Nghiên cứu giải pháp thu thập chứng cứ hỗ trợ xử lý sự cố an toàn thông tin

Chuyên đề nghiên cứu Giải pháp thu thập chứng cứ cho xử lý sự cố an toàn thông tin, cập nhật xu hướng mới, giá trị tham khảo cao cho chuyên gia

• Tác giả: Đỗ Bá Sơn
• Trường học: Trường Đại Học
• Chuyên ngành: An Toàn Thông Tin
• Đề tài: Giải Pháp Thu Thập Chứng Cứ Cho Xử Lý Sự Cố An Toàn Thông Tin
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2023
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: QUY TRÌNH XỬ LÝ SỰ CỐ MẤT ATTT VÀ PHƯƠNG PHÁP THU THẬP CHỨNG CỨ
• 1.1. Quy trình điều tra số - Tổng quan về quy trình điều tra số
• 1.2. Các lớp quy trình điều tra số
• 1.3. Quy trình chuẩn bị sẵn sàng
• 1.4. Quy trình khởi tạo
• 1.5. Quy trình tiếp nhận
• 1.6. Quy trình điều tra
• 1.7. Quy trình đồng thời
• 1.8. Thu thập chứng cứ
• 1.8.1. Khó khăn trong thu thập chứng cứ
• 1.8.2. Tại sao thu thập chứng cứ?
• 1.8.3. Lựa chọn phương pháp thu thập
• 1.8.4. Các loại chứng cứ
• 1.8.5. Các quy tắc thu thập chứng cứ
• 2. CHƯƠNG 2: GIẢI PHÁP THU THẬP CHỨNG CỨ BẰNG USB CHUYÊN DỤNG
• 3. CHƯƠNG 3: XÂY DỰNG USB THU THẬP CHỨNG CỨ VÀ KIỂM THỬ

Tóm tắt

I. Giới thiệu về chứng cứ số trong xử lý sự cố an toàn thông tin

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc thu thập chứng cứ số trở thành một yếu tố quan trọng trong việc xử lý sự cố an toàn thông tin. Khi một sự cố xảy ra, chứng cứ số không chỉ giúp xác định nguyên nhân mà còn là cơ sở pháp lý để xử lý kẻ tấn công. Việc thu thập dữ liệu cần được thực hiện một cách cẩn thận và tuân thủ quy trình để đảm bảo tính hợp lệ của chứng cứ. Nếu không, chứng cứ có thể bị coi là không hợp lệ trong các thủ tục pháp lý. Theo tiêu chuẩn ISO/IEC 27035:2011, quy trình thu thập chứng cứ cần được thực hiện một cách có hệ thống và khoa học để đảm bảo tính chính xác và toàn vẹn của thông tin.

1.1. Tầm quan trọng của chứng cứ số

Chứng cứ số đóng vai trò quan trọng trong việc xác định trách nhiệm của kẻ tấn công và bảo vệ quyền lợi của nạn nhân. Việc thu thập chứng cứ số không chỉ giúp phục hồi dữ liệu mà còn ngăn chặn các cuộc tấn công trong tương lai. Theo các chuyên gia, việc thu thập chứng cứ kịp thời và chính xác có thể giúp giảm thiểu thiệt hại và bảo vệ tài sản thông tin của tổ chức. Hơn nữa, chứng cứ số còn giúp các cơ quan chức năng trong việc điều tra và xử lý các vụ án liên quan đến tội phạm công nghệ cao.

II. Quy trình thu thập chứng cứ số

Quy trình thu thập chứng cứ số cần được thực hiện theo các bước cụ thể để đảm bảo tính hợp lệ và hiệu quả. Đầu tiên, cần xác định nguyên nhân sự cố và các chứng cứ liên quan. Sau đó, việc thu thập dữ liệu cần được thực hiện một cách cẩn thận, tránh làm thay đổi hoặc xóa bỏ chứng cứ. Các phương pháp thu thập chứng cứ bao gồm việc sử dụng các công cụ chuyên dụng và tuân thủ các quy tắc bảo mật. Việc ghi lại toàn bộ quá trình thu thập cũng rất quan trọng để đảm bảo tính minh bạch và có thể kiểm tra lại khi cần thiết.

2.1. Các bước trong quy trình thu thập chứng cứ

Quy trình thu thập chứng cứ số bao gồm các bước như: phát hiện sự cố, xác định chứng cứ tiềm năng, thu thập và bảo quản chứng cứ. Mỗi bước cần được thực hiện một cách cẩn thận và có hệ thống. Việc sử dụng các công cụ thu thập chứng cứ chuyên dụng như USB chuyên dụng giúp tăng cường khả năng thu thập và bảo vệ chứng cứ. Ngoài ra, việc đào tạo nhân viên về quy trình thu thập chứng cứ cũng rất quan trọng để đảm bảo rằng họ có đủ kiến thức và kỹ năng cần thiết.

III. Giải pháp thu thập chứng cứ bằng USB chuyên dụng

Giải pháp thu thập chứng cứ bằng USB chuyên dụng được đề xuất nhằm tăng cường khả năng thu thập và bảo vệ chứng cứ số. USB này được thiết kế với các phân vùng độc lập và bảo mật, cho phép thu thập dữ liệu trong cả chế độ Online và Offline. Việc sử dụng USB chuyên dụng không chỉ giúp thu thập chứng cứ một cách hiệu quả mà còn đảm bảo tính toàn vẹn của dữ liệu. Các công cụ tích hợp trong USB giúp tự động hóa quá trình thu thập và lưu trữ chứng cứ, từ đó giảm thiểu rủi ro mất mát thông tin.

3.1. Thiết kế và chức năng của USB chuyên dụng

USB chuyên dụng được chia thành ba phân vùng: một phân vùng cho hệ điều hành Linux, một phân vùng cho Windows và một phân vùng để lưu trữ dữ liệu thu thập. Hệ điều hành Linux được tùy biến để thu thập chứng cứ trong chế độ Offline, trong khi phân vùng Windows cho phép thu thập chứng cứ trong chế độ Online. Việc thiết kế này giúp tối ưu hóa khả năng thu thập và bảo vệ chứng cứ, đồng thời đảm bảo rằng các dữ liệu thu thập được lưu trữ an toàn và có thể truy cập dễ dàng khi cần thiết.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của công nghệ mạng và Internet, nhu cầu triển khai các hệ thống ứng dụng trong lĩnh vực mạng máy tính và truyền thông ngày càng tăng cao. Tuy nhiên, cùng với sự phát triển này, tình hình mất an ninh mạng trở nên phức tạp với số vụ tấn công và xâm nhập hệ thống công nghệ thông tin gia tăng đáng kể. Theo ước tính, các vụ tấn công mạng không chỉ tăng về số lượng mà còn đa dạng về hình thức và tinh vi về công nghệ, gây ra nhiều nguy cơ nghiêm trọng đối với kinh tế, xã hội và quốc phòng an ninh. Việc xử lý sự cố mất an toàn thông tin (ATTT) đòi hỏi phải có bằng chứng sự cố chính xác và được thu thập đúng quy trình để đảm bảo tính pháp lý và kỹ thuật trong xử lý. Mục tiêu của luận văn là nghiên cứu và xây dựng giải pháp thu thập chứng cứ hỗ trợ xử lý sự cố ATTT trên máy tính thông qua việc sử dụng USB chuyên dụng, nhằm giúp doanh nghiệp và cá nhân nâng cao hiệu quả bảo đảm ATTT trong vận hành khai thác. Phạm vi nghiên cứu tập trung vào việc thiết kế USB chuyên dụng với ba phân vùng độc lập và bảo mật, hỗ trợ thu thập chứng cứ trong trạng thái máy tính Online và Offline. Giải pháp này có ý nghĩa quan trọng trong việc giảm thiểu tác động của sự cố, nâng cao khả năng điều tra và xử lý kịp thời các sự cố mất ATTT, góp phần bảo vệ tài sản số và thông tin quan trọng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các tiêu chuẩn và lý thuyết về quản lý sự cố an toàn thông tin và điều tra số, trong đó nổi bật là tiêu chuẩn ISO/IEC 27035:2011 về quản lý sự cố ATTT và ISO/IEC 27041 về phương pháp luận điều tra số. Quy trình điều tra số được phân thành các lớp quy trình chuẩn bị sẵn sàng, khởi tạo, tiếp nhận, điều tra và đồng thời, đảm bảo tính toàn diện và tuân thủ pháp lý trong thu thập chứng cứ. Các khái niệm chính bao gồm: chứng cứ khả biến và bất biến, tính chấp nhận, tính xác thực, tính toàn vẹn, tính tin cậy và tính minh bạch của chứng cứ. Ngoài ra, các phương pháp thu thập chứng cứ như đóng băng hiện trường (Freezing the scene) và honeypotting cũng được áp dụng để tăng hiệu quả điều tra. Về công nghệ, luận văn sử dụng mô hình USB chuyên dụng với ba phân vùng độc lập, tích hợp hệ điều hành Linux tùy biến và phần mềm thu thập chứng cứ trên Windows, đồng thời áp dụng các công cụ mã hóa bảo mật như BitLocker và VeraCrypt để đảm bảo an toàn dữ liệu.

Phương pháp nghiên cứu

Nguồn dữ liệu chính được thu thập từ các tài liệu chuyên ngành, tiêu chuẩn quốc tế, các công cụ phần mềm pháp y máy tính và thực tiễn xử lý sự cố tại các trung tâm ứng cứu khẩn cấp máy tính. Phương pháp nghiên cứu bao gồm phân tích lý thuyết, thiết kế giải pháp kỹ thuật và xây dựng mô hình USB chuyên dụng. Cỡ mẫu nghiên cứu là một thiết bị USB dung lượng 64 GB được chia thành ba phân vùng với dung lượng lần lượt 4 GB, 4 GB và 34 GB. Phương pháp chọn mẫu là lựa chọn thiết bị USB phổ biến, có tốc độ truyền dữ liệu cao và tính bảo mật tốt. Phân tích dữ liệu được thực hiện thông qua kiểm thử chức năng thu thập chứng cứ trên các môi trường máy tính Online và Offline, đánh giá khả năng bảo mật và tính toàn vẹn dữ liệu. Timeline nghiên cứu kéo dài trong khoảng thời gian thực hiện luận văn thạc sĩ, bao gồm các giai đoạn: tổng quan lý thuyết, thiết kế giải pháp, xây dựng USB, tích hợp phần mềm và kiểm thử thực tế.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả thu thập chứng cứ trên môi trường Offline: USB chuyên dụng với phân vùng Kali Linux tùy biến cho phép thu thập dữ liệu khả biến và bất biến trên máy tính bị sự cố khi không kết nối mạng, đảm bảo không làm thay đổi dữ liệu gốc. Qua kiểm thử, khả năng thu thập các loại dữ liệu như trạng thái mạng, tiến trình hoạt động, cấu hình hệ thống đạt tỷ lệ thành công trên 95%.

2. Khả năng thu thập chứng cứ trên môi trường Online: Phần mềm thu thập chứng cứ trên phân vùng Windows hỗ trợ thu thập dữ liệu khả biến khi máy tính vẫn hoạt động và kết nối mạng, giúp giám sát và ghi nhận các hoạt động bất thường. Tỷ lệ thu thập dữ liệu chính xác đạt khoảng 90%, giảm thiểu rủi ro mất mát thông tin do tắt máy đột ngột.

3. Tính bảo mật và toàn vẹn dữ liệu: Việc sử dụng BitLocker để mã hóa phân vùng lưu trữ chứng cứ giúp bảo vệ dữ liệu khỏi bị truy cập trái phép và thay đổi. Kiểm thử cho thấy phân vùng lưu trữ có khả năng chống ghi ngược và bảo vệ dữ liệu hiệu quả, đảm bảo tính toàn vẹn của chứng cứ thu thập.

4. Tính linh hoạt và khả năng mở rộng: Giải pháp USB chuyên dụng có thể áp dụng cho nhiều môi trường máy tính khác nhau, từ cá nhân đến doanh nghiệp, với khả năng cập nhật phần mềm từ trung tâm điều phối. Điều này giúp nâng cao hiệu quả xử lý sự cố và hỗ trợ điều tra số.

Thảo luận kết quả

Nguyên nhân của các phát hiện trên xuất phát từ việc thiết kế USB chuyên dụng theo mô hình phân vùng độc lập, mỗi phân vùng đảm nhận một chức năng riêng biệt, kết hợp với các công cụ thu thập chứng cứ và mã hóa hiện đại. So sánh với các nghiên cứu trước đây, giải pháp này tối ưu hơn về mặt bảo mật và khả năng thu thập dữ liệu trong cả hai trạng thái máy tính Online và Offline. Việc áp dụng tiêu chuẩn ISO/IEC 27035 và các quy tắc thu thập chứng cứ giúp đảm bảo tính pháp lý và kỹ thuật trong xử lý sự cố. Dữ liệu có thể được trình bày qua biểu đồ tỷ lệ thành công thu thập chứng cứ trên từng môi trường và bảng so sánh tính năng bảo mật của các phân vùng USB. Kết quả nghiên cứu có ý nghĩa thực tiễn lớn, góp phần nâng cao năng lực ứng cứu sự cố ATTT, giảm thiểu thiệt hại và tăng cường an ninh mạng cho các tổ chức.

Đề xuất và khuyến nghị

1. Triển khai rộng rãi USB chuyên dụng trong các tổ chức: Khuyến nghị các doanh nghiệp và cơ quan nhà nước trang bị USB thu thập chứng cứ chuyên dụng để nâng cao khả năng ứng cứu sự cố ATTT, đặc biệt trong các trung tâm điều phối an ninh mạng. Thời gian thực hiện trong vòng 6 tháng.

2. Đào tạo nhân sự chuyên trách: Tổ chức các khóa đào tạo về quy trình thu thập chứng cứ và sử dụng USB chuyên dụng cho đội ngũ kỹ thuật viên và điều tra viên an ninh mạng nhằm đảm bảo hiệu quả sử dụng công cụ. Thời gian đào tạo định kỳ hàng năm.

3. Phát triển phần mềm trung tâm quản lý và phân tích chứng cứ: Xây dựng hệ thống phần mềm trung tâm để quản lý, phân tích và hỗ trợ xử lý sự cố dựa trên dữ liệu thu thập từ USB chuyên dụng, giúp tăng tốc độ và độ chính xác trong điều tra. Thời gian phát triển dự kiến 12 tháng.

4. Cập nhật và nâng cấp công cụ thường xuyên: Thiết lập quy trình cập nhật phần mềm và hệ điều hành trên USB chuyên dụng từ trung tâm để đảm bảo tính tương thích và bảo mật trước các mối đe dọa mới. Chủ thể thực hiện là bộ phận quản trị CNTT, thực hiện định kỳ 3-6 tháng.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và điều tra số: Luận văn cung cấp kiến thức chuyên sâu về quy trình thu thập chứng cứ và giải pháp kỹ thuật hỗ trợ xử lý sự cố, giúp nâng cao hiệu quả công tác điều tra và ứng cứu.

2. Doanh nghiệp và tổ chức có hệ thống CNTT lớn: Các đơn vị này có thể áp dụng giải pháp USB chuyên dụng để tăng cường khả năng bảo vệ và xử lý sự cố mất ATTT, giảm thiểu thiệt hại về tài sản và uy tín.

3. Cơ quan quản lý nhà nước và trung tâm ứng cứu sự cố: Tài liệu giúp xây dựng quy trình chuẩn và công cụ hỗ trợ trong công tác điều tra, xử lý sự cố an ninh mạng, đồng thời nâng cao năng lực phối hợp liên ngành.

4. Sinh viên và nghiên cứu sinh ngành công nghệ thông tin: Luận văn là tài liệu tham khảo quý giá về lý thuyết và thực tiễn trong lĩnh vực pháp y máy tính, điều tra số và an ninh mạng, hỗ trợ nghiên cứu và học tập chuyên sâu.

Câu hỏi thường gặp

1. USB chuyên dụng thu thập chứng cứ hoạt động như thế nào trên máy tính Offline?
   USB khởi động hệ điều hành Linux tùy biến, không sử dụng hệ điều hành của máy tính bị sự cố, giúp thu thập dữ liệu khả biến và bất biến mà không làm thay đổi dữ liệu gốc, đảm bảo tính toàn vẹn chứng cứ.

2. Làm sao để đảm bảo dữ liệu thu thập không bị thay đổi hoặc xóa?
   Phân vùng lưu trữ dữ liệu được mã hóa bằng BitLocker với cơ chế chống ghi ngược và bảo vệ toàn vẹn dữ liệu, đồng thời tuân thủ quy trình thu thập chứng cứ nghiêm ngặt để tránh sai lệch.

3. Có thể sử dụng USB chuyên dụng trên nhiều hệ điều hành khác nhau không?
   Có, USB được thiết kế để hoạt động trên cả môi trường Windows (phân vùng phần mềm chuyên dụng) và Linux (phân vùng hệ điều hành Kali Linux), phù hợp với đa dạng hệ thống máy tính.

4. Thời gian thu thập chứng cứ mất bao lâu?
   Thời gian thu thập phụ thuộc vào cấu hình máy tính và khối lượng dữ liệu, tuy nhiên, công cụ Ir-Rescue trên Windows thường hoàn thành trong vòng tối đa một giờ khi được cấu hình đầy đủ.

5. Giải pháp này có thể áp dụng cho các cuộc tấn công mạng phức tạp không?
   Giải pháp hỗ trợ thu thập chứng cứ hiệu quả cho nhiều loại sự cố mất ATTT, giúp điều tra viên có dữ liệu chính xác để phân tích nguyên nhân và xử lý, phù hợp với các cuộc tấn công đa dạng và tinh vi.

Kết luận

• Đã xây dựng thành công giải pháp USB chuyên dụng với ba phân vùng độc lập, tích hợp hệ điều hành Kali Linux và phần mềm thu thập chứng cứ trên Windows, đáp ứng yêu cầu thu thập chứng cứ trong cả môi trường Online và Offline.
• Giải pháp đảm bảo tính bảo mật và toàn vẹn dữ liệu nhờ áp dụng công nghệ mã hóa BitLocker cho phân vùng lưu trữ chứng cứ.
• Kết quả kiểm thử cho thấy khả năng thu thập chứng cứ chính xác, hiệu quả, hỗ trợ tốt cho công tác điều tra và xử lý sự cố mất ATTT.
• Luận văn góp phần nâng cao nhận thức và năng lực ứng cứu sự cố an ninh mạng cho các tổ chức, doanh nghiệp và cơ quan quản lý.
• Đề xuất các bước tiếp theo bao gồm triển khai thực tế, đào tạo nhân sự và phát triển phần mềm trung tâm quản lý, nhằm hoàn thiện và mở rộng ứng dụng giải pháp.

Hành động ngay hôm nay để bảo vệ hệ thống của bạn trước các nguy cơ mất an toàn thông tin bằng cách áp dụng giải pháp thu thập chứng cứ chuyên dụng và nâng cao năng lực ứng cứu sự cố!

Trích đoạn nội dung tài liệu

Chương 1: Quy trình xử lý sự cố mất ATTT và phương pháp thu thập chứng cứ thời gian, không những tái cấu trúc các sự kiện mà còn xây dựng các chuỗi sự kiện đi đúng hướng, tốt nhất là phải sử dụng múi giờ GMT khi tạo dấu thời gian chuẩn. ₋ Sao lưu kết quả phân tích cuộc điều tra số Cần phải có một máy chủ lưu trữ dành riêng cho công việc sao lưu kết quả phân tích cuộc điều tra số. Máy chủ kiểm tra này phải được bảo mật, sạch sẽ (cài một hệ điều hành mới và đóng băng nó để cách ly với bất kỳ mạng khác). Khi hệ thống này có sẵn, chúng ta có thể bắt đầu phân tích các bản sao lưu.

Làm sai ở thời điểm này không nên là một vấn đề. Chúng ta chỉ có thể khôi phục lại các bản sao lưu nếu cần. Hãy nhớ câu thần chú: Tài liệu mọi thứ chúng ta làm. Đảm bảo rằng những gì chúng ta làm là lặp lại và có khả năng luôn cho kết quả tương tự [7].

Học viên: Đỗ Bá Sơn 15 Chương 2: Giải pháp thu thập chứng cứ bằng USB chuyên dụng CHƯƠNG 2: GIẢI PHÁP THU THẬP CHỨNG CỨ BẰNG USB CHUYÊN DỤNG 2. Bài toán đặt ra Đối với bài toán liên quan đến hệ thống hỗ trợ xử lý sự cố mất an toàn thông tin (ATTT), cách tiếp cận chính để xây dựng hệ thống này được xuất phát từ quy trình chung về pháp lý số đã được đặc tả trong các chuẩn TCVN 11239:2015 và ISO/IEC 27035 và các yêu cầu thực tế tại Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VnCert). Ngày nay an ninh mạng đã là một hiểm họa lớn đối với tất cả các công ty, tổ chức ở Việt Nam. Nhiều cuộc tấn công chớp nhoáng, thậm chí diễn ra dai dẳng.

Để đối phó với các sự cố mất ATTT trên máy tính, cần phải có một cụ chuyên dụng để thu thập dữ liệu hiện trường khi xảy ra sự cố. Chính vì vậy chúng tôi đã đặt ra bài toán xây dựng giải pháp thu thập chứng cứ sử dụng USB chuyên dụng để nhằm mục đích thu thập dữ liệu máy tính mất ATTT một cách nhanh chóng hiệu quả mà vẫn giữ tính bảo mật. Cụ thể USB thu thập chứng cứ chúng tôi tổ chức theo mô tả trong Hình 2. Cấu trúc USB thu thập chứng cứ Học viên: Đỗ Bá Sơn 16 Chương 2: Giải pháp thu thập chứng cứ bằng USB chuyên dụng Ngoài ra, yêu cầu hoạt động của USB chuyên dụng phải đảm bảo được tính bảo mật trên từng phân vùng, tính toàn vẹn dữ liệu khi được thu thập khi được lưu trữ các dữ liệu này trên USB.

Hơn nữa do các đặc trưng việc hỗ trợ xử lý sự cố mất ATTT, USB phải đáp ứng được thu thập chứng cứ ngay cả khi máy tính Online lẫn khi máy tính Offline. Trong các phần tiếp theo chúng tôi trình bày phương pháp giải quyết bài toán và các công cụ có thể dùng để xây dựng USB chuyên dụng. Phương pháp giải quyết bài toán 2.1 Hướng đi cho bài toán Để thu thập chứng cứ, các công cụ hỗ trợ cho pháp lý số nói chung sẽ được tập hợp lại trong một USB chuyên dụng, có hệ điều hành Linux được tuỳ biến, cho phép thu thập nhật ký hoạt động của máy tính có nghi ngờ hoặc đã xảy ra sự cố mất ATTT. USB này sẽ phải có khả năng tự đảm bảo tính toàn vẹn của toàn bộ công cụ trong USB, chống ghi ngược lại từ các máy tính bị lây nhiễm Malwares và có thêm công cụ để thu thập được những tệp dữ liệu, thông tin có nguy cơ cao gây ra sự cố cũng như bị ảnh hưởng bởi sự cố.

Các công cụ trong USB chuyên dụng này sẽ phải cho phép thu thập được cả dữ liệu chứng cứ trên các hệ thống máy tính Online lẫn các máy tính Offline tức là không sử dụng hệ điều hành của máy tính bị sự cố. Cụ thể, các dữ liệu cần phải thu thập sẽ bao gồm tối thiểu các loại dữ liệu sau: ₋ Dữ liệu khả biến trong máy tính bị sự cố: + Trạng thái mạng, các cổng được mở, bảng định tuyến, dữ liệu được trao đổi qua các cổng được mở… + Thông tin về các tiến trình đang hoạt động. + Thông tin về người dùng đã đăng nhập, về máy tính. ₋ Dữ liệu bất biến trong máy tính bị sự cố + Thông tin cấu hình mạng, cấu hình hệ thống.

+ Các tệp hệ thống của Windows. + Dữ liệu Registry. + Các vết truy cập của người dùng (các tệp sử dụng gần đây, lịch sử các trình duyệt…). + Caches của trình duyệt.

Sau khi sử dụng USB để thu thập được dữ liệu từ các máy tính nghi ngờ, chuyên viên hỗ trợ xử lý sự cố sẽ tiến hành phân tích dữ liệu đó thông qua hệ thống phần mềm trung tâm. Tại đây, phần mềm trung tâm sẽ hỗ trợ các chuyên gia phân tích, kết hợp công cụ để xác định nguyên nhân sự cố ATTT, từ đó đưa ra được những khuyến nghị, phương án xử lý sự Học viên: Đỗ Bá Sơn 17 Chương 2: Giải pháp thu thập chứng cứ bằng USB chuyên dụng cố tương ứng hoặc từ đó có thể hỗ trợ công tác hiệu chỉnh lại quy trình đảm bảo ATTT nói chung trong cơ quan. Từ giải pháp tổng thể đã nêu, chúng tôi sẽ tiến hành xây dựng hệ thống phần mềm hỗ trợ công tác xử lý sự cố ATTT. Hệ thống này sẽ bao gồm hai sản phẩm tương ứng với hai giai đoạn chính trong công tác ứng cứu, xử lý sự cố ATTT: ₋ Xây dựng USB chuyên dụng kèm phần mềm công cụ phục vụ công tác thu thập chứng cứ sự cố ATTT ₋ Xây dựng hệ thống phần mềm trung tâm để quản lý sự cố, chứng cứ sự cố, phân tích chứng cứ, từ đó đề xuất phương án hỗ trợ xử lý sự cố.2 Xây dựng USB thu thập chứng cứ để giải quyết bài toán ₋ Như đã trình bày trong phần luận giải, dữ liệu chứng cứ chúng tôi dự kiến thu thập được phân làm hai loại: + Dữ liệu chứng cứ thu thập từ bộ nhớ chính (RAM, kiểu khả biến): Bao gồm thông tin trạng thái mạng, các cổng được mở, bảng định tuyến, dữ liệu trao đổi qua các cổng mạng được mở, dữ liệu các tiến trình đang hoạt động, dữ liệu các tệp tin được thao tác từ xa; thông tin người dùng và máy tính.

+ Dữ liệu chứng cứ thu thập từ thiết bị lưu trữ (Kiểu bất biến): Bao gồm các dữ liệu như Registry, Windows logs, cấu hình hệ thống, lịch sử người dùng, caches trình duyệt, các tệp hệ thống quan trọng của Windows. ₋ Ý tưởng chính của chúng tôi trong công tác thu thập chứng dữ liệu chứng cứ là sẽ sử dụng USB chuyên dụng, có định dạng dữ liệu chuyên biệt chống nguy cơ lây nhiễm ngược, được tổ chức thành ba phân vùng như sau: + Phân vùng 1: Chứa hệ điều hành tùy biến từ Linux và các phần mềm hỗ trợ thu thập dữ liệu chứng cứ trong thiết bị lưu trữ của máy tính có sự cố ATTT. Phần mềm này hỗ trợ thu thập dữ liệu chứng cứ kiểu bất biến và khả biến theo phương pháp: Sử dụng USB chuyên dụng để khởi động từ hệ điều hành Linux chuyên dụng, sử dụng công cụ phần mềm này để thu thập dữ liệu chứng cứ. Chú thích: Phân vùng này phải được cài đặt cơ chế chống ghi từ các máy tính thông thường; chỉ có thể được cập nhật từ phía phần mềm trung tâm.

+ Phân vùng 2: Dùng để chứa phần mềm trên Windows, được xây dựng trong đề tài, để hỗ trợ thu thập dữ liệu chứng cứ khả biến của máy tính có sự cố ATTT. Phần mềm này thu thập dữ liệu chứng cứ theo phương pháp: Sử dụng USB chuyên dụng trong máy tính đã xảy ra sự cố ATTT hoặc đang nghi nghờ, sử dụng công cụ phần mềm này để tiến hành thu thập dữ liệu chứng cứ. Học viên: Đỗ Bá Sơn 18 Chương 2: Giải pháp thu thập chứng cứ bằng USB chuyên dụng Chú thích: Phân vùng này cũng phải được cài đặt cơ chế bảo mật chuyên dụng, phần mềm này cũng chỉ có thể được cập nhật từ phía phần mềm trung tâm. + Phân vùng 3: Đây là phân vùng được dùng để lưu tạm thời dữ liệu chứng cứ đã thu thập được theo cả hai phương pháp nêu trên.

Phân vùng này chỉ được phép ghi thông qua công cụ phần mềm thu thập chứng cứ của đề tài; có cơ chế đảm bảo tính toàn vẹn của toàn bộ dữ liệu chứng cứ thu thập được. ₋ Tại trung tâm hỗ trợ xử lý sự cố (Có thể đặt tại đơn vị chuyên trách về CNTT trong cơ quan nhà nước), chúng tôi sẽ xây dựng phần mềm trung tâm với các phân hệ: + Phân hệ quản lý quy trình hỗ trợ xử lý sự cố ATTT. + Phân hệ quản lý dữ liệu chứng cứ sự cố ATTT. + Phân hệ phân tích, xác định nguyên nhân và hỗ trợ công tác xử lý sự cố ATTT.

+ Phân hệ quản trị toàn bộ hệ thống. ₋ Do các phần mềm công cụ phục vụ cho việc quản trị dữ liệu chứng cứ, phân tích chứng cứ để phát hiện bất thường, nguyên nhân sự cố ATTT cần phải sử dụng máy chủ có hiệu năng tính toán cao. Đây cũng là lý do chúng tôi cần phải được trang bị thêm máy chủ hiệu năng cao để phục vụ cho cả quá trình xây dựng, phát triển hệ thống hỗ trợ xử lý sự cố ATTT lẫn thử nghiệm cục bộ. Các chức năng chính của hệ thống hỗ trợ xử lý sự cố ATTT được minh hoạ thông qua hình vẽ dưới đây: Hình 2.

2 - Mô hình kiến trúc hệ thống hỗ trợ xử lý sự cố ATTT Học viên: Đỗ Bá Sơn 19 Chương 2: Giải pháp thu thập chứng cứ bằng USB chuyên dụng 2. Các bản phân phối của hệ điều hành Linux hỗ trợ thu thập chứng cứ Hiện nay trên thế giới có rất nhiều các hệ điều hành mã nguồn mở và các công cụ dành cho các nhà điều tra số nghiệp dư lẫn chuyên nghiệp. Các nhà điều tra số thông thường kết hợp các công cụ khác nhau dùng để thu thập chứng cứ sau mỗi cuộc tấn công và các công cụ này được xây dựng để sử nhiều hệ điều hành khác nhau (Linux Distribution, Windows, Mac OS,. Tuy nhiên hệ điều hành của Linux Distribution vẫn được dùng phổ biến nhất.

Dưới đây chúng ta sẽ liệt kê một số Linux Distribution: 2.