Chương 1: Quy trình xử lý sự cố mất ATTT và phương pháp thu thập chứng cứ - Logs và Logging Nên chạy các tính năng ghi lại hoạt động của hệ thống. Điều quan trọng là làm thế nào để giữ cho các bản ghi này an toàn và sao lưu chúng định kỳ, vì trong các bản ghi thường tự động lưu lại các mốc thời gian. Hãy lưu ý rằng các bản ghi này được lưu trữ cục bộ trên máy tính bị xâm nhập, chúng dễ bị thay đổi hoặc bị xóa bởi kẻ tấn công. Nếu chúng ta có một máy chủ từ xa để lưu lại các bản ghi hệ thống sẽ làm giảm thiểu rủi ro khi một cuộc tấn công xảy ra mặc dù kẻ tấn công có thể tạo thêm các mục giải mã hoặc các mục rác làm ảnh hưởng tới bản ghi gốc.
Việc kiểm tra thường xuyên bản ghi hệ thống rất hữu ích bởi vì không chỉ phát hiện ra những kẻ xâm nhập mà còn là cách để tạo ra thêm chứng cứ. Tin nhắn, bản ghi từ các chương trình có thể được sử dụng để cho thấy thiệt hại mà kẻ tấn công đã gây ra. Tất nhiên, chúng ta cần phải bắt nhanh được các bản ghi này trước khi chúng biến mất hoặc bị thay đổi. - Giám sát Theo dõi lưu lượng truy cập mạng rất hữu ích để có thể thu thập số liệu thống kê, coi chừng hoạt động bất thường để có thể ngăn chặn sự xâm nhập trước khi nó xảy ra và đồng thời theo dõi kẻ tấn công đến từ đâu và anh ta đang làm gì.
Theo dõi bản ghi nhật ký khi chúng được tạo, nó có thể hiển thị cho chúng ta thông tin quan trọng mà chúng ta có thể đã bỏ lỡ. Điều này không có nghĩa là phải bỏ qua các bản ghi sau này, bởi nó có thể là thứ mà thiếu trong các bản ghi đáng ngờ. Thông tin được thu thập trong khi giám sát lưu lượng mạng có thể được tổng hợp thành số liệu thống kê để xác định hành vi bình thường cho hệ thống. Những thống kê này có thể được sử dụng như một cảnh báo sớm về các hành động của kẻ tấn công.
Chúng cũng có thể theo dõi hành động của người dùng, điều này tạo ra như một hệ thống cảnh báo sớm. Hoạt động bất thường hoặc sự xuất hiện đột ngột của người dùng không xác định nên được coi là nguyên nhân rõ ràng để kiểm tra chặt chẽ hơn. Nói chung, nên giới hạn phạm vi giám sát lưu lượng truy cập hoặc thông tin người dùng tránh lãng phí thời gian và cũng nên tạo nội dung bản cam kết để người dùng có thể tùy ý lựa chọn giữa việc đồng ý bị giám sát hoặc từ chối khi người dùng đăng nhập, bởi vì sau này tránh được vấn đề liên quan đến pháp lý [7]. Phương pháp thu thập chứng cứ Có hai hình thức thu thập cơ bản: Đóng băng hiện trường (Freezing the scene) và Mắt ong (Honeypottting).
Có thể sử dụng linh hoạt một trong hai cách này hoặc dùng cả hai cách cùng lúc tùy vào trường hợp cụ thể. Học viên: Đỗ Bá Sơn 11 Chương 1: Quy trình xử lý sự cố mất ATTT và phương pháp thu thập chứng cứ Đóng băng hiện trường: Là một hình thức sao lưu dữ liệu tạm thời sử dụng cho nhiều mục đích. Trước khi bắt đầu thu thập chúng ta nên thông báo trước cho các cơ quan, tổ chức liên quan đến vụ việc như cảnh sát và đội phản ứng sự cố và đội pháp lý. Sau đó mới bắt đầu thu thập dữ liệu và phân loại dữ quan trọng và chúng phải được lưu trữ trong một định dạng tiêu chuẩn.
Đảm bảo rằng các chương trình và tiện ích được sử dụng để thu thập dữ liệu cũng được thu thập trên cùng phương tiện. Tất cả dữ liệu sau khi thu thập phải tạo một bản tóm tắt thông điệp mật mã và những bản tóm tắt đó phải được so sánh với bản gốc để xác minh tính toàn vẹn. Honeypotting là một hệ thống tài nguyên thông tin được xây dựng với mục đích giả dạng, đánh lừa những kẻ sử dụng và xâm nhập không hợp pháp, thu hút sự chú ý, ngăn không cho chúng tiếp xúc với hệ thống thật. Honeypotting có thể giả dạng bất cứ loại máy chủ tài nguyên nào như Mail Server, Domain Name Server, Web Server.
Honeypotting sẽ trực tiếp tương tác với tin tặc và tìm cách khai thác thông tin về tin tặc như hình thức tấn công, công cụ tấn công hay cách thức tiến hành tấn công. Honeypotting gồm hai loại chính: ₋ Honeypotting tương tác thấp: Mô phỏng giả các dịch vụ, ứng dụng, và hệ điều hành. Mức độ rủi ro thấp, dễ triển khai và bảo dưỡng nhưng bị giới hạn về dịch vụ. ₋ Honeypotting tương tác cao: Là các dịch vụ, ứng dụng và hệ điều hành thực.
Mức độ thông tin thu thập được cao. Nhưng rủi ro cao và tốn thời gian để vận hành và bảo dưỡng Các Honeypotting tương tác thấp bao gồm: + Back Officer Friendly (BOF): Là một loại hình Honeypotting rất dễ vận hành và cấu hình của nó có thể hoạt động trên bất kỳ phiên bản nào của Windows và Unix, nhưng nhược điểm của nó là chỉ tương tác được với một số dịch vụ đơn giản như FTP, Telnet, SMTP. + Specter: Đây cũng là loại hình Honeypotting tương tác thấp nhưng có khả năng tương tác tốt hơn so với Back Officer, loại Honeypotting này có thể giả lập trên 14 cổng (Port), và có thể cảnh báo, quản lý từ xa. Tuy nhiên, cũng giống như Back Officer thì Specter có nhược điểm là bị giới hạn số dịch vụ và không linh hoạt.
+ Honeyd: Loại Honeypotting này có thể “lắng nghe” trên tất cả các cổng TCP và UDP, những dịch vụ mô phỏng được thiết kế với mục đích ngăn chặn và ghi lại những cuộc tấn công, tương tác với kẻ tấn công trong vai trò là một hệ thống nạn nhân. Hiện nay, Honeyd có nhiều phiên bản và có thể mô phỏng được khoảng 473 hệ điều hành. Honeyd là loại hình Honeypotting tương tác thấp có nhiều ưu điểm, tuy nhiên nó có nhược điểm là không thể cung cấp một hệ điều hành thật để tương tác với tin tặc và không có cơ chế cảnh báo khi phát hiện hệ thống bị xâm nhập hoặc gặp phải nguy hiểm. Học viên: Đỗ Bá Sơn 12 Chương 1: Quy trình xử lý sự cố mất ATTT và phương pháp thu thập chứng cứ + Honeypotting tương tác cao: Là các dịch vụ, ứng dụng và hệ điều hành thực.
Mức độ thông tin thu thập được cao nhưng rủi ro cao và tốn thời gian để vận hành và bảo dưỡng. Honeynet là hình thức honeypotting tương tác cao [2].Dữ liệu thu thập Bất cứ khi nào một hệ thống bị xâm nhập, hầu như luôn có thứ gì đó bị kẻ tấn công bỏ lại, đó là các đoạn mã, chương trình trojan, quy trình đang chạy hoặc tệp nhật ký Sniffer, chúng được gọi là hiện vật. Chúng là một trong những thứ quan trọng chúng ta nên thu thập, nhưng chúng ta phải cẩn thận. Không nên cố gắng phân tích một vật phẩm trên hệ thống bị xâm nhập.
Hiện vật để lại hiện trường có khả năng cho chúng ta biết thêm nhiều thông tin hữu ích, và chúng ta muốn chắc chắn rằng hiệu ứng của chúng được kiểm soát. Có một số hiện vật rất khó để có thể tìm thấy bởi vì các Trojan có thể tạo ra các chương trình giống hệt bản gốc (kích thước tệp, kiểm soát truy cập trung bình [MAC] lần, v. Vì vậy chúng ta tổng kiểm tra “Checksum” tệp tin gốc để xác định được rằng hiện vật nào là do Trojan tạo ra. Phân tích các hiện vật giúp chúng ta tìm kiếm truy ngược lại các hệ thống, công cụ của kẻ tấn công sử dụng.
Từ các thông tin ở trên, bây giờ bây giờ sẽ xây dựng từng bước thu thập chứng cứ. Nhắc lại một lần nữa rằng đây chỉ là một hướng dẫn do đó nó tùy tình huống cụ thể để sử dụng một cách hiệu quả. Dưới đây các bước thu thập chứng cứ: - Bước 1: Tìm kiếm chứng cứ Xác định nơi chứng cứ đang tìm kiếm được lưu trữ, phải có một danh sách kiểm tra, nó không chỉ giúp xác định được đúng loại chứng cứ để thu thập mà còn để kiểm soát không bỏ sót mọi khu vực ổ đĩa lữu trữ có chứa các chứng cứ. - Bước 2: Tìm dữ liệu liên quan Sau khi tìm thấy chứng cứ, chúng ta phải tìm ra phần nào trong đó có liên quan đến vụ án.
Nói chung không nên thu thập tất cả các dữ liệu nhìn thấy mặc dù phải làm việc này rất nhanh. - Bước 3: Tạo phân bậc mức độ quan trọng cho các dữ liệu khả biến. Bây giờ chúng ta đã biết chính xác những dữ liệu nào cần thu thập, dựa trên kiến thức của bản thân để sắp xếp dữ liệu khả biến theo mức độ ưu tiên để thu thập nó. Lưu ý rằng chúng ta nên ưu tiên thu thập các dữ liệu khả biến dễ biến mất trong thời gian ngắn.
- Bước 4: Ngăn chặn sự thay đổi dữ liệu từ bên ngoài Học viên: Đỗ Bá Sơn 13 Chương 1: Quy trình xử lý sự cố mất ATTT và phương pháp thu thập chứng cứ Điều cần thiết là nên tránh để dữ liệu gốc bị thay đổi hay nói cách khác phòng bệnh luôn tốt hơn chữa bệnh. Ngăn chặn bất cứ ai can thiệp vào chứng cứ nhằm tạo ra một dữ liệu chính xác nhất có thể. Tuy nhiên, phải cẩn thận, kẻ tấn công có để lại bẫy để thay đổi dữ liệu khi bị phát hiện trước khi dời đi. Cuối cùng, phải cố gắng ngăn chặn những thay đổi dữ liệu từ bên ngoài.
- Bước 5: Thu thập chứng cứ Bây giờ chúng ta có thể bắt đầu thu thập chứng cứ bằng cách sử dụng các công cụ thích hợp cho công việc sau đó đánh giá lại chứng cứ chúng ta đã thu thập được. Cố gắng rà soát kỹ dữ liệu thu thập để tránh bỏ lỡ một cái gì đó quan trọng. Cuối cùng chúng ta phải đảm bảo đã thu thập đầy đủ dữ liệu cần thiết cho vụ điều tra mà không bỏ sót bất cứ thứ gì. Bước 6: Xây dựng tài liệu Các thủ tục thu thập dữ liệu phải được lưu lại để dùng trong công việc điều tra sau này.
Do đó sau khi lưu lại dấu thời gian, lịch sử, chữ ký số, các bước thu thập. Đừng xóa bất cứ thứ gì.Kiểm soát và bảo vệ dữ liệu Một khi dữ liệu đã được thu thập, nó phải được bảo vệ khỏi sự lây nhiễm. Không bao giờ sử dụng bản dữ liệu gốc trong điều tra số.