Có những bằng chứng chỉ tồn tại khi máy đang bật và biến mất ngay khi tắt nguồn. Chúng nằm trong bộ nhớ RAM. Điều tra bộ nhớ (Memory Forensics) là kỹ thuật bắt lấy những dấu vết dễ bay hơi nhất — và thường là quan trọng nhất.
Vì sao RAM quý giá?
Nhiều thứ chỉ hiện diện trong bộ nhớ, không bao giờ ghi xuống đĩa:
- Tiến trình đang chạy, kể cả mã độc “fileless” không để lại file.
- Kết nối mạng đang hoạt động.
- Khóa mã hóa và mật khẩu tạm.
- Nội dung đã giải mã của dữ liệu vốn được mã hóa trên đĩa.
- Lệnh vừa gõ, dữ liệu clipboard.
Quy trình cơ bản
- Chụp bộ nhớ (memory acquisition): tạo một bản sao toàn bộ RAM thành file, trong khi máy vẫn đang chạy.
- Phân tích: dùng công cụ chuyên dụng để “bóc tách” bản chụp — liệt kê tiến trình, kết nối, thư viện đã nạp.
- Đối chiếu: so sánh với trạng thái bình thường để phát hiện bất thường.
Phát hiện được gì?
- Mã độc ẩn: tiến trình giả danh, code tiêm vào tiến trình hợp lệ.
- Rootkit: thứ cố che giấu mình khỏi hệ điều hành nhưng vẫn lộ trong bộ nhớ.
- Kết nối tới máy chủ điều khiển của kẻ tấn công.
- Bằng chứng đã bị mã hóa trên đĩa nhưng đang mở trong RAM.
Thách thức
Việc chụp RAM bản thân nó đã làm thay đổi một phần nhỏ bộ nhớ — điều không thể tránh khỏi. Nguyên tắc là chọn công cụ tác động tối thiểu và ghi lại rõ mọi thao tác. Ngoài ra, bản chụp phải được thực hiện càng sớm càng tốt, vì mỗi giây trôi qua bộ nhớ lại thay đổi.
Vị trí trong bức tranh lớn
Memory forensics đặc biệt mạnh khi kết hợp với điều tra đĩa và log. RAM cho biết “ngay lúc này chuyện gì đang diễn ra”, đĩa và log cho biết “chuyện đã diễn ra thế nào”. Ghép lại, ta có toàn cảnh của một sự cố.