Mỗi khi xảy ra một vụ tấn công mạng, rò rỉ dữ liệu hay gian lận trực tuyến, câu hỏi luôn được đặt ra là: chuyện gì đã thực sự xảy ra, ai làm, và bằng chứng đâu? Trả lời những câu hỏi đó chính là công việc của điều tra số. Bài viết giới thiệu tổng quan lĩnh vực này cho người mới bắt đầu.
Điều tra số là gì?
Điều tra số (Digital Forensics) là quá trình thu thập, bảo toàn, phân tích và trình bày bằng chứng điện tử một cách khoa học và hợp pháp, để tái dựng lại sự việc đã xảy ra trên các thiết bị và hệ thống số. Mục tiêu cuối cùng thường là phục vụ điều tra nội bộ, ứng phó sự cố, hoặc làm chứng cứ trước pháp luật.
Bằng chứng số đến từ đâu?
- Máy tính: ổ cứng, file, registry, lịch sử trình duyệt.
- Điện thoại di động: tin nhắn, cuộc gọi, ứng dụng, định vị.
- Mạng: log firewall, lưu lượng, kết nối bất thường.
- Bộ nhớ RAM: tiến trình đang chạy, mã độc chưa ghi xuống đĩa.
- Đám mây: log truy cập, lịch sử đồng bộ, email.
Các nhánh chính của điều tra số
- Computer Forensics — điều tra máy tính, ổ đĩa.
- Mobile Forensics — điều tra thiết bị di động.
- Network Forensics — phân tích lưu lượng và log mạng.
- Memory Forensics — phân tích bộ nhớ tạm thời.
- Cloud Forensics — điều tra trên hạ tầng đám mây.
Nguyên tắc cốt lõi
Dù ở nhánh nào, điều tra số luôn xoay quanh vài nguyên tắc bất biến:
- Bảo toàn nguyên trạng: không làm thay đổi bằng chứng gốc.
- Tính toàn vẹn: chứng minh dữ liệu không bị sửa đổi (thường bằng giá trị băm hash).
- Khả năng lặp lại: người khác làm lại đúng quy trình phải ra cùng kết quả.
- Chuỗi hành trình chứng cứ: ghi lại ai, khi nào, đã tiếp xúc với bằng chứng.
Ai cần đến điều tra số?
Không chỉ cơ quan điều tra. Doanh nghiệp dùng điều tra số để ứng phó sự cố an ninh, làm rõ gian lận nội bộ, hoặc đánh giá thiệt hại sau tấn công. Đây là kỹ năng ngày càng quan trọng với đội an ninh mạng (blue team) và ứng phó sự cố.
Bắt đầu từ đâu?
Nếu bạn mới vào nghề, hãy nắm vững nền tảng hệ điều hành và mạng trước, sau đó học quy trình chuẩn và thực hành với các bộ dữ liệu mẫu công khai. Trong các bài tiếp theo, chúng tôi sẽ đi sâu vào từng giai đoạn và kỹ thuật cụ thể.