Nghiên Cứu Giải Pháp Phòng Chống Tấn Công Dữ Liệu Đối Với Website Thương Mại Điện Tử

Luận văn thạc sĩ nghiên cứu hay nghiên cứu một số giải pháp phòng chống tấn công dữ liệu đối với website thương mại điện tử, đánh giá hiện trạng, phân tích vấn đề, đề xuất biện

• Tác giả: Khatthnam Phouchanthvong
• Người hướng dẫn: Ts. Nguyễn Đức Bình
• Trường học: Trường Đại Học Công Nghệ Thông Tin Và Truyền Thông - Đại Học Thái Nguyên
• Chuyên ngành: Khoa Học Máy Tính
• Đề tài: Nghiên Cứu Một Số Giải Pháp Phòng Chống Tấn Công Dữ Liệu Đối Với Website Thương Mại Điện Tử
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2020
• Địa điểm: Thái Nguyên

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• MỤC LỤC
• DANH SÁCH HÌNH VẼ
• DANH SÁCH TỪ VIẾT TẮT
• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ AN TOÀN DỊCH VỤ VÀ DỮ LIỆU WEB VÀ LỖI BẢO MẬT THÔNG DỤNG
• 1.1. Khái niệm chung về thương mại điện tử
• 1.2. Sự ra đời và phát triển của Internet
• 1.3. Khái niệm thương mại điện tử
• 1.4. Hệ thống các hoạt động cơ bản trong thương mại điện tử
• 1.5. Tổng quan về ứng dụng Website
• 1.5.1. Khái niệm ứng dụng Website
• 1.5.2. Cách thức hoạt động
• 1.5.3. Các dịch vụ và ứng dụng trên nền Website
• 1.6. Tổng quan về an ninh mạng
• 1.6.1. Khái niệm về an toàn và an ninh mạng
• 1.6.2. Sự cần thiết phải bảo vệ thông tin
• 1.7. Các thuật ngữ liên quan
• 2. CHƯƠNG 2: CÁC LOẠI TẤN CÔNG WEB PHỔ BIẾN
• 2.1. Đặc trưng của các Website thương mại điện tử
• 2.2. Tổng quan về Local Attack
• 2.2.1. Giới thiệu về Local Attack
• 2.2.2. Phương thức tấn công Local Attack
• 2.3. Tấn công từ chối dịch vụ (denial of service)
• 2.4. Tấn công SQL Injection
• 2.4.1. SQL Injection là gì?
• 2.4.2. SQL Injection và vấn đề an ninh cơ sở dữ liệu
• 2.4.3. Các phương pháp tấn công SQL Injection phổ biến
• 2.4.3.1. Tấn công khai thác dữ liệu thông qua toán tử UNION
• 2.4.3.2. Tìm số cột và kiểu dữ liệu của cột
• 2.4.3.3. Tìm cột có khả năng “chứa” thông tin khai thác được
• 2.4.3.4. Khai thác thông qua các câu lệnh điều kiện
• 2.4.3.5. Blind SQL Injection – phương thức tấn công nâng cao
• 2.4.3.6. Vấn đề qua mặt các bộ lọc tham số đầu vào
• 2.4.3.7. Sử dụng các byte NULL
• 2.5. Tấn công Cross Site Scripting (XSS)
• 2.5.1. Hoạt động của XSS
• 2.5.2. Phương pháp tấn công
• 3. CHƯƠNG 3: MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG TẤN CÔNG DỮ LIỆU WEBSITE THƯƠNG MẠI ĐIỆN TỬ
• 3.1. Mô hình đề xuất
• 3.2. Các giải pháp đề xuất cụ thể
• 3.2.1. Giải pháp phòng chống Local Attack
• 3.2.2. Giải pháp phòng chống tấn công SQL Injection
• 3.2.2.1. Xây dựng truy vấn theo mô hình tham số hóa
• 3.2.2.2. Chuẩn hóa dữ liệu
• 3.2.2.3. Giải pháp về bảo mật dữ liệu với mã hóa AES
• 3.3. Demo ứng dụng Website thương mại điện tử ứng dụng các giải pháp phòng chống tấn công dữ liệu
• 3.3.1. Xây dựng website thương mại điện tử khóa học
• 3.3.2. Mã hoá dữ liệu bên trong hệ quản trị cơ sở dữ liệu
• 3.3.3. Một số giao diện chức năng Admin
• 3.3.4. Đánh giá kết quả
• KẾT LUẬN VÀ ĐỀ NGHỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Giải Pháp Bảo Mật Dữ Liệu Cho Website Thương Mại Điện Tử

Website thương mại điện tử ngày càng trở thành mục tiêu tấn công của các hacker. Việc bảo mật dữ liệu là rất quan trọng để bảo vệ thông tin khách hàng và duy trì uy tín doanh nghiệp. Các giải pháp bảo mật dữ liệu không chỉ giúp ngăn chặn các cuộc tấn công mà còn đảm bảo an toàn cho các giao dịch trực tuyến.

1.1. Khái Niệm Về Bảo Mật Dữ Liệu Trong Thương Mại Điện Tử

Bảo mật dữ liệu trong thương mại điện tử bao gồm các biện pháp bảo vệ thông tin nhạy cảm của khách hàng và doanh nghiệp. Điều này bao gồm việc mã hóa dữ liệu, sử dụng các giao thức bảo mật và thực hiện các biện pháp phòng ngừa khác.

1.2. Tầm Quan Trọng Của An Ninh Mạng Đối Với Website

An ninh mạng là yếu tố then chốt trong việc bảo vệ website thương mại điện tử. Một hệ thống an ninh mạng mạnh mẽ giúp ngăn chặn các cuộc tấn công từ bên ngoài và bảo vệ thông tin khách hàng khỏi bị rò rỉ.

II. Các Vấn Đề Bảo Mật Dữ Liệu Thường Gặp Trên Website Thương Mại Điện Tử

Các website thương mại điện tử thường phải đối mặt với nhiều thách thức về bảo mật dữ liệu. Những vấn đề này có thể dẫn đến việc mất mát thông tin quan trọng và ảnh hưởng đến uy tín của doanh nghiệp.

2.1. Tấn Công SQL Injection Và Hệ Quả Của Nó

SQL Injection là một trong những phương thức tấn công phổ biến nhất nhằm vào các website. Kẻ tấn công có thể khai thác lỗ hổng trong mã SQL để truy cập và thao tác dữ liệu nhạy cảm.

2.2. Tấn Công Cross Site Scripting XSS Là Gì

Tấn công XSS cho phép kẻ tấn công chèn mã độc vào trang web, từ đó đánh cắp thông tin người dùng. Điều này có thể gây ra thiệt hại lớn cho cả người dùng và doanh nghiệp.

III. Giải Pháp Bảo Mật Dữ Liệu Hiệu Quả Cho Website Thương Mại Điện Tử

Để bảo vệ dữ liệu trên website thương mại điện tử, cần áp dụng các giải pháp bảo mật hiệu quả. Những giải pháp này không chỉ giúp ngăn chặn các cuộc tấn công mà còn đảm bảo an toàn cho thông tin khách hàng.

3.1. Mã Hóa Dữ Liệu Là Giải Pháp Quan Trọng

Mã hóa dữ liệu là một trong những biện pháp bảo mật quan trọng nhất. Sử dụng các thuật toán mã hóa mạnh mẽ như AES giúp bảo vệ thông tin nhạy cảm khỏi bị truy cập trái phép.

3.2. Sử Dụng Tường Lửa Để Bảo Vệ Website

Tường lửa giúp kiểm soát lưu lượng truy cập vào website, ngăn chặn các cuộc tấn công từ bên ngoài. Việc cấu hình tường lửa đúng cách là rất cần thiết để bảo vệ dữ liệu.

IV. Ứng Dụng Thực Tiễn Của Các Giải Pháp Bảo Mật Dữ Liệu

Việc áp dụng các giải pháp bảo mật dữ liệu không chỉ giúp bảo vệ thông tin mà còn nâng cao uy tín của doanh nghiệp. Các doanh nghiệp đã áp dụng thành công các biện pháp này và đạt được kết quả tích cực.

4.1. Các Doanh Nghiệp Thành Công Trong Bảo Mật Dữ Liệu

Nhiều doanh nghiệp lớn đã áp dụng các giải pháp bảo mật dữ liệu và đạt được thành công trong việc bảo vệ thông tin khách hàng. Họ đã xây dựng được lòng tin từ phía khách hàng.

4.2. Kết Quả Nghiên Cứu Về Bảo Mật Dữ Liệu

Nghiên cứu cho thấy rằng các doanh nghiệp đầu tư vào bảo mật dữ liệu có tỷ lệ thành công cao hơn trong việc duy trì khách hàng và tăng trưởng doanh thu.

V. Kết Luận Về Giải Pháp Bảo Mật Dữ Liệu Cho Website Thương Mại Điện Tử

Bảo mật dữ liệu cho website thương mại điện tử là một vấn đề cấp bách. Các doanh nghiệp cần đầu tư vào các giải pháp bảo mật để bảo vệ thông tin khách hàng và duy trì uy tín của mình.

5.1. Tương Lai Của Bảo Mật Dữ Liệu

Với sự phát triển của công nghệ, các giải pháp bảo mật dữ liệu sẽ ngày càng trở nên tinh vi hơn. Doanh nghiệp cần theo kịp xu hướng để bảo vệ thông tin hiệu quả.

5.2. Lời Khuyên Cho Doanh Nghiệp Về Bảo Mật Dữ Liệu

Doanh nghiệp nên thường xuyên đánh giá và cập nhật các biện pháp bảo mật dữ liệu. Việc đào tạo nhân viên về an ninh mạng cũng là một yếu tố quan trọng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh nền kinh tế số phát triển vượt bậc, thương mại điện tử đã trở thành trụ cột quan trọng đóng góp hơn 15% vào tổng mức bán lẻ hàng hóa tại nhiều quốc gia đang phát triển. Tuy nhiên, sự gia tăng nhanh chóng của các giao dịch trực tuyến cũng kéo theo nguy cơ mất an toàn thông tin nghiêm trọng, khi hơn 65% các cuộc tấn công mạng nhằm vào doanh nghiệp tập trung vào việc đánh cắp cơ sở dữ liệu thương mại. Các website thương mại điện tử luôn chứa đựng nguồn tài nguyên vô cùng giá trị như thông tin tài chính, tài khoản ngân hàng, thông tin định danh cá nhân và lịch sử giao dịch. Khi bị xâm nhập, thiệt hại không chỉ dừng lại ở con số hàng trăm triệu đồng mà còn ảnh hưởng trực tiếp đến uy tín thương hiệu và tính liên tục trong kinh doanh của doanh nghiệp.

Xuất phát từ thực tế cấp bách đó, đề tài tập trung nghiên cứu chuyên sâu về các hiểm họa an ninh mạng phổ biến, phân tích cơ chế hình thành và các kỹ thuật tấn công nguy hiểm như tấn công cục bộ (Local Attack), từ chối dịch vụ phân tán (DDoS), mã độc chèn phía máy khách (XSS) và đặc biệt là tấn công chèn câu lệnh truy vấn có cấu trúc (SQL Injection). Mục tiêu cốt lõi của nghiên cứu là xây dựng mô hình phòng thủ nhiều lớp toàn diện, đề xuất giải pháp kỹ thuật cụ thể từ khâu chuẩn hóa dữ liệu đầu vào, tham số hóa truy vấn, phân quyền máy chủ cho đến mã hóa dữ liệu lưu trữ bằng thuật toán AES.

Nghiên cứu được thực hiện tại Trường Đại học Công nghệ Thông tin và Truyền thông – Đại học Thái Nguyên trong giai đoạn năm 2019 đến cuối năm 2020, tập trung vào môi trường vận hành của các website thương mại điện tử sử dụng nền tảng máy chủ Linux, Apache, cơ sở dữ liệu MySQL và ngôn ngữ lập trình PHP. Kết quả nghiên cứu mang lại giá trị thực tiễn to lớn khi giúp giảm thiểu trên 90% nguy cơ rò rỉ dữ liệu qua các lỗ hổng mã nguồn, đảm bảo độ sẵn sàng của hệ thống đạt 99,9% và giữ vững tính toàn vẹn thông tin cho cả doanh nghiệp lẫn người tiêu dùng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng kết hợp giữa các lý thuyết kinh tế số và kiến trúc an ninh mạng hiện đại:

Thứ nhất, mô hình ứng dụng thương mại điện tử trong chuỗi giá trị của Michael Porter (2001). Lý thuyết này chỉ ra rằng thương mại điện tử can thiệp sâu vào 6 giai đoạn cốt lõi gồm: hậu cần đầu vào, xử lý nghiệp vụ, hậu cần đầu ra, sản phẩm dịch vụ, marketing bán hàng và dịch vụ sau bán hàng. Do đó, luồng dữ liệu trao đổi giữa khách hàng và doanh nghiệp trong các khâu này đòi hỏi tính bảo mật tuyệt đối.

Thứ hai, mô hình phòng thủ theo chiều sâu (Defense-in-Depth) trong an toàn thông tin mạng. Mô hình này thiết lập các rào chắn kiểm soát tuần tự từ mức mạng, máy chủ biên, ứng dụng web cho tới lớp cơ sở dữ liệu nội bộ.

Nghiên cứu làm rõ 5 khái niệm chuyên ngành then chốt:

• SQL Injection: Kỹ thuật khai thác lỗ hổng trong việc xử lý dữ liệu nhập của ứng dụng web, cho phép kẻ tấn công chèn và thi hành các câu lệnh SQL trái phép nhằm chiếm quyền điều khiển cơ sở dữ liệu.
• Local Attack: Phương thức tấn công cục bộ tận dụng webshell (như C99, R57) tải lên từ một tài khoản bị chiếm đoạt để leo thang đặc quyền, duyệt cây thư mục và truy cập dữ liệu của các website khác trên cùng một máy chủ vật lý.
• Tấn công DDoS: Hình thức tấn công từ chối dịch vụ phân tán dựa trên mô hình điều khiển Agent - Handler hoặc IRC-Based nhằm làm cạn kiệt tài nguyên mạng và năng lực xử lý của máy chủ mục tiêu.
• Cross-Site Scripting (XSS): Kỹ thuật chèn các đoạn mã script nguy hiểm phía máy khách (Client-Side Scripts như JavaScript) vào trang web động nhằm chiếm đoạt phiên làm việc cookie của người dùng.
• Mã hóa đối xứng AES (Advanced Encryption Standard): Chuẩn mã hóa dữ liệu khối tiên tiến được ứng dụng để bảo vệ các trường dữ liệu nhạy cảm trực tiếp trong hệ quản trị cơ sở dữ liệu.

Phương pháp nghiên cứu

Nguồn dữ liệu của đề tài được tổng hợp từ các báo cáo thống kê an ninh mạng uy tín của WhiteHat giai đoạn 2008 - 2019, danh mục lỗ hổng bảo mật phổ biến OWASP Top 10 và hệ thống dữ liệu thực nghiệm trên website thương mại điện tử đào tạo khóa học mẫu.

Về cỡ mẫu và phương pháp chọn mẫu, nghiên cứu đã thiết lập và thực hiện kiểm thử trên 50 kịch bản tấn công điển hình, bao gồm 20 kịch bản SQL Injection (Union-based, Error-based, Blind SQLi), 15 kịch bản Local Attack và leo thang đặc quyền, 10 kịch bản khai thác XSS và 5 kịch bản mô phỏng kiểm soát tải dữ liệu. Nghiên cứu áp dụng phương pháp chọn mẫu có chủ đích (purposive sampling), tập trung vào các điểm nghẽn dễ bị tổn thương nhất trên website như biểu mẫu đăng nhập, thanh tìm kiếm sản phẩm, tham số HTTP Header và URL query string.

Phương pháp phân tích chính là phân tích thực nghiệm mô phỏng kết hợp kiểm thử thâm nhập (penetration testing). Lý do lựa chọn phương pháp này xuất phát từ tính chất đặc thù của bảo mật máy tính: chỉ thông qua việc tái hiện chính xác hành vi tấn công và đo lường phản hồi thực tế của hệ thống, nhà nghiên cứu mới có thể đánh giá toàn diện mức độ rủi ro và kiểm chứng tính hiệu quả của các giải pháp lập trình an toàn mà không làm suy giảm hiệu năng xử lý.

Toàn bộ quá trình nghiên cứu, xây dựng mã nguồn thử nghiệm và đánh giá kết quả được triển khai trong mốc thời gian 12 tháng, bắt đầu từ tháng 11 năm 2019 và hoàn thành nghiệm thu vào tháng 11 năm 2020.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích thực nghiệm và tổng hợp số liệu đã chỉ ra 4 phát hiện quan trọng:

Thứ nhất, lỗ hổng xuất phát từ việc xử lý dữ liệu đầu vào chiếm tỷ trọng áp đảo trong các cuộc tấn công ứng dụng web. Thống kê giai đoạn 2008 - 2019 cho thấy SQL Injection và XSS liên tục nằm trong danh sách các mối đe dọa hàng đầu, chiếm khoảng 35% đến 42% tổng số vụ rò rỉ dữ liệu được ghi nhận. Thời gian trung bình để các tổ chức khắc phục triệt để một điểm yếu bảo mật dạng này thường kéo dài từ 25 đến 40 ngày, tạo ra khoảng trống thời gian nguy hiểm cho tin tặc khai thác.

Thứ hai, cấu hình phân quyền lỏng lẻo trên máy chủ là nguyên nhân trực tiếp dẫn tới hơn 80% các cuộc tấn công Local Attack thành công. Việc duy trì quyền mặc định CHMOD 750 hoặc 777 cho thư mục public_html cùng chế độ safe_mode ở trạng thái tắt (Off) cho phép kẻ tấn công dễ dàng thực thi các lệnh hệ thống như cat /etc/passwd hay duyệt qua các thư mục lân cận thông qua các hàm PHP nguy hiểm như exec, system, shell_exec.

Thứ ba, việc áp dụng mô hình truy vấn tham số hóa (Prepared Statements) kết hợp với danh sách trắng (Whitelist) kiểm tra biểu thức chính quy (Regular Expression) mang lại hiệu quả ngăn chặn 100% đối với cả hai dạng tấn công Union-based SQL Injection và Blind SQL Injection (bao gồm time-based và response-based). Cơ chế này tách biệt hoàn toàn giữa cấu trúc lệnh SQL và dữ liệu đầu vào của người dùng.

Thứ tư, giải pháp mã hóa tầng cơ sở dữ liệu bằng thuật toán AES cho các bảng dữ liệu trọng yếu (như bảng điểm, số dư tài khoản, mật khẩu) giúp duy trì tính bảo mật dữ liệu tuyệt đối ngay cả trong kịch bản kẻ tấn công đã vượt qua tường lửa và đọc được file lưu trữ thô của hệ quản trị cơ sở dữ liệu.

Thảo luận kết quả

Nguyên nhân cốt lõi khiến các website thương mại điện tử thường xuyên bị tổn thương bắt nguồn từ thói quen nối chuỗi dữ liệu trực tiếp khi xây dựng câu truy vấn SQL động của các lập trình viên, cũng như sự phụ thuộc quá mức vào tường lửa mạng truyền thống vốn không thể phân tích sâu nội dung tầng ứng dụng HTTP. Khi so sánh với các nghiên cứu bảo mật quốc tế, kết quả của luận văn khẳng định rằng việc phòng thủ đơn lẻ tại một tầng là hoàn toàn không đủ. Mô hình kiểm soát 7 giai đoạn được đề xuất tạo ra cơ chế phòng vệ đồng bộ từ bộ lọc tường lửa web (WAF), mã nguồn ứng dụng đến tầng lưu trữ database.

Để minh họa trực quan, các dữ liệu thực nghiệm có thể được trình bày thông qua biểu đồ so sánh thời gian đáp ứng của máy chủ trước và sau khi kích hoạt cơ chế mã hóa AES (độ trễ tăng thêm chỉ ở mức không đáng kể, dao động từ 2,5ms đến 4,8ms trên mỗi giao dịch), cùng bảng thống kê đối chiếu tỷ lệ ngăn chặn thành công các vector tấn công trước và sau khi áp dụng hàm chuẩn hóa dữ liệu. Kết quả này chứng minh rằng giải pháp hoàn toàn khả thi và không gây ảnh hưởng tiêu cực tới trải nghiệm mua sắm của người dùng cuối.

Đề xuất và khuyến nghị

Nhằm nâng cao năng lực tự bảo vệ của các hệ thống thương mại điện tử, nghiên cứu đưa ra 4 giải pháp cụ thể:

Thứ nhất, triển khai mô hình kiểm soát dữ liệu 7 giai đoạn kết hợp tường lửa Web Application Firewall (WAF) và chuẩn hóa dữ liệu đầu vào. Đội ngũ kỹ sư an toàn thông tin cần thiết lập bộ lọc danh sách trắng (whitelist) bằng biểu thức chính quy để kiểm tra kiểu dữ liệu, độ dài và định dạng chuỗi trước khi chuyển vào hệ thống. Giải pháp này hướng tới mục tiêu giảm 95% các gói tin độc hại ngay tại tầng biên, thực hiện hoàn thành trong vòng 3 tháng đầu tiên.

Thứ tư, tái cấu trúc mã nguồn bằng cách chuyển đổi 100% các câu truy vấn động sang mô hình tham số hóa (Prepared Statements / PDO) trong PHP và MySQL. Đội ngũ lập trình viên backend chịu trách nhiệm rà soát toàn bộ các hàm tương tác cơ sở dữ liệu, loại bỏ hoàn toàn việc ghép chuỗi trực tiếp nhằm triệt tiêu 100% nguy cơ tấn công SQL Injection. Lộ trình thực hiện dự kiến kéo dài 6 tháng.

Thứ ba, chuẩn hóa cấu hình an ninh hệ điều hành và máy chủ web. Quản trị viên hệ thống (SysAdmin) cần tiến hành phân quyền chặt chẽ: thiết lập CHMOD 710 cho thư mục public_html, CHMOD 604 hoặc 404 cho các file cấu hình nhạy cảm; đồng thời kích hoạt chế độ an toàn trong file php.ini, vô hiệu hóa danh sách các hàm hệ thống nguy hiểm (disable_functions như readfile, system, exec, shell_exec, passthru). Mục tiêu ngăn chặn 99% khả năng khai thác Local Attack và tải webshell, thực hiện kiểm tra định kỳ hàng tháng.

Thứ hai, tích hợp mã hóa dữ liệu nhạy cảm tầng cơ sở dữ liệu bằng thuật toán AES kết hợp quản lý phiên làm việc bảo mật (Secure Cookie, HTTPS/SSL). Chuyên gia kiến trúc hệ thống cần thiết lập mã hóa tự động cho các trường dữ liệu quan trọng như tài khoản, giao dịch tài chính và thông tin định danh cá nhân. Lộ trình hoàn thiện trong vòng 4 tháng nhằm đảm bảo bảo mật 100% thông tin trọng yếu khi xảy ra sự cố rò rỉ vật lý.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả nghiên cứu của luận văn mang lại giá trị thiết thực cho 4 nhóm đối tượng chính:

Nhóm lập trình viên Web và Kỹ sư phần mềm: Luận văn cung cấp hướng dẫn chi tiết về kỹ thuật lập trình an toàn, cách sử dụng biểu thức chính quy để làm sạch dữ liệu và phương pháp triển khai truy vấn tham số hóa (Prepared Statements) trong PHP/MySQL. Đây là cẩm nang thực hành đắc lực giúp lập trình viên ngăn chặn các lỗi bảo mật phổ biến ngay từ giai đoạn viết mã.

Nhóm Quản trị viên hệ thống và Chuyên viên an ninh mạng (DevOps/SecOps): Tài liệu cung cấp các cấu hình phân quyền máy chủ tối ưu (CHMOD), phương pháp quản lý quyền truy cập tập tin, cách thiết lập file php.ini và cơ chế ngăn chặn webshell để triệt tiêu nguy cơ tấn công Local Attack trên các môi trường máy chủ chia sẻ (Shared Hosting).

Nhóm Doanh nghiệp và Chủ sở hữu sàn Thương mại điện tử: Các nhà quản lý có thể sử dụng mô hình phòng thủ 7 giai đoạn làm cơ sở xây dựng chính sách an toàn thông tin toàn diện, giúp bảo vệ dữ liệu khách hàng, nâng cao uy tín thương hiệu và tuân thủ các tiêu chuẩn an ninh thanh toán trực tuyến.

Nhóm Giảng viên, Học viên cao học và Nghiên cứu sinh ngành Công nghệ thông tin: Đề tài là tài liệu học thuật giá trị, cung cấp phương pháp luận nghiên cứu thực nghiệm, hệ thống hóa các lỗ hổng web và mở ra các hướng nghiên cứu chuyên sâu về an toàn cơ sở dữ liệu.

Câu hỏi thường gặp

Website thương mại điện tử có phải là mục tiêu tấn công ưa thích của tin tặc không? Đúng vậy, các website thương mại điện tử luôn là đích ngắm hàng đầu của tội phạm mạng vì chúng lưu trữ nguồn tài sản số vô cùng giá trị gồm thông tin thẻ tín dụng, tài khoản ngân hàng và dữ liệu cá nhân khách hàng. Theo ước tính từ các báo cáo an ninh mạng, hơn 60% các vụ tấn công có chủ đích đều nhắm vào các hệ thống thanh toán trực tuyến nhằm mục đích tống tiền hoặc trục lợi tài chính bất hợp pháp.

Kỹ thuật SQL Injection khai thác lỗ hổng cơ sở dữ liệu như thế nào? SQL Injection xảy ra khi ứng dụng web không kiểm tra hoặc làm sạch dữ liệu do người dùng nhập vào các biểu mẫu hay tham số URL. Kẻ tấn công sẽ chèn các đoạn mã SQL bất hợp pháp (như toán tử UNION hay ký tự ngắt chuỗi) vào truy vấn động. Khi máy chủ database thực thi, đoạn mã này cho phép tin tặc vượt qua cơ chế xác thực, đọc trộm mật khẩu hoặc xóa toàn bộ cơ sở dữ liệu.

Cơ chế tham số hóa truy vấn (Prepared Statements) ngăn chặn SQL Injection bằng cách nào? Cơ chế Prepared Statements phân tách hoàn toàn giữa giai đoạn biên dịch cấu trúc lệnh SQL và giai đoạn truyền dữ liệu. Các giá trị đầu vào của người dùng chỉ được xem là các tham số thuần túy thông qua các biến giữ chỗ (placeholder) chứ không thể thay đổi ngữ cảnh logic của câu lệnh SQL, từ đó vô hiệu hóa 100% khả năng chèn mã độc của tin tặc.

Làm thế nào để phòng chống nguy cơ Local Attack trên máy chủ web? Để chống Local Attack hiệu quả, quản trị viên cần phân quyền chặt chẽ các thư mục và tập tin (CHMOD 710 cho thư mục web, 604 cho tập tin cấu hình), di chuyển các file chứa thông tin kết nối database ra khỏi thư mục public, đồng thời kích hoạt các cấu hình an toàn trong file cấu hình máy chủ nhằm vô hiệu hóa các hàm thực thi lệnh hệ thống nguy hiểm như exec, system hay shell_exec.

Việc mã hóa dữ liệu bằng thuật toán AES có làm giảm tốc độ website không? Việc mã hóa và giải mã bằng thuật toán AES làm tăng một lượng tài nguyên tính toán nhất định nhưng độ trễ đo lường được trong thực tế chỉ dao động trong khoảng 2ms đến 5ms trên mỗi truy vấn. Mức chênh lệch này là rất nhỏ và không làm ảnh hưởng đến trải nghiệm mua sắm của người dùng, trong khi lại mang lại sự an toàn tuyệt đối cho các dữ liệu nhạy cảm.

Kết luận

• Hệ thống hóa toàn diện cơ chế hoạt động và mức độ nguy hiểm của các kỹ thuật tấn công web phổ biến như SQL Injection, Local Attack, DDoS và XSS đối với nền tảng thương mại điện tử.
• Đề xuất thành công mô hình kiểm soát an toàn dữ liệu 7 giai đoạn kết hợp nhiều lớp phòng thủ từ tầng tường lửa biên, mã nguồn ứng dụng đến hệ quản trị cơ sở dữ liệu.
• Khẳng định tính ưu việt của phương pháp tham số hóa truy vấn (Prepared Statements) và chuẩn hóa danh sách trắng trong việc triệt tiêu hoàn toàn lỗ hổng SQL Injection.
• Xây dựng quy chuẩn phân quyền máy chủ (CHMOD) và tối ưu hóa cấu hình hệ điều hành giúp vô hiệu hóa nguy cơ leo thang đặc quyền qua Local Attack.
• Ứng dụng thành công giải pháp mã hóa dữ liệu AES trên hệ thống website thương mại điện tử thử nghiệm, đảm bảo tính bảo mật và toàn vẹn dữ liệu với độ trễ tối thiểu.

Đóng góp lớn nhất của luận văn là đã gắn kết chặt chẽ giữa lý thuyết bảo mật chuyên sâu và giải pháp kỹ thuật thực nghiệm mang tính ứng dụng cao, giúp giải quyết triệt để bài toán an toàn dữ liệu cho các doanh nghiệp số.

Trong lộ trình tiếp theo từ 3 đến 6 tháng tới, các tổ chức và doanh nghiệp nên nhanh chóng tiến hành đánh giá lại toàn bộ mã nguồn website, cập nhật cấu hình máy chủ theo các khuyến nghị và áp dụng mô hình phòng thủ nhiều lớp để bảo vệ vững chắc tài sản số của mình trước những nguy cơ an ninh mạng ngày càng tinh vi.

Trích đoạn nội dung tài liệu

đặt vấn đề an toàn thông tin lên hàng đầu thì khi gặp phải sự cố thì tác hại đến doanh nghiệp không nhỏ: - Tốn kém chi phí. - Tốn kém thời gian. - Ảnh hưởng đến tài nguyên hệ thống. - Ảnh hưởng đến danh dự, uy tín của doanh nghiệp.

- Mất cơ hội kinh doanh.4 Các thuật ngữ liên quan 1.1 Hacker Hacker là một thuật ngữ dùng để chuyên chỉ những kẻ phá hoại các hệ thống mạng. Hacker thường là những chuyên gia về máy tính. Hacker không tạo ra các kẽ hở cho hệ thống, nhưng Hacker lại là những người am hiểu về hệ điều hành, hệ quản trị dữ liệu, các ngôn ngữ lập trình…Họ sử dụng kiến thức của mình trong việc tìm tòi và khai thác các lỗ hổng của hệ thống mạng. Một số Hacker chỉ dừng lại việc phát hiện và thông báo lỗi tìm được cho những nhà bảo mật hay người phát triển chương trình, họ được xem như là WhiteHat (Hacker nón trắng).

Một số hacker dựa vào những lỗ hổng thực hiện việc khai thác trái phép nhằm mục đích phá hoại hay mưu lợi riêng, những người này bị xem như là BlackHat (Hacker mũ đen). Vì tính chất phổ biến của thuật ngữ hacker, nên trong phần trình bày, luận văn sẽ sử dụng “hacker” thay cho “kẻ tấn công”.2 HTTP Header HTTP header là phần đầu (header) của thông tin mà trình khách và trình chủ gửi cho nhau. Những thông tin trình khách gửi cho trình chủ được gọi là HTTP requests (yêu cầu) còn trình chủ gửi cho trình khách là HTTP responses (trả lời). Thông thường, một HTTP header gồm nhiều dòng, mỗi dòng chứa tên tham số và giá trị.

Một số tham số có thể được dùng trong cả header yêu cầu và header trả lời, còn số khác thì chỉ được dùng riêng trong từng loại. Ví dụ: LUAN VAN CHAT LUONG download : add [e-mail] 11 • Header yêu cầu: GET /tintuc/homnay.1 Accept: */* Accept- Language: en- us Connection: Keep-Alive Host: localhost Referer: http://localhost/lienket.asp User-Agent: Mozilla/4.0) Accept-Encoding: gzip, deflate o Dòng đầu là dòng yêu cầu cho biết phương thức yêu cầu (GET hoặc POST), địa chỉ yêu cầu (/tintuc/homnay.asp) và phiên bản HTTP (HTTP/1. o Tiếp theo là các tham số. Chẳng hạn như: + Accept-Language: Cho biết ngôn ngữ dùng trong trang web.

+ Host: Cho biết địa chỉ của máy chủ. + Referer: Cho biết địa chỉ của trang web tham chiếu tới. o Header của HTTP request sẽ kết thúc bằng một dòng trống. • Header trả lời LUAN VAN CHAT LUONG download : add luanvanchat@agmail.1 200 OK Server: Microsoft-IIS/5.0 Date: Thu, 13 Jul 2000 05:46:53 GMT Content-Length: 2291 Content-Type: text/html Set- Cookie: ASPSESSIONIDQQGGGNCG=LKLDFFKCINFLDMFHCBCBMFLJ; path=/ Cache-control: private <HTML> o Dòng đầu là dòng trạng thái, để cho biết phiên bản HTTP được dùng (HTTP/1.

o Tiếp theo là các tham số. o Tiếp theo là một dòng trống để báo hiệu kết thúc header, tiếp theo là phần thân của HTTP response.3 Session HTTP là giao thức hướng đối tượng tổng quát, phi trạng thái, nghĩa là HTTP không lưu trữ trạng thái làm việc giữa trình duyệt với trình chủ. Sự thiếu sót này gây khó khăn cho một số ứng dụng Website, bởi vì trình chủ không biết được trước đó trình duyệt đã có những trạng thái nào. Vì thế, để giải quyết vấn đề này, ứng dụng Website đưa ra một khái niệm phiên làm việc (Session).

Còn SessionID là một chuỗi để chứng thực phiên làm việc. Một số trình chủ sẽ cung cấp một SessionID cho người dùng khi họ xem trang Website trên trình chủ. Để duy trì phiên làm việc thì sessionID thường được lưu vào: + Biến trên URL + Biến ẩn form + Cookie Phiên làm việc chỉ tồn tại trong một khoảng thời gian cho phép, thời gian này được cấu LUAN VAN CHAT LUONG download : add [e-mail] 13 hình qui định tại trình chủ hoặc bởi ứng dụng thực thi. Trình chủ sẽ tự động giải phóng phiên làm việc để khôi phục lại tài nguyên của hệ thống.4 Cookie Cookie là những phần dữ liệu nhỏ có cấu trúc được chia sẻ giữa trình chủ và trình duyệt của người dùng.

Các cookie được lưu trữ dưới những file dữ liệu nhỏ dạng text, được ứng dụng tạo ra để lưu trữ, truy tìm, nhận biết các thông tin về người dùng đã ghé thăm trang Web và những vùng mà họ đi qua trong trang. Những thông tin này có thể bao gồm tên, định danh người dùng, mật khẩu, sở thích, thói quen.cookie được trình duyệt của người dùng chấp nhận lưu trên đĩa cứng của máy mình, tuy nhiên không phải lúc nào trình duyệt cũng hỗ trợ cookie, mà còn tùy thuộc vào người dùng có chấp nhận chuyện lưu trữ đó hay không. Ở những lần truy cập sau đến trang Website đó, ứng dụng có thể dùng lại những thông tin trong cookie (như thông tin liên quan đến việc đăng nhập vào Yahoo Messenger.) mà người dùng không phải làm lại thao tác đăng nhập hay phải cung cấp lại các thông tin khác. Cookie được phân làm 2 loại secure/non-secure và persistent/non persistent do đó ta sẽ có 4 kiểu cookie là: - Persistent và Secure - Persistent và Non-Secure - Non-Persistent và Secure - Non-Persistent và Non-Secure Persistent cookies được lưu trữ dưới dạng tập tin .txt (ví dụ trình duyệt Netscape Navigator sẽ lưu các cookie thành một tập tin cookie.txt còn Internet Explorer sẽ lưu thành nhiều tập tin *.txt trong đó mỗi tập tin là một cookie) trên máy khách trong một khoảng thời gian xác định.

- Non-persistent cookie thì được lưu trữ trên bộ nhớ RAM của máy khách và sẽ bị hủy khi đóng trang web hay nhận được lệnh hủy từ trang web. - Secure cookies chỉ có thể được gửi thông qua HTTPS (SSL). - Non-Secure cookie có thể được gửi bằng cả hai giao thức HTTPS hay HTTP. Thực chất là đối với secure cookie thì trình chủ sẽ cung cấp chế độ truyền bảo mật.

LUAN VAN CHAT LUONG download : add [e-mail] 14 Domain Flag Path Secure Expiration Name Value www.com FALSE / FALSE 1154029490 Apache 64.16 018996349247 480 o Domain: Tên miền của trang web đã tạo cookie (trong ví dụ trên là www.com) o Flag: mang giá trị TRUE/FALSE - Xác định các máy khác với cùng tên miền có được truy xuất đến cookie hay không. o Path: Phạm vi các địa chỉ có thể truy xuất cookie. Ví dụ: Nếu path là “/tracuu” thì các địa chỉ trong thư mục /tracuu cũng như tất cả các thư mục con của nó như /tracuu/baomat có thể truy xuất đến cookie này. Còn nếu giá trị là “/” thì cookie sẽ được truy xuất bởi tất cả địa chỉ thuộc miền trang web tạo cookie.

o Sercure: mang giá trị TRUE/FALSE - Xác định đây là một secure cookie hay không nghĩa là kết nối có sử dụng SSL hay không. o Expiration: thời gian hết hạn của cookie, được tính bằng giây kể từ 00:00:00 giờ GMT ngày 01/01/1970. Nếu giá trị này không được thiết lập thì trình duyệt sẽ hiểu đây là non-persistent cookie và chỉ lưu trong bộ nhớ RAM và sẽ xoá nó khi trình duyệt bị đóng. o Name: Tên biến (trong trường hợp này là Apache) o Value: Với cookie được tạo ở trên thì giá trị của Apache là 64.16018996349247480 và ngày hết hạn là 27/07/2006, của tên miền [16] LUAN VAN CHAT LUONG download : add luanvanchat@agmail.5 Proxy Proxy cung cấp cho người sử dụng truy xuất Internet những nghi thức đặc biệt hoặc một tập những nghi thức thực thi trên dual_homed host hoặc basion host.

Những chương trình client của người sử dụng sẽ qua trung gian proxy server thay thế cho server thật sự mà người sử dụng cần giao tiếp. Proxy server xác định những yêu cầu từ client và quyết định đáp ứng hay không đáp ứng, nếu yêu cầu được đáp ứng, proxy server sẽ kết nối với server thật thay cho client và tiếp tục chuyển tiếp những yêu cầu từ client đến server, cũng như trả lời của server đến client. Vì vậy proxy server giống cầu nối trung gian giữa server và client. LUAN VAN CHAT LUONG download : add [e-mail] 16 CHƯƠNG 2 CÁC LOẠI TẤN CÔNG WEB PHỔ BIẾN 2.1 Đặc trưng của các Website thương mại điện tử Các Website thương mại điện tử là các Website thương mại được công nghệ hóa và đưa lên môi trường internet.

Thay vì trước đây việc giao dịch mua bán sẽ diễn ra ngoài đời thực thì bây giao dịch đó sẽ diễn ra trên môi trường internet qua nền tảng hoặc website. Đặc điểm của thương mại điện tử Thương mại điện tử hiện nay được cụ thể hóa là các sàn giao dịch thương mại điện tử vì thế nó có những đặc điểm sau:  Thương mại điện tử cho phép chúng ta có sự trao đổi hàng hóa, dịch vụ, sản phẩm, thông tin và tiền tệ thông qua mạng internet hoặc các phương tiện điện tử khác có kết nối mạng  Thương mại điện tử có khả năng cắt giảm chi phí và nâng cao hiệu quả đối vối các quá trình sản xuất kinh doanh hoạt động của hầu hết các doanh nghiệp, tổ chức hiện nay  Thương mại điện tử có thể áp dụng ngay vào các ngành dịch vụ khác như chính phủ điện tử, đào tạo trực tuyến, du lịch,…  Khi công nghệ thông tin và khoa học kỹ thuật phát triển, khả năng liên kết và chia sẻ thông tin giữa doanh nghiệp, nhà cung cấp, nhà phân phối và khách hàng góp phần nâng cao hiệu quả hoạt động kinh doanh, bán hàng  Có sự phân biệt tuyệt đối giữa thương mại điện tử và kinh doanh điện tử hay kinh doanh online: Thương mại điện tử tập trung vào mua bán và trao đổi hàng hóa, dịch vụ, thông tin qua các mạng, các phương tiện điện tử và Internet. Kinh doanh điện tử tập trung vào sự phối hợp các doanh nghiệp, đối tác, khách hàng và tổ chức các hoạt động trong nội bộ doanh nghiệp.  Sự phát triển của thương mại điện tử gắn liền với và có sự tác động qua lại với sự phát triển của công nghệ thông tin và truyền thông.

Cũng nhờ sự sự phát triển của công nghệ thông tin và truyền thông mà thương mại điện tử có cơ hội ra đời và phát triển. Tuy nhiên, sự phát triển của thương mại điện tử cung thúc đẩy và gợi mở nhiều lĩnh vực của công nghệ thông tin như phần cứng và phần mềm chuyên dùng LUAN VAN CHAT LUONG download : add [e-mail] 17 cho các ứng dụng thương mại điện tử, thanh toán điện tử 2.2 Tổng quan về Local Attack 2.1 Giới thiệu về Local Attack Local attack là một trong những kiểu hack rất phổ biến và không được khuyên dùng. Đối với một web server thông thường khi chúng ta đăng ký một tài khoản trên server nào đó, chúng ta sẽ được cấp một tài khoản trên server đó và một thư mục để quản lý website. Ví dụ: tenserver/tentaikhoancuaban.

Tương tự như vậy, cũng có một tài khoản của người dùng khác: tenserver/taikhoan1.