# Kỹ năng thu thập chứng cứ ban đầu trên máy Windows (triage)

> Kỹ năng thực chiến · Vai trò: SOC / Ứng cứu sự cố · Mức độ: Nâng cao · Thời gian ước tính: 45 phút
> Nguồn: https://news.huecybersec.xyz/cam-nang/thu-thap-chung-cu-windows-triage · Cập nhật: 2026-11-13

## 1. Mục tiêu

Thu thập dữ liệu dễ mất trước (tiến trình, kết nối, DNS cache), sau đó các điểm bám trụ và nhật ký sự kiện, kèm mã băm để bảo đảm tính toàn vẹn chứng cứ.

## 2. Khi nào áp dụng

Máy trạm/máy chủ Windows nghi bị xâm nhập cần đánh giá nhanh trước khi cô lập hoặc dựng lại.

## 3. Quy trình thực hiện

### 3.1. Nguyên tắc

- [ ] **[BẮT BUỘC]** Ghi lại thời gian, người thực hiện và từng lệnh đã chạy; lưu kết quả ra ổ ngoài, không ghi đè lên ổ đĩa nghi nhiễm [1]
- [ ] **[BẮT BUỘC]** Thu thập theo thứ tự độ biến động: bộ nhớ → tiến trình/kết nối → tệp/nhật ký [1]
- [ ] Chụp ảnh bộ nhớ (RAM) bằng công cụ chuyên dụng trước khi tắt máy nếu có thể [1]

### 3.2. Dữ liệu dễ mất

- [ ] Tiến trình kèm tiến trình cha và dòng lệnh [1]
  ```
  Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name,CommandLine | Export-Csv E:\IR\processes.csv -NoTypeInformation
  ```
- [ ] Kết nối mạng và bộ đệm DNS [1]
  ```
  Get-NetTCPConnection | Export-Csv E:\IR\tcp.csv -NoTypeInformation; Get-DnsClientCache | Export-Csv E:\IR\dns.csv -NoTypeInformation
  ```
- [ ] Người dùng đang đăng nhập [1]
  ```
  query user
  ```

### 3.3. Bám trụ & nhật ký

- [ ] **[BẮT BUỘC]** Liệt kê toàn bộ điểm tự khởi chạy kèm mã băm và kiểm tra chữ ký (Sysinternals Autoruns) [2]
  ```
  autorunsc64.exe -accepteula -a * -c -h -s > E:\IR\autoruns.csv
  ```
- [ ] Khoá Run của máy và người dùng [2]
  ```
  Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Run, HKCU:\Software\Microsoft\Windows\CurrentVersion\Run
  ```
- [ ] Xuất nhật ký Security và System [1]
  ```
  wevtutil epl Security E:\IR\Security.evtx; wevtutil epl System E:\IR\System.evtx
  ```
- [ ] **[BẮT BUỘC]** Tính mã băm SHA-256 cho toàn bộ tệp chứng cứ đã thu [1]
  ```
  Get-FileHash E:\IR\* -Algorithm SHA256 | Export-Csv E:\IR\hashes.csv -NoTypeInformation
  ```

## 5. Tài liệu tham khảo

[1] NIST — SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response. https://csrc.nist.gov/pubs/sp/800/86/final
[2] Microsoft Sysinternals — Autoruns for Windows. https://learn.microsoft.com/sysinternals/downloads/autoruns

---
Tài liệu do HueCA-CYBER tổng hợp. Ghi rõ nguồn khi sử dụng lại.