkaji dan praktisi teknologi, tugas kita bukan hanya mengagumi capaian SOTA, melainkan membedah di mana batasan operasionalnya ketika diterapkan pada skenario riil dunia industri dan penegakan hukum.

Kajian kritis terhadap paper volGPT memperlihatkan empat celah riset (gap) yang sangat krusial:

Gap 1: Pelanggaran Kedaulatan Data (Data Sovereignty & Confidentiality Breach)

Memori volatil RAM merekam seluruh isi sistem saat berjalan: token otentikasi perbankan, master key, kredensial NTLM, dan dokumen rahasia korporasi. Mentransmisikan dump memori mentah ke API server pihak ketiga di luar batas yurisdiksi nasional melanggar regulasi privasi data ketat (UU PDP di Indonesia, GDPR di Eropa, dan HIPAA). Di sektor perbankan, militer, dan infrastruktur kritis, opsi mengunggah dump RAM ke cloud pihak ketiga adalah hal yang dilarang keras.

Gap 2: Inkonsistensi Pembuktian Hukum (The Daubert Standard & Explainability)

Dalam proses penegakan hukum digital, bukti forensik wajib memenuhi standar keabsahan pengadilan (Daubert Standard). Standar ini mensyaratkan:

• Hasil pengujian harus dapat direproduksi secara pasti 100% (100% deterministic & reproducible).
• Alasan penetapan vonis harus dapat dijelaskan secara transparan (explainable reasoning).

LLM memiliki sifat statistik probabilistik (stochastic nature). Memberikan data yang sama dengan sedikit variasi prompt berisiko menghasilkan respons berbeda atau memicu halusinasi AI. Bukti forensik yang dihasilkan dari "tebakan probabilitas kotak hitam" sangat rentan digugurkan oleh penasihat hukum lawan di meja hijau pengadilan.

Gap 3: Ketiadaan Representasi Graf Relasional #

Serangan ransomware modern tidak bekerja dalam isolasi; mereka membentuk rantai kausalitas (causal attack chain):

• Proses explorer.exe melahirkan proses penyamaran svchost.exe (Masquerading).
• Proses tersebut mengalokasikan halaman memori virtual RWX (VAD Injection).
• Membuka soket jaringan keluar ke IP publik port 4444 (C2 Beaconing).
• Melahirkan anak proses powershell.exe yang menghapus Volume Shadow Copies (vssadmin delete shadows).

Keluaran naratif paragraf teks dari LLM gagal memodelkan hubungan topologis multi-entitas ini. Analis tetap kesulitan melihat gambaran besar rantai serangan (attack tree).

Gap 4: Latensi Respons dan Biaya Operasional #

Memanggil API cloud LLM membutuhkan waktu 45 hingga 120 detik per iterasi (tergantung antrean server dan koneksi internet), serta membebankan biaya langganan token API komersial. Padahal, varian ransomware agresif seperti LockBit atau Conti mampu mengenkripsi ribuan berkas per menit. Respons insiden membutuhkan kecepatan sub-detik tanpa ketergantungan kuota API eksternal.

---

3. Matriks Perbandingan: SOTA (volGPT) vs Arah Penelitian Kami #

Untuk memposisikan kontribusi penelitian secara tegas, kami merumuskan perbandingan parameter ilmiah berikut:

---

4. Pengantar Menuju Proyek: Merumuskan Hipotesis & Arsitektur Solusi

Menyadari kesenjangan di atas, kami merumuskan pertanyaan riset fundamental:

"Dapatkah korelasi lintas artefak memori dilakukan secara instan tanpa mengorbankan privasi data dan tanpa bergantung pada model bahasa generatif?"

Jawabannya adalah memodelkan artefak memori ke dalam Heterogeneous In-Memory Threat Graph menggunakan mesin graf Python (NetworkX), yang kemudian ditelusuri oleh Mesin Inferensi Deterministik berbasis Windows Internals dan taksonomi MITRE ATT&CK:

Komponen Kunci Arsitektur Solusi: #

1. Pemodelan Graf Berarah $G = (V, E)$:
   • Simpul $V$: $\{ \text{PROCESS}, \text{VAD}, \text{SOCKET}, \text{HANDLE} \}$.
   • Sisi $E$: Relasi operasional seperti PARENT_OF, HAS_INJECTION, OPENS_SOCKET, dan HOLDS_HANDLE.
2. Aturan Inferensi Deterministik:
   • Injeksi VAD terverifikasi melalui izin proteksi kernel PAGE_EXECUTE_READWRITE (RWX) $\to$ T1055.001.
   • Penyamaran proses terdeteksi saat svchost.exe tidak dilahirkan oleh services.exe $\to$ T1036.
   • Soket keluar aktif ke IP non-privat port kontrol (4444, 8080) $\to$ T1071.001.
   • Deteksi perintah pemusnahan salinan bayangan sistem vssadmin delete shadows $\to$ T1490.
3. Formulasi Kuantitatif Skor Ancaman Komposit: $S_{threat}(p) = \min\left(100, \sum_{i=1}^{k} w_i \cdot \mathbb{I}_i(p)\right)$ di mana setiap pelanggaran diberi bobot keparahan heuristik terstandarisasi NIST SP 800-61r2.
4. Visualisasi Interaktif Vis.js: Memungkinkan analis mengeksplorasi graf serangan secara intuitif, membedakan proses benign dan proses critical secara visual dalam hitungan 1,8 detik.

---

5. Kesimpulan Tinjauan Kritis #

Paper volGPT (Oh et al., 2024) telah membuka mata dunia akademis bahwa proses triase teks Volatility yang lambat membutuhkan revolusi otomasi. Namun, keselamatan data rahasia korporasi dan integritas pembuktian hukum forensik menuntut pendekatan yang berbeda: Lokal, Deterministik, dan Terstruktur secara Graf.

Melalui telaah kritis ini, eksplorasi riset kami membuktikan bahwa kita tidak selalu harus "menembakkan AI generatif ke semua masalah". Rekayasa graf terstruktur (graph engineering) yang dipadukan dengan aturan inferensi deterministik internal sistem operasi justru memberikan solusi yang jauh lebih cepat (1,8 detik vs 120 detik), 100% aman dari kebocoran data, bebas biaya token, dan sah di mata hukum.

---

---

Referensi Akademis #

• Oh, D.-B., Kim, D.-H., Kim, D.-G., & Kim, H.-K. (2024). volGPT: Evaluation on triaging ransomware process in memory forensics with Large Language Model. Forensic Science International: Digital Investigation, 49, Article 301756. https://doi.org/10.1016/j.fsidi.2024.301756
• Case, A., & Richard, G. G. (2017). Memory forensics: The path forward. Digital Investigation (DFRWS), 20, 23–33. https://doi.org/10.1016/j.diin.2017.01.006
• MITRE Corporation. (2023). MITRE ATT&CK Enterprise Matrix v14. https://attack.mitre.org/
• Cichonski, P., Millar, T., Grance, T., & Scarfone, K. (2012). Computer Security Incident Handling Guide. NIST Special Publication 800-61 Revision 2. https://doi.org/10.6028/NIST.SP.800-61r2
• Yosifovich, P., Solomon, D. A., & Russinovich, M. E. (2017). Windows Internals, Part 1: System architecture, processes, threads, memory management, and more (7th ed.). Microsoft Press.