Kẻ tấn công có thể xóa file, gỡ mã độc, nhưng rất khó xóa sạch mọi dấu vết chúng để lại trong các bản ghi hệ thống. Phân tích log là nghệ thuật đọc những dấu chân đó để dựng lại toàn bộ cuộc tấn công.
Log là gì và vì sao quan trọng?
Log là các bản ghi tự động về sự kiện diễn ra trên hệ thống: ai đăng nhập, lúc nào, từ đâu, chạy lệnh gì, kết nối tới đâu. Chúng là dòng thời gian khách quan — thứ giúp điều tra viên trả lời “chuyện gì đã xảy ra và theo thứ tự nào”.
Các loại log thường gặp
- Log hệ điều hành: đăng nhập, tạo tiến trình, thay đổi quyền.
- Log ứng dụng và web server: yêu cầu truy cập, lỗi, hành vi bất thường.
- Log thiết bị mạng: firewall, router — kết nối vào/ra.
- Log xác thực: đăng nhập thành công/thất bại, đặc biệt quý khi truy vết dò mật khẩu.
Truy vết một cuộc tấn công qua log
- Điểm xâm nhập: tìm đăng nhập bất thường, hoặc yêu cầu web khai thác lỗ hổng.
- Leo thang đặc quyền: dấu hiệu chiếm quyền quản trị.
- Di chuyển ngang: kết nối từ máy này sang máy khác trong mạng.
- Đánh cắp dữ liệu: truyền lượng lớn dữ liệu ra ngoài.
- Xóa dấu vết: chính hành vi xóa log cũng là một dấu vết.
Tương quan là chìa khóa
Một dòng log đơn lẻ hiếm khi nói lên điều gì. Sức mạnh nằm ở tương quan (correlation): ghép log từ nhiều nguồn theo dòng thời gian để thấy bức tranh toàn cảnh. Ví dụ, một lần đăng nhập lúc 2 giờ sáng kết hợp với truyền dữ liệu lớn ngay sau đó kể một câu chuyện rõ ràng hơn nhiều.
Thách thức thực tế
- Khối lượng khổng lồ: cần công cụ để lọc và tìm trong hàng triệu dòng.
- Đồng bộ thời gian: nếu các máy lệch giờ, dòng thời gian sẽ sai lệch.
- Log bị thiếu hoặc bị xóa: cần đối chiếu với nguồn khác.
Bài học phòng thủ
Điều tra dạy ta một bài học cho phòng thủ: hãy bật log đầy đủ, đồng bộ thời gian, và lưu log ở nơi tách biệt mà kẻ tấn công khó với tới. Không có log, cuộc điều tra gần như mù.