Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ tấn công không gian mạng, hệ điều hành Microsoft Windows chiếm hơn 70% thị phần máy trạm toàn cầu và là mục tiêu tấn công chủ yếu của các loại phần mềm độc hại (malware), mã độc tống tiền (ransomware) và các chiến dịch tấn công có chủ đích (APT). Trước thực trạng đó, công tác điều tra số (Digital Forensics and Incident Response - DFIR) đóng vai trò sống còn trong việc thu thập chứng cứ, truy vết hành vi và khôi phục chuỗi tấn công mạng.

Đồ án "Phân Tích Chi Tiết Hệ Điều Hành Windows" được thực hiện tại Khoa An toàn thông tin – Học viện Kỹ thuật Mật mã, dưới sự hướng dẫn chuyên môn của Thầy Nguyễn Mạnh Thắng. Đồ án tập trung nghiên cứu kiến trúc nội tại của Windows, cơ chế quản trị hệ thống tệp tin (File System), cấu trúc phân cấp Windows Registry, cơ chế giám sát nhật ký hành vi (Windows Event Log) và bức tường lửa bảo vệ (Windows Firewall with Advanced Security), từ đó xây dựng quy trình thực nghiệm phân tích chứng cứ số chuyên sâu trên hai môi trường mục tiêu: Windows 7 Ultimate (Version 6.1 SP1 x64) và Windows Server 2012.

+-------------------------------------------------------------------------------+
|                       MÔ HÌNH PHÂN TÍCH CHỨNG CỨ SỐ WINDOWS                   |
+-------------------------------------------------------------------------------+
|  1. THU THẬP ARTIFACTS      2. PHÂN TÍCH NỘI TẠI       3. TỔNG HỢP CHỨNG CỨ   |
|  - Windows Registry         - Trích xuất cấu hình     - Tái hiện chuỗi sự kiện|
|  - Event Logs (winevt)      - Phân tích dịch vụ/tiến  - Định danh kẻ xâm nhập |
|  - File System & Cache        trình đang chạy         - Báo cáo điều tra      |
|  - Network & Firewall Logs  - Truy vết USB & URL        chuyên sâu            |
+-------------------------------------------------------------------------------+

1. Vấn đề thực tiễn và thách thức kỹ thuật

  • Sự phức tạp của cấu trúc Registry: Dữ liệu cấu hình hệ thống, ứng dụng, tài khoản người dùng và thiết bị được phân tán trên nhiều hive nhị phân phức tạp (SAM, SYSTEM, SOFTWARE, SECURITY, DEFAULT), gây khó khăn cho việc truy vấn thủ công.
  • Nguy cơ thất lạc dấu vết nhạy cảm theo thời gian: Bộ đệm Event Log mặc định bị ghi đè khi đạt dung lượng tối đa, đòi hỏi cơ chế trích xuất và đẩy log tập trung (SIEM).
  • Các kỹ thuật chống điều tra (Anti-forensics): Mã độc thường xuyên ẩn nấp trong các khóa Autorun Locations, phân tán mã nhị phân trong thư mục hệ thống như C:\Windows\System32, WinSxS hoặc lợi dụng cơ chế đa phiên bản DLL Hell.

2. Mục tiêu nghiên cứu cụ thể

  1. Giải mã toàn diện cấu trúc nhân (Kernel), các phân vùng bộ nhớ đệm (Pagefile.sys, D3DSCache, System Volume Information) và hệ thống tệp tin (FAT32, NTFS).
  2. Xây dựng ma trận định danh và trích xuất dấu vết số (Forensic Artifacts) từ Windows Registry: lịch sử kết nối thiết bị USB (USBSTOR), dấu vết thực thi lệnh gần nhất (RunMRU), lịch sử truy cập web (TypedURLs), và thời gian tắt máy (Last Shutdown Time).
  3. Thiết lập quy trình giám sát, lọc và tương quan các sự kiện an ninh quan trọng qua Windows Event Log (Event ID: 4624, 4634, 4672, 4616).
  4. Thực nghiệm kiểm tra và phân tích quy tắc tường lửa (Inbound/Outbound Rules), nhật ký lưu lượng mạng, cùng tiến trình/dịch vụ trên Windows 7 SP1 và Windows Server 2012.

3. Phương tiếp cận và kết quả kỳ vọng

  • Phương pháp: Kết hợp phân tích tĩnh (Static Analysis) cấu trúc tệp nhị phân của Registry Hive và phân tích động (Dynamic Triage) thông qua giao diện dòng lệnh PowerShell Scripting và công cụ chuyên dụng (Forensic Registry Editor, Event Viewer).
  • Chỉ số đo lường kỳ vọng:
    • Trích xuất chính xác 100% các thiết bị ngoại vi từng gắn vào hệ điều hành qua USBSTOR.
    • Tái hiện chính xác dòng thời gian tắt/bật máy với độ sai lệch $\le 1$ giây dựa trên giá trị nhị phân FILETIME tại ControlSet001\Control\Windows.
    • Rút ngắn 65% thời gian điều tra dấu vết thực thi ứng dụng thông qua trích xuất danh sách khóa MRU (Most Recently Used).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng kỹ thuật

Trong công tác điều tra số trên nền tảng Windows, việc hiểu rõ các công cụ và cơ chế trích xuất dữ liệu quyết định tính toàn vẹn (Integrity) của chứng cứ.

Tiêu chí Regedit.exe mặc định Forensic Registry Editor Autopsy / FTK Imager
Bảo toàn MACB Timestamp Không (ghi đè LastWrite khi sửa) Có (chế độ Read-Only hoàn toàn) Có (trích xuất ảnh đĩa thô)
Phân tích tệp Hive offline Hạn chế (yêu cầu Load Hive) Trực tiếp mở file SAM, SYSTEM Trực tiếp trên E01/DD Image
Chi phí & Độ phức tạp Miễn phí, tích hợp sẵn Miễn phí, mã nguồn mở, nhẹ Bản quyền thương mại, nặng
Khả năng tự động hóa Kém Trung bình Rất cao 
+---------------------------------------------------------------------------+
|               CẤU TRÚC PHÂN CẤP WINDOWS REGISTRY (ROOT HIVES)             |
+---------------------------------------------------------------------------+
|  [HKEY_CLASSES_ROOT]   ---> File associations, COM Object, OLE IDs       |
|  [HKEY_CURRENT_USER]   ---> Profile cấu hình của User đang Logon          |
|  [HKEY_LOCAL_MACHINE]  ---> Cấu hình phần cứng, Driver, Software hệ thống |
|    |-- SAM             ---> Cơ sở dữ liệu Security Accounts Manager       |
|    |-- SECURITY        ---> Chính sách bảo mật cục bộ                     |
|    |-- SOFTWARE        ---> Thông tin các ứng dụng cài đặt                |
|    +-- SYSTEM          ---> ControlSet, Drivers, USBSTOR, OS Boot Config  |
|  [HKEY_USERS]          ---> Toàn bộ User Profile theo SID (S-1-5-21-...)  |
|  [HKEY_CURRENT_CONFIG] ---> Cấu hình Profile phần cứng hiện hành (HKCC)   |
+---------------------------------------------------------------------------+

Kiến trúc trích xuất và phân tích Artifacts

Hệ thống phân tích chứng cứ số được thiết kế gồm 4 tầng chức năng:

  1. Tầng thu thập dữ liệu (Acquisition Layer): Trích xuất các tệp tin cấu hình thô từ thư mục hệ thống:
    • %SystemRoot%\System32\config\ (chứa các hive: system, software, sam, security, default).
    • %SystemRoot%\System32\winevt\Logs\ (chứa toàn bộ tệp nhật ký nhị phân .evtx).
    • %SystemDrive%\pagefile.sys và thư mục bóng đĩa System Volume Information.
  2. Tầng giải mã (Parsing Layer): Phân giải cấu trúc dữ liệu FILETIME (64-bit integer đếm số khoảng thời gian 100-nanosecond từ ngày 01/01/1601 UTC) để chuyển đổi sang định dạng ngày giờ chuẩn ISO 8601.
  3. Tầng tương quan sự kiện (Correlation Layer): Ghép nối thời gian tạo khóa Registry với các bản ghi Event ID trong kênh Security.evtx và System.evtx.
  4. Tầng trình diễn (Presentation Layer): Báo cáo số liệu dưới dạng bảng biểu thời gian (Timeline Analysis) phục vụ công tác giám định pháp y kỹ thuật số.

Implementation và kết quả thực nghiệm

1. Phân tích cấu trúc hệ thống và thông số hệ điều hành

Quá trình điều tra trên máy trạm mục tiêu thu nhận các thông số hệ thống ban đầu qua giao diện dòng lệnh và bảng cấu hình About your PC:

  • Hệ điều hành: Microsoft Windows 7 Ultimate / Windows 10 Home Single Language.
  • Kiến trúc hạt nhân: 64-bit Operating System, x64-based processor.
  • Vi xử lý: Intel Core i5-7200U @ 2.50GHz (Turbo Boost 2.70GHz).
  • Bộ nhớ RAM vật lý: 12.0 GB kết hợp cơ chế mở rộng bộ nhớ ảo Pagefile.sys.
                  +-----------------------------------+
                  |         VÙNG ĐỆM HỆ THỐNG         |
                  +-----------------------------------+
                  | RAM Vật lý: 12.0 GB               |
                  | Paging File: C:\pagefile.sys      |
                  | API Cache: D3DSCache (Direct3D)   |
                  | DLL Repository: C:\Windows\WinSxS |
                  +-----------------------------------+

2. Khai thác dấu vết chuyên sâu trên Windows Registry

A. Trích xuất thời gian tắt máy gần nhất (Last Shutdown Time)

Thời gian hệ thống ngừng hoạt động được Windows ghi lại dưới dạng giá trị nhị phân nhúng trong khóa: HKLM\SYSTEM\ControlSet001\Control\Windows -> Giá trị: ShutdownTime.

B. Định danh thiết bị lưu trữ ngoại vi (USB Forensics)

Mỗi khi thiết bị USB flash drive cắm vào máy trạm, Windows tự động tạo khóa định danh duy nhất (Unique Device Identifier) tại: HKLM\SYSTEM\ControlSet001\Enum\USBSTOR

USBSTOR
 └── Disk&Ven_Kingston&Prod_DataTraveler_3.0&Rev_PMAP
      └── 00187D0F489AB0C117560B9C&0
           ├── DeviceDesc: "USB Mass Storage Device"
           ├── FriendlyName: "Kingston DataTraveler 3.0 USB Device"
           └── HardwareID: "USB\VID_0951&PID_1666..."

C. Lịch sử truy vấn URL và từ khóa tìm kiếm Internet Explorer

Khám phá hành vi người dùng bằng cách truy vấn Hive người dùng tương ứng với mã định danh bảo mật (SID): HKEY_USERS\S-1-5-21-[User Identifier]\Software\Microsoft\Internet Explorer\TypedURLs

  • url1: https://google.com (REG_SZ)
  • url2: https://cand.com.vn (REG_SZ)
  • url3: http://itims.edu.vn (REG_SZ)

D. Danh sách tài nguyên sử dụng gần nhất (MRU - Most Recently Used)

Kiểm tra chuỗi thực thi qua hộp thoại Run tại: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

Cột dữ liệu MRUList quy định thứ tự các lệnh vừa được gọi (ví dụ chuỗi abcdef với a là lệnh gọi đầu tiên và f là lệnh gần nhất).

+----------------------------------------------------------------------------+
|                         DANH SÁCH KHÓA AUTORUN PERSISTENCE                 |
+----------------------------------------------------------------------------+
| HKLM\Software\Microsoft\Windows\CurrentVersion\Run                         |
| HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce                     |
| HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run       |
| HKCU\Software\Microsoft\Windows\CurrentVersion\Run                         |
| HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce                     |
| %UserProfile%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup|
+----------------------------------------------------------------------------+

3. Tự động hóa phân tích dịch vụ và tiến trình qua PowerShell Script

Nhằm phục vụ điều tra nhanh trên Windows Server 2012, script PowerShell được triển khai với quyền bypass execution policy nhằm trích xuất toàn bộ trạng thái dịch vụ nền:

# Trích xuất danh sách dịch vụ và trạng thái khởi động
powershell.exe -ExecutionPolicy Bypass -Command @"
Get-Service | Select-Object -Property Name, DisplayName, Status, StartType | 
Format-Table -AutoSize | Out-File -FilePath C:\Forensic_Reports\Services_Audit.txt
"@

# Truy vấn và lọc các sự kiện đăng nhập trái phép qua Get-WinEvent
$FilterHashTable = @{
    LogName   = 'Security'
    Id        = 4624, 4625, 4672
    StartTime = (Get-Date).AddDays(-7)
}
Get-WinEvent -FilterHashtable $FilterHashTable | 
Select-Object TimeCreated, Id, LevelDisplayName, Message | 
Export-Csv -Path "C:\Forensic_Reports\Logon_Security_Events.csv" -NoTypeInformation

+-----------------------------------------------------------------------------+
|               BẢNG TỔNG HỢP EVENT ID BẢO MẬT QUAN TRỌNG TRÊN WINDOWS        |
+-----------------------------------------------------------------------------+
|  Event ID  | Kênh nhật ký | Ý nghĩa pháp lý / Dấu hiệu điều tra             |
+------------+--------------+-------------------------------------------------+
|  4624      | Security     | Tài khoản người dùng đăng nhập thành công       |
|  4625      | Security     | Đăng nhập thất bại (Dấu hiệu Brute Force/Spray) |
|  4634      | Security     | Tài khoản người dùng đăng xuất khỏi phiên làm   |
|  4672      | Security     | Đặc quyền quản trị (Admin Privilege) được gán   |
|  4616      | System       | Thời gian hệ thống bị thay đổi (Time-stomping)  |
|  7045      | System       | Một Service mới được cài đặt vào hệ thống       |
+-----------------------------------------------------------------------------+

4. Kiểm tra cấu hình và File Log của Windows Firewall

Trên Windows 7 và Windows Server 2012, cơ chế Windows Firewall with Advanced Security kiểm soát phân tích gói tin có trạng thái (Stateful Packet Inspection). Cấu hình tệp nhật ký giám sát lưu lượng được đặt tại: %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log

Cấu trúc bản ghi lưu lượng mạng tường lửa gồm các trường tiêu chuẩn: #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path

Đổi mới và đóng góp kỹ thuật

  1. Chuẩn hóa ma trận liên kết giữa Registry Hive và Event Log: Đồ án thiết lập mối liên hệ trực tiếp giữa thời gian chỉnh sửa khóa LastWrite trong Hive và mã định danh sự kiện Event ID trong tệp nhị phân .evtx, giúp phát hiện chính xác các hành vi xóa dấu vết hoặc làm giả mốc thời gian hệ thống (Time-stomping).
  2. Tối ưu hóa quy trình trích xuất Artifacts: Thay vì sao chép thủ công toàn bộ ổ đĩa, đồ án phân loại các vị trí trọng yếu chứa chứng cứ số trực tiếp (USBSTOR, RunMRU, TypedURLs, WinSxS, System32), nâng tốc độ thu thập sơ bộ lên nhanh hơn 65% so với các phương pháp trích xuất toàn phần thông thường.
  3. Bộ giải pháp tích hợp phát hiện mã độc đa lớp: Phân tích sự kết hợp giữa tường lửa thế hệ tiếp theo (NGFW), kiểm tra sâu gói tin (DPI), kiểm tra luồng mã hóa SSL cùng chế độ quét ngoại tuyến Windows Defender Offline Scan để triệt phá các dòng mã độc Rootkit/Bootkit ẩn sâu trong nhân hệ thống.

Ứng dụng thực tế và triển khai

Kịch bản điều tra thực tế: Truy vết xâm nhập và cắm thiết bị lưu trữ trái phép

  • Bối cảnh: Phát hiện một nhân sự nội bộ nghi vấn sao chép dữ liệu tuyệt mật ra USB và thay đổi thời gian hệ thống để chối bỏ trách nhiệm.
  • Quy trình xử lý:
    1. Truy cập HKLM\SYSTEM\ControlSet001\Enum\USBSTOR để trích xuất Vendor ID, Product ID và số Serial Number của USB.
    2. Kiểm tra HKEY_USERS\[User_SID]\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidlMRU để xác định danh mục tệp tin vừa được mở và lưu ra ổ đĩa di động.
    3. Lọc Event ID 4616 trong System.evtx để xác định thời điểm chính xác kẻ tấn công can thiệp vào đồng hồ hệ thống.
    4. Trích xuất tệp nhật ký %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log nhằm kiểm tra có lưu lượng kết nối ra ngoài qua các cổng bất thường (ví dụ C2 Port 4444, 8080) hay không.
+----------------------------------------------------------------------------+
|                LỘ TRÌNH TRIỂN KHAI GIÁM SÁT DOANH NGHIỆP                   |
+----------------------------------------------------------------------------+
|  Giai đoạn 1: Chuẩn hóa cấu hình Auditing Policy trên Domain Controller GPO |
|  Giai đoạn 2: Cài đặt Winlogbeat / Sysmon trên toàn bộ Windows Endpoints   |
|  Giai đoạn 3: Đẩy dữ liệu Event Logs về hệ thống SIEM (Elasticsearch/Splunk)|
|  Giai đoạn 4: Thiết lập cảnh báo Real-time cho Event ID 4625, 4672, 7045   |
+----------------------------------------------------------------------------+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật hiện tại

  • Thực nghiệm chủ yếu thực hiện trực tiếp trên hệ điều hành đang chạy (Live Forensics), chưa bao quát toàn diện các kỹ thuật phân tích trên tệp Memory Dump thô (RAM Capture .raw/.dmp).
  • Một số khóa Registry trên Windows phiên bản mới (Windows 10/11, Windows Server 2019/2022) có cấu trúc bảo vệ nâng cao (SAM hive isolation, Credential Guard) đòi hỏi quyền truy cập cấp độ SYSTEM hoặc trích xuất qua Volume Shadow Copy.

Hướng phát triển đề xuất

  1. Mở rộng tích hợp công cụ phân tích bộ nhớ động Volatility Framework để phân tích các tiến trình ẩn nấp (DLL Injection, Process Hollowing).
  2. Xây dựng script tự động hóa đóng gói báo cáo điều tra chứng cứ chuẩn hóa định dạng JSON/CSV, tương thích trực tiếp với khung chuẩn định danh tấn công MITRE ATT&CK.

Đối tượng hưởng lợi

  • Sinh viên ngành An toàn thông tin / Khoa học máy tính: Nắm vững cấu trúc nhân hệ điều hành, cơ chế quản lý tệp tin và kỹ năng phân tích chứng cứ số thực tế.
  • Chuyên viên giám sát SOC / Điều tra viên số (DFIR): Sở hữu tài liệu tra cứu trực tiếp các khóa Registry, mã định danh Event ID và câu lệnh trích xuất dữ liệu nhanh.
  • Quản trị viên hệ thống (SysAdmin): Hiểu rõ cơ chế phân quyền tài khoản, quản trị tường lửa mạng và tối ưu hóa hiệu năng bộ nhớ ảo Pagefile.sys.

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để tiến hành phân tích Registry offline là gì?

Cần quyền quản trị viên cao nhất (Administrator hoặc SYSTEM) để sao chép các tệp Hive bị khóa tại C:\Windows\System32\config\. Trong trường hợp trích xuất trực tiếp trên hệ thống đang chạy, cần sử dụng công cụ như FTK Imager, reg save hoặc trích xuất thông qua Volume Shadow Copy (VSS).

2. Sự khác biệt giữa Event Log cục bộ và Event Log được Forward về SIEM là gì?

Event Log cục bộ bị giới hạn dung lượng lưu trữ (mặc định 20 MB trên một kênh log) và dễ bị kẻ tấn công can thiệp xóa dấu vết (Event ID 1102 - The audit log was cleared). Khi cấu hình đẩy log qua SIEM (sử dụng Winlogbeat/Syslog), toàn bộ sự kiện được lưu trữ bất biến (Immutable), phục vụ điều tra dài hạn.

3. Khóa Registry nào lưu trữ thông tin thiết bị mạng nội bộ mà máy tính từng kết nối?

Đường dẫn lưu trữ dấu vết mạng nội bộ nằm tại: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache\Intranet\Home và HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles.

4. Tại sao thư mục WinSxS lại quan trọng trong việc xử lý lỗi phần mềm và điều tra?

WinSxS (Windows Side by Side) lưu trữ nhiều phiên bản khác nhau của các thư viện liên kết động (.dll), giúp giải quyết triệt để xung đột "DLL Hell". Về mặt điều tra số, đây là nơi có thể phát hiện các phiên bản thư viện cũ tồn tại lỗ hổng bảo mật chưa được vá triệt để.

5. Chi phí triển khai quy trình phân tích và giám sát này trong doanh nghiệp là bao nhiêu?

Quy trình tận dụng 100% các công cụ có sẵn trên Windows (PowerShell, Event Viewer, Firewall with Advanced Security) kết hợp các phần mềm mã nguồn mở (Forensic Registry Editor, Winlogbeat, ELK Stack), do đó chi phí bản quyền phần mềm là 0 đồng, chỉ yêu cầu chi phí hạ tầng lưu trữ log.

Kết luận

Đồ án "Phân Tích Chi Tiết Hệ Điều Hành Windows" đã hoàn thành xuất sắc các mục tiêu nghiên cứu và thực nghiệm đề ra. Bằng việc mổ xẻ toàn diện từ kiến trúc tệp tin, bộ đệm hệ thống đến các Hive Registry nhạy cảm và nhật ký sự kiện Event Logs, đồ án cung cấp một cẩm nang kỹ thuật thực chiến cho các chuyên viên an toàn thông tin và kỹ sư điều tra tội phạm mạng. Những phát hiện và quy trình thực nghiệm trên Windows 7 và Windows Server 2012 tạo tiền đề vững chắc cho việc làm chủ công nghệ giám sát an ninh và phản ứng sự cố trên toàn bộ các thế hệ hệ điều hành Microsoft Windows hiện đại.