Điều tra số dựa nhiều vào công cụ, và tin vui là nhiều công cụ mạnh nhất lại miễn phí và mã nguồn mở. Bài viết giới thiệu các nhóm công cụ tiêu biểu để bạn hình dung “hộp đồ nghề” của một chuyên gia điều tra số.
Tạo bản sao và bảo toàn
- dd / dcfldd: tạo bản sao đĩa bit-by-bit ở mức cơ bản.
- FTK Imager: tạo và xem forensic image, tính hash.
- Guymager: công cụ tạo image mã nguồn mở với giao diện đồ họa.
Phân tích ổ đĩa và hệ thống file
- Autopsy / The Sleuth Kit: bộ công cụ mã nguồn mở phổ biến để phân tích đĩa, khôi phục file đã xóa, dựng dòng thời gian.
Phân tích bộ nhớ (RAM)
- Volatility: khung phân tích bộ nhớ hàng đầu — liệt kê tiến trình, kết nối, phát hiện mã độc ẩn.
Phân tích mạng
- Wireshark: “kính hiển vi” cho lưu lượng mạng, xem từng gói tin.
- tcpdump: bắt gói ở dòng lệnh, nhẹ và mạnh.
Điều tra di động
- Các bộ công cụ chuyên dụng (thương mại) hỗ trợ trích xuất và phân tích dữ liệu điện thoại ở nhiều cấp độ.
Lời khuyên khi chọn và dùng công cụ
- Hiểu công cụ làm gì: đừng tin kết quả một cách mù quáng; biết cách nó hoạt động để giải trình.
- Kiểm chứng chéo: xác nhận phát hiện quan trọng bằng ít nhất hai công cụ.
- Ghi lại phiên bản: kết quả có thể khác nhau giữa các phiên bản.
- Thực hành trên dữ liệu mẫu: có nhiều bộ dữ liệu công khai để luyện tập hợp pháp.
Công cụ chỉ là một nửa
Công cụ giỏi không thay được tư duy điều tra. Chúng giúp bạn tìm và trình bày dữ liệu, nhưng việc diễn giải dữ liệu thành câu chuyện đúng sự thật vẫn là năng lực của con người.