PHÁT HIỆN TRUY VẤN CHỈ ĐỌC BỊ CHE GIẤU

Trong nhiều hệ thống CSDL, các truy vấn chỉ đọc (SELECT) thường bị xem nhẹ trong giám sát an toàn thông tin, bởi chúng không làm thay đổi trạng thái dữ liệu. Tuy nhiên, từ góc độ điều tra số và bảo mật, các truy vấn chỉ đọc có thể mang ý nghĩa đặc biệt quan trọng. Trong các kịch bản rò rỉ thông tin, gián điệp dữ liệu hoặc do thám nội bộ, kẻ tấn công thường chỉ cần truy xuất dữ liệu nhạy cảm mà không thực hiện bất kỳ thao tác ghi nào nhằm tránh gây chú ý. Trên thực tế, nhiều hệ thống chỉ cấu hình audit cho các thao tác ghi dữ liệu, trong khi các truy vấn SELECT hoặc không được ghi log, hoặc chỉ được ghi nhận ở mức độ hạn chế. Ngay cả khi audit log cho phép ghi nhận truy vấn chỉ đọc, kẻ tấn công có đặc quyền cao vẫn có thể vô hiệu hóa kiểm toán trong thời gian ngắn để thực hiện các truy vấn nhạy cảm rồi khôi phục lại trạng thái ban đầu. Do đó, việc phát hiện các truy vấn chỉ đọc bị che giấu đóng vai trò then chốt trong việc tái dựng đầy đủ bức tranh về các hoạt động đã xảy ra trong hệ thống.

Mặc dù không làm thay đổi dữ liệu, mọi truy vấn SELECT khi được thực thi đều để lại dấu vết trong hệ thống. Các dấu vết này tồn tại chủ yếu trong bộ nhớ đệ của hệ quản trị CSDL (Database Management Systems - DBMS), nơi các trang dữ liệu và chỉ mục được nạp vào để phục vụ truy vấn. Ngoài ra, việc truy cập dữ liệu cũng có thể ảnh hưởng đến các cấu trúc thống kê và trạng thái sử dụng của các trang lưu trữ.

Phát hiện truy vấn chỉ đọc bị che giấu dựa trên sự không nhất quán giữa audit log và bộ nhớ đệm

Từ góc độ điều tra, sự tồn tại của các trang dữ liệu hoặc chỉ mục trong bộ nhớ đệm tại một thời điểm nhất định có thể được xem là bằng chứng gián tiếp cho việc chúng đã được truy cập gần đây. Mặc dù dấu vết này mang tính tạm thời, nhưng trong nhiều kịch bản thực tế, đặc biệt là khi hệ thống ít chịu tải hoặc truy vấn diễn ra trong khoảng thời gian ngắn, các trang liên quan vẫn tồn tại đủ lâu để phục vụ phân tích.

Phát hiện truy vấn chỉ đọc bị che giấu không thể dựa trên việc đối chiếu trực tiếp dữ liệu, mà cần một mô hình suy luận gián tiếp dựa trên sự không nhất quán giữa các nguồn bằng chứng. Phương pháp được đề xuất xây dựng trên nguyên lý sau: nếu audit log không ghi nhận một truy vấn SELECT, nhưng các trang dữ liệu hoặc chỉ mục liên quan lại tồn tại trong bộ nhớ đệm mà không có lời giải thích hợp lệ, thì có khả năng đã tồn tại một truy vấn bị che giấu.

Cụ thể, phương pháp phân tích mối quan hệ giữa ba thành phần:

1. Tập các truy vấn SELECT được ghi nhận trong audit log.

2. Tập các trang dữ liệu và chỉ mục hiện diện trong bộ nhớ đệm.

3. Các đặc trưng của kế hoạch thực thi truy vấn (execution plan) do DBMS sinh ra.

Bằng cách ánh xạ các trang trong bộ nhớ tới các đối tượng CSDL và so khớp với các truy vấn đã được ghi nhận, hệ thống có thể phát hiện các trang “không có nguồn gốc logic”, từ đó suy luận sự tồn tại của các truy vấn bị che giấu.

Phương pháp đề xuất phân loại truy vấn chỉ đọc thành hai nhóm chính: Truy vấn quét toàn bộ bảng (Full Table Scan - FTS) và truy vấn truy cập thông qua chỉ mục (Index Scan - IS). Đối với mỗi loại truy vấn, dấu vết để lại trong bộ nhớ và lưu trữ có những đặc điểm khác nhau. Đối với truy vấn FTS, dấu vết đặc trưng là sự hiện diện của một số lượng lớn trang dữ liệu thuộc cùng một bảng trong bộ nhớ đệm. Nếu audit log không ghi nhận bất kỳ truy vấn nào có khả năng dẫn đến FTS, nhưng các trang này vẫn tồn tại trong bộ nhớ, có thể suy luận rằng đã tồn tại một truy vấn quét bảng bị che giấu.

Ngược lại, đối với truy vấn IS, dấu vết thường xuất hiện dưới dạng các trang chỉ mục cùng với một tập con các trang dữ liệu tương ứng. Việc phân tích mối quan hệ giữa các trang chỉ mục và trang dữ liệu cho phép suy đoán loại truy vấn đã được thực hiện, thậm chí suy luận một phần điều kiện WHERE của truy vấn bị che giấu.

Do dựa trên suy luận gián tiếp, việc phát hiện truy vấn chỉ đọc bị che giấu tiềm ẩn nguy cơ dương tính giả. Các trang dữ liệu có thể tồn tại trong bộ nhớ do các hoạt động hợp lệ khác, chẳng hạn như truy vấn của người dùng khác hoặc các tác vụ nền của DBMS. Để giảm thiểu nguy cơ này, phương pháp đề xuất kết hợp nhiều tiêu chí, bao gồm thời điểm truy cập, mối quan hệ giữa các trang, và ngữ cảnh thực thi truy vấn. Việc kết hợp phân tích truy vấn chỉ đọc với phát hiện các thao tác ghi bị che giấu giúp tăng độ tin cậy tổng thể của kết luận điều tra. Khi cả truy vấn đọc và thao tác ghi đều cho thấy dấu hiệu bất thường, khả năng tồn tại hành vi độc hại sẽ cao hơn đáng kể so với việc chỉ dựa trên một nguồn bằng chứng duy nhất.

Phát hiện truy vấn chỉ đọc bị che giấu giúp hoàn thiện bức tranh điều tra số CSDL, chuyển từ việc chỉ tập trung vào “điều gì đã bị thay đổi” sang “điều gì đã bị truy cập”. Điều này đặc biệt quan trọng trong các kịch bản rò rỉ thông tin, nơi hậu quả không nằm ở việc dữ liệu bị sửa đổi, mà ở việc dữ liệu đã bị tiết lộ cho các thực thể không được phép.

Bằng cách kết hợp phân tích truy vấn chỉ đọc với phân tích lưu trữ vật lý và audit log, phương pháp được đề xuất góp phần xây dựng một cách tiếp cận Điều tra số đa chiều, giúp nâng cao đáng kể khả năng phát hiện và tái dựng các hành vi bị che giấu trong hệ thống CSDL hiện đại.

ĐÁNH GIÁ

Để đánh giá hiệu quả của phương pháp phát hiện các hoạt động bị che giấu trong CSDL, bài báo xây dựng một kịch bản mô phỏng mối đe dọa nội bộ trong môi trường hệ quản trị CSDL Oracle. Trong kịch bản này, kẻ tấn công sở hữu đặc quyền cao, cho phép vô hiệu hóa cơ chế kiểm toán trong một khoảng thời gian ngắn để thực hiện các thao tác trái phép, sau đó khôi phục lại trạng thái kiểm toán ban đầu nhằm che giấu dấu vết.

Cụ thể, audit log được cấu hình để ghi nhận đầy đủ các thao tác truy cập và chỉnh sửa dữ liệu. Sau đó, kẻ tấn công tạm thời vô hiệu hóa kiểm toán, thực hiện các thao tác UPDATE trên dữ liệu nhạy cảm, và tiến hành làm sạch các bản ghi liên quan trong bảng audit hệ thống. Kịch bản này phản ánh một tình huống thực tế, trong đó audit log không còn phản ánh trung thực lịch sử hoạt động của hệ thống.

Phân tích kết quả kiểm toán truyền thống

Khi phân tích hệ thống chỉ dựa trên audit log, kết quả cho thấy không tồn tại bất kỳ bản ghi nào liên quan đến các thao tác UPDATE đã được thực hiện trong khoảng thời gian kiểm toán bị vô hiệu hóa. Từ góc độ của các cơ chế giám sát truyền thống, hệ thống được đánh giá là không xảy ra sự cố, dẫn đến kết luận âm tính giả. Kết quả này minh họa rõ ràng hạn chế của các phương pháp giám sát dựa hoàn toàn trên audit log trong các kịch bản lạm dụng đặc quyền. Khi log bị thao túng, các cơ chế kiểm toán logic không còn đủ khả năng cung cấp bằng chứng tin cậy cho điều tra số sự cố.

Kết quả phân tích lưu trữ và đối chiếu

Áp dụng phương pháp phân tích lưu trữ vật lý được đề xuất, hệ thống đã khôi phục được các bản ghi bị xóa và các bản ghi mới được chèn thông qua kỹ thuật phân tích trang dữ liệu. Việc đối chiếu các bản ghi này cho thấy sự tồn tại của các cặp bản ghi trước - sau, phản ánh rõ ràng một thao tác cập nhật dữ liệu. Quan trọng hơn, các thao tác này không thể được ánh xạ tới bất kỳ lệnh UPDATE nào trong audit log hiện có. Sự không nhất quán giữa trạng thái lưu trữ và audit log cung cấp bằng chứng thuyết phục cho việc tồn tại các thay đổi bị che giấu trong hệ thống. Kết quả này cho thấy phương pháp đề xuất có khả năng phát hiện hiệu quả các hành vi độc hại ngay cả khi audit log đã bị làm sạch.

Kết quả đánh giá cho thấy phân tích lưu trữ vật lý đóng vai trò như một cơ chế kiểm chứng độc lập, bổ sung hiệu quả cho các cơ chế kiểm toán truyền thống. Trong kịch bản đánh giá, phương pháp đề xuất đã khắc phục được hạn chế âm tính giả của audit log và cho phép tái dựng lại chuỗi thao tác đã xảy ra trong hệ thống. Tuy nhiên, kết quả cũng cho thấy hiệu quả phát hiện phụ thuộc vào thời gian tồn tại của các dấu vết lưu trữ và chính sách quản lý bộ nhớ của DBMS. Trong các hệ thống có tần suất ghi cao hoặc cơ chế dọn dẹp tích cực, khả năng khôi phục bằng chứng có thể bị suy giảm. Mặc dù vậy, trong các kịch bản tấn công nội bộ mang tính thận trọng, nơi kẻ tấn công cố gắng giảm thiểu tác động lên hệ thống, các dấu vết lưu trữ thường tồn tại đủ lâu để phục vụ điều tra.

Ý nghĩa đối với vận hành an toàn CSDL

Từ góc độ vận hành, kết quả đánh giá cho thấy phương pháp đề xuất có thể được sử dụng như một công cụ hỗ trợ điều tra số hậu sự cố hoặc đánh giá định kỳ độ tin cậy của audit log. Việc kết hợp kiểm toán logic với phân tích lưu trữ giúp nâng cao đáng kể khả năng phát hiện các mối đe dọa nội bộ và các hành vi bị che giấu, đặc biệt trong các hệ thống yêu cầu mức độ tin cậy cao về tính toàn vẹn dữ liệu.

KẾT LUẬN

Bài báo đã chỉ ra những hạn chế của các cơ chế kiểm toán CSDL truyền thống khi phụ thuộc hoàn toàn vào audit log - một nguồn bằng chứng có thể bị vô hiệu hóa hoặc thao túng trong các kịch bản lạm dụng đặc quyền. Trong những trường hợp này, các phương pháp giám sát dựa trên log dễ dẫn đến kết luận âm tính giả và không phản ánh đúng trạng thái an toàn của hệ thống. Để khắc phục hạn chế trên, bài báo đã đề xuất phương pháp phát hiện các hoạt động bị che giấu trong cơ sở dữ liệu thông qua việc đối chiếu audit log với trạng thái lưu trữ vật lý. Bằng cách khai thác các dấu vết còn tồn tại trong trang dữ liệu, chỉ mục và bộ nhớ đệm, phương pháp cho phép phát hiện các thao tác ghi dữ liệu cũng như các truy vấn chỉ đọc không được ghi nhận trong nhật ký kiểm toán, ngay cả khi log đã bị làm sạch. Kết quả đánh giá cho thấy cách tiếp cận này đóng vai trò như một cơ chế kiểm chứng độc lập, bổ sung hiệu quả cho kiểm toán truyền thống và nâng cao khả năng điều tra số sự cố an toàn CSDL. Trong các nghiên cứu tiếp theo, việc tự động hóa phân tích, mở rộng sang nhiều DBMS và giảm thiểu dương tính giả sẽ là những hướng phát triển quan trọng.