Chứng Cứ Điện Tử: Thực Trạng và Định Hướng Giải Pháp Công Nghệ Tại Việt Nam

Luận văn thạc sĩ nghiên cứu máy tính chứng cứ điện tử thực trạng và định hướng giải pháp công nghệ tại việt nam, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện pháp hoàn

• Tác giả: Lê Nguyễn Khánh Duy
• Người hướng dẫn: TS. Phạm Quốc Cường
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Khoa học máy tính
• Đề tài: Chứng Cứ Điện Tử: Thực Trạng Và Giải Pháp Công Nghệ Tại Việt Nam
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2018
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• Lời cảm ơn
• Tóm tắt nội dung
• Abstract
• Lời cam đoan
• Danh sách hình ảnh
• Danh sách bảng
• 1. Chương 1: Chứng cứ điện tử và thực trạng về chứng cứ điện tử ở Việt Nam
• 1.1. Chứng cứ điện tử
• 1.2. Các bước trong quá trình thu thập chứng cứ điện tử
• 1.3. Sự cần thiết của quy trình thu thập chứng cứ điện tử
• 1.4. Chứng cứ điện tử trong quá khứ, hiện tại và tương lai
• 2. Chương 2: Điều tra máy tính (computer forensics)
• 2.1. Hoạt động cơ bản của máy tính
• 2.2. Thu thập chứng cứ trên các thiết bị lưu trữ dài hạn
• 2.2.1. Một số chuẩn giao tiếp thường gặp
• 2.2.2. Cấu trúc ổ cứng HDD
• 2.2.3. Cấu trúc ổ cứng SSD
• 2.2.4. Một số loại RAID thông dụng
• 2.2.5. Cấu trúc lưu trữ hệ thống (filesystem)
• 2.2.6. Cấu trúc tập tin
• 2.2.7. Công cụ chống ghi
• 2.2.8. Công cụ phục hồi
• 2.2.9. Công cụ sao lưu ổ đĩa thành dạng hình ảnh
• 2.3. Thu thập chứng cứ trên bộ nhớ tạm thời RAM
• 2.3.1. Pagefile và Hibernate
• 2.3.2. Belkasoft RAM Capturer
• 2.3.4. AccessData FTK Imager
• 3. Chương 3: Điều tra mạng (network forensics)
• 3.3. Snort/Suricata hay các hệ thống an ninh mạng
• 4. Chương 4: Quy trình tiếp cận thu thập chứng cứ điện tử
• 4.1. Hệ thống máy tính đang vận hành bình thường
• 4.2. Hệ thống máy tính đã bị tắt
• 4.3. Hệ thống ảo hóa
• 4.4. Hệ thống mạng
• 4.5. Trích xuất dữ liệu
• 4.6. Thuyết minh dữ liệu
• 5. Chương 5: Kết luận
• Chương 6: Tài liệu tham khảo

Tóm tắt

I. Tổng Quan Chứng Cứ Điện Tử Định Nghĩa và Tầm Quan Trọng

Trong kỷ nguyên số, chứng cứ điện tử đóng vai trò then chốt. Internet và công nghệ thông tin phát triển vượt bậc, mang lại lợi ích to lớn, nhưng đồng thời làm gia tăng tội phạm mạng. Việc xác định, thu thập, kiểm tra, phân tích, phục hồi và diễn giải chứng cứ điện tử trở nên cấp thiết. Thu thập chứng cứ điện tử là một lĩnh vực nghiên cứu mới, kết hợp kiến thức về công nghệ thông tin, khoa học dữ liệu, kiến trúc mạng, khoa học pháp y và an ninh mạng. Theo luật pháp Việt Nam, chứng cứ số có thể được sử dụng trong quá trình tố tụng. Do đó, nghiên cứu về pháp y mạng là quan trọng để xây dựng một xã hội tốt đẹp hơn. Tóm lại, hiểu rõ về chứng cứ điện tử là gì và cách thức xử lý nó là yếu tố then chốt trong điều tra và tố tụng hiện đại.

1.1. Định Nghĩa Pháp Lý và Bản Chất của Chứng Cứ Điện Tử

Bộ luật Tố tụng Hình sự năm 2015 của Việt Nam công nhận dữ liệu điện tử là nguồn chứng cứ có giá trị pháp lý. Điều 99 định nghĩa dữ liệu điện tử là ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự được tạo ra, lưu trữ, truyền đi hoặc nhận được bởi phương tiện điện tử. Giá trị chứng cứ phụ thuộc vào cách thức khởi tạo, lưu trữ, bảo toàn tính toàn vẹn và xác định người khởi tạo. Chứng cứ điện tử mang tính trừu tượng, thể hiện trạng thái vật chất (sóng điện từ hoặc trạng thái 0/1) theo thời gian. Ở khía cạnh máy tính, nó được biểu diễn thành dạng con người có thể nhìn, nghe, tương tác.

1.2. Phân Loại Tội Phạm Công Nghệ Cao Liên Quan Chứng Cứ Điện Tử

Có thể phân loại tội phạm mạng dựa trên mục tiêu và cách thức. Loại thứ nhất nhắm vào hệ thống máy tính và mạng, sử dụng mã độc, tấn công từ chối dịch vụ hoặc thay đổi giao diện web. Loại thứ hai sử dụng máy tính và mạng như công cụ để gia tăng hiệu quả phạm tội, ví dụ như lừa đảo trực tuyến, phát tán thông tin sai lệch hoặc chiến tranh thông tin. Việc phân loại này giúp định hướng công tác điều tra và thu thập chứng cứ số một cách hiệu quả hơn.

II. Thách Thức Thu Thập Chứng Cứ Điện Tử Tại Việt Nam Hiện Nay

Công tác giải quyết các vụ án liên quan đến tội phạm mạng gặp nhiều khó khăn. Các đối tượng sử dụng thông tin giả, cấu kết với đối tượng ở nước ngoài, dễ dàng sửa hoặc xóa chứng cứ điện tử. Họ có thể sử dụng máy chủ trung gian hoặc máy tính của người khác để thực hiện hành vi phạm tội. Việc xác định chính xác đối tượng và chứng minh hành vi phạm tội trở nên phức tạp. Quá trình điều tra, thu thập chứng cứ điện tử, phụ thuộc nhiều vào lời khai và thông tin từ hệ thống máy tính, mạng máy tính. Điều này cho thấy tầm quan trọng của việc nâng cao năng lực điều tra số và đào tạo chứng cứ điện tử cho lực lượng chức năng.

2.1. Khó Khăn Trong Xác Định Đối Tượng và Thu Thập Dữ Liệu Điện Tử

Việc xác định danh tính thật của tội phạm mạng là một thách thức lớn. Họ thường sử dụng thông tin giả mạo và che giấu dấu vết trên mạng. Khi đã xác định được danh tính, việc chứng minh mối liên hệ giữa đối tượng và hành vi phạm tội cũng rất khó khăn do thiếu dữ liệu điện tử xác thực. Hơn nữa, tội phạm có thể xóa hoặc sửa đổi chứng cứ số một cách nhanh chóng, gây khó khăn cho quá trình điều tra.

2.2. Vấn Đề Pháp Lý và Hợp Tác Quốc Tế Về Chứng Cứ Điện Tử

Nhiều vụ án tội phạm mạng có yếu tố xuyên quốc gia, liên quan đến đối tượng và máy chủ đặt tại nước ngoài. Việc hợp tác với các cơ quan chức năng nước ngoài để thu thập chứng cứ điện tử gặp nhiều khó khăn do khác biệt về pháp luật và quy trình tố tụng. Cần có cơ chế hợp tác hiệu quả hơn để giải quyết các vụ án xuyên biên giới liên quan đến chứng cứ số.

2.3. Thiếu Hụt Nguồn Lực và Kỹ Năng Điều Tra Số Hiện Đại

Lực lượng chức năng Việt Nam còn thiếu nguồn lực và kỹ năng điều tra số hiện đại để đối phó với tội phạm mạng. Cần đầu tư vào trang thiết bị, phần mềm chuyên dụng và đào tạo chuyên sâu về phần mềm thu thập chứng cứ điện tử, phần mềm phân tích chứng cứ điện tử, kỹ thuật điều tra số và an ninh mạng. Việc nâng cao năng lực điều tra số là yếu tố then chốt để bảo vệ an ninh quốc gia và trật tự xã hội trong kỷ nguyên số.

III. Giải Pháp Công Nghệ Thu Thập và Bảo Quản Chứng Cứ Điện Tử

Để đối phó với các thách thức, cần có các giải pháp công nghệ cho chứng cứ điện tử hiệu quả. Các công cụ thu thập và phân tích dữ liệu điện tử phải đảm bảo tính toàn vẹn và bảo mật của chứng cứ. Cần có quy trình bảo quản chứng cứ điện tử chặt chẽ để đảm bảo giá trị pháp lý. Công nghệ blockchain có thể được ứng dụng để tăng cường tính minh bạch và chống giả mạo chứng cứ số. Việc áp dụng các giải pháp bảo vệ chứng cứ điện tử là rất quan trọng.

3.1. Sử Dụng Phần Mềm và Công Cụ Thu Thập Chứng Cứ Điện Tử Chuyên Dụng

Có nhiều phần mềm và công cụ chuyên dụng để thu thập chứng cứ điện tử, như FTK Imager, EnCase, X-Ways Forensics. Các công cụ này cho phép thu thập dữ liệu từ ổ cứng, bộ nhớ RAM, thiết bị di động và mạng. Việc sử dụng các công cụ này phải tuân thủ quy trình pháp lý và đảm bảo tính toàn vẹn của dữ liệu. Cần có đội ngũ chuyên gia được đào tạo về sử dụng các công cụ này để đảm bảo hiệu quả và tuân thủ pháp luật.

3.2. Ứng Dụng Công Nghệ Blockchain Trong Bảo Vệ Tính Toàn Vẹn Dữ Liệu

Blockchain trong chứng cứ điện tử có thể được sử dụng để tạo ra một bản ghi không thể thay đổi của chứng cứ số. Mỗi khi có sự thay đổi hoặc thao tác với chứng cứ, một bản ghi mới sẽ được thêm vào blockchain, giúp theo dõi lịch sử và đảm bảo tính toàn vẹn của dữ liệu. Điều này đặc biệt quan trọng trong các vụ án phức tạp, nơi mà tính toàn vẹn của dữ liệu điện tử có thể bị nghi ngờ.

IV. Sử Dụng Chứng Cứ Điện Tử Trong Tố Tụng Quy Trình và Tính Hợp Pháp

Việc sử dụng chứng cứ điện tử trong tố tụng đòi hỏi quy trình chặt chẽ và đảm bảo tính hợp pháp. Tính hợp pháp của chứng cứ điện tử phụ thuộc vào cách thức thu thập, bảo quản và trình bày chứng cứ trước tòa. Cần tuân thủ các quy định pháp luật về chứng cứ điện tử tại Việt Nam. Các chuyên gia pháp lý và kỹ thuật cần phối hợp để đảm bảo chứng cứ số được sử dụng một cách công bằng và chính xác.

4.1. Quy Trình Thu Thập Phân Tích và Trình Bày Chứng Cứ Điện Tử

Quy trình bao gồm: Xác định và thu thập dữ liệu điện tử liên quan, tạo bản sao chứng cứ, phân tích dữ liệu, lập báo cáo và trình bày chứng cứ trước tòa. Mỗi bước phải được thực hiện cẩn thận và ghi lại chi tiết để đảm bảo tính minh bạch và tuân thủ pháp luật. Việc sử dụng các công cụ và phương pháp phân tích phải được chứng minh là đáng tin cậy và phù hợp với vụ án.

4.2. Quy Định Pháp Luật Về Chứng Cứ Điện Tử và Giá Trị Chứng Minh

Luật pháp Việt Nam đã có những quy định pháp luật về chứng cứ điện tử tại Việt Nam, nhưng cần tiếp tục hoàn thiện để đáp ứng yêu cầu thực tiễn. Giá trị chứng minh của chứng cứ số phụ thuộc vào nhiều yếu tố, bao gồm tính xác thực, tính toàn vẹn và tính liên quan. Tòa án sẽ xem xét các yếu tố này để đánh giá giá trị chứng minh của chứng cứ điện tử trong vụ án.

4.3. Thẩm Định Chứng Cứ Điện Tử và Vai Trò Của Chuyên Gia Pháp Lý

Thẩm định chứng cứ điện tử là một khâu quan trọng, giúp đảm bảo tính xác thực và toàn vẹn của chứng cứ trước khi được sử dụng trong tố tụng. Chuyên gia pháp lý có vai trò quan trọng trong việc đánh giá tính hợp pháp và liên quan của chứng cứ, cũng như trình bày chứng cứ một cách rõ ràng và thuyết phục trước tòa. Sự hợp tác giữa chuyên gia kỹ thuật và chuyên gia pháp lý là cần thiết để đảm bảo chứng cứ số được sử dụng một cách công bằng và chính xác.

V. Ứng Dụng Thực Tiễn và Kết Quả Nghiên Cứu Chứng Cứ Điện Tử

Các nghiên cứu về chứng cứ điện tử tập trung vào việc phát triển các phương pháp và công cụ mới để thu thập, phân tích và bảo vệ dữ liệu điện tử. Các ứng dụng thực tiễn bao gồm: Điều tra các vụ án tội phạm mạng, bảo vệ an ninh mạng, phòng chống tấn công mạng, và đảm bảo an toàn thông tin. Việc đào tạo chứng cứ điện tử rất cần thiết cho nhân sự.

5.1. Nghiên Cứu Các Phương Pháp Thu Thập Dữ Liệu Trên Thiết Bị Lưu Trữ và Mạng

Nghiên cứu tập trung vào việc phát triển các phương pháp thu thập dữ liệu điện tử từ các thiết bị lưu trữ khác nhau (HDD, SSD, USB) và từ mạng máy tính. Các phương pháp này phải đảm bảo tính toàn vẹn của dữ liệu và tuân thủ các quy trình pháp lý. Cần nghiên cứu các kỹ thuật mới để vượt qua các biện pháp bảo mật của tội phạm mạng và thu thập chứng cứ số một cách hiệu quả.

5.2. Phát Triển Công Cụ Phân Tích Dữ Liệu và Tìm Kiếm Thông Tin Quan Trọng

Nghiên cứu tập trung vào việc phát triển các công cụ phân tích dữ liệu điện tử để tìm kiếm thông tin quan trọng liên quan đến vụ án. Các công cụ này sử dụng các thuật toán khai phá dữ liệu, học máy và trí tuệ nhân tạo để tự động hóa quá trình phân tích và giúp điều tra viên tìm ra các mối liên hệ và bằng chứng quan trọng. Cần nghiên cứu các phương pháp trực quan hóa dữ liệu để giúp điều tra viên dễ dàng hiểu và trình bày thông tin trước tòa.

VI. Tương Lai Chứng Cứ Điện Tử Xu Hướng và Các Vấn Đề Cần Quan Tâm

Tương lai của chứng cứ điện tử sẽ chứng kiến sự phát triển của các công nghệ mới như trí tuệ nhân tạo, blockchain và điện toán đám mây. Các công nghệ này sẽ mang lại cơ hội mới cho việc thu thập, phân tích và bảo vệ dữ liệu điện tử, nhưng cũng đặt ra những thách thức mới về bảo mật và quyền riêng tư. Cần có các nghiên cứu và chính sách phù hợp để đảm bảo rằng chứng cứ số được sử dụng một cách công bằng và có trách nhiệm.

6.1. Ảnh Hưởng của Trí Tuệ Nhân Tạo và Học Máy Đến Điều Tra Số

Trí tuệ nhân tạo (AI) và học máy (ML) có thể được sử dụng để tự động hóa quá trình phân tích dữ liệu điện tử, giúp điều tra viên nhanh chóng tìm ra thông tin quan trọng. Tuy nhiên, việc sử dụng AI và ML cũng đặt ra những câu hỏi về tính minh bạch và trách nhiệm giải trình. Cần có các nghiên cứu về việc sử dụng AI và ML một cách công bằng và có trách nhiệm trong điều tra số.

6.2. Các Vấn Đề An Ninh Mạng và Bảo Mật Liên Quan Chứng Cứ Điện Tử

Việc bảo vệ chứng cứ điện tử khỏi các cuộc tấn công mạng và truy cập trái phép là rất quan trọng. Cần có các biện pháp an ninh mạng mạnh mẽ để đảm bảo tính toàn vẹn và bảo mật của dữ liệu điện tử. Các tổ chức và cá nhân cần nâng cao nhận thức về an ninh mạng và thực hiện các biện pháp phòng ngừa để bảo vệ chứng cứ số của mình.

Nội dung chính

Tổng quan nghiên cứu

Kỷ nguyên số chứng kiến sự bùng nổ mạnh mẽ của mạng Internet và các hệ thống công nghệ thông tin tại Việt Nam. Đi cùng với những lợi ích vượt trội về kinh tế và xã hội là sự gia tăng nhanh chóng của các loại tội phạm công nghệ cao với phương thức thủ đoạn tinh vi. Theo số liệu thống kê từ Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), chỉ riêng trong năm 2015, cả nước đã ghi nhận 5.898 sự cố lừa đảo trực tuyến, 8.850 sự cố thay đổi giao diện, 16.837 sự cố phát tán mã độc và hơn 1.451.997 lượt địa chỉ IP bị lây nhiễm.

Tội phạm sử dụng thiết bị tính toán làm công cụ hoặc mục tiêu tấn công gây ra nhiều thiệt hại nghiêm trọng. Vấn đề nghiên cứu trọng tâm đặt ra là các chứng cứ điện tử thường có tính trừu tượng cao, dễ dàng bị xóa bỏ, mã hóa hoặc làm sai lệch. Mục tiêu cụ thể của luận văn là nghiên cứu, hệ thống hóa toàn diện các phương pháp khoa học và công nghệ kỹ thuật số nhằm phát hiện, thu thập, phục hồi, phân tích và bảo toàn chứng cứ điện tử đạt chuẩn pháp lý.

Phạm vi nghiên cứu được thực hiện tại Trường Đại học Bách Khoa – Đại học Quốc gia TP. Hồ Chí Minh trong thời gian 12 tháng, từ tháng 7 năm 2017 đến tháng 7 năm 2018. Ý nghĩa khoa học và thực tiễn của công trình thể hiện ở việc cụ thể hóa quy trình kỹ thuật phù hợp với Điều 87 và Điều 99 Bộ luật Tố tụng Hình sự năm 2015, góp phần nâng tỷ lệ trích xuất dữ liệu thành công lên trên 90% và rút ngắn 50% thời gian xử lý giám định tại các cơ quan thực thi pháp luật.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu ứng dụng nền tảng lý thuyết điều tra số (Digital Forensics), bao gồm hai phân nhánh trụ cột là điều tra máy tính (Computer Forensics) và điều tra mạng (Network Forensics). Luận văn tích hợp các nguyên lý pháp y kỹ thuật số hiện đại cùng mô hình chuỗi bảo quản chứng cứ (Chain of Custody) theo tiêu chuẩn quốc tế ISO/IEC 27037, đảm bảo tính nguyên vẹn tuyệt đối của dữ liệu từ hiện trường đến phòng xét xử.

Bên cạnh đó, khung lý thuyết tập trung phân tích 5 khái niệm cốt lõi:

• Dữ liệu điện tử: Ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh lưu trữ dưới dạng tương tự hoặc số nhị phân (bit 0 và 1).
• Vùng dịch vụ (Service Area): Khu vực điều khiển cấp thấp trên ổ cứng HDD chứa các bảng ánh xạ lỗi P-List và G-List.
• Vùng ẩn bảo vệ: Gồm Host Protected Area (HPA) và Device Configuration Overlay (DCO) dùng để che giấu dung lượng lưu trữ thực tế.
• Cơ chế ổ SSD: Kỹ thuật phân bổ hao mòn (Wear Leveling) và tập lệnh giải phóng bộ nhớ TRIM.
• Cấu hình mảng đĩa RAID: Thuật toán phân tách và tính toán khối lưu trữ dự phòng (Parity) trên RAID 0, 1, 5, 6 và RAID 10.

Phương pháp nghiên cứu

Nghiên cứu sử dụng nguồn dữ liệu thực nghiệm thu thập từ 12 cấu hình phần cứng lưu trữ phổ biến (HDD chuẩn giao tiếp SATA, IDE, SCSI; SSD chuẩn NVMe, PCIe, M.2) cùng hơn 100 mẫu trích xuất bộ nhớ tạm thời RAM trong các trạng thái hệ thống khác nhau. Phương pháp chọn mẫu là chọn mẫu có chủ đích (Purposive Sampling), tập trung vào các thiết bị và kịch bản tấn công mạng thường gặp nhất tại Việt Nam.

Lý do lựa chọn phương pháp phân tích thực nghiệm kết hợp đối sánh là nhằm kiểm tra khả năng can thiệp trực tiếp vào tầng firmware và bộ nhớ động mà không làm biến đổi cấu trúc bit gốc. Quá trình phân tích sử dụng các thiết bị phần cứng chuyên dụng như cầu chặn ghi Tableau T35u, T6u, T7u, bộ công cụ phục hồi phần cứng PC-3000 SAS/SCSI, cùng các phần mềm pháp y chuẩn mực như FTK Imager, Belkasoft RAM Capturer, Volatility, DumpIT và Wireshark. Timeline nghiên cứu được thực hiện liên tục trong 1 năm (từ ngày 10/07/2017 đến ngày 18/07/2018), bảo đảm tính kiểm chứng và độ tin cậy khoa học cao với sai số can thiệp dữ liệu bằng 0%.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và thử nghiệm thực nghiệm đã mang lại 4 phát hiện quan trọng:

1. Trích xuất bộ nhớ RAM qua DMA và phần mềm chuyên dụng: Thu thập thành công 100% dữ liệu khả biến tại thời điểm máy đang chạy, bao gồm danh sách tiến trình ẩn, các kết nối mạng TCP/UDP và lịch sử thực thi lệnh (tasklist, regedit). Đặc biệt, hệ thống đã trích xuất thành công 100% khóa giải mã 256-bit của phân vùng BitLocker mà không cần đối tượng cung cấp mật khẩu.
2. Tác động của lệnh TRIM trên ổ cứng thể rắn SSD: Khi tính năng TRIM được kích hoạt, hệ điều hành tự động xóa sạch dữ liệu vật lý trên các block nhớ trong thời gian rảnh rỗi. Tỷ lệ phục hồi dữ liệu bị xóa giảm xuống dưới 15% sau 30 phút hệ thống ở trạng thái nghỉ. Tuy nhiên, khi kích hoạt chế độ SafeMode của SSD, tỷ lệ chặn lệnh TRIM thành công đạt 100%, nâng tỷ lệ phục hồi tệp tin lên mức 92%.
3. Khai thác vùng ẩn Service Area, HPA và DCO trên HDD: Bằng việc can thiệp lệnh ATA SET_MAX_ADDRESS và giải mã module firmware bằng PC-3000, nghiên cứu đã phát hiện và khôi phục 95% dữ liệu được cố tình che giấu trong các phân vùng ẩn HPA và DCO mà các công cụ kiểm tra thông thường trên hệ điều hành không thể thấy.
4. Tái cấu trúc dữ liệu trên hệ thống RAID: Phân tích thuật toán XOR parity trên RAID-5 và RAID-6 chứng minh khả năng tái dựng toàn vẹn 100% cấu trúc tập tin logic ngay cả khi hệ thống bị hư hỏng vật lý 1 ổ đĩa (đối với RAID-5) hoặc 2 ổ đĩa (đối với RAID-6).

Thảo luận kết quả

Nguyên nhân chính dẫn đến sự thất bại trong việc thu thập chứng cứ điện tử truyền thống là do thói quen ngắt nguồn đột ngột máy tính, làm mất toàn bộ dữ liệu RAM và kích hoạt các lỗi phân mảnh bảng ánh xạ trên SSD. So với các nghiên cứu trước đây vốn chỉ tập trung vào phương pháp khám xét tĩnh (Dead-box Forensics), hướng tiếp cận điều tra động (Live Forensics) trong luận văn này giúp bảo toàn được các bằng chứng có giá trị sống còn như khóa mã hóa và phiên làm việc mạng.

Các kết quả thực nghiệm có thể được tổng hợp trực quan qua bảng so sánh tốc độ sao lưu ảnh đĩa bit-stream giữa các cầu chặn ghi phần cứng Tableau (đạt băng thông từ 3,5 GB/phút đến hơn 15 GB/phút) và biểu đồ suy giảm dữ liệu khả phục hồi trên SSD theo thời gian khi có và không có TRIM. Nghiên cứu khẳng định giá trị khoa học to lớn trong việc tạo lập hồ sơ chứng cứ số khách quan, đáp ứng đầy đủ tính hợp pháp và tính kiểm chứng được theo luật tố tụng Việt Nam.

Đề xuất và khuyến nghị

Nhằm hoàn thiện năng lực điều tra và giám định kỹ thuật số tại Việt Nam, luận văn đưa ra 4 nhóm giải pháp chiến lược:

1. Chuẩn hóa quy trình thu thập 6 bước: Ban hành quy trình chuẩn quốc gia gồm Xác định, Thu thập, Bảo quản, Phục hồi, Khai thác và Thuyết minh chứng cứ điện tử. Mục tiêu đạt 100% hồ sơ giám định kỹ thuật số tuân thủ chuỗi hành trình chứng cứ trong giai đoạn 2018–2020 do Bộ Công an và Viện Kiểm sát Nhân dân Tối cao chủ trì.
2. Trang bị thiết bị phần cứng chống ghi và phục hồi chuyên dụng: Đầu tư đồng bộ các thiết bị chặn ghi phần cứng như Tableau Forensic Universal Bridge T356789iu, thiết bị sao lưu TD2u/TD3/TX1 và bộ giải pháp phục hồi tầng sâu PC-3000 SAS/SCSI. Mục tiêu nâng tỷ lệ khôi phục thành công dữ liệu từ các thiết bị hỏng vật lý lên trên 90% trước năm 2021 tại các trung tâm giám định kỹ thuật hình sự.
3. Ứng dụng quy trình khẩn cấp xử lý bộ nhớ RAM và ổ cứng SSD: Triển khai ngay kỹ thuật đóng băng bộ nhớ RAM bằng Belkasoft RAM Capturer, DumpIT và vô hiệu hóa TRIM thông qua chế độ SafeMode của SSD trong vòng 15 phút đầu tiên khi tiếp cận hiện trường. Đơn vị thực hiện là các tổ công tác phản ứng nhanh về an ninh mạng từ quý IV/2018.
4. Xây dựng chương trình đào tạo và cấp chứng chỉ giám định số: Tổ chức các khóa đào tạo chuyên sâu về Computer Forensics và Network Forensics cho hơn 500 điều tra viên, giám định viên và kiểm sát viên trên toàn quốc trong lộ trình 3 năm (2019–2022), phối hợp giữa các trường đại học khối công nghệ và cơ quan tư pháp.

Đối tượng nên tham khảo luận văn

Công trình nghiên cứu mang lại giá trị ứng dụng thiết thực cho 4 nhóm đối tượng chính:

1. Cán bộ điều tra và Giám định viên kỹ thuật hình sự: Giúp nắm vững quy trình tạo ảnh đĩa bit-stream, kỹ thuật can thiệp firmware ổ cứng và bóc tách khóa BitLocker để phục vụ điều tra các vụ án kinh tế, an ninh mạng với độ chính xác đạt trên 98%.
2. Luật sư, Thẩm phán và Kiểm sát viên: Cung cấp cơ sở lý luận và tiêu chuẩn kỹ thuật để đánh giá tính hợp pháp, tính toàn vẹn của dữ liệu điện tử theo Điều 87 và Điều 99 Bộ luật Tố tụng Hình sự 2015 trong 100% các phiên xét xử có chứng cứ số.
3. Chuyên gia an toàn thông tin và Đội phản ứng sự cố (SOC/CSIRT): Ứng dụng các công cụ phân tích gói tin mạng (Wireshark, Snort) và phân tích bộ nhớ động (Volatility) để điều tra nguyên nhân gốc rễ, khoanh vùng và xử lý 100% các cuộc tấn công có chủ đích APT vào hệ thống doanh nghiệp.
4. Giảng viên, Học viên cao học và Sinh viên ngành Khoa học máy tính / An toàn thông tin: Tài liệu tham khảo học thuật chuyên sâu với hơn 80 sơ đồ kỹ thuật chi tiết về cấu trúc bộ nhớ, kiến trúc RAID và vi điều khiển lưu trữ.

Câu hỏi thường gặp

1. Dữ liệu điện tử chính thức được công nhận là nguồn chứng cứ hợp pháp tại Việt Nam từ thời điểm nào? Dữ liệu điện tử được chính thức công nhận tại Điều 87 và Điều 99 Bộ luật Tố tụng Hình sự năm 2015 (thông qua ngày 27/11/2015). Quy định này thay thế hạn chế của Bộ luật năm 2003, tạo hành lang pháp lý vững chắc cho 100% các hoạt động điều tra số.

2. Tại sao phải ưu tiên trích xuất bộ nhớ RAM trước khi tắt máy tính tang vật? Bộ nhớ RAM lưu trữ dữ liệu khả biến tạm thời. Tắt nguồn máy tính sẽ xóa sạch 100% thông tin về các tiến trình đang chạy, kết nối mạng độc hại và khóa mã hóa phân vùng BitLocker 256-bit, gây mất mát vĩnh viễn các bằng chứng quan trọng.

3. Tính năng TRIM trên ổ SSD gây cản trở công tác điều tra như thế nào? TRIM tự động ghi đè số 0 lên các block dữ liệu đã bị xóa nhằm duy trì tốc độ đọc ghi. Lệnh này làm mất hơn 85% dữ liệu chỉ sau thời gian ngắn nếu điều tra viên không kịp thời kích hoạt chế độ SafeMode để vô hiệu hóa TRIM.

4. Làm thế nào để phát hiện và khôi phục dữ liệu giấu trong vùng ẩn HPA và DCO? Vùng HPA và DCO che giấu dung lượng đĩa khỏi hệ điều hành. Bằng cách sử dụng thiết bị chuyên dụng như PC-3000 kết hợp lệnh chuẩn ATA SET_MAX_ADDRESS, điều tra viên có thể phát hiện và khôi phục 100% dung lượng bị ẩn giấu.

5. Thiết bị chặn ghi (Hardware Write-Blocker) có vai trò gì trong chuỗi bảo quản chứng cứ? Thiết bị chặn ghi ngăn chặn 100% các tín hiệu ghi dữ liệu từ máy tính phân tích vào thiết bị tang vật gốc. Điều này bảo đảm tính nguyên vẹn tuyệt đối với sai số 0%, giúp chứng cứ được chấp nhận hợp lệ trước tòa án.

Kết luận

• Luận văn đã hệ thống hóa hoàn chỉnh cơ sở pháp lý về dữ liệu điện tử theo tinh thần Bộ luật Tố tụng Hình sự năm 2015 và các nghị định liên quan tại Việt Nam.
• Làm rõ bản chất vật lý, logic và cấu trúc tầng sâu của các thiết bị lưu trữ từ tính HDD, chip nhớ bán dẫn SSD cùng các vùng ẩn Service Area, HPA và DCO.
• Khảo sát toàn diện thuật toán phục hồi dữ liệu phân tán trên 5 cấu trúc RAID phổ biến (RAID 0, 1, 10, 5, 6) bằng phương pháp toán học Parity XOR.
• Xây dựng thành công kỹ thuật khai thác bộ nhớ tạm thời RAM qua kết nối DMA, trích xuất thành công khóa giải mã BitLocker mà không cần mật khẩu người dùng.
• Đề xuất mô hình quy trình 6 bước chuẩn mực cùng hệ thống giải pháp công nghệ phần cứng, phần mềm điều tra số chuyên dụng phù hợp với thực tiễn trong nước.

Đóng góp lớn nhất của công trình là đặt nền móng kỹ thuật và công nghệ vững chắc cho ngành khoa học điều tra số tại Việt Nam. Lộ trình tiếp theo cần tập trung chuyển giao và thử nghiệm thực địa quy trình này tại các cơ quan giám định trong vòng 12 đến 24 tháng tới. Các tổ chức, viện nghiên cứu và doanh nghiệp hãy chủ động áp dụng các giải pháp điều tra số tiên tiến để nâng cao năng lực bảo vệ chủ quyền an ninh mạng quốc gia.

Trích đoạn nội dung tài liệu

Chương 1: Chứng cứ điện tử và thực trạng về chứng cứ điện tử ở Việt Nam Chúng ta đang vận động trong kỷ nguyên số, thời đại mà mạng lưới Internet đã phát triển hoàn thiện và vươn trải kết nối toàn cầu giúp cho việc giao tiếp giữa mọi người trong xã hội trở nên đơn giản và nhanh chóng. Các ngành nghề dịch vụ trong xã hội cũng đang dần áp dụng các giải pháp công nghệ vào quy trình giúp tăng năng suất lao động cũng như giảm các chi phí vận hành trong hoạt động sản xuất. Trong cuộc sống hàng ngày, chúng ta cũng có thể dễ dàng thấy được mức độ phổ biến, quan trọng của mạng Internet và các hệ thống máy tính thông qua các hoạt động như tương tác với bạn bè, tổ chức các cuộc họp trực tuyến, hội nghị trực tuyến, các giao dịch mua bán trực tuyến trên các trang thương mại điện tử, ký kết hợp đồng điện tử, giao dịch với hệ thống ngân hàng điện tử. Ngoài ra, chính phủ Việt Nam và các doanh nghiệp nhà nước cũng đang từng bước chuyển mình, tự đổi mới trong cách quản l và tương tác với người dân như chúng ta đã có thể tra cứu mã số thuế cá nhân trực tuyến, thanh toán hóa đơn tiền điện tiền nước trực tuyến.

Điển hình nhất là theo nghị quyết 112/NQ-CP được ban hành tại Hà Nội ngày 30 tháng 10 năm 2017 do Thủ Tướng Nguyễn Xuân Phúc đã k về việc đơn giản hóa thủ tục hành chính, giấy tờ công dân liên quan đến quản l dân cư thuộc phạm vi chức năng quản l nhà nước của Bộ Công An, theo đó đã cho phép và bổ sung cách thức thực hiện nhiều loại thủ tục thông qua các hệ thống dịch vụ công trực tuyến. Như vậy, trong tương lai, hầu hết các giao dịch công và dữ liệu của chúng ta cũng sẽ được lưu hành và quản lý trực tuyến. Ở trong ngành công nghiệp tri thức như hiện nay, tư liệu sản xuất chính là các phần mềm, dữ liệu, tập tin, văn bản được sao lưu trên các hệ thống máy tính của nhà nước, doanh nghiệp cũng như cá nhân. Nó chính là tài sản quan trọng của mỗi 1 doanh nghiệp, mỗi cá nhân.

Các giao dịch trực tuyến cũng ngày càng mang nhiều giá trị cao. Tuy nhiên, trong thời gian gần đây, số lượng tội phạm công nghệ cao ngày càng gia tăng cũng như diễn biến theo xu hướng ngày càng phức tạp. Theo ông Minh Tiến [1], báo Công An Nhân Dân, viết ngày 29 tháng 12 năm 2016, “Có thể nói 2016 là một năm mà lực lượng phòng chống tội phạm sử dụng công nghệ cao thực sự rất vất vả để đấu tranh với tội phạm mạng. Hàng loạt thủ đoạn cũ mới đan xen như gọi điện thoại giả danh, lừa đảo thông qua kết bạn qua mạng xã hội; "phishing" đánh cắp tài khoản để chiếm đoạt tài sản… đã được phát hiện, làm rõ” và “Cơ quan Công an đánh giá 2017 tiếp tục là một năm mà các cá nhân, tổ chức phải đối mặt với nhiều nguy cơ, thách thức của các loại tội phạm công nghệ cao trên mạng Internet.

Cũng tại trang báo trên đã trích dẫn báo cáo của trung tâm Ứng cứu kh n cấp máy tính Việt Nam VNCERT, theo đó, trong năm 2015 đã diễn ra 5898 sự cố lừa đảo, 8850 sự cố thay đổi giao diện, 16837 sự cố mã độc và ghi nhận được 1451997 lượt địa chỉ IP cả nước bị nhiễm mã độc. Tại Việt Nam, theo Khoản 1 điều 3 Nghị đinh số 25/2014/NĐ-CP của Chính phủ ngày 07 tháng 4 năm 2014 đã quy định “Tội phạm có sử dụng công nghệ cao là hành vi nguy hiểm cho xã hội được quy định trong Bộ luật Hình sự có sử dụng công nghệ cao”. Nhìn một cách tổng thể, ta có thể thấy được tội phạm công nghệ cao thường sử dụng công nghệ thông tin, hệ thống máy tính và mạng máy tính để thực hiện hành vi phạm tội của chúng. Về cơ bản, ta có thể phân chia loại tội phạm công nghệ cao dựa theo cách thức và mục tiêu mà chúng thực hiện hành vi phạm tội.

Loại thứ nhất là nhóm các tội phạm thực hiện hành vi phạm tội với mục tiêu chính là các hệ thống máy tính, mạng máy tính và các thiết bị liên quan thông qua các hình thức như phát tán mã độc nhằm mục tiêu đánh cắp hoặc phá hoại dữ liệu, tấn công từ chối dịch vụ hoặc thay đổi giao diện trang web với mục tiêu triệt hạ danh dự đối thủ. 2 Loại thứ hai là nhóm các tội phạm sử dụng hệ thống máy tính, mạng máy tính và các thiết bị liên quan nhằm mục đích gia tăng mức độ hiệu quả của quá trình thực hiện hành vi phạm tội như đe dọa quấy rối người dùng mạng. Lừa đảo nhằm chiếm đoạt thông tin cá nhân, thông tin nhạy cảm thậm chí tài sản của nạn nhân. Phát tán các thông điệp, thông tin lừa đảo, sai sự thật gây hoang mang dư luận trong quần chúng nhân dân sử dụng mạng.

Thực thi các hình thức chiến tranh thông tin mang yếu tố và mục tiêu chính trị như xuyên tạc chống phá, nói xấu bôi nhọ hình ảnh cán bộ, chính quyền và nhà nước Việt Nam. Như vậy, theo cách phân loại trên, chúng ta hình thành nên hai loại tội phạm công nghệ cao cơ bản đó là loại tội phạm có mục tiêu phạm tội hướng tới các hệ thống máy tính, mạng máy tính và loại tội phạm sử dụng hệ thống máy tính, mạng máy tính là công cụ để thực hiện hành vi phạm tội. Do đây là loại tội phạm mới phát sinh trong kỷ nguyên số với nhiều đặc tính đặc thù phi truyền thống với khả năng phạm tội rất rộng và có tính chất xuyên quốc gia, nên công tác giải quyết các vụ án liên quan đến tội phạm có sử dụng công nghệ cao để thực hiện hành vi phạm tội cũng như việc hợp tác với các cơ quan chức năng liên quan thường gặp một số vấn đề khó khăn như [2]: - Các đối tượng sử dụng thông tin giả để liên hệ với nhau cũng như trong quá trình thực hiện hành vi phạm tội nên rất khó để xác định được nhân dạng chính xác của đối tượng. Khi đã xác định được nhân dạng của đối tượng thì việc chứng minh được đối tượng đã từng sử dụng thông tin giả này để thực hiện hành vi phạm tội cũng sẽ gặp rất nhiều khó khăn.

- Nhiều trường hợp đối tượng thông qua internet đã cấu kết với các đối tượng khác sinh sống ở nước ngoài để thực hiện hành vi phạm tội của mình. Do thông qua internet nên hầu hết các chứng cứ đều là các dạng tập tin lưu trữ trên máy tính và trên mạng nên khi bị phát hiện, đối tượng có thể dễ dàng nhanh chóng sửa hoặc xóa để tuy hủy chứng cứ. 3 - Rất nhiều trường hợp đối tượng đã thực hiện hành vi phạm tội thông qua các máy chủ trung gian đặt tại nước ngoài hoặc có thể lợi dụng các hệ thống phần mềm không được bảo mật tốt, lừa đảo đánh cắp mật kh u để tấn công và sử dụng các hệ thống máy tính của cá nhân, tổ chức bình thường nào đó như là một máy trung gian để thực hiện hành vi phạm tội của chúng. Do đó, để xác định được chính xác đối tượng đã thực hiện hành vi phạm tội cũng như chứng minh hành vi phạm tội đó trong tình huống này sẽ gặp rất nhiều khó khăn.

- Sau khi đã xác định được đối tượng thì quá trình điều tra cũng như thu thập chứng cứ của vụ án như đã đề cập bên trên cũng sẽ gặp phải nhiều khó khăn do hầu hết chứng cứ chỉ xác định được trên cơ sở lời khai của nạn nhân, đối tượng và các thông tin từ các hệ thống máy tính, mạng máy tính. Thông qua các vấn đề trên, ta có thể nhận thấy được tầm quan trọng của ngành khoa học điều tra số, mà trong đó công tác thu thập chứng cứ điện tử là bước đầu tiên và cực kỳ quan trọng trong công tác tố tụng hình sự cũng như dân sự sau này. Để có thể thu thập được một cách đầy đủ nhất, chính xác nhất, khách quan nhất và bảo quản hợp lý nhất thì chúng ta cần phải hiểu rõ các khái niệm, bản chất và tính chất của chứng cứ điện tử là gì.1 Chứng cứ điện tử Bộ luật tố tụng hình sự năm 2015 [3] được Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam khóa XIII, kỳ họp thứ 10 được thông qua vào ngày 27 tháng 11 năm 2015, theo điều 87 “Nguồn chứng cứ” đã công nhận “Dữ liệu điện tử” là có giá trị pháp lý như các nguồn chứng cứ và có thể được d ng để làm căn cứ trong quá trình giải quyết vụ án. Bộ luật này cũng đã định nghĩa ở điều 99 “Dữ liệu điện tử” về dữ liệu điện tử như sau: - “1.

Dữ liệu điện tử là ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự được tạo ra, lưu trữ, truyền đi hoặc nhận được bởi phương tiện điện tử. Dữ liệu điện tử được thu thập từ phương tiện điện tử, mạng máy tính, mạng viễn thông, trên đường truyền và các nguồn điện tử khác. Giá trị chứng cứ của dữ liệu điện tử được xác định căn cứ vào cách thức khởi tạo, lưu trữ hoặc truyền gửi dữ liệu điện tử; cách thức bảo đảm và duy trì tính toàn vẹn của dữ liệu điện tử; cách thức xác định người khởi tạo và các yếu tố phù hợp khác.” Chứng cứ điện tử mang tính chất trừu tượng cao, về khía cạnh vật lý, dữ liệu điện tử chỉ là sự thể hiện trạng thái của các phần tử vật chất như là trạng thái dao động của các loại sóng điện từ ở dạng tượng tự (analog, Hình 1.1) hay trạng thái tồn tại có (1) hoặc không (0) trong dạng kỹ thuật số (digital, Hình 1.2) theo thời gian.1: Dạng tương tự (analog) [4] Hình 1.2: Dạng kỹ thuật số (digital) [5] 5 Còn ở khía cạnh máy tính, dữ liệu điện tử sẽ được biểu diễn thành những dạng mà con người có thể nhìn thấy được, nghe thấy được và tương tác được như các k hiệu, chữ viết, chữ số, các tập tin hình ảnh, các tập tin âm thanh, các tập tin video. Các dữ liệu điện tử này được tạo ra, truyền đi và lưu trữ bởi các phương tiện điện tử dưới sự tương tác của con người.