Trong hai bài học đầu tiên của Tuần 1, bạn đã làm chủ lý thuyết giao thức cùng mô hình 3 ranh giới tin cậy (W01-L01 với sản phẩm TCP-flow-notes.md dựa trên tệp mẫu có sẵn) và tự tay xây dựng thành công thao trường mạng cô lập 3 máy ảo có khả năng hoàn nguyên tức thì về mốc F01-start (W01-L02 với sản phẩm LAB-Architecture-v1.md). Ở bài học thứ ba (W01-L03) này, trước khi tiến hành rà quét kiểm kê dịch vụ bằng Nmap [5] ở bài kế tiếp (W01-L04), chúng ta chuyển từ trạng thái "đọc dữ liệu mẫu tĩnh" sang "trực tiếp điều khiển cảm biến thu thập lưu lượng sống (Live Controlled Capture)" ngay trên hạ tầng lab vừa dựng. Đối với một Enterprise Pentest Technical Lead, tệp ghi lưu lượng mạng (F01-traffic.pcapng) chính là "hộp đen hàng không" của ca kiểm thử: nó cung cấp bằng chứng pháp lý và kỹ thuật khách quan chứng minh chính xác thời điểm, phạm vi đích, số lượng gói tin đã phát đi, và khẳng định ca kiểm thử không gây ra bất kỳ tác động bất thường nào lên hệ thống mục tiêu [2] [20] .

Vì vậy, người chỉ huy an ninh phải thiết lập hai lớp lọc tách biệt: - Lớp thứ nhất là Hàng rào phân luồng ngay tại cửa vào máy soi (tương đương Capture Filter / BPF): chỉ cho phép hành khách thuộc chuyến bay số hiệu F01 bước vào băng chuyền ghi hình; mọi hành khách của các chuyến bay khác được loại trừ ngay từ ngoài cửa và không bao giờ xuất hiện trong băng ghi. - Lớp thứ hai là Bộ máy tìm kiếm thông minh trên băng ghi đã lưu (tương đương Display Filter trong Wireshark): sau khi đã có cuộn băng ghi trọn vẹn chuyến bay F01, điều tra viên có thể tua nhanh để lọc riêng những người mặc áo khoác xanh (gói tin DNS), những người đang bắt tay tại quầy thủ tục (TCP Handshake), hoặc những kiện hành lý đã khóa mật mã (TLS 1.3) mà không làm mất đi bất kỳ khung hình gốc nào trong cuộn băng.

Khi một khung tin Ethernet đi tới giao diện mạng (như vboxnet0 hoặc eth0), nhân hệ điều hành không chuyển thẳng gói tin lên giao diện đồ họa của Wireshark [4] , bởi việc sao chép từng gói tin qua ranh giới không gian nhân (Kernel Space) và không gian người dùng (User Space) kèm phân tích cây giao thức sẽ gây nghẽn cổ chai CPU ngay lập tức. Thay vào đó, kiến trúc bắt gói tin hiện đại được chia tách theo mô hình đặc quyền tối thiểu dựa trên công trình nền tảng BSD Packet Filter (BPF) của McCanne và Jacobson [7] : 1. Tại Không gian Nhân (Kernel Space): Trình điều khiển thiết bị mạng (NIC Driver) đẩy bản sao khung tin qua điểm móc nối mạng (AF_PACKET với vùng nhớ chia sẻ TPACKET_V3 trên Linux, thiết bị /dev/bpf* trên macOS, hoặc trình điều khiển Npcap trên Windows [6] ). Ngay tại đây, máy ảo thực thi mã byte BPF (BPF JIT Virtual Machine) kiểm tra điều kiện lọc: nếu gói tin không khớp bộ lọc bắt (Capture Filter), nhân hệ điều hành hủy bỏ bản sao ngay lập tức mà không tốn chu kỳ CPU sao chép lên tầng trên. 2. Vùng đệm Vòng (Kernel Ring Buffer) và Tiến trình Thu thập (dumpcap): Các gói tin vượt qua bộ lọc BPF được xếp vào vùng đệm vòng trong RAM trước khi tiến trình thu thập gọn nhẹ dumpcap (thành phần lõi thực thi của cả wireshark và tshark) đọc theo lô (batch read) và ghi tuần tự xuống đĩa dưới định dạng .pcapng. 3. Tại Không gian Người dùng (User Space Dissection Engine epan): Thư viện giải mã hàng trăm giao thức phức tạp của Wireshark (libwireshark / epan) chỉ đọc lại tệp .pcapng từ đĩa để phân tích cây giao thức và áp dụng bộ lọc hiển thị (Display Filter). Toàn bộ luồng kiến trúc phân tách này được minh họa trong sơ đồ Figure 1 dưới đây:

Như thể hiện trong sơ đồ Figure 1 , để đảm bảo điều kiện Không rớt gói tin (Zero Packet Drop) khi xuất hiện các đợt bùng phát lưu lượng ngắn hạn (traffic burst) với tốc độ đến đỉnh điểm $R_{\text{pps}}$ (gói/giây) trong khoảng thời gian $\Delta t_{\text{burst}}$, khi tốc độ ghi xuống đĩa của tiến trình thu thập là $R_{\text{drain}}$ (gói/giây) và kích thước cắt gói trung bình là $\bar{L}_{\text{snap}}$ (byte/gói), kích thước vùng đệm vòng trong nhân $B_{\text{ring}}$ (cấu hình qua cờ -B trong tcpdump/dumpcap) phải thỏa mãn bất đẳng thức:

Khi áp dụng công thức Eq. (1) vào thực tế: nếu một phiên truyền tải trong lab tạo ra đợt bùng phát $R_{\text{pps}} = 25,000\text{ gói/s}$ trong $\Delta t_{\text{burst}} = 0.5\text{ s}$ với gói tin đầy đủ $\bar{L}_{\text{snap}} = 1,514\text{ byte}$, trong khi ổ đĩa ảo đang bận khiến tốc độ rút gói tạm thời giảm xuống $R_{\text{drain}} = 5,000\text{ gói/s}$, thì vùng đệm tối thiểu cần thiết là $(25,000 - 5,000) \times 1,514 \times 0.5 = 15,140,000\text{ byte}$ ($\approx 14.44\text{ MB}$). Nếu để vùng đệm mặc định quá nhỏ ($2\text{ MB}$), nhân hệ điều hành sẽ đánh rơi gói tin và ghi nhận chỉ số packets dropped by kernel > 0 khi kết thúc phiên bắt. Vì vậy, thiết lập -B 32768 ($32\text{ MiB}$) cùng -s 0 (bắt trọn vẹn toàn bộ chiều dài gói tin, snaplen = 262144 bytes) là thông lệ chuẩn mực cho các bài lab phân tích giao thức sâu [19] .

Bên cạnh đó, chương trình đào tạo yêu cầu nộp tệp bằng chứng ở định dạng PCAPNG (.pcapng) thay vì định dạng PCAP cổ điển (.pcap). Trong khi tệp .pcap truyền thống chỉ có một phần đầu cố định 24-byte và danh sách các gói tin phẳng trên một giao diện duy nhất, định dạng PCAPNG tổ chức dữ liệu theo cấu trúc các khối mở rộng (Extensible Block Structure): - Section Header Block (SHB): Lưu thông tin phần cứng, hệ điều hành, ứng dụng bắt gói và đặc biệt cho phép nhúng chuỗi chú giải kiểm toán (opt_comment) mô tả Lab ID, Scope, Reviewer ngay bên trong tệp thông qua công cụ editcap --capture-comment. - Interface Description Block (IDB): Định danh tên giao diện mạng (vboxnet0), bộ lọc BPF đã áp dụng, độ phân giải thời gian (nano-giây 10^-9 so với micro-giây 10^-6 của PCAP cũ) và thống kê số gói bị rớt (isb_osdrop) ngay cuối tệp tại Interface Statistics Block (ISB). - Enhanced Packet Block (EPB): Lưu trữ từng khung dữ liệu kèm mã định danh giao diện (interface_id), nhãn thời gian 64-bit và cho phép gắn ghi chú giải thích trực tiếp vào từng frame cụ thể (ví dụ gắn nhãn "Trust Boundary 1: DNS Query" ngay trên Frame số 1).

Trong điều tra số và kiểm thử xâm nhập cấp độ doanh nghiệp, một tệp bắt gói tin không có nhãn thời gian đồng bộ chuẩn xác sẽ mất giá trị chứng cứ khi đối chiếu với nhật ký tường lửa, nhật ký máy chủ ứng dụng hoặc hệ thống SIEM của trung tâm SOC [2] [13] . Quy tắc bắt buộc của chương trình là toàn bộ máy ảo trong lab và báo cáo kỹ thuật phải sử dụng Giờ Phối hợp Quốc tế (UTC — Coordinated Universal Time) theo định dạng chuẩn ISO 8601 (YYYY-MM-DDTHH:MM:SS.ffffffZ).

Khi đối chiếu một sự kiện mạng được ghi nhận tại bộ thu thập gói tin ở thời điểm đọc đồng hồ $t_{\text{cap}}$ (có độ lệch đồng hồ so với chuẩn UTC là $\theta_{\text{cap}}$) với bản ghi nhật ký sự kiện trên máy chủ mục tiêu ở thời điểm $t_{\text{srv}}$ (có độ lệch đồng hồ là $\theta_{\text{srv}}$) trên đường truyền có thời gian khứ hồi $\text{RTT}$, hai sự kiện chỉ được xác nhận thuộc cùng một giao dịch nhân quả khi thỏa mãn phương trình sai số tương quan:

Theo phương trình Eq. (2) , nếu một máy ảo vừa được khôi phục từ một Live Snapshot chụp cách đây 3 ngày mà chưa đồng bộ lại đồng hồ hệ thống ($\left| \theta_{\text{srv}} - \theta_{\text{cap}} \right| \approx 259,200\text{ giây}$), sai số $\Delta t_{\text{corr}}$ sẽ vượt xa ngưỡng dung sai kiểm toán $\epsilon_{\text{tol}}$ (thường đòi hỏi $\epsilon_{\text{tol}} \le 100\text{ ms}$ theo chuẩn NTP v4 RFC 5905 [12] ), dẫn đến việc không thể chứng minh gói tin nào trong F01-traffic.pcapng đã kích hoạt bản ghi sự kiện trên máy chủ. Trong môi trường mạng Host-Only cô lập không kết nối Internet, các máy ảo giữ đồng bộ thời gian chuẩn UTC trực tiếp từ đồng hồ phần cứng của máy chủ Host thông qua trình điều khiển khách (VirtualBox Guest Additions / VMware Tools Time Sync hoặc dịch vụ chronyd lấy máy .20 làm nguồn thời gian cục bộ).

Một trong những kỹ năng phân biệt một kỹ sư thực hành bài bản với người mới bắt đầu là khả năng sử dụng đúng loại bộ lọc ở đúng giai đoạn thu thập và phân tích [18] [19] : 1. Bộ lọc Bắt gói tin (BPF Capture Filter — cờ -f trong dumpcap/tshark hoặc đối số cuối của tcpdump): Sử dụng cú pháp libpcap cổ điển (gồm các từ khóa định danh Primitives như host, net, port, portrange, kết hợp các chỉ thị hướng src, dst, giao thức ether, ip, tcp, udp, icmp và toán tử logic and, or, not). Mục đích cốt lõi của BPF trong Safe Lab F01 là Khóa chặt phạm vi thu thập (Scope Enforcement): ví dụ biểu thức net 192.168.56.0/24 and not broadcast and not multicast đảm bảo tệp .pcapng chỉ ghi lại đúng lưu lượng điểm-điểm giữa các máy trong lab, loại bỏ hoàn toàn nhiễu quảng bá hệ điều hành hoặc bất kỳ gói tin ngoài phạm vi nào. 2. Bộ lọc Hiển thị (Wireshark Display Filter — cờ -Y trong tshark hoặc thanh lọc của Wireshark GUI): Sử dụng cú pháp phân cấp thuộc tính giao thức của bộ giải mã epan (ví dụ dns.qry.name == "app.lab.internal", tcp.flags.syn == 1, tls.handshake.type == 1, cùng các toán tử so sánh ==, !=, contains, matches, &&, ||). Các nghiên cứu gần đây về phân tích lưu lượng mã hóa [14] [15] [16] cho thấy ngay cả khi toàn bộ payload tầng ứng dụng được bảo vệ bằng TLS 1.3, việc trích xuất có cấu trúc các trường siêu dữ liệu qua Display Filter (như kích thước khung tin frame.len, khoảng cách thời gian giữa các gói frame.time_delta_displayed, cờ TCP và phần mở rộng tls.handshake.extensions_server_name) vẫn cho phép tái dựng chính xác hành vi của phiên kết nối.

Theo quy chuẩn xử lý bằng chứng của chương trình và hướng dẫn pháp y mạng [21] [17] , trước khi lưu trữ hoặc đính kèm tệp F01-traffic.pcapng vào hồ sơ bàn giao, Technical Lead phải thực hiện quy trình kiểm tra vệ sinh bằng chứng (Evidence Hygiene & Redaction): - Xác minh không lọt địa chỉ ngoài phạm vi: Chạy lệnh thống kê toàn bộ cặp cuộc hội thoại IP (tshark -r F01-traffic.pcapng -q -z conv,ip) để chứng minh 100% địa chỉ nguồn và đích đều nằm trong dải 192.168.56.0/24. - Kiểm soát bí mật và khóa giải mã: Trong môi trường lab, học viên có thể thử nghiệm biến môi trường SSLKEYLOGFILE để quan sát dữ liệu bên trong TLS 1.3, nhưng trong tệp F01-traffic.pcapng chính thức nộp cho khóa học, không được đính kèm mật khẩu thật, token xác thực thật hoặc khóa riêng tư (Private Key) của doanh nghiệp. Nếu một bài kiểm thử chỉ yêu cầu chứng minh kết nối ở tầng header mà cần ẩn nội dung ứng dụng nhạy cảm, kỹ sư sử dụng công cụ editcap -s <snaplen> để cắt bỏ phần payload tầng ứng dụng hoặc dùng editcap lọc bỏ các frame không thuộc phạm vi trước khi tính mã băm SHA-256 cố định.

Trong ví dụ thực hành có lời giải này, chúng ta kích hoạt cảm biến dumpcap trên F01-tester (192.168.56.10), sau đó khởi tạo một truy vấn tên miền và phiên kết nối HTTPS TLS 1.3 tới https://app.lab.internal trên máy chủ F01-linux-srv (192.168.56.20), đồng thời kiểm tra một kết nối kiểm chứng dịch vụ SMB/TCP cổng 445 tới F01-win-trial (192.168.56.30).

Toàn bộ 10 khung tin tiêu biểu trong tệp F01-traffic.pcapng được trích xuất kèm nhãn thời gian chuẩn UTC, độ dài khung tin và đối chiếu Kỳ vọng vs Thực tế tại bảng Table 1 dưới đây:

Phân tích kết quả từ bảng Table 1 cho thấy: 1. Nhãn thời gian UTC tăng đơn điệu chặt chẽ với độ phân giải micro-giây; tổng thời gian từ lúc phát truy vấn DNS (Frame 1) đến khi hoàn tất đóng kết nối HTTPS (Frame 10) chỉ kéo dài 12.09 ms, phản ánh đúng đặc trưng độ trễ cực thấp (< 1 ms mỗi chặng) của bộ chuyển mạch ảo Host-Only vboxnet0. 2. Hiện tượng báo lỗi Checksum ở Frame 3 (khởi phát từ chính máy đang chạy trình bắt gói 192.168.56.10) đi kèm với việc máy chủ 192.168.56.20 lập tức phản hồi [SYN, ACK] hợp lệ ở Frame 4 chứng minh đây là cảnh báo giả (False Positive) do cơ chế TX Checksum Offloading, không phải gói tin bị hỏng trên đường truyền.

Bài tập thực hành: Bạn cần thu thập chính xác 20 gói tin thuộc dải mạng 192.168.56.0/24 trên các cổng 53 và 443 vào tệp raw_capture.pcapng với kích thước gói tin đầy đủ, sau đó nhúng chuỗi chú giải kiểm toán vào khối SHB để tạo ra tệp bàn giao F01-traffic.pcapng và trích xuất danh sách gói tin kèm nhãn thời gian chuẩn UTC. Hãy điền các tham số còn khuyết ___ vào kịch bản dưới đây:

Để tra cứu nhanh và tránh nhầm lẫn cú pháp giữa hai hệ thống bộ lọc trong quá trình thực hành trên Safe Lab F01, bảng tổng hợp tại Table 2 đối chiếu trực tiếp từng mục tiêu thu thập và phân tích:

Song song với ma trận bộ lọc tại Table 2 , sự khác biệt giữa ba định dạng lưu trữ dữ liệu lưu lượng mạng phổ biến được tổng hợp trong bảng so sánh dưới đây:

Hãy thực hiện bài kiểm tra truy hồi kiến thức dưới đây để củng cố sự kết nối xuyên suốt từ mô hình Ranh giới Tin cậy (W01-L01), hạ tầng Lab Cô lập & Snapshot (W01-L02) đến quy trình Thu thập Lưu lượng Có Kiểm soát (W01-L03). Bộ bằng chứng F01-traffic.pcapng được đánh giá theo thang đo hành vi tại Table 3 .

Bộ bằng chứng F01-traffic.pcapng và hồ sơ kiểm toán đi kèm của học viên được đánh giá nghiệm thu theo thang đo hành vi 5 mức độ tại bảng Table 3 dưới đây:

Sau khi hoàn tất thu thập và khóa mã băm cho tệp bằng chứng F01-traffic.pcapng, hãy suy ngẫm hai câu hỏi thực tiễn từ góc nhìn của một Technical Lead: 1. Nếu trong một ca kiểm thử thực tế có ủy quyền, chủ sở hữu hệ thống khiếu nại rằng nhóm kiểm thử của bạn đã gửi gói tin làm treo dịch vụ cơ sở dữ liệu của họ vào lúc 14:05:12 giờ địa phương, những trường thông tin nào trong khối Section Header Block, Interface Statistics Block và chuỗi nhãn thời gian chuẩn UTC của tệp .pcapng sẽ giúp bạn chứng minh khách quan trước hội đồng kỹ thuật rằng nhóm kiểm thử hoàn toàn không phát sinh bất kỳ gói tin nào tới địa chỉ đó tại thời điểm xảy ra sự cố? 2. Khi phân tích tệp bắt gói tin, bước kiểm tra nào trong quy trình của bạn giúp phân biệt chắc chắn giữa một hiện tượng bất thường giả do môi trường ảo hóa (NIC Offloading / Retransmission nội bộ) với một hành vi phản hồi lỗi thực sự của dịch vụ mục tiêu?