Nghiên Cứu Xây Dựng Giải Pháp Thu Thập Chứng Cứ Hỗ Trợ Xử Lý Sự Cố An Toàn Thông Tin

ĐẠI HỌC QUỐC GIA HÀ NỘI

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

ĐỖ BÁ SƠN

NGHIÊN CỨU, XÂY DỰNG GIẢI PHÁP THU THẬP

CHỨNG CỨ HỖ TRỢ XỬ LÝ SỰ CỐ AN TOÀN THÔNG TIN

LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN

Hà Nội, tháng 11 /2019

ĐẠI HỌC QUỐC GIA HÀ NỘI

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ

ĐỖ BÁ SƠN

NGHIÊN CỨU, XÂY DỰNG GIẢI PHÁP THU THẬP

CHỨNG CỨ HỖ TRỢ XỬ LÝ SỰ CỐ AN TOÀN THÔNG TIN

Chuyên ngành: Hệ thống thông tin

Mã số : 8480104.01

LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN

HƯỚNG DẪN KHOA HỌC: PGS.TS NGUYỄN NGỌC HÓA

Hà Nội, tháng 11 /2019

Lời cảm ơn

Học viên: Đỗ Bá Sơn I

LỜI CẢM ƠN

Sau hai năm học tập và rèn luyện tại Trường Đại học Quốc gia Hà Nội, bằng sự biết ơn

và kính trọng, tác giả xin chân thành cảm ơn Ban Giám hiệu, các phòng, khoa thuộc Trường

Đại học Quốc gia Hà Nội và các Giáo sư, Phó Giáo sư, Tiến sĩ đã nhiệt tình giảng dạy và

tạo điều kiện thuận lợi giúp đỡ tác giả trong quá trình học tập và làm Luận văn.

Đặc biệt, tác giả xin bày tỏ lòng biết ơn và lời cảm ơn sâu sắc tới Thầy giáo hướng dẫn

PGS.TS. Nguyễn Ngọc Hóa đã tận tình, chu đáo hướng dẫn tôi thực hiện luận văn này. Nhờ

có sự giúp đỡ hướng dẫn nhiệt tình của thầy mà tôi đã có được những kiến thức quý báu

trong quá trình nghiên cứu, từ đó tôi có thể hoàn thành tốt luận văn thạc sĩ của mình.

Mặc dù có rất nhiều cố gắng nhưng do còn hạn chế thời gian và trình độ, nên luận văn

của tôi không tránh khỏi những thiếu sót. Tôi rất mong được sự chỉ bảo, đóng góp của các

thầy cô giáo trong khoa Công nghệ Thông tin để luận văn thạc sĩ của tôi hoàn thiện hơn.

Tôi xin chân thành cảm ơn!

Hà Nội, ngày 01 tháng 11 năm 2019

Mục lục

Học viên: Đỗ Bá Sơn II

MỤC LỤC

LỜI CẢM ƠN .....................................................................................................................I

MỤC LỤC ..........................................................................................................................II

DANH MỤC BẢNG BIỂU ...............................................................................................V

DANH MỤC HÌNH VẼ................................................................................................ VIII

MỞ ĐẦU..............................................................................................................................1

CHƯƠNG 1: QUY TRÌNH XỬ LÝ SỰ CỐ MẤT ATTT VÀ PHƯƠNG PHÁP THU

THẬP CHỨNG CỨ............................................................................................................3

1.1.Quy trình điều tra số....................................................................................................3

1.2.Thu thập chứng cứ.......................................................................................................5

1.2.1. Khó khăn trong thu thập chứng cứ..........................................................................5

1.2.2. Tại sao thu thập chứng cứ?......................................................................................5

1.2.3. Lựa chọn phương pháp thu thập..............................................................................6

1.2.4. Các loại chứng cứ....................................................................................................6

1.2.5. Các quy tắc thu thập chứng cứ ................................................................................7

1.2.6. Chứng cứ khả biến...................................................................................................9

1.2.7. Quy trình thu thập chứng cứ..................................................................................10

1.2.8. Thu thập chứng cớ và lưu trữ ................................................................................10

1.2.9. Phương pháp thu thập chứng cứ............................................................................11

1.2.10.Dữ liệu thu thập....................................................................................................13

1.2.11.Kiểm soát và bảo vệ dữ liệu.................................................................................14

CHƯƠNG 2: GIẢI PHÁP THU THẬP CHỨNG CỨ BẰNG USB CHUYÊN DỤNG

............................................................................................................................................16

2.1.Bài toán đặt ra............................................................................................................16

2.2.Phương pháp giải quyết bài toán..............................................................................17

2.2.1 Hướng đi cho bài toán ...........................................................................................17

2.2.2 Xây dựng USB thu thập chứng cứ để giải quyết bài toán.....................................18

2.3. Các bản phân phối của hệ điều hành Linux hỗ trợ thu thập chứng cứ................20

2.3.1 DEFT Linux...........................................................................................................20

2.3.2 CAINE Linux ........................................................................................................21

2.3.3 Kali Linux..............................................................................................................23

Mục lục

Học viên: Đỗ Bá Sơn III

2.4. Công cụ thu thập chứng cứ trên Windows và Kali Linux .....................................26

2.4.1 Công cụ thu thập chứng cứ trên Windows............................................................26

2.4.1.1. Giới thiệu công cụ thu thập chứng cứ Ir-Rescue ...........................................26

2.4.1.2. Cấu trúc và cách sử dụng công cụ thu thập chứng cứ Ir-Rescue ...................27

2.4.2. Công cụ thu thập chứng cứ trên Kali Linux..........................................................31

2.4.2.1. Công cụ thu thập chứng cứ Dc3dd.................................................................31

2.4.2.2. Công cụ thu thập chứng cứ Ir-Rescue............................................................33

2.5.Một số phương pháp bảo mật phân vùng USB.......................................................34

2.5.1. BitLocker...............................................................................................................34

2.5.1.1. Giới thiệu về BitLocker..................................................................................34

2.5.1.2. Chức năng chính của BitLocker.....................................................................35

2.5.1.3. Kiến trúc BitLocker........................................................................................35

2.5.1.4. Quản lý khóa BitLocker.................................................................................36

2.5.2. Vera Crypt .............................................................................................................43

2.5.2.1. Giới thiệu về Vera Crypt................................................................................43

2.5.2.2. Thuật toán.......................................................................................................44

2.5.2.3. Cơ chế hoạt động............................................................................................44

2.5.3. Lựa chọn công cụ bảo mật cho USB thu thập chứng cứ.......................................45

CHƯƠNG 3: XÂY DỰNG USB THU THẬP CHỨNG CỨ VÀ KIỂM THỬ............47

3.1.Giới thiệu ....................................................................................................................47

3.2. Chia các phân vùng cho USB thu thập chứng cứ ...................................................47

3.2.1 Tổng quan..............................................................................................................47

3.2.2 Chuẩn bị USB thu thập chứng cứ..........................................................................48

3.2.3 Thực hiện chia các phân vùng cho USB thu thập chứng cứ .................................48

3.3.Tùy biến hệ điều hành Kali Linux trên phân vùng thứ nhất.................................51

3.3.1. Giới thiệu...............................................................................................................51

3.3.2. Cài đặt hệ điều hành Kali Linux lên phân vùng thứ nhất......................................51

3.3.3. Tùy biến hệ điều hành Kali Linux.........................................................................57

3.3.3.1. Tối ưu hệ điều hành Kali Linux .....................................................................57

3.3.3.2. Cài đặt công cụ thu thập chứng cứ trên hệ điều hành Kali Linux..................60

3.4. Công cụ thu thập chứng cứ phân vùng 2.................................................................62

3.5.Thiết lập cơ chế bảo mật cho các phân vùng USB..................................................63

3.5.1. Cài đặt cơ chế bảo mật cho phân vùng thứ nhất....................................................64

3.5.2. Cài đặt cơ chế bảo mật cho phân vùng 2 và 3.......................................................67

Mục lục

Học viên: Đỗ Bá Sơn IV

3.6.Kiểm thử USB thu thập chứng cứ ............................................................................72

3.6.1. Đánh giá khả năng bảo mật của USB thu thập chứng cứ theo các kịch bản.........72

3.6.1.1 Kịch bản thử nghiệm bảo mật của USB thu thập chứng cứ trên Windows...72

3.6.1.2 Kịch bản kiểm thử bảo mật USB thu thập chứng cứ trên Kali Linux............74

3.6.2. Kiểm thử khả năng thu thập chứng cứ ..................................................................77

3.6.2.1. Kịch bản thử nghiệm khả năng thu thập chứng cứ trên Windows.................77

3.6.2.2. Kịch bản thử nghiệm thu thập chứng cứ trên Linux ......................................79

KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN ĐỀ TÀI........................................................84

TÀI LIỆU THAM KHẢO................................................................................................86

Danh mục bảng biểu

Học viên: Đỗ Bá Sơn V

DANH MỤC BẢNG BIỂU

Bảng 2. 1 - Một số cách để mã hóa VMK..........................................................................37

Bảng 2. 2 - Bảng tham chiếu các quy trình tạo mã khóa....................................................40

Bảng 2. 3 - Nhập mã khóa và đầu ra ..................................................................................40

Bảng 2. 4 – Bộ nhớ khóa ....................................................................................................41

Bảng 3. 1 - So sánh các định dạng ổ đĩa trong Windows...................................................50

Danh mục hình vẽ

Học viên: Đỗ Bá Sơn VIII

DANH MỤC HÌNH VẼ

Hình 1. 1 - Các lớp quy trình điều tra số ..............................................................................3

Hình 2. 1 – Cấu trúc USB thu thập chứng cứ.....................................................................19

Hình 2. 2 - Mô hình kiến trúc hệ thống hỗ trợ xử lý sự cố ATTT .....................................19

Hình 2. 3 - Giao diện khởi động của DEFT .......................................................................20

Hình 2. 4 - Giao diện desktop DEFT..................................................................................21

Hình 2. 5 - Giao diện khởi động của CAINE.....................................................................22

Hình 2. 6 - Giao diện desktop của CAINE.........................................................................22

Hình 2. 7 - Các ứng dụng trên hệ điều hành CAINE .........................................................23

Hình 2. 8 - Giao diện khởi động của Kali Linux................................................................24

Hình 2. 9 - Giao diện desktop của Kali Linux....................................................................25

Hình 2. 10 - Các ứng dụng Forensics trên Kali Linux .......................................................25

Hình 2. 11 - Chế độ khác trong giao diện Kali Linux ........................................................26

Hình 2. 12 - Nội dung hiển thị câu lệnh dc3dd -- help.......................................................31

Hình 2. 13 - Tệp .img được tách thành nhiều tệp nhỏ khác nhau.......................................33

Hình 2. 14 - Kiến trúc BitLocker........................................................................................36

Hình 2. 15 - Các kiến trúc quản lý khóa của BitLocker.....................................................38

Hình 2. 16 - Lưu đồ quản lý khóa.......................................................................................39

Hình 3. 1 - USB chuyên dụng dùng cho thu thập chứng cứ...............................................48

Hình 3. 2 - Phân chia ổ USB bằng BOOTICE ...................................................................49

Hình 3. 3 - Thiết lập định dạng cho các phân vùng............................................................49

Hình 3. 4 - Phân chia phân vùng ........................................................................................51

Hình 3. 5 - Các bản Linux Distribution..............................................................................52

Hình 3. 6 - Lựa chọn đường dẫn chứa bộ cài Kali Linux .iso ............................................53

Hình 3. 7 - Chọn phân vùng và định dạng phân vùng cài Kali Linux................................53

Hình 3. 8 - Hoàn thành tiến trình cài đặt Kali Linux lên phân vùng 1...............................53

Hình 3. 9 - Giao diện khởi động Boot Kali Linux..............................................................55

Hình 3. 10 - Tạo ổ Persistency để lưu trữ bộ cài trên Kali Linux ......................................55

Hình 3. 11 - Kết quả sau khi tạo Persistency......................................................................56

Hình 3. 12 - Giao diện chính của HĐH Kali Linux ...........................................................58

Hình 3. 13 - Nhóm công cụ tích hợp sẵn trong Kali Linux................................................58

Hình 3. 14 - Danh sách các ứng dụng đã được tích hợp sẵn trên Kali Linux ....................59

Hình 3. 15 - Tiến trình xóa các ứng dụng cài sẵn trên Kali Linux.....................................59

Danh mục hình vẽ

Học viên: Đỗ Bá Sơn IX

Hình 3. 16 - Hệ điều hành Kali Linux đã được tối ưu sau khi gỡ bỏ các ứng dụng ..........60

Hình 3. 17 - Tiến trình chạy câu lệnh cài đặt DC3DD.......................................................61

Hình 3. 18 - Công cụ DC3DD sau khi hoàn tất cài đặt ......................................................61

Hình 3. 19 - Folder chứa công cụ Ir-Rescue trên Windows...............................................62

Hình 3. 20 - Chương trình chạy Ir-Rescue .........................................................................62

Hình 3. 21 - Chạy chương trình Ir-Rescue .........................................................................62

Hình 3. 22 - Các lỗi khi chạy Ir-Rescue .............................................................................63

Hình 3. 23 - Test bảo mật trên phân vùng 1 .......................................................................64

Hình 3. 24 - Chọn Properties..............................................................................................65

Hình 3. 25 - Chọn Advanced..............................................................................................65

Hình 3. 26 - Chọn Remove để bỏ quyền truy cập User......................................................66

Hình 3. 27 - Chỉnh sửa quyền truy cập...............................................................................66

Hình 3. 28 - Chọn quyền cấm truy cập và chỉnh sửa .........................................................66

Hình 3. 29 - Các bước thiết lập chế độ Read-only .............................................................67

Hình 3. 30 - Kiểm tra chip TPM hỗ trợ trên máy tính........................................................67

Hình 3. 31 - BitLocker trong System and Security ............................................................68

Hình 3. 32 - Kiểm tra trạng thái của BitLocker..................................................................68

Hình 3. 33 - Thiết lập mã khóa cho BitLocker...................................................................69

Hình 3. 34 - Lưu mã khóa BitLocker .................................................................................69

Hình 3. 35 – Lựa chọn phương thức mã hóa ổ đĩa .............................................................70

Hình 3. 36 - Lựa chọn loại mã khóa mới nhất....................................................................70

Hình 3. 37 - Bắt đầu mã hóa...............................................................................................71

Hình 3. 38 - Kiểm tra lại trạng thái ổ đĩa sau khi mã hóa. .................................................71

Hình 3. 39 - Các phân vùng đã được thiết lập Read-only và BitLocker...........................72

Hình 3. 40 - Kiểm tra trạng thái phân vùng trên Disk management. .................................73

Hình 3. 41 - Bảng thông báo hiện lên.................................................................................73

Hình 3. 42 - Mở khóa BitLocker ........................................................................................74

Hình 3. 43 - Thư mục BitLocker sau khi được mở khóa ...................................................74

Hình 3. 44 - Báo lỗi “không thể mount ổ đĩa”....................................................................75

Hình 3. 45 - Cảnh báo Virus...............................................................................................78

Hình 3. 46 - Chương trình Ir-Rescue bắt đầu thu thập dữ liệu...........................................78

Hình 3. 47 - Kết quả sau khi hoàn thành thu thập dữ liệu..................................................79

Hình 3. 48 - Tiến trình thu thập và mã hóa dữ liệu của dc3dd...........................................81

Hình 3. 49 - Kết quả sau khi tiến trình chạy công cụ dc3dd hoàn tất ................................81

Hình 3. 50 - Tiến trình phân tách dữ liệu thu thập thành các tệp nhỏ bằng dc3dd ............81

Hình 3. 51 - Kết quả sau khi phân tách ..............................................................................82

Hình 3. 52 - Chạy chương trình Ir-Rescue .........................................................................82

Hình 3. 53 - Thư mục data được khởi tạo khi chương trình Ir-Rescue bắt đầu chạy.........82

Hình 3. 54 - Thông báo hoàn thành thu thập của công cụ Ir-Rescue .................................83