Bộ công cụ forensic cốt lõi và quy trình chuẩn khi đi xử lý sự cố

Mỗi lần có sự cố mới, câu hỏi đầu tiên không phải "dùng tool gì" mà là "đang ở bước nào". Tool đúng nhưng sai thứ tự (ví dụ phân tích ổ đĩa trước khi dump RAM) có thể làm mất bằng chứng vĩnh viễn. Bài này ghép hai thứ lại với nhau: khung quy trình chuẩn, và bộ công cụ tương ứng cho từng giai đoạn.

Thu thập ảnh ổ cứng tại hiện trường bằng thiết bị forensic chuyên dụng

Ảnh: Privateinvestigatorgreensboro, giấy phép CC BY-SA 4.0, qua Wikimedia Commons.

Khung quy trình: 6 bước của SANS/NIST

Bước	Mục tiêu	Sai lầm thường gặp
1. Preparation	Có sẵn tool, quyền truy cập, kênh liên lạc trước khi sự cố xảy ra	Đợi có sự cố mới đi xin quyền admin domain
2. Identification	Xác nhận đây thật sự là sự cố, xác định phạm vi ban đầu	Escalate nhầm false positive, hoặc bỏ sót vì chủ quan
3. Containment	Ngăn lan rộng, nhưng giữ nguyên bằng chứng	Tắt máy ngay — mất RAM, mất tiến trình đang chạy
4. Eradication	Loại bỏ nguyên nhân gốc, không chỉ triệu chứng	Xoá malware mà không tìm điểm vào, sự cố lặp lại
5. Recovery	Đưa hệ thống về hoạt động, có giám sát tăng cường	Khôi phục từ backup đã bị nhiễm từ trước
6. Lessons Learned	Viết report, cập nhật playbook/rule	Bỏ qua vì "đã xong việc", quên đến lần sau mới nhớ

Bộ công cụ theo từng giai đoạn

Triage ban đầu — thu thập nhanh trước khi động vào máy

Ưu tiên thu thập theo thứ tự bay hơi (order of volatility)

1. RAM (biến mất khi mất điện)
2. Kết nối mạng, tiến trình đang chạy, ARP cache
3. Registry, event log đang ghi
4. Dữ liệu trên đĩa
5. Backup, log tập trung (ít bay hơi nhất)

Công cụ dùng nhiều nhất ở bước này:

KAPE — thu thập nhanh hàng loạt artifact (registry hive, event log, prefetch, MFT...) theo target có sẵn, chạy được cả từ USB trên máy đang sống.
Velociraptor — khi cần triage nhiều máy cùng lúc qua mạng, không cần đến tận nơi từng máy.
WinPmem / Magnet RAM Capture — dump RAM trên Windows, thao tác đầu tiên trước khi cách ly.
FTK Imager — dựng image ổ đĩa dạng E01/raw, kèm tính năng xem nhanh mà không cần mount.

Memory forensics

Volatility 3 — bộ lệnh khởi đầu gần như mọi case

python vol.py -f memdump.raw windows.pslist
python vol.py -f memdump.raw windows.psscan
python vol.py -f memdump.raw windows.cmdline
python vol.py -f memdump.raw windows.netscan

pslist so với psscan là cặp lệnh quan trọng nhất: nếu một tiến trình chỉ xuất hiện ở psscan mà không có trong pslist, đó là dấu hiệu kỹ thuật ẩn tiến trình (DKOM) — mức độ tinh vi cao hơn ransomware thông thường.

Disk forensics

Autopsy / The Sleuth Kit — miễn phí, đủ dùng cho phần lớn case: timeline, tìm file đã xoá, phân tích MFT.
Arsenal Image Mounter — mount image ổ đĩa như ổ vật lý thật, tiện khi cần chạy tool Windows-native trực tiếp lên image.
Plaso / log2timeline — dựng super timeline từ nhiều nguồn (MFT, event log, registry, browser history) thành một dòng thời gian duy nhất — cực kỳ hữu ích khi cần trả lời "cái gì xảy ra trước, cái gì xảy ra sau".

Network forensics

Zeek — chuyển traffic thô thành log có cấu trúc, dễ truy vấn

zeek -r capture.pcap
# Sinh ra conn.log, dns.log, http.log, ssl.log...
grep "91.<redacted>" conn.log

Với PCAP nhỏ, Wireshark đủ dùng để soi từng gói. Với PCAP lớn hoặc traffic thu liên tục, Zeek hiệu quả hơn nhiều vì nó tóm tắt traffic thành log theo phiên thay vì phải lọc từng gói tin.

Phân tích malware nhanh (initial triage, chưa phải reverse engineering sâu)

Công cụ	Dùng để làm gì
`strings` + `sha256sum`	Trích chuỗi đáng ngờ, lấy hash đối chiếu threat intel
PEStudio	Soi nhanh file PE: import table, section bất thường, packer
VirusTotal / AbuseIPDB	Đối chiếu hash, IP, domain với threat intel cộng đồng
CAPEv2 / Any.Run	Sandbox động — xem hành vi thực tế khi file chạy, an toàn vì cách ly

Log & detection

Sigma rules — viết detection logic một lần, chuyển đổi sang query của nhiều SIEM khác nhau (Splunk, Elastic, Sentinel).
Event log Windows quan trọng cần soi trước tiên: Security (4624, 4625, 4672), Sysmon (Process Create, Network Connect), PowerShell Operational.

Chain of custody — phần dễ bị xem nhẹ nhất

Checklist tối thiểu cho mỗi artifact thu thập

[ ] Thời gian thu thập (giờ, timezone)
[ ] Người thu thập
[ ] Công cụ + phiên bản dùng để thu thập
[ ] Hash (SHA-256) ngay sau khi thu thập
[ ] Vị trí lưu trữ, ai có quyền truy cập

Tổng hợp

Công cụ nào cũng chỉ là công cụ — thứ quyết định một case được xử lý gọn gàng hay hỗn loạn là có đi đúng thứ tự (order of volatility), có giữ chain of custody, và có quy trình rõ ràng để không phải tự nhớ lại mỗi lần từ đầu. Bộ tool ở trên đủ cho phần lớn case gặp trong môi trường doanh nghiệp; phần khó hơn luôn là kỷ luật làm đúng thứ tự khi đang gấp.