Khoảnh khắc đầu tiên khi tiếp cận một thiết bị nghi vấn là lúc dễ phá hỏng bằng chứng nhất. Một thao tác vô ý có thể làm thay đổi dữ liệu vĩnh viễn. Bài viết trình bày các nguyên tắc thu thập chứng cứ số đúng cách để bảo toàn giá trị của chúng.
Nguyên tắc nền tảng: đừng làm thay đổi bản gốc
Mục tiêu số một là giữ bằng chứng gốc y nguyên như lúc phát hiện. Chỉ cần bật một máy tính đang tắt, hàng loạt file hệ thống sẽ bị ghi đè. Vì vậy, quyết định “tắt hay để nguyên” phải được cân nhắc kỹ.
Thứ tự ưu tiên theo độ dễ mất (Order of Volatility)
Dữ liệu càng dễ mất càng phải thu thập trước:
- Bộ nhớ RAM, tiến trình đang chạy, kết nối mạng — mất ngay khi tắt máy.
- Phiên đăng nhập, dữ liệu tạm.
- Ổ đĩa, file — bền hơn.
- Sao lưu, log lưu trữ dài hạn — bền nhất.
Nếu tắt máy vội, bạn có thể mất toàn bộ bằng chứng trong RAM — nơi mã độc thường ẩn náu.
Công cụ và kỹ thuật bảo toàn
- Forensic imaging: tạo bản sao bit-by-bit toàn bộ thiết bị, không bỏ sót vùng dữ liệu đã xóa.
- Write blocker: thiết bị/phần mềm ngăn mọi thao tác ghi lên ổ gốc khi kết nối.
- Hashing: tính giá trị băm (như SHA-256) trước và sau để chứng minh bản sao trung thực.
Live acquisition — khi không thể tắt máy
Với máy chủ đang chạy dịch vụ quan trọng, hoặc khi cần bắt dữ liệu RAM, điều tra viên phải thu thập trực tiếp trên hệ thống đang sống. Việc này chấp nhận một mức thay đổi tối thiểu, nhưng phải ghi lại đầy đủ mọi thao tác để giải trình.
Ghi chép hiện trường
Chụp ảnh màn hình, ghi lại trạng thái thiết bị (đang bật/tắt, có kết nối gì), số sê-ri, vị trí. Những chi tiết tưởng nhỏ này thường trở thành mấu chốt khi dựng lại toàn cảnh sự việc.
Kết luận
Thu thập đúng cách không phải là chạy công cụ cho nhanh, mà là kỷ luật bảo toàn. Bằng chứng chỉ có giá trị khi bạn chứng minh được nó chưa từng bị bạn — người điều tra — vô tình làm hỏng.