Khóa Luận Tốt Nghiệp: Tích Hợp Bộ Lưu Trữ Tự Động Lỗ Hổng Bảo Mật Và Bản Sửa Lỗi Vào Quy Trình Đánh Giá Bảo Mật Liên Tục Cho Ứng Dụng Web

• Tác giả: Châu Kim Lộc
• Người hướng dẫn: TS. Nguyễn Tấn Cẩm
• Trường học: Đại học Quốc gia Thành phố Hồ Chí Minh - Trường Đại học Công nghệ Thông tin
• Chuyên ngành: An toàn thông tin
• Đề tài: Tích hợp bộ lưu trữ tự động lỗ hổng bảo mật vào quy trình đánh giá bảo mật liên tục cho ứng dụng web
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Thành phố Hồ Chí Minh

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Mục tiêu nghiên cứu
• 1.3. Phạm vi nghiên cứu
• 1.4. Đối tượng nghiên cứu
• 1.5. Phương pháp thực hiện
• 1.6. Ý nghĩa khoa học và thực tiễn của đề tài
• 1.6.1. Ý nghĩa khoa học
• 1.6.2. Ý nghĩa thực tiễn
• 1.7. Cấu trúc Khóa luận tốt nghiệp
• 2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT
• 2.1. Chu kỳ phát triển phần mềm
• 2.1.1. Thu thập và phân tích các yêu cầu
• 2.1.2. Nghiên cứu khả thi
• 2.1.3. Thiết kế
• 2.1.4. Giai đoạn lập trình
• 2.1.5. Kiểm thử
• 2.1.6. Triển khai và bảo trì
• 2.2. Tổng quan về DevOps/DevSecOps, CI/CD, CVE và CVEfixes, Thu thập dữ liệu, Kubernetes, tình hình nghiên cứu và các công trình liên quan
• 2.2.1. DevOps
• 2.2.2. DevSecOps
• 2.2.3. Tích hợp liên tục (CI) và chuyển giao liên tục (CD)
• 2.2.4. CVE, CVEfixes và Thu thập dữ liệu
• 3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN
• 3.1. Giới thiệu những công cụ mã nguồn mở, công nghệ được sử dụng
• 3.2. Mô hình triển khai
• 3.3. Giai đoạn thiết kế
• 3.4. Giai đoạn xây dựng
• 3.5. Giai đoạn kiểm thử
• 3.6. Giai đoạn phát hành và triển khai
• 4. CHƯƠNG 4: THỰC NGHIỆM VÀ ĐÁNH GIÁ KẾT QUẢ
• 4.1. Đánh giá mô hình triển khai
• 4.2. Thực nghiệm quy trình CI/CD cho vi dịch vụ
• 4.2.1. Giai đoạn xây dựng
• 4.2.2. Giai đoạn kiểm thử
• 4.2.3. Giai đoạn phát hành và triển khai
• 4.2.4. Giai đoạn quan sát
• 5. CHƯƠNG 5: KẾT LUẬN
• 5.1. Kết quả
• 5.2. Hướng phát triển
• TÀI LIỆU THAM KHẢO

I. Khóa Luận Tốt Nghiệp

Khóa luận tốt nghiệp này tập trung vào việc tích hợp bộ lưu trữ tự động các lỗ hổng bảo mật vào quy trình đánh giá bảo mật liên tục cho ứng dụng web. Mục tiêu chính là cải thiện tính bảo mật liên tục thông qua việc sử dụng các công cụ mã nguồn mở và phương pháp tự động hóa bảo mật. Khóa luận đề xuất một mô hình hệ thống hoàn chỉnh, từ giai đoạn phát triển đến triển khai, nhằm đảm bảo an toàn thông tin trong môi trường web.

1.1 Tích Hợp Bộ Lưu Trữ Tự Động

Tích hợp bộ lưu trữ tự động là một phần quan trọng của khóa luận. Hệ thống này tự động thu thập và lưu trữ các lỗ hổng bảo mật từ các nguồn công khai như CVE. Bằng cách tích hợp bộ lưu trữ này vào quy trình đánh giá bảo mật, các nhà phát triển có thể nhanh chóng phát hiện và khắc phục các lỗ hổng trước khi chúng trở thành mối đe dọa nghiêm trọng. Phương pháp này giúp tăng cường tính bảo mật liên tục và giảm thiểu rủi ro an ninh.

1.2 Lỗ Hổng Bảo Mật

Lỗ hổng bảo mật là một trong những vấn đề nghiêm trọng nhất trong phát triển ứng dụng web. Khóa luận tập trung vào việc tự động phát hiện lỗ hổng thông qua các công cụ như DependencyCheck và SonarQube. Các lỗ hổng được phân loại và đánh giá dựa trên mức độ nghiêm trọng, từ đó đưa ra các bản vá lỗi phù hợp. Việc quản lý hiệu quả các lỗ hổng bảo mật giúp cải thiện đáng kể tính an toàn của ứng dụng.

II. Quy Trình Đánh Giá Bảo Mật

Quy trình đánh giá bảo mật được thiết kế để đảm bảo tính bảo mật liên tục trong suốt vòng đời phát triển ứng dụng web. Khóa luận đề xuất một quy trình tích hợp các công cụ tự động hóa bảo mật như CI/CD, SAST, và DAST. Quy trình này không chỉ giúp phát hiện lỗ hổng sớm mà còn đảm bảo rằng các bản vá lỗi được áp dụng kịp thời.

2.1 Bảo Mật Liên Tục

Bảo mật liên tục là một khái niệm quan trọng trong khóa luận. Nó đòi hỏi việc tích hợp các biện pháp bảo mật vào mọi giai đoạn của quy trình phát triển, từ thiết kế đến triển khai. Bằng cách sử dụng các công cụ tự động hóa bảo mật, các nhà phát triển có thể đảm bảo rằng ứng dụng luôn được bảo vệ trước các mối đe dọa mới nhất.

2.2 Tự Động Hóa Bảo Mật

Tự động hóa bảo mật là một yếu tố then chốt trong quy trình đánh giá bảo mật. Khóa luận đề xuất việc sử dụng các công cụ như Jenkins và Kubernetes để tự động hóa các quy trình kiểm tra và triển khai. Điều này không chỉ giúp tiết kiệm thời gian mà còn đảm bảo tính nhất quán và độ tin cậy của hệ thống.

III. Ứng Dụng Web

Ứng dụng web là đối tượng chính của khóa luận. Với sự phát triển nhanh chóng của công nghệ, các ứng dụng web ngày càng trở nên phức tạp và dễ bị tấn công. Khóa luận tập trung vào việc áp dụng các phương pháp bảo mật ứng dụng web để đảm bảo rằng chúng luôn được bảo vệ trước các mối đe dọa từ bên ngoài.

3.1 Bảo Mật Ứng Dụng Web

Bảo mật ứng dụng web là một trong những thách thức lớn nhất trong ngành công nghệ thông tin. Khóa luận đề xuất việc sử dụng các công cụ như OWASP ZAP và Burp Suite để kiểm tra và đánh giá tính bảo mật của ứng dụng web. Các công cụ này giúp phát hiện các lỗ hổng phổ biến như SQL Injection và XSS, từ đó đưa ra các biện pháp khắc phục hiệu quả.

3.2 Quản Lý Lỗ Hổng Bảo Mật

Quản lý lỗ hổng bảo mật là một phần không thể thiếu trong bảo mật ứng dụng web. Khóa luận đề xuất một quy trình quản lý lỗ hổng hiệu quả, bao gồm việc thu thập, phân loại và vá lỗi. Bằng cách tích hợp quy trình này vào hệ thống, các nhà phát triển có thể đảm bảo rằng ứng dụng luôn được bảo vệ trước các mối đe dọa mới nhất.