Bối cảnh và vấn đề nghiên cứu

Cuộc Cách mạng công nghiệp 4.0 và sự mở rộng của không gian mạng đã thúc đẩy mạnh mẽ quá trình chuyển đổi số trong các hoạt động kinh tế – xã hội. Tuy nhiên, tính chất kết nối không biên giới của Internet cũng đặt ra những thách thức nghiêm trọng về an toàn và trật tự an ninh trên quy mô toàn cầu. Đối với các cơ quan, tổ chức và doanh nghiệp, việc bảo vệ các cổng thông tin và trang web trước các nguy cơ xâm nhập trái phép đã trở thành một yêu cầu cấp thiết.

Theo số liệu thống kê được tác giả dẫn chứng từ các tổ chức an ninh mạng:

  • Trên thế giới, trung bình mỗi ngày ghi nhận khoảng 30.000 website bị tấn công.
  • Tại Việt Nam năm 2019, cứ mỗi 45 phút lại có một trang web bị xâm nhập.
  • Báo cáo an ninh website năm 2019 của CyStack ghi nhận toàn cầu có hơn 560.000 vụ tấn công website; trong đó Việt Nam đứng thứ 11 thế giới với hơn 9.000 website bị tấn công.

Thực tế cho thấy nhiều cuộc tấn công không chỉ nhằm mục đích phá hoại giao diện hay đánh cắp dữ liệu cơ sở dữ liệu, mà còn nhằm chiếm quyền điều khiển máy chủ web để chuyển tiếp thư rác (spam email) hoặc lưu trữ và phân phối các tệp tin bất hợp pháp. Điều này gây rủi ro trực tiếp cho đơn vị chủ quản lẫn khách truy cập. Xuất phát từ thực trạng trên, đồ án tập trung làm rõ các nguyên nhân, phân tích các cơ chế tấn công web phổ biến và xây dựng giải pháp thực nghiệm để nâng cao an toàn cho website.

Mục tiêu nghiên cứu được xác định gồm hai cấp độ:

  1. Mục tiêu tổng quát: Khảo sát, tìm hiểu các hình thức và quy mô của các cuộc tấn công website, từ đó củng cố và hệ thống hóa kiến thức về an toàn bảo mật thông tin nói chung và an toàn bảo mật ứng dụng web nói riêng.
  2. Mục tiêu cụ thể: Vận dụng các kiến thức lý thuyết về an toàn thông tin để triển khai mô hình website thử nghiệm, tích hợp các công cụ bảo mật nhằm gia tăng năng lực phòng thủ và nâng cao mức độ tin cậy của người dùng.

Nhiệm vụ nghiên cứu bao gồm:

  1. Hệ thống hóa các khái niệm, nguyên tắc và mô hình nền tảng trong an toàn hệ thống thông tin.
  2. Phân tích chi tiết cơ chế hoạt động, mức độ ảnh hưởng và biện pháp phòng vệ đối với các phương thức tấn công phổ biến.
  3. Thực hiện tạo lập một website thực tế và cấu hình thử nghiệm các giải pháp bảo mật nhiều lớp bằng plugin chuyên dụng.
  4. Đánh giá mức độ an toàn của website sau khi áp dụng giải pháp thông qua công cụ quét lỗ hổng trực tuyến.

Về đối tượng và phạm vi:

  • Đối tượng nghiên cứu: Các vấn đề kỹ thuật và giải pháp liên quan đến an toàn bảo mật website; các hình thức tấn công mạng nhằm vào dịch vụ web và các cơ chế phòng chống tương ứng.
  • Phạm vi nghiên cứu: Đề tài được thực hiện ở quy mô đồ án môn học của sinh viên, giới hạn trong thời gian ngắn; tập trung nghiên cứu vào môi trường website quản trị nội dung WordPress, khảo sát các mối đe dọa thường gặp (DDoS, SQL Injection, XSS, CSRF) và thử nghiệm tích hợp các giải pháp bảo vệ mức ứng dụng.

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng khung phân tích dựa trên các chuẩn mực và mô hình lý thuyết kinh điển của ngành an toàn thông tin:

1. Khung lý thuyết và mô hình an toàn thông tin

Tác giả định nghĩa dữ liệu (data) là giá trị định tính hoặc định lượng được hình thức hóa để xử lý trên máy tính, và thông tin (information) là dữ liệu đã được xử lý, tổ chức phục vụ nhận thức. An toàn bảo mật thông tin được xác định là quá trình bảo vệ ba thuộc tính cốt lõi cấu thành mô hình tam giác CIA:

  • Tính bí mật (Confidentiality): Giới hạn quyền tiếp cận thông tin chỉ cho những chủ thể được ủy quyền; bảo vệ cả nội dung thông tin lẫn sự tồn tại của thông tin (như việc sử dụng thông báo chung "Invalid user name/password" để tránh lộ diện tài khoản).
  • Tính toàn vẹn (Integrity): Bảo đảm tính nguyên vẹn của nội dung thông tin và tính xác thực của nguồn gốc dữ liệu, ngăn chặn sự chỉnh sửa trái phép hoặc sai lệch do sự cố kỹ thuật.
  • Tính khả dụng (Availability): Đảm bảo tài nguyên và dịch vụ thông tin luôn sẵn sàng phục vụ các truy xuất hợp lệ của người dùng, duy trì khả năng khôi phục nhanh khi xảy ra sự cố.
Thuộc tính an toàn Khái niệm cốt lõi Các công cụ / Biện pháp kỹ thuật tương ứng
Tính bí mật (Confidentiality) Kiểm soát quyền truy cập, ngăn lộ lọt thông tin trái phép Mã hóa (Encryption), Kiểm soát quyền truy cập (Access Control), Xác thực (Authentication), Cấp quyền (Authorization), Bảo mật vật lý (Physical Security)
Tính toàn vẹn (Integrity) Ngăn chặn sửa đổi, bảo toàn nguyên vẹn nội dung và nguồn gốc Sao lưu dữ liệu (Backups), Tổng kiểm tra (Checksums), Mã chỉnh dữ liệu (Data Correcting Codes)
Tính khả dụng (Availability) Duy trì trạng thái sẵn sàng truy cập cho người dùng hợp lệ Bảo vệ vật lý (Physical Protections), Tính toán dự phòng (Computational Redundancies)

Bên cạnh mô hình CIA, tác giả viện dẫn bốn mục tiêu chức năng của an toàn bảo mật: Ngăn chặn (Prevent), Phát hiện (Detect), Phản hồi (Response), và Phục hồi (Recovery). Cơ sở pháp lý và tiêu chuẩn kỹ thuật được tham chiếu bao gồm Luật An toàn thông tin mạng của Việt Nam, các quy định pháp luật quốc tế, vấn đề đạo đức nghề nghiệp, cùng các khung chính sách ATBM của các tổ chức uy tín như NIST (SP 800), ISO 17799, và HIPAA.

Các cơ chế kỹ thuật hỗ trợ thực thi chính sách bảo mật bao gồm:

  • Mã hóa dữ liệu: Chuyển đổi bản rõ (plaintext) sang bản mã (ciphertext) nhằm bảo vệ thông tin nhạy cảm.
  • Điều khiển truy cập: Thực hiện qua 4 bước: Định danh (Identification), Xác thực (Authentication), Cấp quyền (Authorization), và Quy trách nhiệm (Accountability).
  • Chứng thư số và Chữ ký số (Digital Signature): Đảm bảo tính xác thực người gửi và tính chống chối bỏ của dữ liệu giao dịch.

2. Kiến trúc mạng và nền tảng website

Cơ sở lý thuyết về hạ tầng mạng được xây dựng trên phân loại mạng máy tính theo phạm vi địa lý: mạng cục bộ (LAN), mạng đô thị (MAN, phạm vi dưới 100 km), và mạng diện rộng (WAN). Về mặt giao thức, tác giả mô tả mô hình tham chiếu OSI gồm 7 tầng: Vật lý (Physical), Liên kết dữ liệu (Data Link), Mạng (Network), Vận chuyển (Transport), Phiên (Session), Trình bày (Presentation), và Ứng dụng (Application).

Về kiến trúc website, hệ thống hoạt động dựa trên sự tương tác giữa máy chủ web (web server) và trình duyệt web (web browser) của máy trạm thông qua môi trường mạng, cấu thành từ ba thành phần bắt buộc: Tên miền (Domain name), Không gian lưu trữ (Hosting), và Mã nguồn (Source code).

3. Phương pháp nghiên cứu và nguồn dữ liệu

  • Phương pháp nghiên cứu lý thuyết: Thu thập, tổng hợp và phân tích tài liệu kỹ thuật từ các nguồn học thuật và tài liệu an ninh mạng trực tuyến để xây dựng khung khái niệm về bảo mật mạng và website.
  • Phương pháp nghiên cứu thực tiễn: Khảo cứu các đề tài tương đồng, tiến hành thực hành tái lập cấu hình trên môi trường thực tế, tích hợp công cụ phòng thủ và dùng phần mềm quét bảo mật để đối chiếu kết quả.
  • Nguồn dữ liệu: Dữ liệu thứ cấp từ Báo cáo an ninh website năm 2019 của CyStack, các tiêu chuẩn an toàn thông tin quốc tế, và kết quả phân tích trực tiếp từ công cụ quét lỗ hổng Quttera.

Thiết kế và triển khai

Phần thực nghiệm của đồ án được triển khai nhằm thiết lập một hệ thống website hoàn chỉnh và cấu hình giải pháp bảo vệ đa tầng trên nền tảng hệ quản trị nội dung mã nguồn mở WordPress.

1. Môi trường triển khai

  • Nền tảng quản trị nội dung: WordPress, được lựa chọn nhờ khả năng tùy biến cao, kho giao diện và plugin phong phú, đồng thời phản ánh đúng đối tượng website phổ biến thường bị tin tặc nhắm tới trên thực tế.
  • Dịch vụ máy chủ lưu trữ (Hosting) và Tên miền: Sử dụng dịch vụ lưu trữ miễn phí InfinityFree. Quy trình triển khai được tác giả thực hiện qua các bước:
    1. Đăng ký tài khoản người dùng và xác nhận qua thư điện tử trên InfinityFree.
    2. Tạo mới tài khoản hosting, cấu hình tên miền phụ (subdomain) miễn phí và tạo mật khẩu quản trị.
    3. Hoàn tất việc kết nối domain và hosting để chuẩn bị môi trường cài đặt mã nguồn.
    4. Sử dụng trình cài đặt tự động của hệ thống để thiết lập website WordPress, cấu hình thông tin ban đầu và kiểm tra giao diện vận hành hoàn chỉnh trên Internet.

2. Tích hợp các giải pháp bảo mật (Plugin)

Để phòng thủ trước các nguy cơ tấn công ứng dụng web, tác giả lần lượt cài đặt, kích hoạt và cấu hình 5 giải pháp plugin bảo mật chuyên dụng trực tiếp từ bảng điều khiển (Dashboard) của WordPress:

Tên Plugin Loại giải pháp / Chức năng chính trong mô hình thử nghiệm
Wordfence Security Cung cấp tường lửa ứng dụng web (WAF) và trình quét mã độc để ngăn chặn lưu lượng truy cập nguy hiểm.
Sucuri Security Hỗ trợ kiểm tra hoạt động bảo mật, giám sát tính toàn vẹn của tệp tin và cảnh báo mã độc.
iThemes Security Thiết lập các quy tắc khóa tài khoản, hạn chế các phương thức tấn công vét cạn (brute-force) và tăng cường an toàn xác thực.
All In One WP Security and Firewall Áp dụng các quy tắc bảo mật theo tầng, kiểm tra cấu hình tài khoản, bảo vệ tệp tin hệ thống và thiết lập tường lửa.
BulletProof Security Bảo vệ tệp tin cấu hình (.htaccess), chống lại các cuộc tấn công khai thác mã và tăng cường sao lưu dữ liệu.

Quy trình tích hợp từng plugin tuân thủ các bước: truy cập mục quản trị Plugins trên WordPress Dashboard, tìm kiếm theo tên tiện ích, tiến hành tải về, kích hoạt (activate) và khởi tạo cấu hình bảo vệ cho hệ thống.

3. Quy trình kiểm thử và đánh giá an ninh

Sau khi cấu hình các lớp bảo vệ, tác giả thực hiện đánh giá mức độ an toàn của trang web bằng công cụ quét an ninh trực tuyến Quttera. Hệ thống quét trực tiếp tên miền đã triển khai và xuất báo cáo an toàn chi tiết qua 5 phân hệ kiểm tra:

  1. Sitescan report: Báo cáo tổng thể về trạng thái an toàn của website.
  2. Scanned file analysis: Phân tích chi tiết tình trạng mã nguồn và các tệp tin được quét, phát hiện tệp tin nghi ngờ hoặc bị nhiễm mã độc.
  3. Additional information: Cung cấp các thông tin bổ sung về cấu hình và các liên kết bên ngoài của trang web.
  4. Sandbox requests: Kiểm tra hoạt động của website trong môi trường cô lập để theo dõi các yêu cầu mạng bất thường.
  5. Blacklisting status: Kiểm tra trạng thái website trên các danh sách đen (blacklist) của các tổ chức an ninh mạng nhằm xác nhận tên miền có bị cảnh báo nguy hiểm hay không.

Nội dung chính theo từng chương

Chương 1: Tổng quan

Chương 1 trình bày tính cấp thiết của vấn đề an toàn bảo mật website trong bối cảnh cuộc Cách mạng công nghiệp 4.0 và quá trình toàn cầu hóa kỹ thuật số. Tác giả dẫn chứng thực trạng tấn công mạng trên thế giới và tại Việt Nam năm 2019 thông qua số liệu từ CyStack (với hơn 560.000 vụ trên toàn cầu và hơn 9.000 vụ tại Việt Nam, xếp thứ 11 thế giới). Nội dung chương xác định mục tiêu tổng quát, mục tiêu cụ thể, đối tượng nghiên cứu (các hình thức tấn công và biện pháp bảo mật website), phạm vi nghiên cứu (mang tính vi mô của đồ án sinh viên), cùng phương pháp nghiên cứu kết hợp giữa lý thuyết và thực tiễn.

Chương 2: Cơ sở lý thuyết

Chương 2 cung cấp nền tảng lý thuyết có hệ thống về an toàn và bảo mật hệ thống thông tin. Tác giả phân tích các khái niệm cơ bản (Data, Information, Information System, Information System Security), phân tích chi tiết ba thuộc tính của mô hình CIA cùng các công cụ kỹ thuật tương ứng (Mã hóa, Kiểm soát truy cập, Xác thực, Cấp quyền, Bảo mật vật lý; Sao lưu, Tổng kiểm tra, Mã chỉnh dữ liệu; Bảo vệ vật lý, Tính toán dự phòng). Chương này cũng trình bày 4 mục tiêu bảo mật (Prevent, Detect, Response, Recovery), cơ sở pháp lý và tiêu chuẩn kỹ thuật (Luật ATTT, NIST SP 800, ISO 17799, HIPAA), các cơ chế điều khiển truy cập và chữ ký số. Phần sau của chương trình bày tổng quan về website (thành phần, chức năng, dịch vụ), tổng quan mạng máy tính (LAN, MAN, WAN), cấu trúc 7 tầng của mô hình OSI, cùng các mối đe dọa thường trực như gian lận thẻ tín dụng, tấn công DDoS, thiếu giao thức bảo mật và phần mềm độc hại.

Chương 3: Tổng quan các hình thức tấn công thường xảy ra ở website

Chương 3 đi sâu khảo sát cơ chế kỹ thuật của 4 hình thức tấn công ứng dụng web phổ biến nhất:

  • Tấn công từ chối dịch vụ (DDoS): Phân tích cơ chế huy động lưu lượng mạng lớn nhằm làm tràn ngập tài nguyên hệ thống, các dấu hiệu nhận biết, hậu quả làm tê liệt dịch vụ, quy trình xử lý sự cố và biện pháp phòng ngừa.
  • Tấn công SQL Injection: Trình bày các biến thể tấn công thông qua việc chèn câu lệnh SQL độc hại vào các trường nhập liệu không được kiểm tra, cơ chế truy vấn cơ sở dữ liệu trái phép, rủi ro rò rỉ hoặc sửa đổi bảng dữ liệu, và các giải pháp lọc dữ liệu đầu vào.
  • Tấn công XSS (Cross-site scripting): Phân loại các dạng XSS phổ biến, cơ chế thực thi mã kịch bản độc hại phía trình duyệt người dùng, hậu quả chiếm phiên làm việc (session hijacking), và kỹ thuật mã hóa đầu ra (output encoding) để ngăn chặn.
  • Tấn công CSRF (Cross Site Request Forgery): Mô tả cơ chế lừa trình duyệt của người dùng đã xác thực thực hiện các yêu cầu không mong muốn đến ứng dụng web, hệ quả thực hiện các giao dịch trái phép, và các biện pháp phòng vệ như sử dụng mã thông báo (CSRF token).
Hình thức tấn công Cơ chế hoạt động chính Mục tiêu tác động Biện pháp phòng tránh cơ bản
DDoS Tạo tải lưu lượng truy cập ảo khổng lồ từ mạng botnet Làm cạn kiệt tài nguyên mạng và tài nguyên máy chủ web Giám sát lưu lượng, lọc gói tin, sử dụng hạ tầng phân tán
SQL Injection Chèn các lệnh SQL bất hợp pháp qua biểu mẫu nhập liệu Cơ sở dữ liệu của ứng dụng web Kiểm tra tính hợp lệ dữ liệu đầu vào, dùng câu lệnh tham số hóa
XSS Nhúng mã kịch bản phía máy khách (JavaScript) vào web Trình duyệt và phiên làm việc của người dùng cuối Mã hóa dữ liệu đầu ra, lọc các thẻ kịch bản nguy hiểm
CSRF Lợi dụng trạng thái xác thực để gửi yêu cầu giả mạo Các hành động giao dịch/quản trị trên máy chủ web Sử dụng CSRF token, xác thực lại đối với thao tác nhạy cảm

Chương 4: Thực hiện và đánh giá các giải pháp đảm bảo an toàn bảo mật website

Chương 4 mô tả toàn bộ quy trình thực nghiệm kỹ thuật của đồ án. Tác giả giới thiệu ưu nhược điểm của CMS WordPress, thực hiện các bước tạo lập website trên dịch vụ lưu trữ InfinityFree (từ khâu đăng ký tài khoản, xác thực email, cấu hình domain/hosting đến khi website hoạt động). Tiếp đó, chương mô tả quy trình tích hợp tuần tự 5 plugin bảo mật: Wordfence Security, Sucuri Security, iThemes Security, All In One WP Security and Firewall, và BulletProof Security. Cuối cùng, tác giả tiến hành rà soát an toàn bằng công cụ Quttera, ghi nhận báo cáo qua các hạng mục Sitescan report, phân tích tệp tin quét, thông tin bổ sung, yêu cầu sandbox và tình trạng danh sách đen.

Chương 5: Kết luận

Chương 5 tổng kết lại toàn bộ kết quả đạt được của đồ án môn học, đối chiếu với các mục tiêu nghiên cứu đã đặt ra, đồng thời đưa ra các định hướng phát triển cho các nghiên cứu tiếp theo nhằm nâng cao năng lực bảo vệ hệ thống web.

Kết quả và đóng góp

1. Kết quả chính kèm số liệu trong văn bản

  • Về mặt lý thuyết: Đồ án đã tổng hợp được bức tranh toàn cảnh về tình hình an ninh mạng năm 2019 với các con số cụ thể: thế giới ghi nhận hơn 560.000 vụ tấn công website; Việt Nam đứng thứ 11 toàn cầu với hơn 9.000 trang web bị xâm nhập; tần suất tấn công tại Việt Nam là 45 phút/vụ; mỗi ngày thế giới có khoảng 30.000 website bị tấn công. Đề tài hệ thống hóa thành công mô hình tam giác CIA, mô hình 7 tầng OSI, các chuẩn NIST SP 800, ISO 17799, HIPAA, và phân tích chi tiết cơ chế hoạt động của 4 hình thức tấn công: DDoS, SQL Injection, XSS, CSRF.
  • Về mặt thực nghiệm: Tác giả đã hoàn thành việc xây dựng một trang web hoạt động thực tế trên nền tảng WordPress kết hợp hosting InfinityFree. Hệ thống được tích hợp thành công 5 giải pháp plugin an ninh (Wordfence, Sucuri, iThemes, All In One WP Security, BulletProof). Kết quả kiểm tra bằng công cụ Quttera cho thấy trang web hoàn thành việc quét phân tích các tệp tin, xác thực không chứa mã độc và không bị liệt vào các danh sách đen (Blacklisting status).

2. Giải pháp và kiến nghị của tác giả

  • Đối với quản trị hệ thống: Cần chủ động trang bị kiến thức về kỹ thuật tấn công và thường xuyên rà soát lỗ hổng bằng các công cụ chuyên dụng để kịp thời vá lỗi trước khi bị khai thác.
  • Đối với triển khai ứng dụng: Áp dụng cơ chế phòng thủ chiều sâu (defense-in-depth), kết hợp giữa việc kiểm soát truy cập nghiêm ngặt, áp dụng tường lửa ứng dụng, bảo vệ tệp tin cấu hình và duy trì sao lưu dữ liệu định kỳ.
  • Đối với chính sách an toàn: Xây dựng chính sách bảo mật dựa trên các tiêu chuẩn quốc tế và tuân thủ các quy định của Luật An toàn thông tin mạng.

3. Đóng góp tự nêu của tác giả

Tác giả tự xác định đồ án là bước đầu làm quen với công tác nghiên cứu mang tính thực nghiệm. Đóng góp của đề tài thể hiện ở việc liên kết kiến thức lý thuyết về các lỗ hổng an toàn thông tin với quy trình thực hành cài đặt, triển khai và đánh giá các công cụ bảo mật sẵn có trên một website thực tế.

Hạn chế và hướng nghiên cứu tiếp

  • Hạn chế: Tác giả thẳng thắn thừa nhận trong phần lời cảm ơn và chương tổng quan rằng do vốn kiến thức và kinh nghiệm còn khiêm tốn, đồng thời là bước đầu tiếp cận nghiên cứu thực nghiệm nên kết quả đạt được không tránh khỏi những hạn chế nhất định. Phạm vi nghiên cứu mới chỉ dừng lại ở quy mô vi mô trong thời gian ngắn của một đồ án môn học, tập trung chủ yếu vào môi trường thử nghiệm WordPress và các công cụ có sẵn mà chưa triển khai kiểm thử xâm nhập chuyên sâu trên các hệ thống phức tạp.
  • Hướng phát triển: Nghiên cứu sâu hơn về các kỹ thuật phòng thủ nâng cao, mở rộng việc phân tích các hình thức tấn công phức tạp khác ngoài 4 hình thức đã khảo sát, và ứng dụng thử nghiệm các giải pháp an toàn bảo mật trên nhiều nền tảng công nghệ web đa dạng hơn.

Giá trị tham khảo

Báo cáo đồ án môn học này có giá trị tham khảo thiết thực trong môi trường đào tạo đại học:

  • Đối tượng sử dụng: Sinh viên chuyên ngành Công nghệ thông tin, An toàn thông tin, Hệ thống thông tin quản lý, hoặc các quản trị viên website mới bắt đầu tiếp cận công tác quản trị và bảo vệ hệ thống.
  • Nội dung có giá trị tham khảo cao:
    • Tài liệu tổng hợp mạch lạc về các khái niệm nền tảng trong an toàn thông tin, đặc biệt là sự phân tách rõ ràng giữa các công cụ phục vụ tính bí mật, toàn vẹn và khả dụng trong mô hình CIA.
    • Hướng dẫn chi tiết từng bước (kèm ảnh chụp màn hình minh chứng trong văn bản gốc) về quy trình đăng ký hosting miễn phí InfinityFree, cài đặt WordPress và tích hợp 5 plugin bảo mật phổ biến.
    • Quy trình sử dụng công cụ quét an ninh trực tuyến Quttera để kiểm tra trạng thái an toàn mã nguồn và tình trạng blacklist của một website.

Câu hỏi thường gặp

1. Báo cáo của CyStack năm 2019 được tác giả dẫn chứng ghi nhận các con số cụ thể nào về tình hình an ninh website?

Theo Báo cáo an ninh website năm 2019 từ CyStack được trích dẫn ở Chương 1, toàn cầu đã xảy ra hơn 560.000 vụ tấn công website. Việt Nam đứng thứ 11 trên thế giới với hơn 9.000 trang web bị tấn công, và tính trung bình cứ mỗi 45 phút trôi qua lại có một website tại Việt Nam bị xâm phạm.

2. Mô hình tam giác CIA được tác giả phân tích gồm những thành phần nào và có những công cụ bảo vệ tương ứng nào?

Mô hình CIA bao gồm:

  • Tính bí mật (Confidentiality): Được bảo vệ bởi các công cụ Mã hóa (Encryption), Kiểm soát quyền truy cập (Access Control), Xác thực (Authentication), Cấp quyền (Authorization), và Bảo mật vật lý (Physical Security).
  • Tính toàn vẹn (Integrity): Được bảo đảm bằng các công cụ Sao lưu (Backups), Tổng kiểm tra (Checksums), và Mã chỉnh dữ liệu (Data Correcting Codes).
  • Tính khả dụng (Availability): Được duy trì bằng các biện pháp Bảo vệ vật lý (Physical Protections) và Tính toán dự phòng (Computational Redundancies).

3. Đề tài khảo sát chi tiết những hình thức tấn công ứng dụng web nào trong Chương 3?

Đồ án khảo sát chi tiết 4 hình thức tấn công thường gặp nhất ở website: Tấn công từ chối dịch vụ (DDoS), Tấn công chèn mã SQL (SQL Injection), Tấn công kịch bản chéo trang (Cross-site scripting - XSS), và Tấn công giả mạo yêu cầu chéo trang (Cross Site Request Forgery - CSRF).

4. Trong phần thực nghiệm, tác giả đã triển khai website trên môi trường nào và cài đặt các plugin bảo mật nào?

Tác giả đã tạo lập một website WordPress trên nền tảng lưu trữ miễn phí InfinityFree, sau đó tích hợp 5 plugin bảo mật gồm: Wordfence Security, Sucuri Security, iThemes Security, All In One WP Security and Firewall, và BulletProof Security.

5. Công cụ quét lỗ hổng nào được sử dụng để đánh giá website và báo cáo của công cụ này gồm những mục nào?

Tác giả sử dụng công cụ quét an ninh trực tuyến Quttera. Báo cáo kiểm tra của Quttera được đánh giá qua 5 phân hệ: Báo cáo quét trang (Sitescan report), Phân tích tệp tin quét (Scanned file analysis), Thông tin bổ sung (Additional information), Yêu cầu hộp cát (Sandbox requests), và Trạng thái danh sách đen (Blacklisting status).

Kết luận

Đồ án môn học "Các giải pháp đảm bảo an toàn bảo mật website" của sinh viên Nguyễn Võ Quốc Huy đã hệ thống hóa đầy đủ các cơ sở lý thuyết nền tảng về an toàn thông tin, mô hình CIA và cơ chế hoạt động của các phương thức tấn công web phổ biến. Thông qua quá trình thực nghiệm trên nền tảng WordPress và hosting InfinityFree, tác giả đã chứng minh tính khả thi của việc kết hợp đa tầng các plugin an ninh để tăng cường phòng thủ cho website. Kết quả kiểm tra bằng công cụ Quttera xác nhận trang web thử nghiệm đạt trạng thái an toàn, cung cấp một quy trình thực hành có giá trị tham khảo rõ ràng cho sinh viên và người làm kỹ thuật trong giai đoạn đầu tiếp cận lĩnh vực an toàn thông tin.