Phân tích học thuật và Đề cương bài giảng: Module 19 - Theo dõi email và điều tra tội phạm qua email

Tổng quan về giáo trình

Tài liệu bài giảng Module 19: Theo dõi email và điều tra tội phạm qua email được biên soạn bởi Giảng viên Nguyễn Mạnh Thắng thuộc Khoa An toàn thông tin – Học viện Kỹ thuật Mật mã. Đây là một học phần chuyên đề quan trọng trong chương trình đào tạo kỹ sư An toàn thông tin, thuộc khối kiến thức giám định kỹ thuật số (Digital Forensics) và an ninh mạng ứng dụng.

Bài giảng được thiết kế nhằm trang bị cho người học hệ thống kiến thức toàn diện từ lý thuyết hạ tầng đến thực hành nghiệp vụ điều tra số. Cụ thể, sau khi hoàn thành học phần, người học có khả năng:

  • Phân tích cấu trúc và nguyên lý vận hành của hệ thống thư điện tử, bao gồm các giao thức truyền tải và truy xuất dữ liệu máy khách - máy chủ (Client-Server).
  • Nhận diện, phân loại các phương thức tấn công và hành vi phạm tội có liên quan đến email.
  • Trích xuất, giải mã và phân tích các trường tiêu đề thư (Email Headers) từ nhiều nền tảng ứng dụng và dịch vụ webmail khác nhau.
  • Thực hiện đúng quy trình điều tra pháp y email chuẩn mực: từ thu thập chứng cứ, bảo toàn tính toàn vẹn dữ liệu bằng mã băm đến trích xuất các kho lưu trữ dữ liệu cục bộ.
  • Nắm vững cơ sở pháp lý và vai trò của quản lý hồ sơ điện tử trong việc xác thực nguồn gốc và chống chối bỏ trách nhiệm.

Cấu trúc tài liệu được phân chia thành 6 phần logic, dẫn nhập từ kiến thức mạng máy tính nền tảng, mở rộng sang các dạng thức tội phạm, đi sâu vào kỹ thuật phân tích chi tiết tiêu đề thư, và chuẩn hóa bằng các quy trình điều tra, công cụ pháp y cùng khung pháp lý điều chỉnh. Điểm đặc sắc của bài giảng nằm ở sự kết hợp chặt chẽ giữa phân tích giao thức mạng ở mức bản tin với các kỹ thuật bóc tách dấu vết thực tế trên hệ điều hành và phần mềm người dùng cuối.

Nội dung kiến thức cốt lõi

Các chương và chủ đề chính

Tài liệu được phân định thành 6 chủ đề chính phản ánh tiến trình từ lý thuyết đến thực hành:

  1. Kiến thức cơ bản về hệ thống Email:

    • Mô hình kiến trúc: Hoạt động dựa trên mô hình máy khách - máy chủ (Client-Server), bao gồm ứng dụng máy khách (Email Client) và các máy chủ chuyển tiếp/lưu trữ thư.
    • Các giao thức cốt lõi:
      • SMTP (Simple Mail Transfer Protocol): Giao thức truyền thư đi giữa client với server hoặc giữa các server với nhau, hoạt động mặc định trên cổng TCP 25.
      • POP3 (Post Office Protocol 3): Giao thức nhận thư theo cơ chế "lưu trữ và chuyển tiếp" (Store and Forward), tải thư về máy khách và xóa khỏi máy chủ qua cổng TCP 110.
      • IMAP (Internet Message Access Protocol): Giao thức truy cập hộp thư từ xa, hỗ trợ đồng bộ trạng thái, duy trì thư trên máy chủ và cho phép nhiều máy khách kết nối đồng thời qua cổng TCP 143.
      • HTTP: Ứng dụng trong các hệ thống Webmail (như Gmail, Yahoo Mail, Hotmail).
    • Mã hóa nội dung: Cơ chế đóng gói dữ liệu nhị phân đính kèm qua các chuẩn mã hóa như Uuencode, BinHex và MIME (Multipurpose Internet Mail Extensions).

  2. Tội phạm Email: Phân loại thành hai nhóm hành vi:

    • Tội phạm bằng cách gửi email: Sử dụng nội dung thư điện tử làm công cụ trực tiếp gây hại (quấy rối, tống tiền trên mạng, gian lận danh tính cá nhân, phát tán tài liệu khiêu dâm, lan truyền chuỗi thư - Chain Letter).
    • Tội phạm được hỗ trợ bởi email: Sử dụng hạ tầng email để thực hiện các cuộc tấn công kỹ thuật (Spamming qua thu thập danh chỉ từ Usenet/DNS/Web; Email Bombing gây tràn tài nguyên hộp thư và Email Storm phát sinh từ danh sách phân phối "Reply All"; Phishing dẫn dụ nạn nhân vào trang web giả mạo; Email Spoofing mạo danh địa chỉ nguồn thông qua các dịch vụ như Anonymailer).

  3. Tiêu đề Email (Email Headers):

    • Cấu trúc thông điệp gồm 3 phần: Tiêu đề (Header), Nội dung (Body) và Chữ ký (Signature).
    • Phân tích các trường tiêu đề chuẩn: From, To, Date, Subject, Cc, Bcc, Reply-To, Errors-To, Message-ID, Content-Type, Content-Transfer-Encoding, MIME-Version.
    • Phân tích các trường mở rộng và không chuẩn (X-Headers): X-Mailer, X-Sender, X-UIDL (định danh duy nhất POP3), X-Priority, X-Distribution (cơ chế đánh dấu gửi hàng loạt của Pegasus Mail), X-PMFLAGS, Apparently-To, Comments.
    • Cơ chế ghi nhận lộ trình của trường Received: qua từng máy chủ trung gian (hop-by-hop).

  4. Các bước để điều tra (Investigation Steps):

    • Thiết lập căn cứ pháp lý: Có được lệnh khám xét và tịch thu thiết bị, máy chủ hoặc tài khoản email; thực hiện đổi mật khẩu để kiểm soát tài khoản mục tiêu.
    • Thu thập dữ liệu theo chuẩn pháp y: Tạo bản sao hình ảnh từng bit (Bit-stream image) của ổ đĩa, hộp thư và cấu hình hệ thống bằng các công cụ chuyên dụng (như Safe Back).
    • Đảm bảo tính toàn vẹn: Tính toán và đối soát giá trị hàm băm MD5 cho toàn bộ dữ liệu thu thập được.
    • Kỹ thuật trích xuất Header thô (Raw Header) trên các giao diện: Microsoft Outlook, AOL Mail, Hotmail, Gmail (Show original), Yahoo Mail (View Full Header).
    • Phân tích tính logic của chuỗi Received: từ trên xuống dưới để phát hiện các dòng header giả mạo do kẻ tấn công tự chèn trước khi gửi.

  5. Công cụ Email Forensics và Phân tích lưu trữ:

    • Trích xuất các tệp cơ sở dữ liệu email cục bộ của Microsoft Outlook: Tệp dữ liệu cá nhân ngoại tuyến (.pst) và tệp thư mục ngoại tuyến (.ost) lưu trữ tại đường dẫn hệ thống (\Local Settings\Application Data\Microsoft\Outlook).
    • Khai thác thư mục lịch sử duyệt web, Cookies và thư mục tạm (Temp) đối với các dịch vụ Webmail.
    • Khai thác cấu trúc lưu trữ hộp thư theo từng người dùng trên hệ thống Unix.
    • Ứng dụng công cụ trực tuyến Email Dossier để kiểm tra tính hợp lệ của địa chỉ email và cấu hình máy chủ đích.

  6. Luật và Quản lý hồ sơ điện tử:

    • Khái niệm và phạm vi quản lý hồ sơ điện tử trong việc kiểm soát việc tạo lập, tiếp nhận, duy trì và tiêu hủy chứng cứ.
    • Vai trò xác lập tính không thể chối từ (Non-repudiation) của nguồn thông tin liên lạc.
    • Cung cấp chuỗi chứng cứ số phục vụ công tác điều tra, giám định và truy tố trước pháp luật.

Kiến thức nền tảng được xây dựng

Lĩnh vực Nội dung lý thuyết cốt lõi
Giao thức mạng Cơ chế hoạt động của SMTP (Port 25), POP3 (Port 110), IMAP (Port 143); định dạng dữ liệu MIME RFC; cơ chế phân giải tên miền DNS cho Mail Exchange.
Bảo mật và Tấn công Cơ chế làm tràn bộ nhớ/băng thông (Email Bombing), kỹ thuật giả mạo định danh gói tin ứng dụng (Spoofing), kỹ nghệ xã hội (Social Engineering qua Phishing và Chat Room).
Khoa học Pháp y số Nguyên lý bảo toàn tính toàn vẹn bằng hàm băm (MD5 Hashing), phương pháp tạo ảnh đĩa bit-by-bit, phân tích cấu trúc tệp dữ liệu email cục bộ (.pst, .ost).

Kỹ năng phát triển

  • Kỹ năng kỹ thuật: Trích xuất toàn văn mã nguồn email trên các phần mềm máy khách và webmail; đọc hiểu các thông số kỹ thuật trong header; cấu hình và phân tích gói tin SMTP/POP3/IMAP; định vị tập tin lưu trữ cơ sở dữ liệu thư mục trên hệ điều hành Windows và Unix.
  • Kỹ năng phân tích: Phát hiện sai lệch giữa trường From hiển thị và trường Received: thực tế; truy ngược chuỗi địa chỉ IP của các máy chủ chuyển tiếp; nhận diện các trường tiêu đề bất thường do công cụ spam/phishing tự tạo ra.
  • Năng lực nghiệp vụ: Thực hiện quy trình điều tra số tuân thủ quy định pháp luật; thiết lập chuỗi bảo quản chứng cứ số (Chain of Custody) không bị biến đổi trong quá trình giám định.

Phương pháp giảng dạy và học tập

Học phần áp dụng phương pháp tiếp cận kết hợp giữa giảng giải lý thuyết hệ thống và thực hành điều tra tình huống (Case-based Learning):

  • Phương pháp sư phạm: Giảng viên định hướng người học tiếp cận bản tin email dưới góc độ một cấu trúc dữ liệu mạng chuẩn hóa, bóc tách từng lớp thông tin định tuyến để chứng minh tính chân thực của thông điệp.
  • Nghiên cứu tình huống (Case Studies):
    • Tình huống phân tích lộ trình chuẩn: Phân tích mẫu email gửi từ người dùng Rudy (rudy@bieberdorf.edu) đến Timmy (timmy@immense-isp.com), theo dõi sự thay đổi của các trường Message-Id, Received: from alpha.edu và Received: from mail.edu qua các mốc thời gian UTC/PST.
    • Tình huống phát hiện giả mạo: Trường hợp máy chủ nguồn turmeric.com có IP 104.115 gửi tin nhắn nhưng tự khai báo lệnh HELO galangal.org và chèn các dòng Received: giả mạo vào phần nội dung.
    • Tình huống giả mạo danh tính qua bên thứ ba: Sử dụng dịch vụ Anonymailer của tài khoản Smith (smith@hotmail.com) để mạo danh địa chỉ Sam (samchoang@yahoo.com) nhằm phát tán mã độc.
  • Bài tập thực hành:
    • Thao tác thủ công trích xuất toàn bộ tiêu đề thư trên 5 môi trường: Microsoft Outlook (qua File -> Info -> Properties), AOL (Action -> View Message Source), Hotmail (Reply -> View message source), Gmail (Reply -> Show original), Yahoo Mail (Actions -> View Full Header).
    • Thu thập và giải mã tệp dữ liệu .pst và .ost trong thư mục người dùng trên hệ thống Windows.
    • Kiểm tra tính hợp lệ của domain và bản ghi MX bằng công cụ trực tuyến Email Dossier.
  • Phương pháp đánh giá: Đánh giá thông qua bài kiểm tra trắc nghiệm lý thuyết giao thức, bài tập thực hành phân tích log tiêu đề thư điện tử và báo cáo tái dựng lộ trình tấn công từ mẫu dữ liệu cho trước.
  • Định hướng tự học: Người học cần chủ động gửi/nhận các bản tin email thử nghiệm giữa các hệ thống máy chủ khác nhau, thu thập raw header và thực hành vẽ biểu đồ định tuyến dựa trên các trường Received: thu được.

Điểm nổi bật và cập nhật

Nội dung bài giảng Module 19 tích hợp các kiến thức chuyên sâu về an ninh thông tin:

  • Bóc tách cơ chế phân lớp của trường Received:: Tài liệu chỉ rõ nguyên lý vận hành của hạ tầng MTA: mỗi máy chủ thư tiếp nhận hợp pháp sẽ chèn thêm một dòng Received: mới lên trên cùng của header. Do đó, người điều tra đọc từ trên xuống dưới có thể xác định được điểm mạo danh đầu tiên, loại bỏ các dòng Received: giả mạo nằm ở phần dưới do kẻ tấn công đính kèm sẵn.
  • Bao quát đầy đủ các dạng tiêu đề phi chuẩn (X-Headers): Phân tích chi tiết ngữ nghĩa của các trường như X-Mailer, X-UIDL, X-Distribution, X-PMFLAGS, giúp người học nhận biết dấu vết của các phần mềm gửi thư tự động (như Pegasus Mail hoặc các công cụ gửi thư rác hàng loạt).
  • Chuẩn hóa quy trình pháp y số: Đặt kỹ thuật phân tích trong mối liên hệ với các yêu cầu pháp lý nghiêm ngặt (lệnh khám xét, tạo ảnh đĩa bit-stream bằng Safe Back, đối soát mã băm MD5 để ngăn ngừa chối bỏ chứng cứ).
  • Tính ứng dụng thực tiễn cao: Toàn bộ các thao tác trích xuất và phân tích đều gắn liền với các nền tảng email thực tế phổ biến tại các cơ quan và doanh nghiệp.

Đối tượng sử dụng giáo trình

Tài liệu được biên soạn phục vụ các nhóm đối tượng cụ thể sau:

  1. Sinh viên đại học và học viên cao học:
    • Sinh viên chuyên ngành An toàn thông tin, An ninh mạng, Kỹ thuật mật mã, Công nghệ thông tin từ năm thứ 3 trở lên.
    • Học viên cao học theo định hướng nghiên cứu An toàn không gian mạng và Điều tra tội phạm công nghệ cao.
  2. Yêu cầu kiến thức tiên quyết (Prerequisites):
    • Đã hoàn thành các học phần Mạng máy tính cơ bản (nắm vững mô hình OSI, bộ giao thức TCP/IP, cấu trúc cổng dịch vụ và hệ thống phân giải tên miền DNS).
    • Hiểu biết cơ bản về quản trị hệ điều hành Windows và Linux/Unix (quản lý tệp tin, phân quyền người dùng).
    • Nắm vững các khái niệm cơ bản về mật mã học và an toàn dữ liệu (hàm băm, mã hóa đối xứng/bất đối xứng).
  3. Giảng viên và Nghiên cứu viên: Sử dụng làm đề cương bài giảng chi tiết, tài liệu hướng dẫn thực hành phòng thí nghiệm cho các môn học Pháp y kỹ thuật số (Digital Forensics) và Giám sát an ninh mạng.
  4. Cán bộ kỹ thuật và Điều tra viên: Dùng làm tài liệu tham khảo quy chuẩn cho các chuyên viên phân tích tại Trung tâm điều hành an ninh mạng (SOC), chuyên viên pháp y số và cán bộ điều tra tội phạm công nghệ cao.

Câu hỏi thường gặp

1. Học phần Module 19 tập trung giải quyết vấn đề cốt lõi nào?

Học phần tập trung giải quyết bài toán truy nguyên nguồn gốc bản tin email phục vụ công tác điều tra số, bao gồm: phân tích cấu trúc giao thức truyền nhận (SMTP/POP3/IMAP), bóc tách các trường tiêu đề (headers) để phát hiện mạo danh, và thực hiện quy trình thu thập chứng cứ số chuẩn pháp lý.

2. Vì sao trường Received: lại là yếu tố quan trọng nhất khi điều tra nguồn gốc email?

Trường Received: ghi lại dấu vết chuyển tiếp của bản tin qua từng máy chủ trung gian (hop). Khi email đi qua mỗi máy chủ hợp pháp, máy chủ đó sẽ tự động chèn thông tin (địa chỉ IP, tên miền, thời gian nhận) lên đầu danh sách tiêu đề. Người điều tra có thể dựa vào chuỗi này để truy vết từ máy chủ đích ngược về máy chủ nguồn ban đầu.

3. Làm thế nào để phân biệt trường Received: thật và giả mạo?

Kẻ tấn công chỉ có thể chèn các dòng Received: giả mạo vào nội dung trước khi gửi đi. Khi thư được chuyển vào hệ thống mạng thực tế, các máy chủ hợp pháp luôn ghi dòng Received: thật lên trên cùng. Người điều tra đọc từ trên xuống dưới; dòng Received: hợp lệ cuối cùng nối tiếp với dòng không khớp thông tin định tuyến chính là điểm mốc mạo danh.

4. Quy trình bảo toàn tính toàn vẹn của chứng cứ email được thực hiện ra sao?

Quy trình yêu cầu tạo bản sao hình ảnh từng bit (Bit-stream image) của toàn bộ dữ liệu, thư mục và cấu hình tài khoản email bằng các công cụ chuyên dụng (như Safe Back), sau đó tạo mã băm MD5 cho tệp ảnh đĩa này để làm cơ sở chứng minh dữ liệu không bị thay đổi trong suốt quá trình lưu trữ và phân tích.

5. Những tệp dữ liệu lưu trữ cục bộ nào cần được thu thập khi tiến hành điều tra trên máy tính nghi phạm?

Đối với Microsoft Outlook, cần thu thập các tệp dữ liệu cá nhân ngoại tuyến .pst và .ost nằm trong thư mục \Local Settings\Application Data\Microsoft\Outlook. Đối với dịch vụ webmail, cần thu thập bộ nhớ cache, lịch sử duyệt web và Cookies. Đối với hệ thống Unix, cần trích xuất tệp lưu trữ mail spool của từng người dùng.

Kết luận

Bài giảng Module 19: Theo dõi email và điều tra tội phạm qua email của Khoa An toàn thông tin – Học viện Kỹ thuật Mật mã là tài liệu học thuật có cấu trúc chặt chẽ, cung cấp nền tảng kiến thức giao thức mạng chuyên sâu kết hợp với phương pháp luận điều tra số chuẩn mực.

Lộ trình học tập đề xuất:

  1. Nắm vững cơ chế đóng gói dữ liệu và các cổng giao thức chuẩn (SMTP 25, POP3 110, IMAP 143).
  2. Thực hành kỹ năng trích xuất toàn văn tiêu đề thư trên các giao diện phần mềm máy khách và webmail.
  3. Rèn luyện kỹ năng phân tích chuỗi Received: và bóc tách các trường X-Headers để phát hiện mạo danh.
  4. Áp dụng quy trình bảo toàn chứng cứ bằng ảnh đĩa bit-stream và mã băm MD5 trên các tệp lưu trữ .pst/.ost.

Tài liệu tham khảo bổ trợ khuyến nghị bao gồm: Chuẩn Internet RFC 5322 (Internet Message Format), các tiêu chuẩn MIME RFC 2045-2049, tài liệu kỹ thuật công cụ Safe Back và hệ thống phân tích Email Dossier.