Toàn bộ quy trình điều tra số cổ điển dựa trên một giả định thầm lặng: điều tra viên tiếp cận được thiết bị vật lý chứa dữ liệu. Tháo ổ cứng, gắn qua thiết bị chặn ghi, tạo bản sao bit-by-bit, tính giá trị băm. Khi hệ thống chuyển lên đám mây, giả định đó sụp đổ: không có ổ cứng nào để tháo, và máy chủ kia còn đang phục vụ hàng nghìn khách hàng khác. Bài viết bàn về việc điều tra thay đổi thế nào khi dữ liệu không nằm trong tay bạn.
Mô hình chia sẻ trách nhiệm và ý nghĩa với điều tra
Các nhà cung cấp đám mây đều vận hành theo nguyên tắc chia sẻ trách nhiệm: nhà cung cấp lo hạ tầng vật lý, phần ảo hoá, mạng lõi; khách hàng lo dữ liệu, cấu hình, tài khoản và quyền truy cập của mình. Ranh giới dịch chuyển tuỳ loại dịch vụ — thuê máy ảo thì khách hàng nắm nhiều hơn, dùng dịch vụ trọn gói thì gần như chỉ còn dữ liệu và cấu hình.
Với điều tra, ranh giới đó chính là ranh giới của thứ bạn có quyền thu thập. Bên trong phần trách nhiệm của mình, bạn lấy được dữ liệu và log gần như tuỳ ý. Vượt qua ranh giới — nhật ký tầng ảo hoá, dấu vết hạ tầng vật lý, dữ liệu của khách hàng khác — bạn không có quyền, và cũng không nên cố.
Hệ quả thực tế đáng nhớ: mô hình dịch vụ càng trọn gói thì điều tra viên càng phụ thuộc vào những gì nhà cung cấp chịu ghi lại và chịu cho phép tải về.
Log phía nhà cung cấp: mỏ vàng có điều kiện
Đổi lại, đám mây cho một thứ mà hạ tầng truyền thống hiếm khi có sẵn: nhật ký hoạt động tập trung và chi tiết. Có thể chia thành ba nhóm.
- Nhật ký quản trị: ghi mọi thao tác gọi tới giao diện quản lý — ai tạo máy ảo, ai đổi quyền, ai mở kho dữ liệu ra công khai, từ địa chỉ nào, bằng danh tính nào. Đây thường là nguồn quý nhất khi điều tra lạm dụng tài khoản.
- Nhật ký truy cập dữ liệu: ghi từng lần đọc, ghi, xoá đối tượng trong kho lưu trữ. Nhóm này trả lời câu hỏi quan trọng nhất trong các vụ rò rỉ: dữ liệu nào thực sự đã bị lấy đi.
- Nhật ký mạng và xác thực: luồng kết nối giữa các thành phần, các lần đăng nhập thành công và thất bại.
Ba cảnh báo đi kèm. Thứ nhất, nhiều loại log không bật mặc định; chưa bật trước khi sự cố xảy ra thì không có cách nào dựng lại. Thứ hai, thời gian lưu có hạn và thường ngắn hơn người ta tưởng, nên việc đầu tiên khi phát hiện sự cố là kéo dài thời gian lưu hoặc sao ngay ra nơi khác. Thứ ba, kẻ chiếm được quyền quản trị có thể tắt hoặc xoá log — chính hành vi tắt log cũng là sự kiện được ghi lại, và là manh mối rất mạnh.
Dữ liệu nằm ở nhiều vùng tài phán
Một tập dữ liệu trên đám mây có thể được nhân bản qua nhiều trung tâm dữ liệu ở nhiều quốc gia, và bản sao lưu có thể nằm ở nơi khác nữa. Điều này đặt ra các câu hỏi mà kỹ thuật không trả lời được: dữ liệu đang ở đâu về mặt vật lý, luật nơi nào áp dụng, cần thủ tục gì để yêu cầu nhà cung cấp, và việc điều tra viên ở nước này truy cập dữ liệu lưu ở nước khác được xử lý ra sao.
Ở mức nguyên tắc chung, có ba việc nên làm sớm. Xác định vị trí lưu trữ ngay từ đầu, vì cấu hình vùng của dịch vụ ảnh hưởng tới mọi bước sau. Đi qua đúng kênh: nhà cung cấp lớn đều có quy trình tiếp nhận yêu cầu hợp pháp riêng. Tham vấn pháp lý trước khi thu thập, chứ không phải sau — dữ liệu lấy sai thẩm quyền thì công sức kỹ thuật đổ đi.
Lấy dữ liệu qua API và vấn đề bảo toàn
Trong môi trường đám mây, “thu thập” thường có nghĩa là gọi giao diện lập trình của nhà cung cấp để tạo bản chụp ổ đĩa ảo, tải danh sách và nội dung đối tượng lưu trữ, hoặc xuất log ra tệp. Cách làm này tiện nhưng khác bản sao pháp y truyền thống ở vài điểm cần hiểu rõ:
- Bạn nhận một bản trình bày, không phải bản sao vật lý. Dữ liệu trả về đã đi qua nhiều lớp xử lý của nhà cung cấp, nên khái niệm “sao chép từng bit của thiết bị” không còn áp dụng nguyên vẹn.
- Không có giá trị băm nguồn để đối chiếu. Bạn chỉ băm được thứ đã tải về. Vì vậy phải băm ngay lập tức sau khi tải, và ghi rõ trong báo cáo rằng đây là hash của bản đã trích xuất.
- Hệ thống vẫn đang chạy. Dữ liệu có thể thay đổi giữa lúc bắt đầu và lúc kết thúc quá trình tải, nhất là với khối lượng lớn phải lấy làm nhiều lượt. Bản chụp tạo ở một thời điểm xác định đáng tin hơn việc duyệt tải dần.
- Chính thao tác thu thập cũng để lại dấu vết trong nhật ký của hệ thống bị điều tra. Đây là điều tốt nếu được ghi nhận chủ động, và là nguồn gây nhầm lẫn nếu không.
Bù lại, cách này có một ưu thế lớn: nó lặp lại được. Nếu ghi đủ lệnh đã gọi, tham số, danh tính sử dụng, thời điểm và phiên bản công cụ, người khác có thể chạy lại đúng quy trình đó để kiểm chứng — đúng tinh thần “có thể kiểm chứng” mà chứng cứ số cần.
Bảo toàn: việc phải làm trước tiên
Trên đám mây, dữ liệu không chỉ bị xoá bởi người, mà còn bởi chính sách. Quy tắc vòng đời tự xoá đối tượng cũ, log hết hạn tự biến mất, máy ảo trong nhóm co giãn bị thu hồi kèm ổ đĩa tạm, và các thành phần chạy theo yêu cầu gần như không để lại gì sau khi kết thúc.
Nên khi có nghi vấn, việc cần làm ngay gồm: tạm dừng các quy tắc tự xoá, kéo dài thời gian lưu log, bật lưu phiên bản cho kho dữ liệu quan trọng, tạo bản chụp các ổ đĩa liên quan, và cô lập thay vì huỷ các thành phần đáng ngờ — tách khỏi mạng, thu hồi quyền, nhưng giữ cho chúng tồn tại. Với hạ tầng dựng lại được bằng mã nguồn, bản thân mã cấu hình cũng là chứng cứ, vì nó cho biết hệ thống đáng lẽ phải trông như thế nào.
Kết luận
Điều tra số trên đám mây không đảo lộn các nguyên tắc cũ — toàn vẹn, xác thực, có thể kiểm chứng, chuỗi hành trình chứng cứ vẫn nguyên giá trị — nhưng thay đổi cách thực hiện chúng. Bản sao bit-by-bit nhường chỗ cho bản chụp và lệnh gọi API có ghi nhật ký; thiết bị chặn ghi nhường chỗ cho quyền chỉ đọc và việc đóng băng chính sách xoá dữ liệu. Khác biệt lớn nhất nằm ở yếu tố thời gian: phần lớn chứng cứ trên đám mây chỉ tồn tại nếu ai đó đã bật ghi log từ trước và kịp ngăn nó bị xoá.
Lưu ý: bài viết mang tính giới thiệu chung, không phải tư vấn pháp lý. Với vụ việc cụ thể, hãy tham vấn chuyên gia pháp luật có thẩm quyền.