Analisis Forensik Windows Timeline untuk Rekonstruksi Aktivitas Pengguna Berbasis NIST SP 800-86

Abstract

Penelitian ini mengevaluasi karakteristik artefak Windows Timeline dalam mendukung rekonstruksi aktivitas pengguna berdasarkan kerangka kerja NIST SP 800-86 melalui pendekatan perbandingan dengan ground truth pada skenario terkontrol. Eksperimen dilakukan dalam lingkungan terbatas dengan sembilan aktivitas tunggal yang mencakup penggunaan aplikasi perkantoran, peramban, dan clipboard untuk mengamati kesesuaian data yang dihasilkan dalam basis data ActivitiesCache.db. Hasil menunjukkan adanya konsistensi awal pada informasi waktu (timestamp) antara artefak dan ground truth, meskipun ditemukan keterbatasan pada kelengkapan data seperti tidak selalu tersedianya detail konten atau URL spesifik. Temuan ini mengindikasikan bahwa artefak Windows Timeline berpotensi menjadi sumber informasi pendukung dalam analisis forensik digital, namun belum dapat digunakan sebagai satu-satunya dasar pembuktian. Dengan mempertimbangkan keterbatasan jumlah sampel, variasi perangkat, dan kondisi sistem yang belum merepresentasikan lingkungan nyata, penelitian ini bersifat eksploratif dan memerlukan pengujian lanjutan dengan skenario yang lebih kompleks dan beragam.