Bảo toàn evidence khi website bị hack giúp đội Incident Response tái dựng điều gì đã xảy ra, xác định phạm vi ảnh hưởng và kiểm chứng giả thuyết về entry point hoặc persistence. Evidence không chỉ là file malware; nó còn gồm log, metadata, trạng thái account, session, cấu hình, timeline thay đổi và artefact từ CDN/WAF hoặc hosting.
Mục tiêu không phải biến mọi incident thành một cuộc điều tra pháp y đầy đủ. Mục tiêu là giữ lại những dữ liệu có giá trị trước khi containment, cleanup hoặc recovery làm chúng thay đổi.
Evidence nào thường có giá trị với website?
Log và event
Web server access/error log, WAF/CDN event, WordPress audit log, authentication log, hosting panel log, SSH/SFTP log, system log, database log và security monitoring event đều có thể cung cấp chuỗi hành vi.
File và metadata
File nghi vấn nên được lưu cùng path, timestamp, ownership, permission, hash và thông tin liên quan. Chỉ copy nội dung mà bỏ metadata có thể làm mất context quan trọng.
Account, session và credential state
Ghi lại user, role, active session, token/application password và thay đổi đặc quyền. Nếu cần revoke sau đó, snapshot trạng thái trước thay đổi giúp giải thích chuyện gì đã xảy ra.
Configuration và deployment history
wp-config.php, web server config, cron, MU-plugin, plugin/theme version, deployment record và change history giúp phân biệt thay đổi hợp lệ với artefact của attacker.
Ưu tiên dữ liệu dễ mất trước
Một số evidence có tính volatile hoặc retention ngắn: active session, process/connection, WAF buffer, CDN logs, temporary files hoặc log bị rotate nhanh. Nếu incident đang active và điều kiện cho phép, ưu tiên lưu những dữ liệu này trước khi restart, restore hoặc cleanup.
Evidence priority matrix cho website incident
| Loại evidence | Độ dễ mất | Giá trị điều tra | Ưu tiên |
|---|---|---|---|
| Active session, process, connection | Rất cao | Cho biết hoạt động đang diễn ra | Thu trước khi restart/cô lập mạnh nếu an toàn |
| WAF/CDN/auth log retention ngắn | Cao | Giúp xác định request, source, account activity | Export sớm theo time window |
| File nghi vấn + metadata | Trung bình | Hỗ trợ xác định artefact và persistence | Copy read-only, giữ path/timestamp/hash |
| Configuration/deployment history | Trung bình | Phân biệt change hợp lệ và trái phép | Snapshot trước remediation |
| Backup/known-good baseline | Thấp hơn | So sánh trạng thái trước incident | Bảo vệ khỏi overwrite, dùng để verification |
Priority không đồng nghĩa “giá trị pháp lý”. Nó chỉ giúp đội vận hành biết dữ liệu nào có nguy cơ biến mất trước và nên collection trước khi thay đổi hệ thống.
Quy trình bảo toàn evidence thực dụng
- Ghi incident ID, thời gian chuẩn và người thực hiện.
- Chụp trạng thái ban đầu trước thay đổi lớn.
- Export log liên quan trong cửa sổ thời gian đủ rộng.
- Copy artefact nghi vấn sang vị trí chỉ dành cho điều tra.
- Tính hash cho file/evidence quan trọng khi phù hợp.
- Ghi nguồn, thời điểm collection và phương pháp thu thập.
- Hạn chế quyền truy cập vào evidence đã lưu.
- Không chỉnh sửa bản gốc nếu chưa cần thiết.
Mẫu evidence collection record
| Trường | Nội dung cần ghi |
|---|---|
| Evidence ID | Mã duy nhất, ví dụ INC-2026-014-E03 |
| Source | Host, URL, service, log source hoặc account |
| Collected at | Timestamp + timezone |
| Collected by | Người hoặc tài khoản thực hiện |
| Method | Export, copy, snapshot, API retrieval… |
| Original path / query | Đường dẫn hoặc tiêu chí lấy dữ liệu |
| Hash | Hash nếu phù hợp với loại evidence |
| Storage | Vị trí bản gốc và quyền truy cập |
| Related hypothesis | Câu hỏi điều tra mà evidence hỗ trợ kiểm chứng |
Record này tạo provenance tối thiểu và giúp evidence được liên kết với timeline, scope và quyết định containment.
Chain of custody có cần cho mọi website incident?
Nếu evidence có khả năng dùng cho tranh chấp, bảo hiểm, pháp lý hoặc law enforcement, yêu cầu chain of custody có thể cao hơn đáng kể. Với incident vận hành thông thường, ít nhất vẫn nên giữ provenance: ai thu thập, từ đâu, lúc nào, bằng cách nào và evidence đã được lưu ở đâu.
SecureWebOps không thể xác định nghĩa vụ pháp lý cho từng tổ chức; khi sự cố có yếu tố pháp lý hoặc dữ liệu nhạy cảm, cần tham vấn bộ phận pháp lý/chuyên gia phù hợp.
Những hành động nên tránh trước khi collection
- Xóa webshell, malware hoặc file lạ ngay khi phát hiện.
- Restore backup đè lên filesystem/database hiện tại.
- Reinstall toàn bộ WordPress mà không lưu artefact.
- Clear log hoặc xóa cache/log history không cần thiết.
- Thay đổi hàng loạt account/credential mà không ghi snapshot trước đó.
- Upload artefact nghi vấn lên dịch vụ công khai khi chưa đánh giá dữ liệu nhạy cảm.
Bảo toàn evidence trong khi vẫn phải containment
Không nên trì hoãn containment nếu attacker đang gây thiệt hại nghiêm trọng chỉ để collection hoàn hảo. Cách tiếp cận phù hợp là chọn evidence có giá trị cao và dễ mất, thu thập nhanh trong phạm vi an toàn, sau đó thực hiện containment cần thiết.
Xem cách cô lập website bị xâm nhập mà không phá hủy evidence.
Evidence nên được liên kết với Incident Timeline
Mỗi artefact hoặc log quan trọng nên liên kết được với một timestamp và hypothesis. Ví dụ: login admin bất thường lúc 02:13, plugin được cài lúc 02:16, file PHP xuất hiện lúc 02:18, outbound request bắt đầu lúc 02:21.
Cách làm này giúp chuyển một tập file/log rời rạc thành Incident Timeline có thể kiểm chứng. Một ví dụ thực tế về việc correlation access log theo thời gian để xác định earliest malicious activity và scope là case phân tích Security Incident từ Access Log và Timeline.
Kiểm tra integrity sau collection
Bảo toàn evidence không dừng ở bước copy. Với file hoặc export quan trọng, cần xác nhận bản đã lưu có thể mở/đọc được, metadata chính còn nguyên, hash đã ghi lại khi phù hợp và quyền truy cập không cho phép chỉnh sửa ngoài ý muốn.
- Đối chiếu hash hoặc kích thước nếu có.
- Kiểm tra timezone và timestamp của nguồn log.
- Xác nhận file export không bị truncate.
- Ghi mọi lần chuyển vị trí hoặc tạo working copy.
- Không dùng working copy thay thế cho bản gốc đã bảo toàn.
Thu log gì sau khi snapshot ban đầu?
Sau khi bảo toàn trạng thái dễ mất, mở rộng collection theo scope: những log cần thu thập khi điều tra sự cố bảo mật website. Nếu phạm vi vẫn chưa rõ, quay lại xác định blast radius.
Baseline tham khảo
CISA Incident Response Playbook coi evidence preservation là một yếu tố trực tiếp khi lựa chọn containment strategy. NIST SP 800-61 Rev. 3 cũng đặt response và recovery trong bối cảnh quản trị rủi ro liên tục. Với website, điều này có nghĩa là collection phải đủ để hỗ trợ quyết định, không phải thu thập càng nhiều càng tốt mà không có mục tiêu.
Nguồn kỹ thuật
- NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response
- NIST SP 800-61 Rev. 3 — Incident Response Recommendations and Considerations
- CISA — Cybersecurity Incident & Vulnerability Response Playbooks
Dịch vụ liên quan: Nếu bạn cần triển khai hoặc vận hành chuyên sâu, xem ứng cứu sự cố website.