Bối cảnh và vấn đề nghiên cứu

Trong hệ thống máy tính hiện đại, hệ điều hành (Operating System - OS) đóng vai trò là nền tảng cốt lõi điều khiển toàn bộ phần cứng và quản trị tài nguyên phần mềm. Mọi tương tác giữa người dùng và thiết bị kỹ thuật đều được thực hiện thông qua hệ điều hành. Trong số các hệ điều hành dành cho máy tính cá nhân và máy chủ, họ hệ điều hành Microsoft Windows chiếm thị phần lớn và được ứng dụng rộng rãi trong các cơ quan, tổ chức, doanh nghiệp cũng như hộ gia đình.

Trong lĩnh vực an toàn thông tin, đặc biệt là nghiệp vụ phòng chống và điều tra tội phạm mạng máy tính, hệ điều hành Windows là môi trường chứa đựng khối lượng thông tin và dấu vết số khổng lồ. Việc phân tích cấu trúc hệ thống, cơ sở dữ liệu cấu hình, cơ chế ghi nhật ký hoạt động và các tiến trình thực thi là bước khởi đầu bắt buộc đối với kỹ sư an toàn thông tin và giám định viên kỹ thuật số.

Báo cáo bài tập lớn / đồ án chuyên môn với đề tài "Phân Tích Hệ Điều Hành Windows" được thực hiện tại Khoa An toàn thông tin, Học viện Kỹ thuật Mật mã, dưới sự hướng dẫn của Thầy Nguyễn Mạnh Thắng.

Đề tài xác định các mục tiêu và nhiệm vụ nghiên cứu cụ thể như sau:

  1. Tổng hợp cơ sở lý thuyết về hệ điều hành: Khái niệm, lịch sử phát triển, tính năng, các thành phần cốt lõi và khảo sát các hệ điều hành phổ biến trên máy tính và thiết bị di động.
  2. Phân tích chuyên sâu kiến trúc hệ điều hành Windows: Cấu trúc hệ thống tập tin (FAT, NTFS), cơ sở dữ liệu Windows Registry, các tệp tin và thư mục mặc định quan trọng, cơ chế bảo vệ tích hợp (Windows Firewall, Windows Defender) và hệ thống nhật ký sự kiện (Windows Event Log).
  3. Làm rõ vai trò của hệ điều hành trong quy trình điều tra, thu thập chứng cứ số phục vụ phòng chống tội phạm máy tính.
  4. Tiến hành thực nghiệm kỹ thuật trích xuất, phân tích thông tin hệ thống, cấu hình tường lửa, dấu vết Registry và phân tích Event Log trên hai nền tảng: Windows 7 Ultimate và Windows Server 2012.

Đối tượng nghiên cứu của đồ án là hệ điều hành Windows, bao gồm cấu trúc tệp tin, cơ sở dữ liệu Registry, cơ chế giám sát an ninh và dữ liệu log hệ thống. Phạm vi thực nghiệm được triển khai trực tiếp trên phiên bản máy trạm Windows 7 Ultimate (64-bit, Service Pack 1) và phiên bản máy chủ Windows Server 2012.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết và khái niệm chuyên ngành

Đồ án xây dựng nội dung dựa trên các khái niệm nền tảng của khoa học máy tính và điều tra số (Digital Forensics):

  • Kiến trúc hệ điều hành: Định nghĩa OS, cấu trúc nhân (Kernel) quản lý phần cứng cơ bản (đọc/ghi bộ nhớ, định tuyến dữ liệu I/O, quản lý mạng), giao diện người dùng (User Interface - CLI/GUI) và giao diện lập trình ứng dụng (Application Programming Interfaces - API).
  • Hệ thống tập tin (File System): Khảo sát các định dạng FAT16, FAT32 (không gian địa chỉ 32-bit từ bản Windows 95 OSR2) và NTFS (hệ thống tập tin tiêu chuẩn của dòng Windows NT).
  • Cơ sở dữ liệu Registry: Cơ chế lưu trữ phân cấp thay thế cho các tệp cấu hình phẳng .ini, config.sys và autoexec thời MS-DOS. Cấu trúc gồm 5 nhánh chính (Root Hives), các khóa (Keys), khóa con (Subkeys) và giá trị (Values), kèm theo cấu trúc nhãn thời gian ghi cuối FILETIME (LastWrite time) phục vụ xác định mốc thời gian sự kiện.
  • Cơ chế phòng thủ tích hợp:
    • Firewall: Khảo sát các thế hệ tường lửa gồm tường lửa có trạng thái (Stateful firewall), tường lửa thế hệ mới (NGFW), tường lửa dựa trên proxy (Proxy-based firewall), tường lửa ứng dụng web (WAF), hệ thống ngăn chặn xâm nhập (IPS), phân tích gói sâu (DPI) và kiểm tra SSL (SSL inspection).
    • Windows Defender: Phần mềm diệt mã độc tích hợp với các chế độ quét nhanh (Quick scan), quét toàn bộ (Full scan), quét tùy chỉnh (Custom scan) và quét ngoại tuyến (Windows Defender Offline Scan).
  • Nhật ký sự kiện (Windows Event Log): Cấu trúc nhật ký lưu tại %SystemRoot%\System32\winevt\logs, bao gồm các danh mục Windows Logs (Application, Security, System, Setup, Forwarded events) và các mã nhận dạng sự kiện (Event ID).
  • Chứng cứ số (Digital Evidence): Sự kết hợp giữa quy chuẩn pháp lý và kỹ thuật máy tính nhằm thu thập, phân tích dữ liệu số mà vẫn bảo đảm tính toàn vẹn của bằng chứng.

Phương pháp nghiên cứu

Tác giả kết hợp hai phương pháp nghiên cứu chính:

  1. Phương pháp phân tích - tổng hợp lý thuyết: Khảo cứu tài liệu kỹ thuật về cấu trúc nội tại của Windows, cơ chế quản lý bộ nhớ ảo, cơ chế tương thích WinSxS và nguyên lý hoạt động của các dịch vụ an ninh tích hợp.
  2. Phương pháp thực nghiệm kỹ thuật số (Forensic Analysis):
    • Sử dụng các công cụ hệ thống tích hợp: Control Panel, System Properties, Windows Firewall with Advanced Security, Event Viewer (eventvwr), Windows Registry Editor (regedit).
    • Ứng dụng công cụ chuyên dụng mã nguồn mở: Forensic Registry Editor (phát triển bởi Daniel Gillen) để tra cứu chứng cứ số trong các hive Registry.
    • Sử dụng giao diện dòng lệnh PowerShell để truy vấn cấu hình dịch vụ, tiến trình và phân vùng ổ đĩa trên Windows Server.

Nguồn dữ liệu thực nghiệm

Dữ liệu thực nghiệm được trích xuất trực tiếp từ các máy tính cài đặt môi trường thử nghiệm:

  • Máy trạm thử nghiệm thông số: Bộ vi xử lý Intel Core i5-7200U (2.50GHz - 2.70GHz), RAM 12 GB, chạy Windows 10 Home Single Language 64-bit; và máy ảo chạy Windows 7 Ultimate 64-bit (SP1, Version 6.1).
  • Máy chủ thử nghiệm: Hệ điều hành Windows Server 2012.

Nội dung chính theo từng chương

Chương I: Tìm hiểu sơ lược về hệ điều hành

Chương này khái quát các kiến thức cơ bản về hệ điều hành máy tính:

  • Khái niệm và vai trò: Hệ điều hành là phần mềm trung gian cho phép người dùng vận hành ứng dụng, quản lý tài nguyên phần cứng (CPU, bộ nhớ, thiết bị nhập/xuất, thiết bị mạng, ổ đĩa lưu trữ) và cung cấp các thư viện dùng chung (common libraries).
  • Lịch sử phát triển: Điểm lại các giai đoạn phát triển, bắt đầu từ giai đoạn 1 (1945–1955) khi máy tính lớn chưa có hệ điều hành, phát triển dần qua các thế hệ MS-DOS, Windows 98, Windows 2000, Windows XP.
  • Các thành phần chính: Phân tích chức năng của Kernel, User Interface và API.
  • Khảo sát các hệ điều hành phổ biến:
    • Hệ điều hành máy tính: Microsoft Windows (tiêu chuẩn phổ biến từ năm 1985), Apple macOS (dành cho dòng Macintosh, ưu điểm mượt mà và ổn định nhưng hạn chế tương thích phần cứng ngoài), Linux (hệ điều hành mã nguồn mở dạng Unix, miễn phí, bảo mật cao, tối ưu cho máy chủ và thiết bị cấu hình yếu).
    • Hệ điều hành di động: Android (dựa trên nhân Linux, chiếm thị phần lớn nhất), Apple iOS, Windows Phone, Symbian và BlackBerry OS.
+------------------+-------------------------------------------------------------+
| Hệ điều hành     | Đặc điểm kiến trúc và phạm vi ứng dụng                      |
+------------------+-------------------------------------------------------------+
| Microsoft Windows| Chuẩn máy tính cá nhân và doanh nghiệp, giao diện GUI trực quan|
| Apple macOS      | Dành riêng cho máy Mac, vận hành mượt mà, độ ổn định cao    |
| Linux            | Mã nguồn mở, đa nhiệm, linh hoạt, tối ưu cho máy chủ        |
| Android / iOS    | Hệ điều hành thông minh chủ đạo cho thiết bị di động        |
+------------------+-------------------------------------------------------------+

Chương II: Hệ điều hành Windows

Chương II tập trung phân tích sâu các thành phần cấu trúc của hệ điều hành Windows phục vụ công tác giám sát và điều tra an ninh mạng:

  • File system: So sánh FAT16, FAT32 và NTFS.
  • Kiến trúc Windows Registry:
    • Quá trình chuyển dịch từ các tệp cấu hình WIN.INI, SYSTEM.INI thời DOS/Windows 3.x sang cấu trúc Registry dạng cây trên Windows 9x/NT 3.5.
    • Vị trí tệp tin cấu hình Registry trên Windows 7/8 (\system32\config\system, sam, security, software, default).
    • Phân loại 5 nhánh chính:
      1. HKEY_CLASSES_ROOT (HKCR): Quản lý liên kết định dạng tệp và thư viện .dll.
      2. HKEY_CURRENT_USER (HKCU): Lưu cấu hình của người dùng đang đăng nhập.
      3. HKEY_LOCAL_MACHINE (HKLM): Lưu thông số phần cứng, phần mềm dùng chung toàn hệ thống.
      4. HKEY_USERS (HKU): Lưu cấu hình chi tiết của tất cả tài khoản người dùng theo mã định danh (User ID).
      5. HKEY_CURRENT_CONFIG (HKCC): Lưu thông tin cấu hình phần cứng và trình điều khiển (drivers) hiện hành.
    • Dấu vết quan trọng trong Registry: Vị trí tự khởi động (Autorun Locations) thường bị mã độc lợi dụng (ví dụ: HKLM\Software\Microsoft\Windows\CurrentVersion\Run, RunOnce, Startup), danh sách tài nguyên sử dụng gần nhất (Most Recently Used - MRU, ví dụ: HKCU\...\Explorer\RunMRU).
  • Các thư mục và tệp tin mặc định quan trọng:
    • Program Files và Program Files (x86): Phân biệt không gian cài đặt ứng dụng 64-bit và 32-bit.
    • C:\Windows\System32: Chứa các tệp thư viện liên kết động (.dll) cốt lõi và các chương trình thực thi mặc định (calc.exe, mspaint.exe).
    • C:\pagefile.sys: Bộ nhớ ảo (swap file/page file) mở rộng khi RAM vật lý bị đầy.
    • C:\System Volume Information: Lưu trữ các điểm phục hồi hệ thống (System Restore Points) và dịch vụ sao lưu Volume Shadow Copy.
    • C:\Windows\WinSxS: Thư mục Windows Side by Side xử lý hiện tượng xung đột thư viện ("DLL Hell") bằng cách lưu trữ đồng thời nhiều phiên bản DLL.
    • D3DSCache: Thư mục đệm lưu thông tin xử lý đồ họa cho Direct3D API thuộc DirectX tại đường dẫn AppData\Local.
  • Phần mềm bảo vệ mặc định:
    • Tường lửa Windows Firewall: Nguyên lý lọc gói tin theo trạng thái, tích hợp IPS, DPI, kiểm tra chứng chỉ SSL và ngăn ngừa thất thoát dữ liệu (DLP).
    • Windows Defender: Công cụ chống virus tích hợp tự động cập nhật và 4 chế độ quét an ninh.
  • Công cụ phân tích nhật ký hành vi (Windows Event Log):
    • Cấu trúc tệp nhật ký nhị phân lưu tại %SystemRoot%\System32\winevt\logs.
    • Phân vùng Windows Logs gồm: Application, Security, System, Setup và Forwarded events.
  • Ý nghĩa đối với điều tra số: Xác lập vị trí của việc phân tích log, Registry và cấu hình hệ điều hành như là bước thu thập chứng cứ nền tảng phục vụ bảo đảm tính toàn vẹn của chứng cứ số trước pháp luật.
+-----------------------------------+---------------------------------------------------+
| Nhánh Registry (Hive)             | Chức năng quản lý thông tin                       |
+-----------------------------------+---------------------------------------------------+
| HKEY_CLASSES_ROOT (HKCR)          | Kiểu tệp tin, giao diện kéo-thả, liên kết DLL     |
| HKEY_CURRENT_USER (HKCU)          | Thiết lập ứng dụng, giao diện của User hiện hành  |
| HKEY_LOCAL_MACHINE (HKLM)         | Cấu hình phần cứng, phần mềm dùng chung hệ thống  |
| HKEY_USERS (HKU)                  | Hồ sơ cấu hình của tất cả các User theo User ID   |
| HKEY_CURRENT_CONFIG (HKCC)        | Thông số phần cứng và driver đang hoạt động       |
+-----------------------------------+---------------------------------------------------+

Chương III: Thực nghiệm phân tích HĐH Windows

Chương III trình bày chi tiết quy trình thực nghiệm kỹ thuật trích xuất dữ liệu trên hai môi trường:

1. Phân tích thực nghiệm trên Windows 7 Ultimate

Tác giả tiến hành các bước điều tra cụ thể:

  • Kiểm tra thông số hệ thống: Xác định phiên bản Windows 7 Ultimate (Version 6.1, Service Pack 1, kiến trúc 64-bit), mã kích hoạt Product ID qua đường dẫn Control Panel -> System and Security -> System.
  • Trích xuất thông tin người dùng và nhóm: Truy cập quản trị tài khoản, phân tích danh sách nhóm hệ thống (nhóm Administrators và nhóm Users), phát hiện tài khoản người dùng minhtq thuộc nhóm Users.
  • Phân tích cấu hình tường lửa (Windows Firewall with Advanced Security):
    • Kiểm tra danh sách các luật lọc dữ liệu vào (Inbound Rules) và dữ liệu ra (Outbound Rules).
    • Trích xuất tệp nhật ký tường lửa qua mục Logging Settings trong bảng điều khiển Monitoring.
    • Cấu trúc bản ghi log tường lửa gồm: Ngày tháng năm, Thời gian, Hành động (Action), Giao thức (Protocol), IP nguồn, IP đích, Cổng nguồn, Cổng đích, Kích cỡ gói tin.
  • Trích xuất chứng cứ số trong Windows Registry:
    • Thời gian tắt máy gần nhất: Khóa HKLM\SYSTEM\ControlSet001\Control\Windows.
    • Danh sách ứng dụng cài đặt: Khóa HKLM\SOFTWARE\RegisteredApplications (trích xuất các trường Name, Type REG_SZ, Data).
    • Lịch sử kết nối mạng nội bộ: Khóa HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\NetworkList\Nla\Cache\Intranet\Home.
    • Lịch sử kết nối thiết bị lưu trữ ngoại vi (USB): Khóa HKLM\SYSTEM\ControlSet001\Enum\USBSTOR (lưu trữ mã định danh thiết bị độc lập cho từng ổ USB đã cắm vào máy).
    • Lịch sử tìm kiếm URL trên trình duyệt Internet Explorer: Khóa HKEY_USERS\S-1-5-21-[User Identifier]\Software\Microsoft\Internet Explorer\TypedURLs.
  • Phân tích nhật ký sự kiện qua Event Viewer (eventvwr):
    • Mục Application: Kiểm tra nhật ký phần mềm, mức độ sự kiện (Level), thời gian (Date and Time), nguồn phát sinh (Source), mã sự kiện (Event ID), danh mục tác vụ (Task Category).
    • Mục Security: Phân tích các mã Event ID trọng yếu phục vụ giám sát truy cập:
      • Event ID 4624: Một tài khoản đăng nhập thành công vào hệ thống.
      • Event ID 4634: Một tài khoản đã đăng xuất khỏi hệ thống.
      • Event ID 4672: Đặc quyền quản trị được chỉ định cho phiên đăng nhập mới.
      • Event ID 4616: Thay đổi trạng thái cấu hình thời gian của hệ thống.
    • Mục System: Phân tích nhật ký hoạt động của các dịch vụ hệ thống và thay đổi cấu hình tệp tin.

2. Phân tích thực nghiệm trên Windows Server 2012

Triển khai các phương pháp tương tự như trên Windows 7, đồng thời mở rộng các nội dung phân tích quản trị hệ thống:

  • Kiểm tra trạng thái dịch vụ bằng PowerShell: Sử dụng câu lệnh: Powershell -ExecutionPolicy Bypass -Command "& Get-Service | Select Name, DisplayName, Status, StartType" Trích xuất thành công danh sách các service hệ thống với các trường: Tên dịch vụ (Name), Tên hiển thị (DisplayName), Trạng thái (Status) và Kiểu khởi động (StartType).
  • Trích xuất dữ liệu nâng cao: Phân tích Application log, liệt kê danh sách các tiến trình (Processes) đang hoạt động và kiểm tra cấu trúc phân vùng ổ cứng trên máy chủ.
+---------------+---------------------------------------------------------------+
| Event ID      | Ý nghĩa sự kiện bảo mật trên Windows                          |
+---------------+---------------------------------------------------------------+
| 4624          | Tài khoản đăng nhập thành công vào hệ thống                   |
| 4634          | Tài khoản thực hiện đăng xuất                                 |
| 4672          | Gán đặc quyền quản trị cấp cao cho phiên đăng nhập mới        |
| 4616          | Có sự thay đổi về trạng thái cấu hình thời gian hệ thống      |
+---------------+---------------------------------------------------------------+

Kết quả và đóng góp

Kết quả kỹ thuật đạt được

Đồ án đã chứng minh quy trình trích xuất và phân tích chứng cứ số trên hệ điều hành Windows thông qua các kết quả cụ thể:

  1. Xác định chính xác các điểm lưu trữ cấu hình nhạy cảm và lịch sử hoạt động của người dùng trong Registry (dấu vết cắm USB tại USBSTOR, danh sách URL đã gõ, lịch sử mạng nội bộ, thời gian tắt máy).
  2. Xây dựng bảng đối chiếu các trường dữ liệu và các mã sự kiện Event ID then chốt trong công tác điều tra an ninh mạng.
  3. Thực hiện thành công việc trích xuất log tường lửa, phân tích danh sách luật Inbound/Outbound và kiểm tra trạng thái dịch vụ hệ thống máy chủ bằng PowerShell.
+---------------------------+-----------------------------------------------------------+
| Nhóm dấu vết số           | Vị trí / Phương thức trích xuất thực nghiệm               |
+---------------------------+-----------------------------------------------------------+
| Dấu vết USB               | HKLM\SYSTEM\ControlSet001\Enum\USBSTOR                    |
| Lịch sử URL trình duyệt   | HKU\S-1-5-21-[ID]\Software\Microsoft\Internet Explorer\...|
| Lịch sử tắt máy           | HKLM\SYSTEM\ControlSet001\Control\Windows                 |
| Log bảo mật đăng nhập     | Event Viewer -> Security (Event ID 4624, 4634, 4672)      |
| Dịch vụ máy chủ           | PowerShell -> Get-Service (Select Name, Status, StartType)|
| Tường lửa hệ thống        | Windows Firewall with Advanced Security -> Logging setting|
+---------------------------+-----------------------------------------------------------+

Đóng góp chuyên môn

  • Tổng hợp có hệ thống mối liên hệ giữa các thành phần phần mềm hệ thống Windows và dấu vết phục vụ điều tra số.
  • Cung cấp tài liệu hướng dẫn thực nghiệm trực quan cho sinh viên chuyên ngành An toàn thông tin khi tiếp cận học phần Điều tra tội phạm máy tính.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế

  • Môi trường thực nghiệm tập trung chủ yếu vào phiên bản Windows 7 Ultimate và Windows Server 2012, chưa bao quát đầy đủ các cơ chế bảo mật nâng cao trên các phiên bản Windows 10, Windows 11 hay Windows Server 2016/2019/2022.
  • Các phân tích dừng lại ở mức độ sử dụng các tiện ích hệ điều hành có sẵn và công cụ tra cứu Registry cơ bản, chưa đi sâu vào kỹ thuật phân tích bộ nhớ động (RAM Forensics) hoặc giải mã các tệp tin hệ thống bị can thiệp phức tạp.
  • Chưa triển khai thử nghiệm giải pháp đẩy log tập trung tự động về các hệ thống SIEM.

Hướng nghiên cứu tiếp

  • Mở rộng phân tích các cơ chế bảo mật mới trên các phiên bản hệ điều hành Windows hiện đại.
  • Triển khai thu thập và phân tích tập trung log Windows Event Log quy mô lớn thông qua các giao thức Syslog hoặc bộ thu thập Winlogbeat đẩy về hệ thống quản lý sự kiện và thông tin bảo mật (SIEM).
  • Nghiên cứu sâu các kỹ thuật trích xuất bộ nhớ RAM và điều tra dấu vết mã độc ẩn sâu trong nhân hệ thống.

Giá trị tham khảo

Tài liệu là nguồn tham khảo thiết thực cho:

  • Sinh viên ngành An toàn thông tin, Công nghệ thông tin, Kỹ thuật mật mã: Phục vụ các học phần liên quan đến Hệ điều hành, Phòng chống và điều tra tội phạm mạng, Giám định kỹ thuật số.
  • Kỹ sư quản trị hệ thống và chuyên viên an ninh mạng: Tham khảo các đường dẫn Registry trọng yếu để kiểm tra dấu vết xâm nhập, cấu hình chính sách tường lửa và rà soát dịch vụ máy chủ.

Các nội dung có giá trị tham khảo cao nhất trong đồ án gồm:

  • Danh mục chi tiết các khóa Registry ghi nhận hành vi người dùng (USB, RunMRU, TypedURLs, Shutdown time).
  • Bảng phân tích mã sự kiện bảo mật (Event ID) trong Windows Event Log.
  • Cấu trúc và phương pháp trích xuất nhật ký tường lửa Windows Firewall.

Câu hỏi thường gặp

1. Tệp tin nhật ký sự kiện Windows Event Log được lưu trữ mặc định tại thư mục nào và mở bằng công cụ gì?
Tệp nhật ký sự kiện của Windows được lưu trữ mặc định tại đường dẫn %SystemRoot%\System32\winevt\logs. Người dùng và điều tra viên có thể mở và xem trực tiếp thông qua trình quản lý Event Viewer bằng cách nhập từ khóa eventvwr vào hộp thoại Run.

2. Để điều tra các thiết bị USB từng kết nối vào máy tính Windows 7, điều tra viên cần kiểm tra vị trí nào trong Registry?
Điều tra viên cần truy cập vào đường dẫn khóa: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR. Mỗi thiết bị USB từng cắm vào hệ thống sẽ được lưu trữ dưới một thư mục mã riêng biệt chứa đầy đủ thông số kỹ thuật của thiết bị.

3. Ý nghĩa của các mã Event ID 4624 và 4634 trong mục Security của Windows Event Log là gì?
Trong mục Security của Event Log, Event ID 4624 biểu thị một tài khoản đã đăng nhập thành công vào hệ thống máy tính, còn Event ID 4634 biểu thị một tài khoản đã thực hiện đăng xuất khỏi hệ thống.

4. Vai trò của tệp pagefile.sys trong hệ thống Windows là gì và tại sao không nên tắt bỏ?
pagefile.sys là tệp bộ nhớ ảo (swap file) nằm tại ổ đĩa C:, đóng vai trò mở rộng bộ nhớ khi RAM vật lý bị đầy. Nếu vô hiệu hóa tệp này, hệ thống sẽ gặp sự cố quá tải bộ nhớ và phát sinh lỗi nghiêm trọng khi chạy các tác vụ nặng thay vì chuyển dữ liệu tạm sang bộ nhớ ảo.

5. Lệnh PowerShell nào được tác giả sử dụng để kiểm tra danh sách và trạng thái dịch vụ trên Windows Server 2012?
Tác giả sử dụng câu lệnh PowerShell:
Powershell -ExecutionPolicy Bypass -Command "& Get-Service | Select Name, DisplayName, Status, StartType"
Lệnh này cho phép trích xuất tên dịch vụ, tên hiển thị, trạng thái hoạt động và chế độ khởi động của các service trên hệ thống.

Kết luận

Báo cáo bài tập lớn "Phân Tích Hệ Điều Hành Windows" của sinh viên Khoa An toàn thông tin - Học viện Kỹ thuật Mật mã đã hệ thống hóa toàn diện kiến trúc hệ điều hành Windows dưới góc nhìn an toàn thông tin và điều tra số. Đề tài đã phân tích chi tiết cấu trúc tập tin, cơ sở dữ liệu Registry, các thư mục hệ thống cốt lõi, cơ chế bảo mật tích hợp và hệ thống nhật ký sự kiện. Thông qua các bước thực nghiệm cụ thể trên Windows 7 và Windows Server 2012, đồ án đã chứng minh phương pháp trích xuất các dấu vết số quan trọng phục vụ hiệu quả cho công tác giám định và điều tra tội phạm mạng máy tính.