Điều tra số (Digital Forensics)
1. Tổng quan
A. Khái niệm và bối cảnh xuất hiện của điều tra số
Điều tra số (Digital Forensics) là kỹ thuật điều tra khoa học nhằm thu thập·bảo quản·phân tích·đệ trình dữ liệu được lưu trữ·lưu chuyển trong các thiết bị số như máy tính·di động·mạng·đám mây như chứng cứ pháp lý. Không chỉ dùng trong điều tra tội phạm mà còn được ứng dụng rộng rãi trong kiểm toán nội bộ doanh nghiệp, ứng phó sự cố xâm nhập (DFIR) và tiết lộ chứng cứ điện tử (e-Discovery) trong tố tụng.
Cốt lõi của điều tra số nằm ở 'năng lực chứng cứ (admissibility, khả năng được công nhận là chứng cứ tại tòa)'. Dù tìm ra dữ liệu quyết định đến đâu, nếu quá trình thu thập·phân tích không phù hợp thì sẽ không được chấp nhận làm chứng cứ tại tòa. Ví dụ, nếu điều tra viên khởi động nguyên đĩa gốc của chiếc laptop thu giữ để mở tệp, ngay lúc đó thời điểm truy cập (atime)·tệp tạm·log bị thay đổi, gây nghi ngờ “có thể ai đó đã thao túng chứng cứ”. Kết quả là dù thực tế là tài liệu của thủ phạm thật, nó vẫn mất giá trị chứng cứ. Vì vậy điều tra số tuân thủ quy trình nghiêm ngặt: bảo quản nguyên bản gốc và phân tích bằng bản sao (ảnh) (tính toàn vẹn), ghi lại đầy đủ mọi lịch sử di chuyển·bảo quản·xử lý chứng cứ từ khi thu giữ đến khi đệ trình tại tòa (chuỗi lưu giữ, Chain of Custody), và bảo đảm lặp lại cùng quy trình thì ra cùng kết quả (tính tái lập).
Bối cảnh lĩnh vực này nổi lên là sự 'số hóa' của tội phạm và tranh chấp. Trong gần như mọi vụ việc như lừa đảo tài chính·rò rỉ công nghệ·tội phạm tình dục·gian lận nội bộ, manh mối quyết định đều còn lại trên điện thoại thông minh·PC·đám mây·ứng dụng nhắn tin. Đồng thời, khác với chứng cứ vật lý, dữ liệu vô hình, dễ bị giả mạo·xóa·che giấu và có tính dễ bay hơi. Tắt nguồn thì khóa mã hóa·dấu vết thực thi trong bộ nhớ (RAM) biến mất, chỉ một lần ghi đè là việc khôi phục dữ liệu đã xóa trở nên khó khăn. Vì các đặc tính này, tính nghiêm ngặt của quy trình “làm thế nào thu giữ chứng cứ mà không làm tổn hại nó” trở thành chủ đề trung tâm của học thuật·thực tiễn. Hàn Quốc cũng thể chế hóa các nguyên tắc này thông qua thủ tục hợp pháp về thu giữ·khám xét thông tin điện tử theo Luật Tố tụng Hình sự, và quy trình chuẩn xử lý chứng cứ số của Viện Kiểm sát Tối cao·cảnh sát.
B. Nguyên tắc cơ bản — năm yêu cầu
Do các đặc tính nói trên, việc tuân thủ nguyên tắc để bảo đảm năng lực chứng cứ chính là sinh mệnh của chứng cứ số. Năm nguyên tắc không độc lập với nhau mà có quan hệ chuỗi xích: một cái sụp đổ thì toàn bộ năng lực chứng cứ lung lay.
| Nguyên tắc | Nội dung | Phương tiện thực tiễn |
|---|---|---|
| Tính chính đáng (hợp pháp) | Thu thập bằng thủ tục hợp pháp như lệnh khám xét | Lệnh thu giữ·khám xét, bảo đảm quyền tham dự |
| Tính toàn vẹn (Integrity) | Chứng minh bản gốc không bị thay đổi | Lấy·so sánh giá trị hash (SHA-256), thiết bị chống ghi |
| Chuỗi lưu giữ (Chain of Custody) | Truy vết lịch sử toàn bộ quá trình từ thu giữ~đệ trình | Hồ sơ niêm phong·bàn giao, log truy cập |
| Tính tái lập (Reproducibility) | Cùng quy trình tái hiện cùng kết quả | Công cụ đã kiểm chứng·văn bản hóa quy trình |
| Tính nhanh chóng (Timeliness) | Nhanh chóng thu giữ chứng cứ dễ bay hơi | Ưu tiên thu thập RAM·phiên mạng |
Trong đó tính toàn vẹn và chuỗi lưu giữ là cốt lõi của tranh chấp tại tòa. Tính toàn vẹn được chứng minh bằng toán học rằng “trong thời gian đó không một bit nào thay đổi” bằng cách tính giá trị hash (ví dụ: SHA-256) của bản gốc và bản sao tại thời điểm thu thập, rồi bất cứ lúc nào sau đó tính lại hash của bản sao và cho thấy khớp với giá trị ban đầu. Chuỗi lưu giữ để lại không đứt quãng “chứng cứ này qua tay ai và được bảo quản ở đâu” bằng niêm phong·chữ ký·hồ sơ bàn giao, cho thấy không có khả năng bị tráo đổi·thao túng giữa chừng. Tính chính đáng là tiền đề của tất cả. Chứng cứ thu thập bất hợp pháp, theo cái gọi là quy tắc loại trừ chứng cứ thu thập trái pháp luật, có thể bị phủ nhận năng lực chứng cứ dù nội dung quyết định đến đâu.
2. Loại hình và quy trình
A. Loại hình theo phương tiện đối tượng
Điều tra số được chia kỹ thuật và quy trình theo đối tượng vì đặc tính vật lý·logic của phương tiện khác nhau. Có điều tra đĩa xử lý thiết bị lưu trữ, điều tra di động đan xen hệ điều hành đóng và dữ liệu ứng dụng, điều tra mạng nắm bắt lưu lượng·log đang lưu chuyển, điều tra bộ nhớ xử lý bộ nhớ dễ bay hơi (RAM) biến mất khi tắt nguồn, và điều tra DB·đám mây không thể thu giữ vật lý, quan hệ thẩm quyền·sở hữu phức tạp.
| Loại hình | Đối tượng | Khó khăn đặc thù |
|---|---|---|
| Điều tra đĩa | Phương tiện lưu trữ như HDD·SSD | TRIM·cân bằng hao mòn của SSD khiến khó khôi phục dữ liệu đã xóa |
| Điều tra di động | Điện thoại thông minh·máy tính bảng | Mã hóa·khóa màn hình·cấu trúc lưu trữ theo ứng dụng, phụ thuộc nhà sản xuất |
| Điều tra mạng | Lưu lượng·log tường lửa/proxy | Tính dễ bay hơi cao, lưu lượng mã hóa |
| Điều tra bộ nhớ | Bộ nhớ dễ bay hơi (RAM) | Mất khi ngắt nguồn, cần thu giữ thời gian thực |
| Điều tra DB·đám mây | Dữ liệu lưu trong DB·đám mây | Không thể thu giữ vật lý, thẩm quyền nước ngoài·đa thuê bao |
Lý do mỗi loại hình tách thành kỹ thuật riêng là vì 'chứng cứ còn lại ở đâu và bao lâu' khác nhau. Ví dụ, với điều tra bộ nhớ, khóa giải mã hay tiến trình đang chạy của ransomware·mã độc không tệp (fileless) chỉ tồn tại trong RAM, nên phải dump trực tiếp (live) trước khi tắt nguồn. Ngược lại, SSD có đặc tính các khối bị xóa được làm trống ngay bằng lệnh TRIM, nên kỹ thuật khôi phục đĩa truyền thống không hiệu quả, và tính tức thời của việc xóa lại trở thành rủi ro mất chứng cứ. Những khác biệt này dẫn tới phán đoán thực tiễn “thu thập cái gì trước theo thứ tự dễ bay hơi (order of volatility)”.
B. Quy trình chuẩn
Quy trình theo luồng: thu giữ·bảo quản chứng cứ tại hiện trường (ưu tiên dữ liệu dễ bay hơi), tạo và vận chuyển bản sao giữ nguyên toàn vẹn bản gốc (tạo ảnh·kiểm chứng hash), khôi phục·phân tích dữ liệu, rồi văn bản hóa kết quả và đệ trình. Dưới đây là sơ đồ khái niệm của toàn bộ quy trình.
flowchart LR
A["Thu thập·bảo quản<br/>(ưu tiên dễ bay hơi)"] --> B["Thu giữ·vận chuyển<br/>(tạo ảnh·hash)"] --> C["Phân tích<br/>(khôi phục·dòng thời gian)"] --> D["Báo cáo·đệ trình chứng cứ"]
style C fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
| Quy trình | Nội dung | Kiểm soát toàn vẹn |
|---|---|---|
| Thu thập·bảo quản | Thu giữ chứng cứ hiện trường, tuân thủ thứ tự dễ bay hơi | Niêm phong·chụp ảnh·ghi chép hiện trường |
| Thu giữ·vận chuyển | Tạo ảnh theo từng bit (tạo bản sao) | Chống ghi·đối chiếu hash gốc/bản sao |
| Phân tích | Khôi phục dữ liệu·dòng thời gian·phân tích từ khóa | Chỉ phân tích bản sao, không truy cập bản gốc |
| Báo cáo | Văn bản hóa kết quả phân tích·đệ trình chứng cứ | Ghi rõ quy trình có thể tái lập |
Đào sâu hơn các điểm kiểm soát cốt lõi của quy trình bằng hình vẽ, câu hỏi 'làm sao tạo bản sao mà không chạm vào bản gốc và chứng minh tính toàn vẹn của nó' xuyên suốt toàn bộ quá trình. Dưới đây là kiến trúc chi tiết của giai đoạn thu giữ·kiểm chứng.
flowchart TD
O["Phương tiện gốc"] --> WB["Thiết bị chống ghi<br/>(Write Blocker)"]
WB --> IMG["Tạo ảnh theo từng bit"]
IMG --> H1["Tính hash bản gốc<br/>(SHA-256)"]
IMG --> COPY["Bản sao chứng cứ"]
COPY --> H2["Tính hash bản sao"]
H1 --> CMP{"Hash khớp?"}
H2 --> CMP
CMP -->|"Có"| OK["Chứng minh toàn vẹn·tiến hành phân tích"]
CMP -->|"Không"| RE["Thu giữ lại·điều tra lỗi"]
style CMP fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px
Ở đây, thiết bị chống ghi (Write Blocker) chặn về vật lý·logic để lệnh ghi không đến được phương tiện gốc, bảo đảm trong quá trình tạo ảnh bản gốc không thay đổi dù một bit. Tạo ảnh không theo đơn vị tệp mà theo từng bit (sector-by-sector), bao gồm cả vùng đã xóa·không gian slack. Sau đó chỉ khi xác nhận hash của bản gốc và bản sao khớp nhau mới chuyển sang bước tiếp theo. Luồng này chính là khung xương thực tiễn đồng thời thỏa mãn tính toàn vẹn·tính tái lập·chuỗi lưu giữ.
3. Công nghệ cốt lõi và lĩnh vực ứng dụng
Điều tra số huy động nhiều công nghệ chuyên môn: tạo ảnh·sao chép tạo bản sao giữ toàn vẹn bản gốc, khôi phục dữ liệu (carving) làm sống lại dữ liệu bị xóa·hỏng, phân tích dòng thời gian kết nối siêu dữ liệu hệ thống tệp theo thứ tự thời gian để tái dựng sự việc, và công nghệ ứng phó chống điều tra số trước các nỗ lực xóa chứng cứ bằng che giấu·mã hóa·xóa bỏ.
| Công nghệ | Nội dung | Ví dụ ứng dụng |
|---|---|---|
| Tạo ảnh·sao chép | Tạo bản sao giữ nguyên toàn vẹn bản gốc | Bản sao pháp lý của đĩa bị thu giữ |
| Khôi phục dữ liệu (carving) | Khôi phục dữ liệu bị xóa·hỏng dựa trên chữ ký | Khôi phục ảnh·tài liệu đã xóa |
| Phân tích dòng thời gian | Tái dựng thông tin thời gian của tệp·log | Làm rõ đường xâm nhập·thứ tự hành vi |
| Ứng phó chống điều tra số | Vượt qua·phát hiện che giấu·xóa·mã hóa | Phát hiện steganography·wiping |
Khôi phục dữ liệu (file carving) quét toàn bộ đĩa tìm chữ ký riêng của tệp (ví dụ: mẫu header·footer của JPEG) để nối các mảnh và khôi phục ngay cả khi thông tin hệ thống tệp đã bị xóa. Phân tích dòng thời gian đặt thời điểm tạo·sửa·truy cập (MAC time) của tệp và các loại log lên một trục thời gian để tái dựng “cái gì được thực thi·truyền·xóa vào lúc nào”. Nó mang tính quyết định trong việc làm rõ trình tự từ xâm nhập ban đầu của kẻ tấn công đến leo thang đặc quyền·di chuyển ngang·rò rỉ dữ liệu trong sự cố xâm nhập. Ứng phó chống điều tra số là công nghệ phát hiện·khôi phục ngược các nỗ lực xóa chứng cứ — xóa log, xóa hoàn toàn tệp (wiping), che giấu bằng steganography, thao túng dấu thời gian.
Lĩnh vực ứng dụng cũng rộng. Điều tra tội phạm hình sự là tiêu biểu, nhưng trong doanh nghiệp còn dùng để điều tra rò rỉ bí mật kinh doanh·công nghệ, kiểm toán gian lận·biển thủ nội bộ, và ứng phó sự cố xâm nhập (DFIR, Digital Forensics & Incident Response) đối với hacking·ransomware. Trong tố tụng dân sự·hình sự, e-Discovery rà soát·đệ trình khối lượng lớn tài liệu điện tử đã phát triển thành lĩnh vực chuyên môn riêng. Ví dụ, khi ứng phó sự cố ransomware, nhiều công nghệ được huy động cùng lúc: điều tra bộ nhớ thu giữ khóa giải mã·tiến trình độc hại, điều tra mạng làm rõ liên lạc C2 (chỉ huy-điều khiển) và đường rò rỉ, điều tra đĩa xác định vector lây nhiễm ban đầu.
4. Chuyên sâu — sự lan rộng của đám mây·di động và các thách thức thời đại AI
Xu hướng mới nhất của điều tra số bắt nguồn từ việc chứng cứ bị phân tán 'ở khắp nơi nhưng khó nắm bắt hơn'. Thứ nhất, sự nổi lên của điều tra đám mây. Dữ liệu không nằm trên một máy chủ vật lý cụ thể mà được lưu phân tán ở nhiều region·môi trường đa thuê bao (multi-tenant), và thường chỉ nhà cung cấp dịch vụ mới truy cập được, nên việc 'thu giữ vật lý' truyền thống không thành lập. Vấn đề thẩm quyền·chủ quyền của dữ liệu lưu trên máy chủ nước ngoài, thời hạn lưu giữ log ngắn, tính dễ bay hơi của snapshot là những khó khăn mới. Do đó thủ tục hợp tác với nhà cung cấp, thu thập dựa trên API·tài khoản và kiểm chứng độ tin cậy của log trở nên quan trọng.
Thứ hai, sự bùng nổ của di động·ứng dụng nhắn tin·IoT. Điện thoại thông minh được bảo vệ bằng mã hóa toàn đĩa mạnh và sandbox theo ứng dụng, khiến mở khóa và diễn giải dữ liệu ứng dụng trở thành rào cản kỹ thuật lớn. Mã hóa đầu-cuối của ứng dụng nhắn tin, tin nhắn tự hủy và sự đan xen của sao lưu đám mây làm việc thu giữ chứng cứ phức tạp hơn. Khi nguồn chứng cứ mở rộng đến cả thiết bị IoT như thiết bị đeo·xe cộ·nhà thông minh, chủng loại thiết bị đối tượng thu thập và định dạng dữ liệu đang tăng bùng nổ.
Thứ ba, tính hai mặt của dữ liệu lớn·tự động hóa và AI. Khi dữ liệu cần phân tích trong mỗi vụ lên tới quy mô terabyte, cách để con người rà từng thứ đã gặp giới hạn. Vì vậy xu hướng áp dụng AI·học máy vào từ khóa·phân loại hình ảnh·phát hiện hành vi bất thường để tự động hóa·tăng tốc phân tích là rõ rệt. Tuy nhiên đồng thời nảy sinh vấn đề nếu AI khó giải thích căn cứ phán đoán (hộp đen) thì khó tranh luận về độ tin cậy của chứng cứ tại tòa, và thách thức mới phải phân biệt chứng cứ bị thao túng bằng AI như deepfake. Tức AI mang tính hai mặt: vừa là công cụ phân tích vừa là đối tượng phải ứng phó. Trong dòng chảy này, nhu cầu về độ tin cậy·kiểm chứng của công cụ (ví dụ: kiểm thử công cụ được chuẩn hóa) càng được nhấn mạnh.
5. Các điểm cần xem xét và hàm ý (góc độ Kỹ sư chuyên nghiệp)
Tuân thủ quy trình và độ tin cậy của công cụ là tiền đề của năng lực chứng cứ. Phải giữ tính toàn vẹn·chuỗi lưu giữ và dùng công cụ có kết quả đã được kiểm chứng (có thể tái lập) thì mới được công nhận là chứng cứ tại tòa. Phân tích xuất sắc đến đâu mà quy trình sụp đổ thì cũng vô dụng, nên tổ chức phải có quy trình chuẩn (SOP) và hệ thống kiểm chứng công cụ.
Cần cân bằng giữa thủ tục hợp pháp (tính chính đáng) và quyền riêng tư. Thông tin điện tử có phạm vi rộng lớn nên rủi ro thu thập cả thông tin cá nhân không liên quan là lớn. Nếu không tuân thủ thủ tục hợp pháp như thu giữ chọn lọc trong phạm vi lệnh, bảo đảm quyền tham dự, hủy ngay thông tin không liên quan thì có thể bị loại trừ như chứng cứ thu thập trái pháp luật. Then chốt là thiết kế cân bằng giữa bảo vệ quyền riêng tư và hiệu quả điều tra.
Cấp bách bảo đảm năng lực ứng phó sự lan rộng của đám mây·di động·IoT. Khi dữ liệu được phân tán·mã hóa·lưu ở nước ngoài, phạm vi thu thập và độ khó kỹ thuật tăng vọt. Phải chủ động bảo đảm hệ thống hợp tác với nhà cung cấp đám mây, hợp tác quốc tế (thẩm quyền) và năng lực ứng phó thiết bị công nghệ mới thì mới giảm được điểm mù chứng cứ.
Cần ứng phó kỹ thuật trước chống điều tra số và dữ liệu lớn. Các kỹ thuật tiêu hủy chứng cứ như che giấu·wiping·thao túng dấu thời gian ngày càng tinh vi, và dữ liệu đối tượng phân tích bùng nổ. Áp dụng công nghệ phát hiện chống điều tra số và phân tích tự động dựa trên AI, đồng thời bảo đảm khả năng giải thích·độ tin cậy của AI để duy trì giá trị pháp lý của chứng cứ.
Đào tạo nhân lực chuyên môn và hệ thống tiêu chuẩn·chứng nhận quyết định tính bền vững. Điều tra số là lĩnh vực hội tụ pháp luật·công nghệ nên phải được hậu thuẫn bởi nhân lực chuyên môn thành thạo và chứng nhận quy trình·công cụ chuẩn hóa. Hệ thống đào tạo·chứng chỉ ở cấp tổ chức và sự nhất quán với tiêu chuẩn quốc gia·quốc tế quyết định năng lực cạnh tranh dài hạn.
Tài liệu tham khảo
- NIST SP 800-86, "Guide to Integrating Forensic Techniques into Incident Response": https://csrc.nist.gov/pubs/sp/800/86/final
- Chương trình NIST Computer Forensics Tool Testing (CFTT): https://www.nist.gov/itl/ssd/software-quality-group/computer-forensics-tool-testing-program-cftt
- Tổng quan ISO/IEC 27037 (hướng dẫn nhận diện·thu thập·bảo quản chứng cứ số): https://www.iso.org/standard/44381.html
- Hướng dẫn điều tra số (điều tra kỹ thuật số) của Viện Kiểm sát Tối cao Hàn Quốc: https://www.spo.go.kr/
Tóm tắt một câu: Điều tra số là điều tra khoa học thu thập·bảo quản·phân tích·đệ trình chứng cứ số trong khi giữ vững tính toàn vẹn·chuỗi lưu giữ, được thực hiện trên nền các nguyên tắc chính đáng·toàn vẹn·chuỗi lưu giữ·tái lập·nhanh chóng với các loại hình đĩa·di động·mạng·bộ nhớ·đám mây và quy trình thu thập→thu giữ→phân tích→báo cáo; giữa những thách thức mới của sự lan rộng đám mây·di động và thời đại AI, tuân thủ quy trình và độ tin cậy của công cụ là sinh mệnh của năng lực chứng cứ.