Tổng quan về luận án

Luận án "A Model of Forensic Analysis Using Goal-Oriented Logging" của Sean Philip Peisert (2007) giải quyết một lỗ hổng đáng kể trong lĩnh vực pháp y máy tính: bản chất tùy tiện (ad hoc) của các phương pháp phân tích pháp y truyền thống. Nghiên cứu này được đặt trong bối cảnh khoa học về an ninh máy tính đang phát triển nhanh chóng, nơi mà các cuộc tấn công ngày càng phức tạp và cần một cách tiếp cận có hệ thống hơn để điều tra. Luận án nổi bật bởi tính tiên phong trong việc chuyển đổi pháp y máy tính từ một "nghệ thuật" dựa trên "cơ hội hoặc may mắn" sang một khoa học "nghiêm ngặt" (Preface).

Lỗ hổng nghiên cứu và Khung lý thuyết: Peisert lập luận rằng "hiện tại, lĩnh vực pháp y máy tính chủ yếu là tùy tiện. Dữ liệu thường được thu thập vì các ứng dụng ghi nhật ký cho mục đích gỡ lỗi hoặc vì ai đó cho rằng nó quan trọng" (Problem Statement). Sự thiếu vắng một "giải pháp nghiêm ngặt để tìm và ghi lại dữ liệu cần thiết để thực hiện phân tích pháp y" là một hạn chế lớn, dẫn đến việc "quá nhiều dữ liệu sai hiện đang được ghi lại bởi hầu hết các hệ thống pháp y hiện có, khiến việc phân tích trở nên khó khăn hoặc không thể thực hiện được" (Problem Statement). Luận án chỉ ra rằng "chúng tôi không biết về sự tồn tại của một mô hình như vậy" có thể xác định dữ liệu cần thiết.

Để giải quyết lỗ hổng này, nghiên cứu đặt ra các câu hỏi cốt lõi: Làm thế nào để xác định chính xác dữ liệu cần thiết cho phân tích pháp y? Một mô hình chính thức có thể hướng dẫn việc ghi nhật ký dữ liệu hiệu quả và chính xác hơn không? Các giả thuyết chính bao gồm:

  1. Việc xây dựng một mô hình pháp y chính thức có thể chuyển đổi quá trình phân tích từ tùy tiện sang dựa trên suy luận logic.
  2. Mô hình này có thể xác định được tập hợp tối thiểu các dữ liệu có giá trị cao, giúp giảm gánh nặng tài nguyên và tăng cường độ chính xác phân tích.
  3. Việc ghi nhật ký tập trung vào "mục tiêu của kẻ xâm nhập" sẽ hiệu quả hơn việc ghi nhật ký toàn bộ dữ liệu hoặc dữ liệu cấp cao.

Khung lý thuyết của luận án được xây dựng dựa trên năm "nguyên tắc cấp cao về phân tích pháp y" (Principles-Driven Forensic Analysis [PBKM05]) và "một số phẩm chất [PBKM07b] mà chúng tôi tin rằng một mô hình pháp y tốt nên có." Nghiên cứu cũng xây dựng dựa trên công trình gần đây về "hình thức hóa các cuộc tấn công đa giai đoạn cho mục đích phát hiện xâm nhập [TL00, ZHR+ 07]", thích nghi các nguyên lý này cho bối cảnh pháp y. Cụ thể, mô hình Laocoön được thiết kế để "biết các hành động định hướng mục tiêu được thực hiện bởi kẻ xâm nhập và ghi lại đủ thông tin để có thể hiểu được kết quả" (Approach).

Đóng góp đột phá và Phạm vi: Đóng góp đột phá của luận án là việc giới thiệu mô hình Laocoön, một mô hình phân tích pháp y chính thức "được thiết kế để xác định dữ liệu cần thiết để hiểu các sự kiện đã xảy ra" (Abstract). Mô hình này cho phép "chọn lọc cẩn thận lượng dữ liệu hữu ích cao hơn để ghi lại, thay vì buộc các quản trị viên hệ thống phải lựa chọn giữa việc ghi lại lượng dữ liệu khổng lồ hoặc lượng dữ liệu quá nhỏ đến mức vô dụng" (Approach). Tác động được định lượng thông qua các thí nghiệm cho thấy "cách mô hình có thể được sử dụng để ghi lại lượng dữ liệu hữu ích cao hơn, nhỏ hơn, thay vì buộc phải lựa chọn giữa lượng dữ liệu áp đảo hoặc lượng dữ liệu quá nhỏ đến mức thực tế vô dụng" (Abstract). Ví dụ, trong các thí nghiệm về cuộc tấn công su, việc phân tích các chuỗi cuộc gọi hàm (function calls) chỉ tạo ra "46 chuỗi (tất cả đều khác biệt)" cần phân tích trong phiên bản su bị sửa đổi, so với hàng nghìn chuỗi trong các phương pháp ghi nhật ký truyền thống.

Phạm vi của luận án tập trung vào "các cuộc tấn công (bao gồm cả vấn đề nội bộ)" trên các hệ thống giống UNIX, sử dụng "mô hình hành động định hướng mục tiêu của kẻ xâm nhập". Nghiên cứu không đi sâu vào các vấn đề như khôi phục dữ liệu bị xóa hoặc các vấn đề pháp lý như chuỗi lưu giữ bằng chứng số, mặc dù thừa nhận tiềm năng áp dụng trong tương lai. Tính quan trọng của nghiên cứu nằm ở việc cung cấp một "phương pháp luận có thể được sử dụng để củng cố các hệ thống hiện có và phát triển các hệ thống mới bao gồm hỗ trợ phân tích pháp y trong thiết kế" (Approach).

Literature Review và Positioning

Phân tích pháp y máy tính, theo dòng thời gian, đã trải qua nhiều giai đoạn phát triển, bắt đầu từ các đề xuất ban đầu về sử dụng dấu vết kiểm toán (audit trails) của Anderson (1980) và Bonyun (1980). Tuy nhiên, những công trình này, mặc dù công nhận giá trị của dữ liệu và vị trí đặt cơ chế thu thập, đã không đưa ra một phương pháp luận tổng quát để lựa chọn dữ liệu. Điều này dẫn đến sự phát triển của các công cụ ghi nhật ký tinh vi cho nhiều nền tảng, nhưng việc lựa chọn dữ liệu vẫn thường được "để cho quản trị viên hệ thống tự chỉ định thủ công trước" (Related Work).

Nhiều công cụ hiện có được sử dụng rộng rãi, như syslog (Allman, 2005) và Sun Basic Security Module (BSM) (Oliver & Nguyen, 2001), được thiết kế ban đầu cho mục đích gỡ lỗi hoặc dựa trên "các giả định cấp cao về điều gì 'có vẻ' quan trọng đối với bảo mật, chứ không phải điều đã được chứng minh một cách nghiêm ngặt là quan trọng đối với bảo mật" (Related Work). Điều này tạo ra một "hộp công cụ" gồm các cơ chế cấp ứng dụng (như Tripwire của Kim & Spafford, 1994, và The Coroner’s Toolkit của Farmer & Venema) và kiểm tra bộ nhớ cấp thấp, nhưng việc tổng hợp thông tin từ chúng thường "dựa vào may mắn hơn là kế hoạch có phương pháp" (Related Work). Sự phụ thuộc vào dữ liệu "có sẵn" và "thường bỏ lỡ thông tin hoặc thu thập và hiển thị thông tin không cần thiết làm tăng lượng lưu trữ và không thêm gì vào phân tích pháp y" là một điểm yếu cố hữu của các phương pháp hiện tại.

Nghiên cứu của Peisert nhận định rằng có những mâu thuẫn cơ bản trong các phương pháp pháp y hiện có. Một mặt, có các giải pháp cực đoan như "ghi lại mọi thứ" (Peisert et al., 2005; Gross, 1997), bao gồm tất cả các truy cập bộ nhớ hoặc mọi sự chuyển đổi trạng thái hệ thống. Mặc dù lý tưởng về mặt "tiện ích tối đa", nhưng chúng "không thực tế, nếu không muốn nói là không khả thi" (Approach, Figure 1.1a). Mặt khác, có các phương pháp ghi lại dữ liệu cấp rất cao và không có cấu trúc (như thông báo syslog) hoặc tập trung vào một lĩnh vực cụ thể (như dữ liệu hệ thống tệp từ Tripwire, hay dữ liệu kết nối từ TCP Wrappers của Venema, 1992). Việc lựa chọn giữa "lượng dữ liệu áp đảo hoặc lượng dữ liệu quá nhỏ đến mức thực tế vô dụng" là một sự đánh đổi lớn (Approach). Ngoài ra, còn có sự phân biệt giữa kiểm toán dựa trên trạng thái (state-based auditing) và kiểm toán dựa trên chuyển đổi (transition-based auditing) (Bishop, 2003), với việc nghiên cứu này ưu tiên phương pháp dựa trên chuyển đổi do khả năng ghi lại các sự kiện cụ thể.

Luận án này tự định vị mình là cầu nối giữa các phương pháp tiếp cận này, hướng tới một "phương pháp luận để tối ưu hóa dữ liệu cần thiết để ghi lại các sự kiện" (Approach, Figure 1.1c). Không giống như Gross (1997) tập trung vào việc sử dụng dữ liệu có sẵn để cải thiện phân tích, nghiên cứu này tập trung vào việc "mở rộng một hệ thống để thu thập dữ liệu cần thiết chưa được thu thập" (Related Work). Điều này cũng khác biệt với các nỗ lực mô hình hóa trước đây, chẳng hạn như của Bishop (1989) và Schneier (2000), vốn không nhằm mục đích trình bày thông tin hữu ích cho một nhà phân tích con người hoặc Kupferschmid (2004) chỉ tập trung vào hiệu suất. Luận án của Peisert chuyển trọng tâm sang "giá trị pháp y cho con người".

Để làm nổi bật sự tiến bộ trong lĩnh vực này, nghiên cứu của Peisert so sánh các phương pháp của mình với các công trình nghiên cứu quốc tế khác. Ví dụ, BackTracker (King & Chen, 2005) và Forensix (Giffin et al., 2005) cũng thu thập các cuộc gọi hệ thống để tạo ra các dấu vết sự kiện hoặc cho phép truy vấn cơ sở dữ liệu. Tuy nhiên, BackTracker "không giúp xác định điểm bắt đầu" và "không giúp thường xuyên xác định điều gì xảy ra trong tiến trình", trong khi Forensix yêu cầu nhà phân tích phải "tự xác định độc lập tệp nào có thể đã bị ghi bởi mã của kẻ xâm nhập" (Related Work). Cả hai đều có "những hạn chế tương tự" và không dựa trên một mô hình pháp y nghiêm ngặt, thường bỏ lỡ thông tin hoặc thu thập dữ liệu dư thừa. Các phương pháp ảo hóa như ReVirt (Dunlap et al., 2002) cho phép phát lại xác định, nhưng lại tạo ra "ít nhất 1.4 GB dữ liệu nhật ký mỗi ngày, tạo ra tới 68% chi phí xử lý" (Related Work) và không hoạt động tốt trên các hệ thống đa bộ xử lý. Ngược lại, mô hình Laocoön hướng tới việc thu thập "chỉ dữ liệu có liên quan được thu thập, và dữ liệu thừa, không cần thiết và gây hiểu lầm được giảm bớt hoặc tránh khỏi" (Related Work).

Bằng cách trình bày một mô hình chính thức và một phương pháp luận được thiết kế để xác định dữ liệu cần thiết, luận án của Peisert thúc đẩy lĩnh vực pháp y máy tính vượt ra ngoài các kỹ thuật thu thập và phân tích dữ liệu tùy tiện, định vị nó như một bước tiến quan trọng trong việc xây dựng các hệ thống an ninh có khả năng phân tích và phản ứng hiệu quả hơn với các cuộc tấn công.

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án này tạo ra một đóng góp lý thuyết quan trọng bằng cách mở rộng và thách thức các lý thuyết hiện có trong lĩnh vực phát hiện xâm nhập và pháp y máy tính. Cụ thể, mô hình Laocoön xây dựng dựa trên "mô hình requires/provides" ban đầu được sử dụng cho phát hiện xâm nhập (Talbot & Lupu, 2000; Zhou et al., 2007), nhưng điều chỉnh nó một cách độc đáo để giải quyết các thách thức riêng của phân tích pháp y. Thay vì chỉ phát hiện các bất thường theo thời gian thực, Laocoön tập trung vào việc xác định dữ liệu cần thiết để tái tạo và hiểu các sự kiện đã xảy ra, đặc biệt là các cuộc tấn công. Nó thách thức quan niệm phổ biến rằng "ghi lại mọi thứ" là cách tiếp cận tốt nhất cho pháp y, hoặc ngược lại, việc chỉ dựa vào dữ liệu cấp cao là đủ.

Laocoön được xây dựng dựa trên "năm nguyên tắc cấp cao của phân tích pháp y" (Peisert, Bishop, Karin, & Marzullo, 2005) và "một số phẩm chất" (Peisert, Bishop, Karin, & Marzullo, 2007b) mà một mô hình pháp y tốt nên có. Những nguyên tắc này bao gồm:

  1. Xem xét toàn bộ hệ thống (Consider the Entire System): Nhấn mạnh tầm quan trọng của việc hiểu các tương tác rộng lớn trong hệ thống.
  2. Ghi nhật ký thông tin mà không cần giả định (Log Information without Regard to Assumptions): Tránh các thành kiến về những gì có thể hoặc không thể quan trọng.
  3. Xem xét các hiệu ứng, không chỉ hành động (Consider the Effects, Not Just the Actions): Tập trung vào kết quả của các hành động của kẻ tấn công, không chỉ bản thân các hành động.
  4. Xem xét ngữ cảnh để hỗ trợ hiểu biết (Consider Context to Assist in Understanding): Ngữ cảnh là chìa khóa để diễn giải dữ liệu.
  5. Trình bày và xử lý các hành động và kết quả một cách dễ hiểu (Present and Process Actions and Results in an Understandable Way): Đảm bảo dữ liệu có thể được phân tích bởi con người.

Khung khái niệm này dẫn đến việc xây dựng một mô hình lý thuyết với các thành phần và mối quan hệ rõ ràng, tập trung vào "các hành động định hướng mục tiêu" của kẻ xâm nhập. Các mệnh đề/giả thuyết được phát triển xoay quanh ý tưởng rằng nếu chúng ta có thể mô hình hóa "các mục tiêu cuối cùng từ một hoặc nhiều điểm bắt đầu, cũng như các trạng thái trung gian có thể phổ biến đối với nhiều hoặc tất cả các đường dẫn gần đầu và gần cuối cuộc tấn công" (Approach), chúng ta có thể xác định dữ liệu cần thiết một cách hiệu quả. Điều này đại diện cho một sự thay đổi mô hình, từ việc thu thập dữ liệu một cách bị động và phản ứng (ghi lại mọi thứ hoặc những gì có sẵn) sang một cách tiếp cận chủ động, có mục tiêu (ghi lại những gì cần thiết để chứng minh hoặc bác bỏ một mục tiêu). Bằng chứng cho sự thay đổi này nằm ở khả năng của mô hình trong việc "phát hiện những bất thường trong các chuỗi cuộc gọi hàm" giúp giảm đáng kể lượng dữ liệu mà nhà phân tích cần xem xét (Conclusions on Forensics Using Sequences of Function Calls).

Khung phân tích độc đáo

Khung phân tích của luận án là độc đáo bởi sự tích hợp các lý thuyết từ phát hiện xâm nhập (mô hình requires/provides) với các nguyên tắc pháp y mới được đề xuất. Nó không chỉ đơn thuần là áp dụng các kỹ thuật hiện có mà còn tạo ra một phương pháp tiếp cận phân tích mới. Ba lý thuyết hoặc khái niệm chính được tích hợp là:

  1. Lý thuyết về các cuộc tấn công đa giai đoạn (Multi-stage Attack Theory): Được sử dụng để xây dựng các biểu đồ tấn công (attack graphs) mô tả các chuỗi hành động dẫn đến một mục tiêu của kẻ xâm nhập (Approach, Figure 1.2).
  2. Lý thuyết về các nguyên tắc pháp y (Principles of Forensic Analysis): Cung cấp một nền tảng triết học và thực tiễn cho việc thiết kế mô hình.
  3. Khái niệm về chất lượng mô hình pháp y (Qualities for a Forensic Model): Đảm bảo rằng mô hình không chỉ hoạt động mà còn đáp ứng các tiêu chí về tính hữu dụng, hiệu quả và khả năng phân tích.

Cách tiếp cận phân tích mới lạ nằm ở việc Laocoön không cố gắng ghi lại toàn bộ trạng thái hệ thống, mà thay vào đó, tập trung vào việc "xác định dữ liệu cần thiết để hiểu các sự kiện đã qua" thông qua việc mô hình hóa các "mục tiêu định hướng" của kẻ xâm nhập (Approach). Sự biện minh cho điều này là việc phân tích các điểm hội tụ của phương pháp ở đầu và cuối một cuộc tấn công (Hình 1.2a và 1.2c/d) hiệu quả hơn việc cố gắng bao quát "sự bùng nổ của các phương pháp khả thi có thể được sử dụng ở giữa một cuộc tấn công" (Approach, Hình 1.2b).

Các đóng góp khái niệm bao gồm định nghĩa rõ ràng về "sự kiện", "tấn công", "mục tiêu của cuộc tấn công" và "khai thác" (exploit) trong bối cảnh pháp y máy tính (Definitions). Ví dụ, "một cuộc tấn công là một chuỗi các sự kiện vi phạm chính sách bảo mật của trang web," và "mục tiêu của cuộc tấn công là đạt được một vi phạm cụ thể" (Definitions). Đặc biệt, luận án phân biệt rõ ràng giữa "mục tiêu" (có thể dự đoán được) và "khai thác" (thường không thể dự đoán được), điều này ảnh hưởng đến chiến lược ghi nhật ký.

Các điều kiện biên được tuyên bố rõ ràng: Luận án tập trung chủ yếu vào các cuộc tấn công trên "các hệ thống giống UNIX", và giả định rằng "phần mềm pháp y của chúng ta thu được thông tin chính xác từ hệ thống và có khả năng báo cáo thông tin đó một cách chính xác" (Approach). Nó cũng không giải quyết các sự kiện trong các máy ảo (VM) ngoại trừ việc VM tự ứng dụng vào phân tích pháp y. Những điều kiện này xác định giới hạn áp dụng trực tiếp của mô hình, đồng thời mở ra hướng nghiên cứu trong tương lai.

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Thiết kế nghiên cứu của luận án này mang tính chất hỗn hợp, kết hợp các yếu tố của triết lý nghiên cứu thực chứng và diễn giải để xây dựng và xác thực một mô hình. Triết lý nghiên cứu nghiêng về thực chứng hậu hiện đại (post-positivism) hoặc thực tế phê phán (critical realism). Điều này được thể hiện qua việc luận án tìm kiếm "một giải pháp nghiêm ngặt" và "một mô hình chính thức" để hiểu một thực tế khách quan (các cuộc tấn công máy tính), nhưng cũng thừa nhận rằng các phương pháp đo lường có thể có giới hạn (ví dụ, Pin đôi khi bỏ lỡ dưới 1% cuộc gọi) và sự cần thiết của sự diễn giải của con người (nhà phân tích pháp y) để hiểu ý nghĩa của dữ liệu. Việc sử dụng "dữ liệu thực nghiệm từ các thí nghiệm" để "chứng minh hiệu quả của mô hình" củng cố quan điểm này (Approach).

Thiết kế phương pháp hỗn hợp thể hiện rõ ràng: giai đoạn đầu của nghiên cứu (Chương 3) sử dụng phương pháp định lượng để phân tích "các chuỗi cuộc gọi hàm" nhằm tìm ra các bất thường. Sau đó, một mô hình lý thuyết (Laocoön, Chương 4 & 5) được phát triển, dựa trên các nguyên tắc và phẩm chất lý thuyết, mang tính định tính và khái niệm. Cuối cùng, mô hình này được xác thực thông qua các thí nghiệm thực nghiệm (Chương 6 & 7), kết hợp lại yếu tố định lượng và ứng dụng. Sự kết hợp này mang lại cái nhìn sâu sắc toàn diện, vượt ra ngoài các hạn chế của một phương pháp đơn lẻ.

Thiết kế đa cấp cũng được áp dụng một cách rõ ràng. Nghiên cứu xem xét các cấp độ trừu tượng khác nhau của dữ liệu: từ các "hướng dẫn lắp ráp" (assembly instructions) cấp thấp nhất, qua "cuộc gọi hệ thống" (system calls), đến "cuộc gọi hàm" (function calls) cấp cao hơn (Related Work, Chương 3). Luận án lập luận rằng các cuộc gọi hàm đại diện cho một "mức độ trừu tượng thường có thể có ý nghĩa đối với một nhà phân tích" và cung cấp "thông tin hữu ích đáng kể hơn so với việc chỉ thu thập các cuộc gọi hệ thống" (Chương 3, Finding Intrusions).

Kích thước mẫu và tiêu chí lựa chọn được xác định một cách chính xác qua các thí nghiệm. Các chương 6 và 7 mô tả việc áp dụng mô hình Laocoön vào "các ví dụ" và "kết quả cho một hệ thống UNIX". Các chương này bao gồm các nghiên cứu trường hợp cụ thể:

  • Chương 3: Thí nghiệm so sánh phiên bản gốc và phiên bản sửa đổi của tiện ích su (bỏ qua/loại bỏ xác thực pam_authenticate), chương trình ssh (tiết lộ mật khẩu hoặc gửi qua mạng), lỗi lpr (ghi đè /etc/passwd), và các ví dụ đơn giản hóa về tràn bộ đệm (buffer overflow) và ngựa Trojan (Trojan horse) (date trong popen).
  • Chương 7: Cung cấp "triển khai, thí nghiệm và kết quả" cho các kịch bản như "Obtaining a Local Root Shell," "Spyware via a Trojaned sshd," "Modify /etc/passwd via lpr bug," "Avoid Authentication in su," và "Bypassing Standard Interfaces." Tiêu chí lựa chọn mẫu là các chương trình và kịch bản tấn công phổ biến, đại diện cho "các lớp khai thác quan trọng và phổ biến" được xác định trong các báo cáo RISOS và PA trước đây (Experiments and Results, Chương 3).

Quy trình nghiên cứu nghiêm ngặt

Chiến lược lấy mẫu không dựa trên lựa chọn ngẫu nhiên mà là lấy mẫu toàn diện có mục đích (purposive exhaustive sampling). Đối với các thí nghiệm, các chương trình được "instrument" (can thiệp vào mã để thu thập dữ liệu) để ghi lại tất cả các cuộc gọi hàm được thực hiện trong quá trình thực thi của chúng (Experiments and Results, Chương 3). Điều này đảm bảo rằng tất cả các sự kiện có liên quan ở cấp độ trừu tượng đã chọn đều được thu thập. Các tiêu chí bao gồm việc so sánh "phiên bản gốc (không bất thường) của một chương trình với một số phiên bản của cùng chương trình đó được sửa đổi để vi phạm một số chính sách bảo mật" (Experiments and Results, Chương 3).

Các giao thức thu thập dữ liệu được mô tả chi tiết:

  • Sử dụng "công cụ can thiệp nhị phân động của Intel, Pin [LCM+ 05]" trên các máy chạy FreeBSD 5 để ghi lại tất cả các cuộc gọi hàm.
  • Sử dụng "công cụ ltrace" trên Fedora Core 4 để thu thập các cuộc gọi thư viện động, bao gồm các tham số và giá trị trả về. Cả hai công cụ này đều thu thập các cuộc gọi hệ thống.

Việc thẩm định (triangulation) được thực hiện ngầm định thông qua việc so sánh các cấp độ dữ liệu khác nhau (cuộc gọi hệ thống so với cuộc gọi hàm, có hoặc không có giá trị trả về) và các phương pháp phân tích (phát hiện bất thường dựa trên học máy thể hiện, phân tích thủ công). Ví dụ, trong thí nghiệm với su, việc so sánh các cuộc gọi hàm (phát hiện MD5Update,memcpy) và các cuộc gọi hệ thống (phát hiện setitimer và write) cho thấy tính ưu việt của cuộc gọi hàm trong việc cung cấp thông tin mô tả hơn (Experiments and Results, Chương 3).

Tính hợp lệ (validity) và độ tin cậy (reliability) được đề cập. Tính hợp lệ cấu trúc (construct validity) được tăng cường bằng cách xây dựng mô hình dựa trên các nguyên tắc đã được thiết lập (PBKM05) và các phẩm chất mô hình (PBKM07b). Tính hợp lệ nội bộ (internal validity) được hỗ trợ bởi các thí nghiệm có kiểm soát, nơi các chương trình được sửa đổi có chủ đích để tạo ra các bất thường cụ thể. Ví dụ, trong thí nghiệm su, việc loại bỏ pam_authenticate là một thay đổi rõ ràng dẫn đến các dấu vết cụ thể. Tính hợp lệ bên ngoài (external validity) được thảo luận một cách thận trọng, với nhận định rằng các ví dụ giống UNIX được sử dụng "để đơn giản hóa và nhất quán trong giải thích, và mô hình có thể được áp dụng cho các máy chạy hệ điều hành khác" (Approach). Độ tin cậy được thể hiện qua việc các thí nghiệm có thể được lặp lại dựa trên các giao thức đã mô tả, mặc dù giá trị alpha (α values) hoặc các thước đo độ tin cậy thống kê khác không được báo cáo trực tiếp.

Data và phân tích

Đặc điểm mẫu dữ liệu được trình bày thông qua các chương trình UNIX cụ thể (su, ssh, lpr) và các kịch bản tấn công được mô phỏng. Ví dụ, trong thí nghiệm su đầu tiên, phiên bản gốc có 37142 chuỗi (2136 khác biệt), trong khi phiên bản sửa đổi có 8630 chuỗi (1812 khác biệt) (Experiments and Results, Chương 3). Các số liệu này định lượng quy mô của dữ liệu được phân tích.

Các kỹ thuật phân tích tiên tiến được sử dụng bao gồm:

  • Học máy dựa trên thể hiện (Instance-based machine learning): Phương pháp này đã "từng được sử dụng để phát hiện bất thường bằng cách sử dụng các chuỗi cuộc gọi hệ thống [FHSL96, HFS99]", và được Peisert áp dụng cho các chuỗi cuộc gọi hàm (Methods, Chương 3).
  • Khoảng cách Hamming (Hamming distances): Được sử dụng để so sánh các cửa sổ chuỗi cuộc gọi hàm giữa dữ liệu an toàn và dữ liệu mới, xác định các bất thường.
  • Phân tích tần suất: Đếm số lần xuất hiện của các chuỗi khác nhau để làm nổi bật các mẫu quan trọng (ví dụ, 14 chuỗi liên quan đến MD5 chiếm gần một nửa tổng số thực thi chương trình trong thí nghiệm su).
  • Phân tích theo độ dài chuỗi (k-value analysis): Nghiên cứu cẩn thận tác động của các giá trị k khác nhau (độ dài chuỗi) đối với khả năng phát hiện và khả năng quản lý dữ liệu cho nhà phân tích. Luận án gợi ý "các giá trị của k lớn hơn 10 thường nên tránh" (Methods, Chương 3).

Phần mềm được sử dụng để thu thập dữ liệu là "Intel’s dynamic instrumentation tool Pin [LCM+ 05]" và "ltrace tool" (Experiments and Results, Chương 3).

Các kiểm tra độ vững mạnh (robustness checks) được thực hiện bằng cách thay đổi các thông số kỹ thuật (inclusion of function returns) và thảo luận về các kết quả có thể gây hiểu lầm. Ví dụ, trong thí nghiệm ngựa Trojan, "các kết quả gây hiểu lầm, do thực tế có nhiều tổng số chuỗi hơn trong phiên bản gọi ngày hệ thống so với Trojan, nhưng nhiều chuỗi khác biệt hơn trong phiên bản kia" (Experiments and Results, Chương 3). Điều này cho thấy sự hiểu biết sâu sắc về tính phức tạp của dữ liệu.

Mặc dù các chỉ số thống kê như p-values và confidence intervals không được báo cáo trực tiếp trong đoạn văn bản được cung cấp, luận án định lượng "tầm quan trọng thống kê" bằng cách chỉ ra "sự khác biệt giữa số lượng chuỗi trong mỗi phiên bản là đủ để xác định rằng có điều gì đó khác biệt giữa hai lần thực thi" (Experiments and Results, Chương 3). Kích thước hiệu ứng (effect sizes) được ngầm định qua các con số tuyệt đối về số lượng chuỗi khác biệt và tỷ lệ phần trăm các chuỗi quan trọng so với tổng số, cung cấp bằng chứng định lượng về sự thay đổi do cuộc tấn công gây ra.

Phát hiện đột phá và implications

Những phát hiện then chốt

Luận án này đưa ra một số phát hiện then chốt, cung cấp bằng chứng cụ thể từ dữ liệu thực nghiệm và thách thức các phương pháp pháp y truyền thống.

  1. Tính ưu việt của cuộc gọi hàm so với cuộc gọi hệ thống: Các thí nghiệm cho thấy "thu thập các cuộc gọi hàm trong thời gian chạy và trong không gian người dùng, chúng ta thu được thông tin hữu ích hơn đáng kể so với việc chỉ thu thập các cuộc gọi hệ thống" (Conclusions on Forensics Using Sequences of Function Calls). Ví dụ, trong thí nghiệm với su bị sửa đổi, phân tích cuộc gọi hàm đã tiết lộ các chuỗi rõ ràng liên quan đến MD5 (ví dụ: MD5Update,memcpy,MD5Update,memcpy, chiếm 9.51% tổng chương trình), cho thấy rõ ràng vấn đề xác thực. Ngược lại, phân tích cuộc gọi hệ thống chỉ hiển thị các cuộc gọi tiện ích như setitimer và write, "không mô tả bằng bất kỳ chỉ dẫn nào cho hầu hết các nhà phân tích pháp y" về nơi cần tìm kiếm lỗi (su Experiment #1, Chương 3).
  2. Tối ưu hóa độ dài chuỗi (k-value) cho phân tích bất thường: Luận án chứng minh rằng "độ dài chuỗi cuộc gọi hàm, trước đây được cho là không có câu trả lời tối ưu, dường như là mong muốn nhất khi 1 ≤ k ≤ 10, vì nó tạo ra lượng dữ liệu có thể quản lý được nhưng không quá nhiều" (Conclusions on Forensics Using Sequences of Function Calls). Các thí nghiệm với su và ssh đã chứng minh rằng các giá trị k nhỏ (2 hoặc 4) thường đủ để "làm nổi bật các xâm nhập" và cung cấp "kết quả có thể quản lý được" (Experiments and Results, Chương 3).
  3. Giá trị của việc bao gồm các giá trị trả về hàm: Đối với các kịch bản tấn công phức tạp hơn như spyware ssh, việc bao gồm các giá trị trả về hàm (ví dụ: read passphrase-RET) "chỉ dẫn sự chú ý của nhà phân tích đến thói quen trong mã nguồn, đơn giản hóa cuộc điều tra" (Spyware ssh Experiment #1, Chương 3). Mặc dù làm tăng lượng dữ liệu được thu thập, nhưng "sự gia tăng lượng dữ liệu cần thu thập và phân tích không nhất thiết dẫn đến sự gia tăng tương ứng về lượng dữ liệu mà con người cần kiểm tra" (Spyware ssh Experiment #1, Chương 3).
  4. Các hiệu ứng của khai thác thường rõ ràng hơn bản chất khai thác: Trong trường hợp tràn bộ đệm (buffer overflow), mặc dù công cụ Pin gặp khó khăn trong việc hiển thị trực tiếp cơ chế khai thác, các chuỗi cuộc gọi hàm vẫn cho thấy "chương trình không thoát (hiệu ứng) vì nó thực sự đang tạo ra một chương trình (bản thân khai thác, mà chúng ta không thể thấy nhưng có thể suy ra)" (Buffer Overflows, Chương 3). Điều này cho phép nhà phân tích suy luận về cuộc tấn công.
  5. Mô hình Laocoön giúp giảm dữ liệu không liên quan: Phương pháp "ghi lại chỉ dữ liệu có liên quan, và dữ liệu thừa, không cần thiết và gây hiểu lầm được giảm bớt hoặc tránh khỏi" (Related Work) thông qua việc tập trung vào "mục tiêu định hướng" của kẻ xâm nhập (Approach), đã được chứng minh hiệu quả qua các thí nghiệm cụ thể.

Các kết quả phản trực giác cũng được ghi nhận. Trong thí nghiệm Trojan horse, có "nhiều tổng số chuỗi hơn trong phiên bản gọi ngày hệ thống so với Trojan, nhưng nhiều chuỗi khác biệt hơn trong phiên bản kia" cho k < 14 (Trojan Horses, Chương 3). Điều này nhấn mạnh sự phức tạp trong việc giải thích dữ liệu và yêu cầu một nhà phân tích có kinh nghiệm.

Implications đa chiều

Các phát hiện này mang lại những hàm ý sâu rộng:

  • Tiến bộ lý thuyết: Luận án đóng góp vào hai lý thuyết chính: lý thuyết phát hiện xâm nhập bằng cách mở rộng các mô hình tấn công đa giai đoạn sang pháp y, và lý thuyết về thiết kế hệ thống an toàn bằng cách cung cấp một khuôn khổ để tích hợp hỗ trợ pháp y vào thiết kế ban đầu. Nó bổ sung vào lý thuyết về "nguyên tắc pháp y" bằng cách cung cấp một mô hình thực nghiệm để thực hiện các nguyên tắc đó.
  • Đổi mới phương pháp luận: Phương pháp luận "ghi nhật ký định hướng mục tiêu" (goal-oriented logging) dựa trên biểu đồ tấn công và phân tích chuỗi cuộc gọi hàm có thể áp dụng cho các ngữ cảnh khác ngoài pháp y máy tính, như gỡ lỗi hệ thống phức tạp, kiểm soát chất lượng phần mềm, và giám sát hành vi hệ thống để tuân thủ.
  • Ứng dụng thực tiễn: Các khuyến nghị cụ thể bao gồm việc phát triển các công cụ ghi nhật ký mới dựa trên mô hình Laocoön, cho phép các quản trị viên hệ thống "lựa chọn cẩn thận lượng dữ liệu hữu ích cao hơn" (Approach) thay vì ghi nhật ký tràn lan. Điều này giúp các "nhà phân tích mạng không phải thiên tài" (Preface) có cơ hội phân tích chính xác hơn.
  • Khuyến nghị chính sách: Nghiên cứu gợi ý một "lộ trình thực hiện" cho các khuyến nghị chính sách thông qua "Policy Discovery and Compilation" (Chương 8). Các chính phủ và tổ chức có thể thiết kế các chính sách bảo mật dựa trên bằng chứng, yêu cầu các hệ thống ghi nhật ký dữ liệu theo cách có mục tiêu, tăng cường khả năng phản ứng với các sự cố an ninh.
  • Điều kiện tổng quát hóa: Các điều kiện tổng quát hóa được quy định rõ ràng: mô hình được minh họa trên các hệ thống giống UNIX, nhưng "có thể được áp dụng cho các máy chạy hệ điều hành khác" (Approach). Hạn chế về phần cứng hoặc môi trường máy ảo cụ thể (ngoại trừ các tương tác của VM với hệ điều hành) được thừa nhận.

Limitations và Future Research

Luận án của Peisert thừa nhận một cách thẳng thắn một số hạn chế cụ thể, điều này củng cố tính nghiêm túc trong học thuật của công trình.

Hạn chế cụ thể:

  1. Phạm vi tập trung hẹp: Nghiên cứu chủ yếu tập trung vào các cuộc tấn công và các vấn đề nội bộ, mà "không phải là các yếu tố khác thường là một phần của phân tích pháp y trong thực tế, chẳng hạn như khôi phục dữ liệu đã xóa, hoặc các vấn đề pháp lý, chẳng hạn như chuỗi lưu giữ bằng chứng số để sử dụng trước tòa" (Definitions).
  2. Giả định về tính chính xác của dữ liệu: Luận án dựa trên "giả định chính rằng phần mềm pháp y của chúng ta thu được thông tin chính xác từ hệ thống và có khả năng báo cáo thông tin đó một cách chính xác" (Approach), điều này có thể không phải lúc nào cũng đúng trong môi trường thực tế bị tấn công.
  3. Hạn chế công cụ can thiệp động: Công cụ Pin được sử dụng để can thiệp động "đôi khi bỏ lỡ dưới 1% cuộc gọi được thực hiện" (Spyware ssh Experiment #1, Chương 3). Điều này có thể ảnh hưởng nhỏ đến độ chính xác của dữ liệu thu thập. Hơn nữa, việc triển khai một số lệnh đặc biệt trong Pin để theo dõi các tràn bộ đệm "sẽ làm sai lệch quan điểm của chúng ta về tràn bộ đệm" (Buffer Overflows, Chương 3), hạn chế khả năng phân tích trực tiếp các khai thác này.
  4. Tính phụ thuộc vào con người: Mặc dù mục tiêu là tự động hóa, nhưng "phân tích pháp y sẽ không nghi ngờ gì sẽ dễ dàng tự động hóa hơn trong tương lai, tự động hóa hiện tại vẫn khó khăn" (Methods, Chương 3). Điều này có nghĩa là một "nhà phân tích con người" vẫn đóng vai trò quan trọng trong việc diễn giải kết quả.

Điều kiện biên: Các điều kiện biên của nghiên cứu chủ yếu liên quan đến ngữ cảnh và loại hệ thống. Mô hình được minh họa và thử nghiệm trên "các hệ thống giống UNIX" (Approach). Nó không trực tiếp giải quyết "thao tác phần cứng hoặc các sự kiện xảy ra trong máy ảo (VM)" (Definitions). Giả định đơn giản hóa rằng "một chương trình trong VM chỉ nguy hiểm đối với các chương trình khác trong VM" cũng là một điều kiện biên quan trọng.

Chương trình nghiên cứu trong tương lai: Luận án đề xuất một chương trình nghiên cứu phong phú với 4-5 hướng cụ thể:

  1. Phát triển kỹ thuật kiểm toán (auditing techniques): Mặc dù luận án tập trung vào việc ghi nhật ký, nó thừa nhận rằng "các kỹ thuật để kiểm toán tốt là một lĩnh vực nghiên cứu riêng biệt, và do đó, chúng tôi để dành cho nghiên cứu trong tương lai" (Approach).
  2. Tự động hóa phát hiện và biên dịch chính sách: "Chương 8 thảo luận về một tập hợp các bước, đặc biệt là phát hiện chính sách, mà chúng tôi sẽ điều tra trong tương lai để tạo ra một triển khai mạnh mẽ, tự động hóa mô hình của chúng tôi" (Organization of the Dissertation). Điều này bao gồm khả năng "ngược kỹ thuật các chính sách" (Chương 8).
  3. Mở rộng áp dụng mô hình: Áp dụng mô hình Laocoön cho "khôi phục dữ liệu đã xóa, hoặc các vấn đề pháp lý, chẳng hạn như chuỗi lưu giữ bằng chứng số" (Definitions).
  4. Cải tiến phương pháp luận: Đề xuất "các kỹ thuật khác nhau có thể giúp cải thiện các phương pháp này, bao gồm phân tích sử dụng Mô hình Markov Ẩn (HMMs) và khai thác dữ liệu" (Conclusions on Forensics Using Sequences of Function Calls). Ngoài ra, nghiên cứu "các chương trình bất thường mà còn các phiên và người dùng bất thường."
  5. Cải thiện tính chống giả mạo của nhật ký: Đề xuất "các công cụ giúp làm cho nhật ký và cơ chế ghi nhật ký chống giả mạo hơn [GFM+ 05, Lym04, SK99, ZMAB03] cũng sẽ hữu ích" (Conclusions on Forensics Using Sequences of Function Calls).
  6. Mở rộng lý thuyết: Đề xuất "phát triển các kỹ thuật phân tích phổ quát hơn và các mô hình chính thức cho thấy điểm chung giữa các khai thác" và "các mô hình chính thức khác có thể định nghĩa các lỗ hổng tốt hơn [Bis99]" (Conclusions on Forensics Using Sequences of Function Calls).

Những hướng nghiên cứu này không chỉ khắc phục các hạn chế hiện tại mà còn mở ra những con đường mới cho sự phát triển của pháp y máy tính như một lĩnh vực khoa học chính xác.

Tác động và ảnh hưởng

Luận án "A Model of Forensic Analysis Using Goal-Oriented Logging" của Sean Philip Peisert có tác động và ảnh hưởng sâu rộng trên nhiều lĩnh vực, từ học thuật đến công nghiệp và chính sách.

Tác động học thuật: Công trình này có tiềm năng trở thành một tài liệu tham khảo quan trọng trong các lĩnh vực an ninh máy tính và pháp y số. Việc được chấp nhận có điều kiện với các sửa đổi nhỏ bởi IEEE Transactions on Dependable and Secure Computing (TDSC) (Peisert et al., 2007, Chapter 3) và được trình bày tại các hội thảo uy tín như New Security Paradigms Workshop (NSPW) (Peisert et al., 2005) và International Workshop on Systematic Approaches to Digital Forensic Engineering (SADFE) (Peisert et al., 2007b) cho thấy sự công nhận ban đầu về chất lượng và tính mới của nghiên cứu. Ước tính số trích dẫn tiềm năng cho một công trình mang tính chất mô hình hóa và phương pháp luận như Laocoön có thể đạt hàng trăm trong thập kỷ tới, đặc biệt khi các phương pháp pháp y tiếp tục phát triển theo hướng nghiêm ngặt hơn. Nghiên cứu này cung cấp một nền tảng lý thuyết để các nhà nghiên cứu khác xây dựng, mở ra các dòng nghiên cứu mới về việc hình thức hóa các cuộc tấn công và tối ưu hóa việc thu thập bằng chứng số.

Chuyển đổi ngành công nghiệp: Mô hình Laocoön có thể thúc đẩy sự chuyển đổi đáng kể trong các ngành công nghiệp phụ thuộc vào an ninh mạng và phản ứng sự cố, đặc biệt là trong các lĩnh vực tài chính, quốc phòng, và công nghệ thông tin. Bằng cách cung cấp một phương pháp luận để xác định "dữ liệu cần thiết để hiểu các sự kiện đã qua" (Abstract), luận án giúp các tổ chức này chuyển từ các chiến lược ghi nhật ký "ad hoc" và lãng phí sang các phương pháp "hiệu quả hơn trong việc sử dụng tài nguyên và chính xác hơn trong phân tích cuối cùng" (Abstract). Điều này có nghĩa là các nhóm R&D công nghiệp có thể phát triển các sản phẩm và dịch vụ bảo mật thế hệ tiếp theo, tích hợp khả năng "ghi nhật ký định hướng mục tiêu" ngay từ giai đoạn thiết kế, ví dụ như các công cụ kiểm toán hệ thống, hệ thống quản lý sự kiện và thông tin bảo mật (SIEM), và các giải pháp phản ứng sự cố tự động. Điều này có thể giảm đáng kể thời gian và chi phí liên quan đến điều tra pháp y sau một cuộc tấn công.

Ảnh hưởng chính sách: Nghiên cứu này có thể cung cấp "hướng dẫn cho các nhà thiết kế các hệ thống mới sẽ làm cho phân tích pháp y đơn giản và hiệu quả hơn" (Approach), điều này có ảnh hưởng trực tiếp đến việc định hình chính sách. Các cơ quan quản lý và chính phủ có thể sử dụng các nguyên tắc và mô hình của Peisert để phát triển các tiêu chuẩn bắt buộc về ghi nhật ký bảo mật và thu thập bằng chứng số. Ví dụ, các chính sách có thể quy định rằng các hệ thống quan trọng phải triển khai các cơ chế ghi nhật ký có mục tiêu, giảm thiểu "dữ liệu thừa, không cần thiết và gây hiểu lầm" (Related Work) để tạo điều kiện thuận lợi cho việc điều tra pháp y. Điều này đặc biệt quan trọng ở cấp độ liên bang và quốc gia, nơi cần có sự minh bạch và trách nhiệm giải trình cao trong các sự cố an ninh mạng.

Lợi ích xã hội: Việc cải thiện khả năng phân tích pháp y máy tính mang lại nhiều lợi ích xã hội có thể định lượng được. Một khả năng phản ứng sự cố hiệu quả hơn sẽ giảm thiểu thiệt hại do các cuộc tấn công mạng gây ra, bao gồm mất dữ liệu nhạy cảm, gián đoạn dịch vụ và tổn thất tài chính. Đối với người dùng cuối, điều này có nghĩa là dữ liệu cá nhân của họ được bảo vệ tốt hơn và niềm tin vào các dịch vụ kỹ thuật số được duy trì. Đối với xã hội, khả năng "liên kết các hành động này với người dùng đã thực hiện chúng, vì mục đích trách nhiệm giải trình" (Background, Chương 1) củng cố hệ thống pháp luật và đạo đức trong môi trường kỹ thuật số, có thể dẫn đến việc truy tố thành công các tội phạm mạng và ngăn chặn các cuộc tấn công trong tương lai. Lợi ích này, mặc dù khó định lượng chính xác bằng tiền, nhưng là vô cùng lớn về mặt an ninh quốc gia và sự ổn định của hạ tầng thông tin toàn cầu.

Tính liên quan quốc tế: Mặc dù các ví dụ được sử dụng trong luận án tập trung vào "các hệ thống giống UNIX" (Approach), tính phổ quát của các nguyên tắc và mô hình là rõ ràng. Các hệ điều hành giống UNIX và các công cụ bảo mật liên quan được sử dụng rộng rãi trên toàn cầu, từ máy chủ đến thiết bị đầu cuối. Do đó, các hàm ý của luận án có tính toàn cầu. Các cuộc tấn công mạng không bị giới hạn bởi biên giới địa lý, và một phương pháp luận "nghiêm ngặt" để phân tích pháp y là cần thiết trên phạm vi quốc tế. Việc so sánh với các công trình quốc tế như ReVirt (Đức/Mỹ) và các khái niệm chung về IDS được phát triển toàn cầu củng cố tính liên quan quốc tế.

Đối tượng hưởng lợi

Luận án này mang lại giá trị đáng kể cho nhiều đối tượng khác nhau trong cộng đồng học thuật, công nghiệp và hoạch định chính sách:

  • Các nhà nghiên cứu tiến sĩ (Doctoral researchers): Cung cấp một mô hình lý thuyết và phương pháp luận rõ ràng cho phân tích pháp y máy tính, giúp họ xác định các "lỗ hổng nghiên cứu cụ thể" trong các phương pháp hiện có. Luận án làm nổi bật sự cần thiết của việc hình thức hóa và đưa ra các hướng dẫn chi tiết để phát triển các phương pháp luận pháp y dựa trên mô hình. Các nhà nghiên cứu có thể sử dụng Laocoön làm nền tảng để khám phá các kịch bản tấn công phức tạp hơn, áp dụng mô hình cho các nền tảng hệ điều hành khác hoặc tích hợp các kỹ thuật học máy tiên tiến hơn như Mô hình Markov Ẩn (HMMs) và khai thác dữ liệu.

  • Các học giả cấp cao (Senior academics): Luận án này thúc đẩy "các tiến bộ lý thuyết" trong lĩnh vực an ninh máy tính bằng cách chuyển pháp y từ một cách tiếp cận "ad hoc" sang một khoa học "nghiêm ngặt". Nó cung cấp một khung phân tích mới để hiểu về cách thức các cuộc tấn công diễn ra và cách thu thập bằng chứng hiệu quả. Các học giả có thể sử dụng các nguyên tắc và mô hình được trình bày để phát triển các khóa học, định hướng các chương trình nghiên cứu và kích thích các cuộc tranh luận về bản chất và giới hạn của phân tích pháp y.

  • Bộ phận R&D công nghiệp (Industry R&D): Các "ứng dụng thực tiễn" từ mô hình Laocoön là vô giá đối với các công ty phát triển phần mềm bảo mật, nhà cung cấp dịch vụ an ninh mạng và các tổ chức cần bảo vệ hạ tầng của mình. Mô hình giúp họ "tối ưu hóa dữ liệu cần thiết để ghi lại các sự kiện" (Approach), giảm lượng dữ liệu khổng lồ phải lưu trữ và phân tích. Điều này có thể dẫn đến việc thiết kế các công cụ ghi nhật ký thông minh hơn, các hệ thống phát hiện xâm nhập hiệu quả hơn và các giải pháp phản ứng sự cố tự động có khả năng cung cấp bằng chứng pháp y có giá trị cao. Việc định lượng lợi ích thông qua việc giảm gánh nặng dữ liệu (ví dụ, so với 3GB dữ liệu syslog trong một tuần tại San Diego Supercomputer Center) là một minh chứng cụ thể.

  • Các nhà hoạch định chính sách (Policy makers): Luận án cung cấp "các khuyến nghị dựa trên bằng chứng" cho việc xây dựng các chính sách an ninh mạng hiệu quả. Bằng cách chứng minh một phương pháp luận nghiêm ngặt để thu thập bằng chứng pháp y, các nhà hoạch định chính sách có thể phát triển các quy định yêu cầu các tổ chức tuân thủ các tiêu chuẩn ghi nhật ký dựa trên mục tiêu, tăng cường trách nhiệm giải trình và khả năng điều tra tội phạm mạng. Điều này đặc biệt quan trọng trong các lĩnh vực có yêu cầu tuân thủ cao như GDPR, HIPAA, hoặc các quy định về an ninh quốc gia. Việc cung cấp "lộ trình thực hiện" cho các khuyến nghị chính sách giúp họ có hướng đi cụ thể.

Các lợi ích có thể được định lượng rõ ràng: giảm đáng kể "lượng dữ liệu sai" được ghi lại, tăng "độ chính xác" của phân tích pháp y, và cuối cùng là giảm thiểu thiệt hại do các cuộc tấn công mạng gây ra, cả về tài chính và danh tiếng. Ví dụ, việc giảm 20-200 lần lượng dữ liệu cần phân tích khi chuyển từ tất cả các lệnh lắp ráp sang các cuộc gọi hàm, và sau đó tối ưu hóa các chuỗi cuộc gọi hàm (Chương 3) cho thấy hiệu quả rõ rệt.

Câu hỏi chuyên sâu

  1. Đóng góp lý thuyết độc đáo nhất là gì? Đóng góp lý thuyết độc đáo nhất là việc phát triển và trình bày mô hình Laocoön, một "mô hình phân tích pháp y được thiết kế để xác định dữ liệu cần thiết để hiểu các sự kiện đã qua" (Abstract). Mô hình này mở rộng khái niệm "mô hình requires/provides" ban đầu được sử dụng trong phát hiện xâm nhập (Talbot & Lupu, 2000; Zhou et al., 2007) sang lĩnh vực pháp y máy tính. Thay vì chỉ phát hiện các bất thường, Laocoön tập trung vào "ghi nhật ký định hướng mục tiêu" (goal-oriented logging), tức là chủ động xác định và thu thập dữ liệu có liên quan đến "mục tiêu của kẻ xâm nhập" thông qua việc phân tích biểu đồ tấn công (attack graphs). Điều này khác biệt hoàn toàn so với các phương pháp ghi nhật ký truyền thống "ad hoc" hoặc "ghi lại mọi thứ" bằng cách cung cấp một khuôn khổ chính thức để lựa chọn dữ liệu tối ưu, giảm gánh nặng tài nguyên và tăng cường độ chính xác phân tích.

  2. Đổi mới phương pháp luận là gì (so sánh với 2+ nghiên cứu trước đây)? Đổi mới phương pháp luận chính là việc sử dụng "instance-based machine learning" kết hợp với "phân tích chuỗi cuộc gọi hàm" được thu thập thông qua "can thiệp nhị phân động" (Intel Pin, ltrace) để xác định các bất thường và dữ liệu có giá trị cao cho pháp y.

    • So với syslog và BSM (Oliver & Nguyen, 2001): Các công cụ này ghi lại dữ liệu ở cấp độ rất cao, không có cấu trúc hoặc dựa trên các giả định chung về bảo mật. Chúng tạo ra lượng lớn "dữ liệu thừa, không cần thiết và gây hiểu lầm" (Related Work) và không có khả năng liên hệ trực tiếp với các hành vi cấp chương trình. Phương pháp của Peisert, ngược lại, cung cấp các chi tiết cấp hàm, ví dụ, chuỗi MD5Update,memcpy,MD5Update,memcpy trong thí nghiệm su (Chương 3), điều mà syslog không thể cung cấp.
    • So với BackTracker (King & Chen, 2005) và Forensix (Giffin et al., 2005): Cả hai đều thu thập các cuộc gọi hệ thống nhưng có những hạn chế đáng kể. BackTracker không giúp xác định điểm bắt đầu của cuộc tấn công hoặc những gì xảy ra bên trong tiến trình. Forensix yêu cầu nhà phân tích tự xác định các tệp đáng ngờ. Phương pháp của Peisert vượt trội hơn bằng cách phân tích ở cấp độ cuộc gọi hàm (một cấp độ chi tiết hơn cuộc gọi hệ thống), cung cấp "thông tin hữu ích đáng kể hơn" (Chương 3) và sử dụng các chuỗi để xác định cả nguyên nhân và kết quả, như trong thí nghiệm ssh với read passphrase-RET, inet aton, inet addr, socket, và sendto, chỉ ra hành vi mạng đáng ngờ mà các công cụ cấp hệ thống gọi có thể bỏ qua hoặc ít mô tả hơn.

  3. Phát hiện đáng ngạc nhiên nhất là gì (với sự hỗ trợ dữ liệu)? Một trong những phát hiện đáng ngạc nhiên nhất là sự khác biệt lớn về tính mô tả giữa phân tích cuộc gọi hàm và cuộc gọi hệ thống trong việc xác định bản chất của một cuộc tấn công. Trong thí nghiệm su, khi pam_authenticate bị gỡ bỏ, phân tích cuộc gọi hàm đã làm nổi bật các chuỗi liên quan đến MD5 checksumming và mã hóa, ví dụ, "14 chuỗi MD5 đại diện cho gần một nửa tổng số thực thi chương trình" (su Experiment #1, Chương 3). Đây là một manh mối rõ ràng cho nhà phân tích pháp y rằng xác thực đã bị can thiệp. Ngược lại, việc chỉ xem xét các cuộc gọi hệ thống ở k=1 hoặc k=2 chỉ tiết lộ các cuộc gọi tiện ích như setitimer, write, fstat, ioctl, nosys, sigaction, getuid, và stat, "không mô tả bằng bất kỳ chỉ dẫn nào cho hầu hết các nhà phân tích pháp y" về nơi cần tìm kiếm lỗi (su Experiment #1, Chương 3). Điều này ngạc nhiên vì cuộc gọi hệ thống được coi là một điểm giao diện quan trọng, nhưng cuộc gọi hàm mới thực sự cung cấp ngữ cảnh cần thiết.

  4. Giao thức tái tạo được cung cấp không? Mặc dù luận án không cung cấp một tài liệu "giao thức tái tạo" độc lập, nhưng nó cung cấp đủ chi tiết cụ thể về phương pháp luận và các thí nghiệm để cho phép các nhà nghiên cứu khác tái tạo hoặc xây dựng dựa trên công trình này. Các chi tiết bao gồm:

    • Công cụ: "Intel’s dynamic instrumentation tool Pin [LCM+ 05]" và "ltrace tool" (Experiments and Results, Chương 3).
    • Nền tảng: "Intel-based, uniprocessor machine running FreeBSD 5.4" và "Intel-based, uniprocessor machine running Fedora Core 4" (Experiments and Results, Chương 3).
    • Chương trình mục tiêu: Các tiện ích UNIX tiêu chuẩn như su, ssh, lpr, và một chương trình vulnerable đơn giản (Chương 3).
    • Các sửa đổi cụ thể: Ví dụ, "phiên bản su trong đó cuộc gọi pam_authenticate đã bị xóa", hoặc ssh được sửa đổi để "echo mật khẩu trở lại terminal" hoặc "gửi mật khẩu đã chụp qua một socket mạng" (Chương 3).
    • Kỹ thuật phân tích: "instance-based machine learning method", sử dụng "khoảng cách Hamming" trên "chuỗi cuộc gọi hàm" với "độ dài chuỗi k" được kiểm tra từ 1 đến 20 (Methods, Chương 3). Mức độ chi tiết này, đặc biệt khi kết hợp với các tham chiếu đến mã nguồn hoặc sửa đổi cụ thể, cho phép một nhà nghiên cứu có kinh nghiệm tái tạo các thí nghiệm chính và xác minh các phát hiện.

  5. Lộ trình nghiên cứu 10 năm được phác thảo không? Vâng, luận án phác thảo một lộ trình nghiên cứu đáng kể cho ít nhất một thập kỷ tiếp theo. Chương trình này bao gồm các hướng:

    • Tự động hóa toàn diện: "Chương 8 thảo luận về một tập hợp các bước, đặc biệt là phát hiện chính sách, mà chúng tôi sẽ điều tra trong tương lai để tạo ra một triển khai mạnh mẽ, tự động hóa mô hình của chúng tôi" (Organization of the Dissertation). Điều này bao gồm tự động hóa "Policy Discovery and Compilation" và "Reverse-Engineering Policies" (Chương 8).
    • Mở rộng phương pháp phân tích: "Các kỹ thuật khác nhau có thể giúp cải thiện các phương pháp này, bao gồm phân tích sử dụng Mô hình Markov Ẩn (HMMs) và khai thác dữ liệu" (Conclusions on Forensics Using Sequences of Function Calls).
    • Mở rộng phạm vi pháp y: Áp dụng công việc cho "khôi phục dữ liệu đã xóa, hoặc các vấn đề pháp lý, chẳng hạn như chuỗi lưu giữ bằng chứng số" (Definitions).
    • Khám phá các loại bất thường khác: "Chúng tôi cũng muốn phân tích không chỉ các chương trình bất thường mà còn các phiên và người dùng bất thường" (Conclusions on Forensics Using Sequences of Function Calls).
    • Tăng cường tính toàn vẹn của dữ liệu: Phát triển "các công cụ giúp làm cho nhật ký và cơ chế ghi nhật ký chống giả mạo hơn" (Conclusions on Forensics Using Sequences of Function Calls). Các hướng này cho thấy một chương trình nghiên cứu dài hạn nhằm tiếp tục hình thức hóa, tự động hóa và mở rộng ứng dụng của pháp y máy tính, giải quyết cả các thách thức kỹ thuật và thực tiễn.

Kết luận

Luận án của Sean Philip Peisert là một công trình mang tính bước ngoặt, chuyển đổi lĩnh vực pháp y máy tính từ một thực hành tùy tiện sang một ngành khoa học dựa trên mô hình. Năm đóng góp cụ thể của nó bao gồm:

  1. Phát triển Mô hình Laocoön: Một mô hình pháp y chính thức được thiết kế để xác định dữ liệu cần thiết cho phân tích sự kiện đã qua, dựa trên các nguyên tắc pháp y đã được định nghĩa và các phẩm chất mô hình.
  2. Giới thiệu Ghi nhật ký Định hướng Mục tiêu: Thay vì ghi lại mọi thứ hoặc dựa vào các nhật ký cấp cao không đầy đủ, luận án đề xuất một phương pháp ghi nhật ký có mục tiêu, tập trung vào "các hành động định hướng mục tiêu" của kẻ xâm nhập, giảm đáng kể lượng dữ liệu không liên quan.
  3. Xác nhận tính ưu việt của Cuộc gọi Hàm: Thông qua các thí nghiệm thực nghiệm, luận án chứng minh rằng việc phân tích các chuỗi cuộc gọi hàm cung cấp thông tin mô tả và hữu ích hơn đáng kể so với việc chỉ phân tích các cuộc gọi hệ thống trong việc xác định bản chất của các cuộc tấn công.
  4. Tối ưu hóa và Kiểm tra Độ vững mạnh Phương pháp luận: Nghiên cứu đã kiểm tra ảnh hưởng của các tham số như độ dài chuỗi (k) và việc bao gồm giá trị trả về hàm, cung cấp hướng dẫn thực tế cho các nhà phân tích và chứng minh tính vững mạnh của phương pháp luận.
  5. Thiết lập Khung khổ cho Hệ thống Tương lai: Bằng cách cung cấp một mô hình và phương pháp luận rõ ràng, luận án đặt nền móng cho việc thiết kế các hệ thống mới với khả năng hỗ trợ pháp y được tích hợp sẵn, giúp các hệ thống chống chịu tốt hơn và dễ phân tích hơn.

Những đóng góp này đại diện cho một sự tiến bộ mô hình (paradigm advancement) trong pháp y máy tính, chuyển từ các kỹ thuật phản ứng, dựa trên may mắn sang một cách tiếp cận chủ động, có hệ thống và dựa trên bằng chứng. Sự chuyển đổi này được chứng minh bằng khả năng của mô hình trong việc "ghi lại lượng dữ liệu hữu ích cao hơn, nhỏ hơn" và giúp các nhà phân tích đưa ra kết luận dựa trên "suy luận logic" (Preface) thay vì "suy luận" từ dữ liệu không đầy đủ.

Công trình này mở ra ít nhất ba dòng nghiên cứu mới: thứ nhất, phát triển các kỹ thuật kiểm toán và tự động hóa toàn diện hơn, đặc biệt là trong việc "khám phá chính sách"; thứ hai, mở rộng mô hình cho các môi trường điện toán và loại sự cố khác nhau (ví dụ: khôi phục dữ liệu, pháp lý, máy ảo); và thứ ba, tích hợp các kỹ thuật học máy tiên tiến hơn như HMMs và khai thác dữ liệu để nâng cao khả năng phân tích.

Tính liên quan toàn cầu của luận án là không thể phủ nhận. Các thách thức về an ninh mạng và nhu cầu phân tích pháp y là phổ biến trên toàn thế giới. Bằng cách cung cấp một khuôn khổ nghiêm ngặt được chứng minh bằng các thí nghiệm trên các hệ thống giống UNIX được sử dụng rộng rãi, công trình này có khả năng ảnh hưởng đến các tiêu chuẩn và thực tiễn pháp y trên phạm vi quốc tế, vượt qua các giới hạn địa lý. Các kết quả có thể đo lường được bao gồm việc giảm đáng kể lượng dữ liệu cần thiết để phân tích, tăng cường độ chính xác trong việc xác định các cuộc tấn công, và nâng cao khả năng của cả chuyên gia và "nhà phân tích mạng không phải thiên tài" trong việc phản ứng hiệu quả với các sự cố an ninh.