Timeline forensic: dựng lại sự cố từ các mốc có thể kiểm chứng

Bắt đầu từ nguồn, không bắt đầu từ câu chuyện

NIST SP 800-86 mô tả cách tích hợp kỹ thuật forensic vào ứng phó sự cố. Với một timeline, mỗi mốc nên gắn với chứng cứ có thể truy về: nguồn thu thập, thời điểm, người thực hiện và bản làm việc được sử dụng.

Một bảng thời gian đẹp không tự chứng minh điều đã xảy ra. Nếu hai hệ thống lệch giờ, thứ tự hiển thị có thể khác thứ tự thực tế. Phải ghi rõ múi giờ, thời gian hệ thống và giả định hiệu chỉnh.

Nhóm dấu vết cần đối chiếu

• Đăng nhập: tài khoản, nguồn kết nối, thành công hoặc thất bại và thiết bị nhận kết nối.
• Thực thi: tiến trình, quan hệ cha–con, lệnh và tác vụ được tạo.
• Lưu trữ: metadata tệp, nhật ký filesystem và snapshot còn tồn tại.
• Mạng: VPN, firewall, proxy và lưu lượng chuyển dữ liệu nếu có ghi nhận.
• Sao lưu: lịch chạy, thao tác xóa, thay đổi retention và kết quả kiểm tra.

Đầu ra có thể kiểm tra lại

• Danh mục nguồn và hash của bản chứng cứ khi phù hợp.
• Timeline gắn múi giờ, đường dẫn chứng cứ và mức tin cậy.
• Các điểm mâu thuẫn hoặc khoảng trống cần điều tra thêm.
• Kết luận giới hạn trong bằng chứng hiện có và lịch sử cập nhật.