Cách Kiểm Tra Truy Cập Máy Tính

Cập nhật phương pháp kiểm tra truy cập bất hợp pháp mới nhất cho cá nhân và doanh nghiệp

1. Tại sao cần kiểm tra truy cập máy tính?

Trong thời đại số hóa, máy tính của bạn chứa đựng lượng thông tin nhạy cảm khổng lồ – từ thông tin cá nhân, tài chính đến dữ liệu doanh nghiệp quan trọng. Theo báo cáo của FBI (2023), có đến 65% vụ tấn công mạng bắt nguồn từ truy cập trái phép vào hệ thống. Kiểm tra truy cập máy tính giúp bạn:

• Phát hiện sớm các hoạt động đáng ngờ trước khi chúng gây hại
• Ngăn chặn mất mát dữ liệu do kẻ tấn công đánh cắp thông tin
• Tuân thủ quy định về bảo mật thông tin (GDPR, PCI DSS)
• Duy trì hiệu suất hệ thống bằng cách loại bỏ phần mềm độc hại
• Bảo vệ danh tiếng cá nhân và doanh nghiệp

Thống kê tấn công truy cập trái phép (Nguồn: CISA 2023)

Loại tấn công	Tỷ lệ (%)	Thời gian phát hiện trung bình	Thiệt hại trung bình (USD)
Truy cập từ xa bất hợp pháp	32%	48 giờ	$12,500
Lạm dụng tài khoản hợp lệ	28%	72 giờ	$18,700
Phần mềm độc hại cài đặt sau xâm nhập	22%	96 giờ	$25,300
Tấn công brute-force mật khẩu	12%	24 giờ	$8,200
Lợi dụng lỗ hổng chưa vá	6%	120 giờ	$42,100

2. 7 phương pháp kiểm tra truy cập máy tính hiệu quả

2.1 Kiểm tra nhật ký hệ thống (System Logs)

Nhật ký hệ thống là nguồn thông tin quý giá nhất để phát hiện truy cập trái phép. Các hệ điều hành đều cung cấp công cụ xem logs:

Windows:

1. Nhấn Win + R, gõ eventvwr.msc và nhấn Enter
2. Đi đến Windows Logs > Security
3. Lọc các sự kiện với ID:
   • 4624: Đăng nhập thành công
   • 4625: Đăng nhập thất bại
   • 4648: Đăng nhập bằng thông tin xác thực rõ ràng
   • 4776: Xác thực NTLM

Linux/macOS:

Sử dụng lệnh:

# Xem logs đăng nhập gần đây
last | head -n 20

# Kiểm tra các kết nối SSH
grep "Accepted password" /var/log/auth.log

# Xem tất cả hoạt động đăng nhập thất bại
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

2.2 Sử dụng công cụ giám sát mạng

Các công cụ như Wireshark, GlassWire hoặc Netstat giúp bạn:

• Phát hiện các kết nối mạng đáng ngờ
• Xem lưu lượng dữ liệu bất thường
• Nhận diện các địa chỉ IP lạ đang kết nối đến máy bạn

Cách sử dụng Netstat trên Windows:

1. Mở Command Prompt với quyền admin
2. Chạy lệnh:

   netstat -ano | findstr "ESTABLISHED"

3. Kiểm tra cột “Foreign Address” để tìm IP lạ
4. Sử dụng tasklist | findstr "PID" để xác định tiến trình liên quan

2.3 Kiểm tra tiến trình đang chạy

Kẻ tấn công thường cài đặt phần mềm gián điệp hoặc backdoor sẽ chạy ngầm trên hệ thống. Các công cụ quản lý tiến trình giúp bạn phát hiện chúng:

Dấu hiệu tiến trình đáng ngờ

Hệ điều hành	Công cụ	Dấu hiệu cảnh báo
Windows	Task Manager (Ctrl+Shift+Esc)	Tiến trình có tên ngẫu nhiên (vd: “svch0st.exe”) Sử dụng CPU/mạng bất thường Không có nhà phát hành rõ ràng Đường dẫn lạ (vd: C:\Users\AppData\Roaming\xyz\)
Linux/macOS	top / htop	Tiến trình root không rõ nguồn gốc Kết nối mạng từ tiến trình không quen thuộc Tiến trình ẩn (không hiện trong ps aux)

2.4 Kiểm tra cổng mở

Các cổng mạng mở không cần thiết là cửa ngõ cho kẻ tấn công. Sử dụng các lệnh sau để kiểm tra:

Windows:

# Kiểm tra tất cả cổng đang lắng nghe
netstat -ano | findstr "LISTENING"

# Sử dụng PortQry (công cụ của Microsoft)
portqry -n localhost -e 1 -p TCP -o 1-65535

Linux/macOS:

# Kiểm tra cổng TCP/UDP mở
sudo netstat -tulnp

# Sử dụng nmap để quét cổng
sudo nmap -sT -O localhost

Các cổng nguy hiểm cần chú ý:

• 21 (FTP): Truyền file không mã hóa
• 22 (SSH): Nếu không cần truy cập từ xa
• 23 (Telnet): Giao thức cũ không an toàn
• 3389 (RDP): Truy cập từ xa Windows
• 445 (SMB): Dễ bị tấn công bằng EternalBlue
• 1433 (MSSQL): Cơ sở dữ liệu thường bị nhắm mục tiêu

2.5 Kiểm tra tệp và thư mục hệ thống

Kẻ tấn công thường thay đổi hoặc thêm tệp vào các thư mục hệ thống. Dấu hiệu cảnh báo:

• Tệp có ngày修改 gần đây trong:
  • Windows: C:\Windows\System32\, C:\Windows\Temp\
  • Linux: /bin/, /sbin/, /usr/local/bin/
• Tệp có tên giống hệ thống nhưng kích thước khác (vd: “explorer.exe” 500KB thay vì 2MB)
• Tệp ẩn trong thư mục người dùng (C:\Users\Username\AppData\)
• Tệp có phần mở rộng kép (vd: “document.pdf.exe”)

Lưu ý: Luôn so sánh với bản sao sạch của hệ điều hành. Sử dụng công cụ như Tripwire (Linux) hoặc Windows File Protection để giám sát tính toàn vẹn của tệp.

2.6 Kiểm tra tài khoản người dùng

Kẻ tấn công thường tạo tài khoản ẩn hoặc nâng cấp quyền của tài khoản hiện có:

Windows:

1. Mở Computer Management (compmgmt.msc)
2. Đi đến Local Users and Groups > Users
3. Kiểm tra:
   • Tài khoản không quen thuộc
   • Tài khoản admin mới được tạo
   • Tài khoản hệ thống bị vô hiệu hóa bất thường

Linux:

# Xem tất cả tài khoản
cut -d: -f1 /etc/passwd

# Kiểm tra tài khoản có UID 0 (root)
grep ':0:' /etc/passwd

# Xem lịch sử lệnh của tất cả người dùng
sudo cat /var/log/auth.log | grep "sudo"

2.7 Sử dụng phần mềm chống virus và anti-malware

Các giải pháp bảo mật chuyên nghiệp có khả năng phát hiện các dạng tấn công tinh vi:

• Windows Defender (đã tích hợp sẵn trên Windows 10/11)
• Malwarebytes (phát hiện phần mềm độc hại nâng cao)
• Kaspersky TDSSKiller (chuyên phát hiện rootkit)
• GMER (phát hiện rootkit cấp thấp)
• ClamAV (miễn phí cho Linux)

Quy trình quét hiệu quả:

1. Cập nhật định nghĩa virus mới nhất
2. Chạy quét toàn hệ thống (full scan)
3. Kích hoạt chế độ quét rootkit (nếu có)
4. Kiểm tra các mục bị cách ly sau quét
5. Lặp lại quét với công cụ thứ hai để xác nhận

3. Phân tích nâng cao: Phát hiện tấn công APT

Các cuộc tấn công APT (Advanced Persistent Threat) là dạng tấn công tinh vi, kéo dài và nhắm vào mục tiêu cụ thể. Theo NSA, 80% các vụ tấn công APT không được phát hiện trong vòng 6 tháng đầu. Dấu hiệu nhận biết:

• Hoạt động mạng bất thường:
  • Lưu lượng dữ liệu lớn vào ban đêm
  • Kết nối đến các địa chỉ IP nước ngoài lạ
  • Sử dụng giao thức mã hóa không chuẩn (vd: DNS tunneling)
• Hành vi tài khoản bất thường:
  • Đăng nhập từ các địa điểm địa lý khác thường
  • Truy cập vào các tệp nhạy cảm không liên quan đến công việc
  • Thay đổi quyền truy cập bất thường
• Dấu vết trong registry (Windows):
  • Khóa registry tự động khởi động lạ
  • Thay đổi trong HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Các giá trị base64 mã hóa trong registry
• Tệp và tiến trình ẩn:
  • Tệp với thuộc tính “hidden + system”
  • Tiến trình cha-con bất thường
  • Sử dụng kỹ thuật injection (DLL injection, process hollowing)

Cảnh báo: Phát hiện APT đòi hỏi kiến thức chuyên sâu. Nếu nghi ngờ hệ thống bị xâm nhập bởi APT, bạn nên:

1. Ngắt kết nối máy khỏi mạng
2. Không tắt máy (có thể mất dấu vết)
3. Chụp ảnh (image) ổ đĩa để phân tích
4. Liên hệ với chuyên gia bảo mật hoặc US-CERT

4. Công cụ chuyên nghiệp để kiểm tra truy cập

Đối với người dùng nâng cao và doanh nghiệp, các công cụ sau mang lại khả năng phát hiện sâu:

So sánh công cụ kiểm tra truy cập chuyên nghiệp

Công cụ	Loại	Tính năng nổi bật	Giá cả	Đối tượng phù hợp
OSSEC	HIDS (Host-based IDS)	Giám sát tệp thời gian thực Phân tích logs Phát hiện rootkit Hỗ trợ đa nền tảng	Miễn phí	Quản trị viên hệ thống
Wazuh	SIEM + XDR	Phát hiện xâm nhập thời gian thực Tích hợp với Virustotal Bảng điều khiển trực quan Tuân thủ PCI DSS, GDPR	Miễn phí (cộng đồng) Trả phí (doanh nghiệp)	Doanh nghiệp vừa và lớn
Splunk	SIEM	Phân tích dữ liệu lớn Tạo báo cáo tuỳ chỉnh Tích hợp với hàng trăm nguồn dữ liệu Machine learning cho phát hiện bất thường	Trả phí (từ $1,800/năm)	Doanh nghiệp lớn
Graylog	Log management	Thu thập và phân tích logs tập trung Cảnh báo thời gian thực Tích hợp với Elasticsearch Giao diện tìm kiếm mạnh mẽ	Miễn phí (cộng đồng)	Doanh nghiệp nhỏ và vừa
Zeek (Bro)	NIDS (Network IDS)	Phân tích lưu lượng mạng sâu Phát hiện các mẫu tấn công Tạo nhật ký chi tiết Hỗ trợ các giao thức phức tạp	Miễn phí	Chuyên gia bảo mật mạng

5. Quy trình ứng phó khi phát hiện truy cập trái phép

Khi đã xác định hệ thống bị xâm nhập, bạn cần thực hiện các bước sau theo thứ tự:

1. Cô lập hệ thống:
   • Ngắt kết nối mạng (rút cáp hoặc tắt WiFi)
   • Không tắt máy (có thể mất bằng chứng)
   • Ghi chú thời gian phát hiện
2. Thu thập bằng chứng:
   • Chụp ảnh màn hình các dấu hiệu bất thường
   • Sao lưu nhật ký hệ thống
   • Lưu trữ bản sao ổ đĩa (dd if=/dev/sda of=evidence.img)
   • Ghi lại tất cả hành động bạn thực hiện
3. Phân tích nguyên nhân:
   • Xác định vector tấn công (lỗ hổng, mật khẩu yếu,…)
   • Đánh giá phạm vi xâm nhập
   • Xác định dữ liệu bị ảnh hưởng
4. Khắc phục:
   • Loại bỏ tất cả tài khoản không xác định
   • Cài đặt lại hệ điều hành (nếu cần)
   • Vá tất cả lỗ hổng bảo mật
   • Thay đổi tất cả mật khẩu
5. Phục hồi:
   • Khôi phục từ bản sao lường sạch
   • Cập nhật tất cả phần mềm
   • Triển khai giải pháp giám sát liên tục
6. Báo cáo:
   • Thông báo cho các bên liên quan
   • Báo cáo với cơ quan chức năng (nếu cần)
   • Cập nhật chính sách bảo mật

Lưu ý pháp lý: Tại Việt Nam, theo Luật An toàn thông tin mạng 2015, bạn có nghĩa vụ:

• Báo cáo sự cố với Cục An toàn thông tin (đối với hệ thống thông tin quan trọng)
• Lưu giữ nhật ký ít nhất 12 tháng
• Hợp tác với cơ quan chức năng khi điều tra

6. Biện pháp phòng ngừa truy cập trái phép

Phòng ngừa luôn tốt hơn chữa trị. Áp dụng các biện pháp sau để giảm thiểu nguy cơ:

6.1 Bảo mật tài khoản

• Mật khẩu mạnh: Ít nhất 12 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt
• Xác thực đa yếu tố (MFA): Sử dụng ứng dụng như Google Authenticator hoặc phần cứng YubiKey
• Nguyên tắc đặc quyền tối thiểu: Chỉ cấp quyền cần thiết cho từng tài khoản
• Quản lý mật khẩu: Sử dụng công cụ như Bitwarden hoặc 1Password

6.2 Cập nhật và vá lỗi

• Bật cập nhật tự động cho hệ điều hành và tất cả phần mềm
• Sử dụng công cụ quản lý bản vá như WSUS (Windows) hoặc apt/yum (Linux)
• Kiểm tra lỗ hổng với công cụ như Nessus hoặc OpenVAS
• Loại bỏ phần mềm không còn hỗ trợ (vd: Windows 7, Python 2)

6.3 Bảo mật mạng

• Sử dụng tường lửa (Windows Firewall, iptables, pfSense)
• Vô hiệu hóa các dịch vụ mạng không cần thiết
• Triển khai mạng riêng ảo (VPN) cho truy cập từ xa
• Phân đoạn mạng (network segmentation) để giới hạn sự lan truyền của tấn công
• Sử dụng DNS an toàn như Cloudflare (1.1.1.1) hoặc Quad9 (9.9.9.9)

6.4 Giám sát liên tục

• Thiết lập cảnh báo cho các hoạt động đáng ngờ
• Sử dụng SIEM (Security Information and Event Management)
• Triển khai hệ thống phát hiện xâm nhập (IDS/IPS)
• Kiểm tra định kỳ với công cụ như Lynis (Linux) hoặc Microsoft Security Compliance Toolkit

6.5 Bảo mật vật lý

• Khóa máy khi rời khỏi bàn làm việc (Win + L)
• Sử dụng khóa Kensington cho laptop
• Giới hạn quyền truy cập vật lý vào máy chủ
• Sử dụng camera giám sát cho phòng máy chủ

6.6 Đào tạo nhận thức bảo mật

Theo báo cáo của SANS Institute, 95% sự cố bảo mật bắt nguồn từ lỗi của con người. Đào tạo nhân viên về:

• Nhận diện email lừa đảo (phishing)
• Không sử dụng thiết bị cá nhân cho công việc (BYOD)
• Không chia sẻ thông tin đăng nhập
• Cách báo cáo sự cố bảo mật
• Nguyên tắc “zero trust” (không tin cậy mặc định)

7. Kịch bản thực tế: Phát hiện và xử lý truy cập trái phép

Hãy xem xét kịch bản thực tế sau đây để hiểu rõ quy trình:

Tình huống: Bạn là quản trị viên của một công ty nhỏ. Vào thứ Sáu evening, bạn nhận được cảnh báo từ hệ thống giám sát về hoạt động đăng nhập bất thường từ tài khoản “admin” vào lúc 3 AM – thời gian không phải giờ làm việc.

Bước 1: Xác minh cảnh báo

• Kiểm tra nhật ký đăng nhập: Xác nhận có sự kiện ID 4624 (đăng nhập thành công) từ IP 203.176.134.88 (Địa chỉ IP nước ngoài)
• So sánh với lịch sử đăng nhập bình thường: Tài khoản admin chỉ đăng nhập từ IP nội bộ (192.168.1.0/24)

Bước 2: Cô lập hệ thống

• Ngắt kết nối máy chủ khỏi mạng
• Chặn IP 203.176.134.88 trên tường lửa
• Vô hiệu hóa tài khoản admin tạm thời

Bước 3: Điều tra sâu

• Phát hiện tiến trình svchost.exe đang kết nối đến IP trên cổng 4444 (cổng thường dùng cho backdoor)
• Tìm thấy tệp C:\Windows\Temp\update.exe với chữ ký không hợp lệ
• Phát hiện thay đổi trong registry tại HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Bước 4: Khắc phục

• Xóa tệp độc hại và khóa registry bị sửa đổi
• Cài đặt lại hệ điều hành từ bản sao sạch
• Thay đổi tất cả mật khẩu và triển khai MFA
• Cập nhật tất cả phần mềm và hệ điều hành

Bước 5: Phòng ngừa tái diễn

• Triển khai hệ thống giám sát 24/7
• Thiết lập quy trình xoay vòng mật khẩu định kỳ
• Tổ chức đào tạo nhận thức bảo mật cho nhân viên
• Thực hiện kiểm tra thâm nhập (penetration test) định kỳ

8. Công cụ và tài nguyên hữu ích

8.1 Công cụ miễn phí

• Process Explorer (Microsoft) – Phân tích tiến trình nâng cao
• Autoruns (Microsoft) – Kiểm tra các chương trình khởi động tự động
• TCPView (Microsoft) – Giám sát kết nối mạng
• ClamWin – Phần mềm diệt virus miễn phí cho Windows
• Rkhunter – Phát hiện rootkit cho Linux
• Chkrootkit – Kiểm tra rootkit trên Unix
• Security Onion – Giải pháp giám sát bảo mật toàn diện

8.2 Tài nguyên học tập

• NIST Computer Security Resource Center – Hướng dẫn bảo mật từ Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ
• SANS Institute – Khóa học và nghiên cứu về bảo mật
• OWASP – Dự án bảo mật ứng dụng web mở
• CIS Controls – Bộ khung bảo mật thực tiễn tốt nhất
• US-CERT – Cảnh báo và khuyến nghị bảo mật từ chính phủ Mỹ

8.3 Cộng đồng hỗ trợ

• Stack Exchange Security – Hỏi đáp về bảo mật
• Reddit r/netsec – Thảo luận về bảo mật mạng
• HackerOne Hacktivity – Theo dõi các lỗ hổng mới được báo cáo
• Vietnam Security Community – Cộng đồng bảo mật Việt Nam

9. Kết luận và khuyến nghị

Kiểm tra truy cập máy tính không phải là công việc một lần mà cần trở thành thói quen định kỳ. Trong môi trường đe dọa mạng ngày càng phức tạp, việc chủ động giám sát hệ thống của bạn có thể ngăn chặn những thiệt hại nghiêm trọng về tài chính và danh tiếng.

Khuyến nghị hành động:

1. Ngay bây giờ: Thực hiện kiểm tra nhanh với công cụ tích hợp sẵn (Task Manager, Event Viewer)
2. Tuần này: Cài đặt và cấu hình công cụ giám sát như OSSEC hoặc Wazuh
3. Tháng này: Tổ chức buổi đào tạo nhận thức bảo mật cơ bản cho nhân viên/gia đình
4. Định kỳ: Thực hiện kiểm tra bảo mật toàn diện mỗi quý

Bảo mật không phải là trạng thái mà là một quá trình liên tục. Bằng cách áp dụng các phương pháp trong hướng dẫn này, bạn sẽ tăng cường đáng kể khả năng phòng thủ của hệ thống trước các mối đe dọa truy cập trái phép.

Lời khuyên cuối cùng: Nếu bạn không có kiến thức chuyên sâu về bảo mật, đừng ngần ngại tìm kiếm sự trợ giúp từ các chuyên gia. Chi phí cho một cuộc kiểm tra bảo mật chuyên nghiệp thường thấp hơn nhiều so với thiệt hại từ một vụ tấn công thành công.