Khung Kiểm Thử Bảo Mật Tự Động Cho Purple Team

Khóa luận tốt nghiệp nghiên cứu tốt nghiệp an toàn thông tin xây dựng khung kiểm thử bảo mật tự động cho purple team, vận dụng lý thuyết vào thực tế, đề xuất giải pháp cụ thể cho

• Tác giả: Tran Duc Hung
• Người hướng dẫn: Ts. Pham Van Hau
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Kỹ sư ngành An toàn thông tin
• Đề tài: Khung Kiểm Thử Bảo Mật Tự Động Cho Purple Team
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Mục tiêu nghiên cứu
• 1.3. Phạm vi nghiên cứu
• 1.4. Tính ứng dụng
• 1.5. Phương pháp thực hiện
• 1.6. Cấu trúc Khóa luận tốt nghiệp
• 2. CHƯƠNG 2: TỔNG QUAN TÌNH HÌNH NGHIÊN CỨU
• 2.1. Tình hình nghiên cứu và các công trình liên quan
• 2.2. Tính mới và tính khoa học của đề tài
• 3. CHƯƠNG 3: CƠ SỞ LÝ THUYẾT
• 3.1. Kiểm thử xâm nhập và tự động hoá quá trình kiểm thử xâm nhập
• 3.1.1. Tổng quan về Kiểm thử xâm nhập
• 3.1.2. Các hình thức thực hiện pentest
• 3.2. Lý do cần phải thực hiện kiểm thử xâm nhập
• 4. CHƯƠNG 4: PHƯƠNG PHÁP THỰC HIỆN
• 4.1. Xây dựng bộ khung tự động hóa quá trình kiểm thử xâm nhập
• 4.2. Tìm kiếm thông tin
• 4.3. Tìm kiếm lỗ hổng bảo mật web
• 4.4. Hiện thực hóa quá trình
• 5. CHƯƠNG 5: HIỆN THỰC VÀ THỰC NGHIỆM
• 5.1. Môi trường thực nghiệm
• 5.2. Quá trình tìm kiếm lỗ hổng
• 5.7. Kết quả thực nghiệm trên testphp.com của Acunetix
• 5.8. Kết quả thực nghiệm trên hack.io của Zeus
• 5.9. Kết quả thực nghiệm trên hack.io của Acunetix
• 5.10. Kết quả thực nghiệm trên trang thực tế của Zeus
• 5.11. Kết quả thực nghiệm trên trang thực tế của Acunetix
• 6. CHƯƠNG 6: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 6.1. Kết luận
• DANH SÁCH HÌNH
• DANH SÁCH BẢNG
• DANH MỤC TỪ VIẾT TẮT
• DANH MỤC TỪ TẠM DỊCH
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng quan về Khung Kiểm Thử Bảo Mật Tự Động Cho Purple Team

Khung kiểm thử bảo mật tự động cho Purple Team là một giải pháp tiên tiến nhằm nâng cao khả năng bảo mật cho các tổ chức. Nó kết hợp giữa các phương pháp kiểm thử xâm nhập và tự động hóa, giúp phát hiện và xử lý lỗ hổng một cách hiệu quả. Việc áp dụng khung này không chỉ giúp tiết kiệm thời gian mà còn tăng cường độ chính xác trong quá trình kiểm thử.

1.1. Khái niệm về Purple Team và vai trò của nó trong bảo mật

Purple Team là sự kết hợp giữa Red Team (tấn công) và Blue Team (phòng thủ). Mục tiêu của Purple Team là cải thiện khả năng bảo mật thông qua việc chia sẻ thông tin và hợp tác giữa các nhóm. Điều này giúp phát hiện lỗ hổng nhanh chóng và hiệu quả hơn.

1.2. Tại sao cần khung kiểm thử bảo mật tự động

Khung kiểm thử bảo mật tự động giúp giảm thiểu thời gian và công sức cần thiết cho việc kiểm tra. Nó cho phép các tổ chức phát hiện lỗ hổng một cách nhanh chóng và tự động hóa quy trình xử lý, từ đó nâng cao khả năng bảo mật tổng thể.

II. Những thách thức trong việc kiểm thử bảo mật hiện nay

Mặc dù có nhiều công cụ hỗ trợ, việc kiểm thử bảo mật vẫn gặp nhiều thách thức. Các cuộc tấn công ngày càng tinh vi, yêu cầu các tổ chức phải liên tục cập nhật và cải thiện quy trình kiểm thử. Thêm vào đó, việc thiếu hụt nhân lực có chuyên môn cũng là một vấn đề lớn.

2.1. Các cuộc tấn công mạng ngày càng tinh vi

Các cuộc tấn công mạng hiện nay không chỉ đơn giản là xâm nhập mà còn bao gồm nhiều kỹ thuật phức tạp như tấn công từ chối dịch vụ (DDoS) và tấn công lừa đảo. Điều này đòi hỏi các tổ chức phải có biện pháp phòng ngừa hiệu quả.

2.2. Thiếu hụt nhân lực chuyên môn trong lĩnh vực bảo mật

Nhiều tổ chức gặp khó khăn trong việc tìm kiếm và duy trì đội ngũ chuyên gia bảo mật. Điều này dẫn đến việc không thể thực hiện kiểm thử bảo mật một cách hiệu quả, làm tăng nguy cơ bị tấn công.

III. Phương pháp xây dựng khung kiểm thử bảo mật tự động

Việc xây dựng khung kiểm thử bảo mật tự động bao gồm nhiều bước quan trọng. Đầu tiên, cần xác định các yêu cầu và mục tiêu cụ thể. Sau đó, phát triển các công cụ và quy trình để tự động hóa việc kiểm thử và xử lý lỗ hổng.

3.1. Xác định yêu cầu và mục tiêu kiểm thử

Xác định rõ ràng các yêu cầu và mục tiêu kiểm thử là bước đầu tiên quan trọng. Điều này giúp định hướng cho toàn bộ quy trình kiểm thử và đảm bảo rằng các lỗ hổng được phát hiện và xử lý kịp thời.

3.2. Phát triển công cụ tự động hóa kiểm thử

Cần phát triển các công cụ tự động hóa để thực hiện kiểm thử xâm nhập. Những công cụ này sẽ giúp giảm thiểu thời gian và công sức cần thiết cho việc phát hiện lỗ hổng, đồng thời tăng cường độ chính xác.

IV. Ứng dụng thực tiễn của khung kiểm thử bảo mật tự động

Khung kiểm thử bảo mật tự động đã được áp dụng thành công trong nhiều tổ chức. Các kết quả cho thấy việc tự động hóa không chỉ giúp phát hiện lỗ hổng nhanh chóng mà còn cải thiện khả năng phản ứng với các cuộc tấn công.

4.1. Kết quả nghiên cứu từ các tổ chức áp dụng khung

Nhiều tổ chức đã áp dụng khung kiểm thử bảo mật tự động và ghi nhận sự cải thiện rõ rệt trong khả năng phát hiện và xử lý lỗ hổng. Điều này chứng tỏ tính hiệu quả của phương pháp này.

4.2. Các công cụ hỗ trợ kiểm thử bảo mật tự động

Có nhiều công cụ hỗ trợ kiểm thử bảo mật tự động như Acunetix, Burp Suite, và Nessus. Những công cụ này giúp tự động hóa quy trình kiểm thử và phát hiện lỗ hổng một cách nhanh chóng.

V. Kết luận và tương lai của khung kiểm thử bảo mật tự động

Khung kiểm thử bảo mật tự động đang trở thành một phần không thể thiếu trong chiến lược bảo mật của các tổ chức. Tương lai của nó hứa hẹn sẽ mang lại nhiều cải tiến và hiệu quả hơn nữa trong việc bảo vệ hệ thống thông tin.

5.1. Tương lai của tự động hóa trong bảo mật

Tự động hóa trong bảo mật sẽ tiếp tục phát triển, giúp các tổ chức nâng cao khả năng phòng thủ và phản ứng với các cuộc tấn công. Điều này sẽ tạo ra một môi trường an toàn hơn cho các hệ thống thông tin.

5.2. Những xu hướng mới trong kiểm thử bảo mật

Các xu hướng mới như trí tuệ nhân tạo và học máy sẽ được tích hợp vào khung kiểm thử bảo mật tự động, giúp nâng cao khả năng phát hiện và xử lý lỗ hổng một cách hiệu quả hơn.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh chuyển đổi số diễn ra nhanh chóng, công tác đảm bảo an toàn thông tin đối mặt với nhiều thách thức do các cuộc tấn công mạng ngày càng gia tăng về mức độ tinh vi và quy mô thiệt hại. Theo số liệu thống kê năm 2021 được tác giả trích dẫn từ Bộ Thông tin và Truyền thông, hệ thống giám sát ghi nhận 812.902 nguy cơ tấn công mạng nhắm vào các hạ tầng công nghệ thông tin trọng yếu tại Việt Nam (tăng 5,5% so với năm 2020). Trong đó, có 757.064 sự cố khai thác lỗ hổng bảo mật nhắm vào cổng thông tin điện tử và hệ thống chỉ đạo điều hành tác nghiệp, cùng 4.013 sự cố liên quan đến truy cập trái phép.

Để bảo vệ hạ tầng, các tổ chức cần tiến hành kiểm thử xâm nhập (penetration testing - pentest) định kỳ. Tuy nhiên, quy trình pentest thủ công truyền thống phụ thuộc hoàn toàn vào nhân lực trình độ cao, tiêu tốn nhiều ngày công, mang tính lặp lại và dễ bỏ sót lỗ hổng do yếu tố con người. Trong khi đó, các doanh nghiệp vừa và nhỏ thường không đủ ngân sách duy trì đội ngũ chuyên gia bảo mật chuyên trách. Mặt khác, các công cụ kiểm thử tự động hiện hành trên thị trường chủ yếu dừng lại ở khâu rà quét, phát hiện đơn lẻ mà thiếu cơ chế xử lý, phản ứng khắc phục ngay sau khi tìm thấy điểm yếu.

Trước thực trạng đó, khóa luận xác định các mục tiêu và phạm vi cụ thể:

1. Mục tiêu nghiên cứu: Xây dựng một khung (framework) kiểm thử xâm nhập tự động dành cho đội tím (purple team) mang tên Zeus, tích hợp khả năng phát hiện sớm lỗ hổng web và tự động hóa quy trình xử lý, vá khẩn cấp thông qua tường lửa nhằm giảm tải khối lượng công việc thủ công và nâng cao độ chính xác.
2. Nhiệm vụ nghiên cứu:
   • 1. Nghiên cứu phương thức thu thập thông tin trinh sát (Recon) và dò quét bề mặt tấn công của ứng dụng web.
   • 2. Xây dựng kỹ thuật phát hiện tự động các lỗ hổng phổ biến (SQL Injection, Cross-Site Scripting, Command Injection, Local File Inclusion) và các lỗ hổng đã công bố (CVE).
   • 3. Thiết kế cơ chế tự động sinh luật bảo vệ và cập nhật cấu hình cho tường lửa ứng dụng web (WAF) để ngăn chặn khai thác ngay sau khi phát hiện.
   • 4. Thực nghiệm, so sánh đánh giá hiệu quả của hệ thống với các công cụ thương mại và mã nguồn mở trên các nền tảng thử nghiệm tiêu chuẩn.
3. Đối tượng và phạm vi nghiên cứu:
   • Đối tượng nghiên cứu: Quy trình kiểm thử xâm nhập hộp đen (black-box pentest) trên ứng dụng web; các lỗ hổng thuộc danh mục OWASP Top 10; kỹ thuật tạo tải trọng (payload) kiểm thử và cơ chế phòng thủ bằng tường lửa ModSecurity.
   • Phạm vi không gian và công nghệ: Môi trường ứng dụng web mục tiêu ban đầu không có WAF bảo vệ; các nền tảng kiểm thử tiêu chuẩn gồm DVWA, bWAPP, testphp.vulnweb.com, hack.io và các website thực tế.
   • Thời gian thực hiện: Đề tài được hoàn thành và bảo vệ vào tháng 07 năm 2022 tại Trường Đại học Công nghệ Thông tin - Đại học Quốc gia TP. Hồ Chí Minh.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng nội dung dựa trên các khái niệm an toàn thông tin nền tảng, mô hình chuẩn quốc tế và quy trình kỹ thuật chuyên sâu:

• Khái niệm cốt lõi: Làm rõ sự khác biệt giữa ba thành tố: Lỗ hổng (Vulnerabilities) - điểm yếu nội tại của hệ thống; Khai thác (Exploits) - hành vi lợi dụng lỗi phần mềm/lệnh để tạo hành vi bất thường; Tải trọng (Payloads) - đoạn mã hoặc dữ liệu được tiêm vào điểm yếu mục tiêu.
• Hình thức kiểm thử: Tập trung vào kiểm thử hộp đen (black-box testing / blind testing) - kỹ thuật tiếp cận hệ thống từ góc nhìn của kẻ tấn công thực tế mà không được cung cấp trước thông tin kiến trúc, mã nguồn hay sơ đồ mạng.
• Chu trình 5 giai đoạn của Pentest: Bao gồm (1) Lập kế hoạch và trinh sát (Planning and reconnaissance); (2) Quét và phân tích phản hồi (Scanning); (3) Giành quyền truy cập (Gaining access); (4) Duy trì quyền truy cập (Maintaining access); (5) Phân tích kết quả và cấu hình WAF (Analysis and WAF configuration).
• Khung phân loại rủi ro: Danh mục OWASP Top 10 (tập trung vào Injection, Broken Authentication, Sensitive Data Exposure, XML External Entities - XXE, Broken Access Control, Security Misconfiguration, Insecure Deserialization, XSS, Using Components with Known Vulnerabilities, Insufficient Logging & Monitoring) và hệ thống danh mục mã định danh lỗ hổng quốc tế CVE (Common Vulnerabilities and Exposures do MITRE quản lý từ năm 1999).
• Phương pháp nghiên cứu thực nghiệm:
  • Phương pháp phân tích - tổng hợp: Rà soát các giải pháp tự động hóa trước đó, điển hình là mô hình học tăng cường sâu DQN (Deep Q-Learning Network) kết hợp MulVAL của nhóm tác giả Hu et al. (đạt độ chính xác 0,86 nhưng nhiều dương tính giả do dựa trên giả định lý thuyết) và mô hình mạng mồi nhử SCADA linh hoạt của Ajmal et al. (dùng Honeynet, Nova, Conpot, Artillery nhưng mang tính phòng thủ thụ động).
  • Phương pháp thiết kế hệ thống phần mềm: Xây dựng kiến trúc mô-đun hóa độc lập chạy trên nền tảng Linux, phối hợp các công cụ chuyên dụng qua giao tiếp dòng lệnh (CLI subprocess) và API.
  • Kỹ thuật thu thập dữ liệu: Kết hợp phương pháp trinh sát chủ động (brute-force DNS, port scanning) và thụ động (OSINT, truy vấn chứng chỉ số crt.sh, Shodan API, công cụ tìm kiếm lưu trữ Wayback Machine, Google BigQuery).

Thiết kế và triển khai

Hệ thống kiểm thử tự động Zeus được tổ chức thành ba phân hệ chức năng vận hành kế tiếp nhau:

[Mục tiêu Web] 

Kiến trúc chi tiết các phân hệ

1. Phân hệ Trinh sát (Recon):

   • Thu thập tên miền phụ: Sử dụng danh sách từ điển phối hợp truy vấn máy chủ DNS để kiểm tra tính hợp lệ; đồng thời khai thác cơ sở dữ liệu thụ động thông qua các công cụ subfinder, findomain, assetfinder và chứng chỉ SSL/TLS trên crt.sh. Sau khi hợp nhất, hệ thống thực hiện khử trùng lặp và xác thực phân giải tên miền.
   • Xác định cổng và dịch vụ HTTP: Quét dải cổng phổ biến (22, 80, 8000, 5000, 8080, 8443) bằng công cụ Nmap kết hợp Shodan API. Dữ liệu phản hồi được trích xuất banner dịch vụ và quy chuẩn về tệp lưu trữ trung gian có quy ước đặt tên url_port.

2. Phân hệ Rà quét và Phát hiện Lỗ hổng:

   • Phát hiện lỗ hổng đã biết: Tích hợp công cụ Nuclei (ProjectDiscovery), tận dụng kho mẫu kiểm thử (templates) được cộng đồng cập nhật hàng tuần để gửi truy vấn trực tiếp trên đa giao thức (HTTP, DNS, TCP, SSL).
   • Phát hiện lỗ hổng ứng dụng web tự xây dựng:
     • Khám phá tài nguyên: Dùng dirsearch quét vét cạn thư mục ẩn theo từ điển và gospider để thu thập đường dẫn nhúng trong các tệp JavaScript, HTML, CSS cũng như dữ liệu lưu trữ từ Wayback Machine.
     • Tiền xử lý dữ liệu: Sử dụng danh sách đen (blacklist) để loại bỏ các tệp tĩnh không chứa lỗ hổng xử lý logic (như .png, .jpeg, .txt, .pdf).
     • Bóc tách tham số: Dùng thư viện BeautifulSoup phân tích cú pháp HTML nhằm lấy giá trị thuộc tính action, method và tên trường nhập liệu trong thẻ <form>, đồng thời bóc tách các cặp tham số truy vấn nằm sau ký tự ? trong thuộc tính href của thẻ <a>.
     • Cơ chế tiêm tải trọng:
       • SQL Injection (SQLi): Áp dụng kỹ thuật mù dựa trên thời gian (time-based blind). Tải trọng thử nghiệm chèn câu lệnh 1' and sleep(4)--. Nếu phản hồi của máy chủ bị trễ từ 4 giây trở lên so với thời gian xử lý thông thường, hệ thống ghi nhận điểm yếu.
       • Cross-Site Scripting (XSS): Gửi tải trọng chứa mã HTML/JavaScript đi kèm một định danh (ID) duy nhất. Hệ thống phân tích cấu trúc DOM phản hồi; nếu thẻ chứa ID được kích hoạt hoặc render hợp lệ trong trang, lỗ hổng được xác nhận, giúp triệt tiêu kết quả dương tính giả.
       • Operating System Command Injection (OSI): Tiêm lệnh đọc tệp hệ thống chuẩn (/etc/passwd, /etc/hosts) kết hợp tạo trễ hệ điều hành nhằm tránh gây lỗi hệ thống mục tiêu.
       • Local File Inclusion (LFI): Thử nghiệm duyệt thư mục ngược để truy xuất tệp cấu hình hệ điều hành Linux (/etc/passwd).

3. Phân hệ Vá lỗ hổng Khẩn cấp (Patching Server):

   • Nhằm giải quyết nhược điểm ModSecurity không có cơ chế tự cập nhật tập luật theo thời gian thực khi đang chạy, tác giả thiết kế một dịch vụ máy chủ độc lập (Patch Server) đặt cùng máy chủ web đích.
   • Khi phát hiện lỗ hổng, phân hệ quét xuất dữ liệu dưới dạng cấu trúc JSON chứa: tên đường dẫn (route), loại lỗ hổng (vulnerability type) và tham số bị ảnh hưởng (parameter).
   • Patch Server tiếp nhận tệp JSON, biên dịch thành các quy tắc chặn tương ứng (ModSecurity rules), ghi trực tiếp vào tệp cấu hình của ModSecurity và gửi tín hiệu nạp lại cấu hình (reload) cho máy chủ dịch vụ Nginx mà không làm gián đoạn hệ thống.

Nội dung chính theo từng chương

Chương 1: Tổng quan đề tài

Chương 1 trình bày lý do lựa chọn hướng nghiên cứu xuất phát từ thực trạng tấn công mạng tăng cao năm 2021 tại Việt Nam và sự thiếu hụt chuyên gia bảo mật tại các doanh nghiệp vừa và nhỏ. Tác giả xác định mục tiêu là phát triển bộ khung tự động hóa kiểm thử cho purple team có khả năng xử lý khẩn cấp lỗ hổng, xác định phạm vi nghiên cứu xoay quanh môi trường web và các kỹ thuật black-box pentest, đồng thời giới thiệu tổng quan phương pháp thực hiện và cấu trúc 6 chương của khóa luận.

Chương 2: Tổng quan tình hình nghiên cứu

Chương này đánh giá toàn diện các công trình nghiên cứu trong và ngoài nước liên quan đến tự động hóa pentest. Tác giả đối chiếu hai mô hình tiêu biểu: nghiên cứu của Hu et al. dùng thuật toán học tăng cường Deep Q-Learning (DQN) kết hợp Shodan và MulVAL để tìm đường dẫn tấn công tối ưu trên cây tấn công (độ chính xác 0,86 nhưng dễ phát sinh dương tính giả); và nghiên cứu của Ajmal et al. triển khai mạng mồi nhử SCADA với Honeynet, Nova, Conpot, Artillery (mô hình mang tính bị động, phụ thuộc vào việc kẻ tấn công xâm nhập và đòi hỏi nhân lực phân tích log chuyên sâu). Từ đó, tác giả đưa ra bảng so sánh giữa kiểm thử thủ công và kiểm thử tự động:

Tiêu chí	Kiểm thử thủ công	Kiểm thử tự động
Quy trình kiểm thử	Quy trình thủ công, phi tiêu chuẩn, chi phí tùy chỉnh cao	Nhanh, quy trình chuẩn hóa, dễ dàng lặp lại
Quản lý cơ sở dữ liệu tấn công	Bảo trì thủ công, phụ thuộc vào cơ sở dữ liệu công khai, phải viết lại mã khai thác	Cơ sở dữ liệu tấn công được bảo trì và nâng cấp tự động; mã khai thác dùng được cho nhiều nền tảng
Báo cáo	Yêu cầu thu thập và tổng hợp dữ liệu thủ công	Báo cáo được khởi tạo tự động và cho phép tùy chỉnh

Phần cuối chương khẳng định tính mới của đề tài: xây dựng giải pháp tự động khép kín từ trinh sát, phát hiện đến vá lỗ hổng bằng WAF, khắc phục nhược điểm dương tính giả của các phương pháp tiếp cận bằng AI thuần túy.

Chương 3: Cơ sở lý thuyết

Chương 3 hệ thống hóa nền tảng lý thuyết an toàn thông tin cần thiết:

• Phân tích bản chất và ranh giới đạo đức của Penetration Testing; chi tiết hóa các hình thức White box, Gray box và Black box.
• Trình bày 5 giai đoạn tiêu chuẩn của quy trình kiểm thử xâm nhập thực tế.
• Phân tích chi tiết 10 nhóm nguy cơ bảo mật theo OWASP Top 10 kèm các giải pháp phòng chống cơ bản.
• Giới thiệu chuẩn định danh lỗ hổng CVE của MITRE.
• Khảo sát các công cụ mã nguồn mở và thương mại được tham chiếu trong đề tài: Nmap (công cụ quét cổng chuẩn mực hoạt động trên các giao thức TCP, UDP, SCTP, ICMP); Shodan (công cụ tìm kiếm thiết bị trực tuyến qua cổng dịch vụ); Subfinder, crt.sh (công cụ thu thập subdomain); Nuclei (công cụ quét template lỗ hổng dựa trên Golang với hơn 8.700 lượt gắn sao trên GitHub); Dirsearch (Python) và Gospider (Golang) phục vụ tìm kiếm đường dẫn ẩn; ModSecurity Core Rule Set kết hợp Web Server (Nginx, Apache); cùng hai phần mềm đối chuẩn là Acunetix và ReconFTW.

Chương 4: Phương pháp thực hiện

Chương 4 mô tả thiết kế chi tiết quy trình xử lý của khung Zeus:

• Thiết lập quy trình trinh sát tên miền phụ bằng phương pháp kết hợp vét cạn từ điển và truy vấn cơ sở dữ liệu trực tuyến, lọc trùng và kiểm tra phản hồi bản ghi DNS.
• Quy trình rà quét dịch vụ mạng bằng cách kết hợp kết quả từ Nmap và Shodan API trên các cổng phổ biến để chuẩn hóa thành tệp danh sách dịch vụ HTTP.
• Quy trình phát hiện lỗ hổng web: tích hợp Nuclei để quét mẫu CVE, đồng thời dùng Dirsearch và Gospider để trích xuất URL; áp dụng bộ lọc định dạng loại bỏ tệp tĩnh (.png, .jpeg, .txt, .pdf); sử dụng BeautifulSoup bóc tách các trường trong thẻ <form> và tham số trong thẻ <a>.
• Thiết kế cơ chế kiểm thử tải trọng: phương pháp time-based blind SQLi qua payload 1' and sleep(4)--; phương pháp phân tích DOM HTML gán ID định danh chống dương tính giả cho XSS; kiểm tra đọc tệp /etc/passwd và tạo độ trễ đối với OSI/LFI.
• Thiết kế quy trình vá lỗi tự động thông qua Patch Server giao tiếp dữ liệu JSON và nạp luật động vào ModSecurity trên nền Nginx.

Chương 5: Hiện thực và Thực nghiệm

Chương 5 cung cấp chi tiết mã nguồn hiện thực hóa các chức năng của Zeus bằng ngôn ngữ Python:

• Hiện thực mô-đun Recon: viết lệnh điều khiển tiến trình gọi các công cụ ngoại vi (findomain, assetfinder) qua thư viện subprocess, kết nối và xử lý dữ liệu Shodan API qua khóa định danh (API_KEY).
• Hiện thực mô-đun quét lỗ hổng: gọi lệnh thực thi dirsearch và gospider ở chế độ nền; xây dựng hàm parse_form và parse_link sử dụng thư viện BeautifulSoup để tự động lấy action, method, param_name từ mã nguồn HTML.
• Thiết lập môi trường và kịch bản thực nghiệm: triển khai kiểm thử trên các môi trường cục bộ chuẩn hóa gồm DVWA (Damn Vulnerable Web Application), bWAPP, và các nền tảng kiểm thử trực tuyến như testphp.vulnweb.com, hack.io cùng các trang web thực tế nhằm so sánh độ chính xác và tốc độ phát hiện giữa Zeus và phần mềm thương mại Acunetix.

Chương 6: Kết luận và hướng phát triển

Chương 6 tổng kết các kết quả đã đạt được của đề tài trong việc xây dựng hoàn chỉnh công cụ tự động hóa kiểm thử và vá lỗ hổng cho purple team, đồng thời chỉ ra các hạn chế kỹ thuật và đề xuất các giải pháp nâng cấp trong tương lai.

Kết quả và đóng góp

Khóa luận ghi nhận các kết quả thực nghiệm và đóng góp cụ thể:

• Xây dựng thành công bộ khung Zeus: Hiện thực hóa quy trình kiểm thử xâm nhập tự động khép kín từ khâu thu thập thông tin mục tiêu, rà quét bề mặt tấn công, phát hiện điểm yếu cho tới khâu tạo luật vá lỗi khẩn cấp mà không cần sự can thiệp thủ công của chuyên gia.
• Triệt tiêu dương tính giả trong phát hiện XSS: Việc áp dụng kỹ thuật gán định danh duy nhất vào tải trọng và kiểm tra cấu trúc DOM HTML giúp phân hệ phát hiện XSS đạt độ tin cậy tuyệt đối, không ghi nhận trường hợp dương tính giả nào trong quá trình thử nghiệm.
• Cơ chế vá lỗ hổng tự động qua WAF: Giải quyết được bài toán tự động sinh luật bảo vệ khẩn cấp cho ModSecurity và nạp lại cấu hình Nginx bằng dữ liệu JSON trung gian, giúp che giấu dấu hiệu hiện diện của WAF trước kẻ tấn công và duy trì hiệu năng vận hành của máy chủ đích.
• Hiệu quả thực nghiệm so sánh: Hệ thống được thực nghiệm đối chiếu trực tiếp với phần mềm thương mại Acunetix trên các nền tảng DVWA, bWAPP, testphp.vulnweb.com, hack.io và các trang web thực tế. Bộ khung Zeus chứng minh khả năng phát hiện chính xác các lỗ hổng tiêm tải trọng (SQLi, XSS, Command Injection, LFI) với tốc độ cao nhờ mô hình thực thi phân tán và cơ chế rà quét đa luồng.
• Đóng góp về mặt giải pháp: Cung cấp giải pháp kỹ thuật có tính ứng dụng cao cho các doanh nghiệp vừa và nhỏ, giúp giảm tải khối lượng công việc cho đội ngũ vận hành an toàn thông tin (purple team) mà không đòi hỏi chi phí đầu tư nhân sự quá lớn.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận thẳng thắn chỉ ra các hạn chế kỹ thuật còn tồn tại trong phiên bản hiện tại của hệ thống:

• Cơ chế phát hiện SQL Injection dựa trên độ trễ thời gian (time-based blind) có nguy cơ phát sinh dương tính giả đối với các hệ thống mục tiêu có độ trễ mạng cao hoặc máy chủ có cấu hình phần cứng quá thấp; đồng thời phương pháp này chưa hỗ trợ phát hiện SQLi trên các hệ quản trị cơ sở dữ liệu như MSSQL và NoSQL.
• Mô hình kiểm thử hiện tại mới tập trung vào ứng dụng web trong điều kiện mục tiêu chưa được bảo vệ bởi một tường lửa ứng dụng web nào khác từ trước.

Từ các hạn chế trên, tác giả đề xuất các hướng mở rộng:

• Bổ sung cơ chế kiểm tra lại (re-check) đa tầng để xác minh chính xác các phản hồi trễ của SQLi, mở rộng tập tải trọng hỗ trợ các hệ quản trị cơ sở dữ liệu MSSQL và NoSQL.
• Nghiên cứu cơ chế tự động co giãn tài nguyên và phân tán mô-đun trên nền tảng điện toán đám mây (cloud computing) nhằm tối ưu hóa hiệu năng tính toán và nâng cao khả năng giám sát tập trung.

Giá trị tham khảo

Đề tài có giá trị tham khảo thiết thực cho các nhóm đối tượng:

• Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính: Là tài liệu tham khảo cụ thể về phương pháp luận kết hợp các công cụ mã nguồn mở (Nmap, Shodan, Nuclei, Dirsearch, Gospider, ModSecurity) thành một quy trình kỹ thuật thống nhất bằng Python.
• Chuyên viên kiểm thử bảo mật (Pentester / Purple Teamer): Cung cấp giải pháp mẫu về việc tự động hóa các khâu thu thập thông tin và bóc tách tham số HTML bằng BeautifulSoup, giúp tối ưu hóa thời gian trong các đợt đánh giá an ninh hộp đen.
• Quản trị viên hệ thống tại các doanh nghiệp vừa và nhỏ: Cung cấp mô hình tham khảo về việc triển khai Patch Server kết hợp ModSecurity trên Nginx để thiết lập cơ chế phòng thủ và vá lỗi khẩn cấp tự động cho các ứng dụng web đang vận hành.

Câu hỏi thường gặp

1. Khung kiểm thử Zeus giải quyết bài toán gì khác biệt so với các công cụ rà quét bảo mật hiện có trên thị trường?
Phần lớn các công cụ hiện hành (như Acunetix, ReconFTW) chỉ tập trung vào khâu trinh sát và phát hiện lỗ hổng mà không có hành động xử lý tiếp theo. Zeus tích hợp quy trình khép kín: tự động trinh sát, tự động phát hiện lỗ hổng và tự động tạo luật vá lỗi khẩn cấp trên tường lửa ModSecurity thông qua Patch Server mà không cần can thiệp thủ công.

2. Phân hệ phát hiện lỗ hổng XSS của Zeus hoạt động theo nguyên lý nào để loại bỏ hoàn toàn dương tính giả?
Tác giả sử dụng phương pháp phân tích DOM HTML kết hợp gắn một mã định danh (ID) duy nhất vào từng tải trọng gửi đi. Sau khi nhận phản hồi từ máy chủ web, hệ thống kiểm tra sự tồn tại của phần tử mang ID đó trong cấu trúc cây DOM; nếu tải trọng thực thi như một phần tử hợp lệ của trang, lỗ hổng mới được xác nhận, loại bỏ hoàn toàn các trường hợp phản hồi chuỗi ký tự thông thường.

3. Kỹ thuật phát hiện SQL Injection trong đề tài được thiết kế như thế nào và còn tồn tại hạn chế gì?
Zeus sử dụng phương pháp phát hiện dựa trên độ trễ thời gian (time-based blind) với tải trọng 1' and sleep(4)--, yêu cầu cơ sở dữ liệu dừng xử lý 4 giây. Nếu phản hồi trả về có độ trễ lớn hơn 4 giây, hệ thống xác định có lỗ hổng. Hạn chế là có thể gây dương tính giả trên các máy chủ có cấu hình yếu hoặc mạng chậm, và hiện tại chưa hỗ trợ phát hiện trên hệ quản trị MSSQL cũng như NoSQL.

4. Cơ chế tự động vá lỗ hổng của Zeus được thực hiện như thế nào để không làm gián đoạn máy chủ web?
Tác giả xây dựng một Patch Server phụ trợ nằm chung trên máy chủ đích. Khi nhận tệp JSON chứa thông tin lỗ hổng (tên đường dẫn, loại lỗi, tham số) từ bộ quét, Patch Server tự động sinh quy tắc chặn tương ứng nạp vào cấu hình của ModSecurity và gửi lệnh reload dịch vụ Nginx. Quá trình này diễn ra tức thì, không ảnh hưởng hiệu năng xử lý của website và không để lộ thông tin WAF cho kẻ tấn công.

Kết luận

Khóa luận tốt nghiệp của tác giả Trần Đức Hùng đã giải quyết thành công bài toán tự động hóa quy trình kiểm thử xâm nhập và phòng thủ khẩn cấp cho purple team thông qua việc xây dựng khung Zeus. Bằng cách kết hợp linh hoạt các công cụ trinh sát chuyên dụng, cơ chế tiêm tải trọng chuẩn xác và mô-đun tự động sinh luật bảo vệ cho ModSecurity trên Nginx, hệ thống đáp ứng tốt yêu cầu giảm tải nhân lực và loại bỏ dương tính giả. Đây là công trình kỹ thuật có giá trị thực tiễn cao, đóng góp một giải pháp an ninh mạng hiệu quả và khả thi cho các tổ chức, doanh nghiệp trong công tác bảo vệ ứng dụng web.

Trích đoạn nội dung tài liệu

Chương 1. Tổng quan dé tài động hoá quá trình kiểm thử bảo mật có khả năng xử lý các lỗ hổng sau khi phát hiện. Từ những ly do trên, tôi quyến định chon dé tài "Xây dung khung kiểm thử bảo mật tự động cho purple team" để làm dé tài nghiên cứu cho khoá luận.2 Mục tiêu nghiên cứu Xây dựng công cụ tự động hóa quá trình kiểm thử xâm nhập cho đội tím nhằm phát hiện sớm lỗ hổng và tự động hóa xử lý khẩn cấp lỗ hổng giúp giảm tải khối lượng công việc cũng như tăng độ chính xác cho quá trình kiểm thử xâm nhập.3 Pham vi nghiên cứu - Các phương thức thực hiện và phát hiện lỗ hổng trong môi trường bảo mật web - Các phương pháp xử lý lỗ hổng hậu phát hiện - Nghiên cứu khả năng mở rộng và tối ưu hoá tài nguyên máy tính sử dụng cho mục đích kiểm thử xâm nhập 1.4 Tính ứng dụng Nghiên cứu của chúng tôi có thể áp dụng cho các doanh nghiệp đang có nhu cầu cải thiện khả năng phát hiện lỗ hổng và xử lý lỗ hổng hậu phát hiện hoặc pentester có như cầu tự động hoá quá trình kiểm thử xâm nhập, quá trình pentest được xây dựng chỉ tiết, dé dang mở rộng và phát triển theo như cầu.5 Phương pháp thực hiện - Tìm hiểu các kiến thức nền tảng về các đối tượng nghiên cứu trong đề tài. - Tìm hiểu các công trình nghiên cứu đã được thực hiện trong và ngoài nước - Đưa ra phương pháp xây dựng và triển khai hệ thống.

Tổng quan dé tài 1.6 Cau trúc Khóa luận tốt nghiệp Qua những gì đã giới thiệu về tổng quan của đề tài thực hiện trong khoá luận tốt nghiệp, tôi xin đưa ra nội dung của Khoá luận tốt nghiệp sẽ được tổ chức như sau: ° Chương] Tổng quan đề tài. ° Chương Tổng quan vẻ tình hình nghiên cứu ° Chương] Cơ sở lý thuyết của khóa luận. ° Chương Phương pháp thực hiện trong khóa luận. ° Chương] Hiện thực và thực nghiệm.

e Chương |6| Kết luận và hướng phát triển của khóa luận. Chương 2 Tổng quan tình hình nghiên cứu 2.1 Tình hình nghiên cứu và các công trình liên quan Trong thời gian gần đây, van dé an toàn thông tin trong doanh nghiệp đang được chú trọng và dau tư, đặc biệt sau các vụ tan công mạng, các doanh nghiệp vừa và nhỏ phải biết bảo vệ khỏi nguy cơ tân công vào cơ sở hạ tầng.902 nguy cơ tắn công mạng, tăng 5,5% so với năm 2020, trong đó 757.064 là các tấn công mạng khai thác lỗ hổng bảo mật, nhắm vào các hệ thống cổng thông tin điện tử, các hệ thống chỉ đạo điều hành tác nghiệp.013 là các tan công mạng liên quan đến các hình thức truy cập trái phép] Do vậy, các doanh nghiệp vừa và nhỏ phải có trang bị cần thiết để giảm thiểu nguy cơ tân công mạng, nhưng đặc điểm ở các doanh nghiệp này thường không có đội ngũ chuyên gia bảo mật. Cho tới hiện tại, quy trình kiểm thử xâm nhập rất phức tạp và phải thực hiện thủ công, chỉ có thể được thực hiện bởi chuyên gia với nhiều năm kinh nghiệm. Người kiểm thử phải viết bản khai thác của riêng họ , học các làm chủ công cu khả dụng được công bố trên mang Internet, gây tẻ nhạt và tốn thời gian.

Dưới đây là bảng so sánh quy trình kiểm thử tự động và thủ công. TNguôn: https://www.vn/mic_2020/Pages/TinIuc/153265/Nam-2021-phat-hien- gan-812-nghin-nguy-co-tan-cong-mang-vao-cac-mang-CNTT-trong-yeu.html Chương 2. Tổng quan tình hình nghiên cứu Thủ công Tự động Quy trình | Quy trình thủ công, phi tiêu | nhanh, quy trình chuẩn, dễ dàng kiểm thử | chuẩn và chi phí tùy chỉnh cao | lặp lại Bảo trì cơ sở dữ liệu là thủ công, ¬ kk „ ¬ x R nn Co so dữ liệu tan công được bao Quan lý cơ | can dựa vào co sở dữ liệu công Co. - l ae tee Ce VỀ a ố QÀ 2 thì và nâng cap tự động.

Mã khai sở dữ liệu | khai, cân việt lại mã tân công l. 1 à thác hoạt động cho nhieu nên tấn công để hoạt động trên các nền tảng mm tảng khác nhau khác nhau 5 Báo cáo Yêu cầu thu thập liệu thủ công | Báo cáo tự động và tùy chỉnh BANG 2.1: Bảng So sáng kiểm thử xâm nhập tự động và kiểm thử xâm nhập thủ công Vậy nên cần có một công cụ tự động hóa toàn bộ quá trình từ rà soát lỗ hổng tới hệ thống phòng thủ, dé dàng triển khai và duy trì. Trước van dé đó, chúng em xây dựng nên giải pháp cho doanh nghiệp, nhằm tự động hóa hoàn toàn quá trình tìm kiếm lỗ hồng, report và bảo vệ máy chủ khỏi các lỗ hổng đó. Một số nghiên cứu liên quan đến giải phát tự động hóa quá trình kiểm thử xâm nhập có thể kể đến như nghiên cứu của nhóm Hu [3] và nghiên cứu của nhóm tác giả Ajmal [1|.

Cụ thể, trong nghiên cứu BÌ, nhóm tác giả Hu sử dụng công cụ shodan để thu thập dữ liệu máy chủ có liên quan nhằm xây dựng cấu trúc liên kết mạng thực tế và sử dụng phân tích lỗ hổng đa tầng đa máy chủ (MulVAL) để tạo cây tan công cho cấu trúc liên kết đó; các thuật toán tìm kiếm truyền thống được sử dụng để tìm tất cả các đường tấn công có thể có trong cây đó và để xây dựng biểu diễn ma trận khi cần bằng các thuật toán học tăng cường sâu. Ở giai đoạn thứ hai, nhóm tác giả sử dụng phương pháp Deep Q-Learning Network (DQN) để khám phá con đường tấn công dễ khai thác nhất từ các ứng viên có thể. Cách tiếp cận này được đánh giá bằng cách tạo ra hàng nghìn kịch bản đầu vào và DỌN có thể tìm ra đường dẫn tối ưu với độ chính xác 0,86, đồng thời cung cấp các giải pháp hợp lệ trong các trường hợp khác. Tổng quan tình hình nghiên cứu DQN PenetrationTools Deep Reinforcement Learning Model Environment HÌNH 2.1: Cấu trúc của khung kiểm thử tu dộng Với cách tiếp cận như Hình|2.1|của nhóm tác giả, giả định tấn công va tìm ra con đường khai thác khả thi nhất, điều này có thể dẫn tới việc phát hiện các trường hợp dương tính giả, vì cách này không đánh giá khả năng tắn công dựa vào điều kiện thực tế mà đánh giá dựa vào giả định, tìm tất cả khả năng và chọn ra khả năng dễ bị tấn công nhất vậy nên trong thực tế việc máy chủ có thể có hoặc không có lỗ hổng này, nên cách tiếp cận của nhóm tác giả không hiệu quả, tuy nhiên việc đánh giá tat cả khả năng có thể tan công vào máy chủ giúp tránh được việc bỏ sót trường hợp mà máy chủ có thể bị tấn công hơn.

Trong nghiên cứu ùl, nhóm tác giả đưa ra giải pháp sử dụng hệ thống mỗi nhử với nhiều node là các Honeynet, Nova, honeyd. Khi kẻ tấn công gửi yêu cầu vào mạng, bộ điều khiển sẽ chuyển yêu cau tới node phù hợp. Hành động của kẻ tân công sẽ được ghi lại với hệ thống nhật ký và được phân tích để xác định kết nối độc hại hoặc mối đe dọa. Nhóm tác giả đã đưa ra giải pháp tạo ra hệ thống mỗi nhứ linh hoạt trong mạng SCADA.

Hệ thống SCADA như hình 2.2|là một mạng lưới các thành phần khác nhau. Hệ thống SCADA thu thập và phân tích dữ liệu Chương 2. Tổng quan tình hình nghiên cứu từ các thiết bị truyền động khác nhau để giám sát thời gian thực. SCADA bao gồm các thành phần, chẳng hạn như PLC (bộ điều khiển logic có thể lập trình), HMI (tương tác giữa người và máy), MTU (Thiết bị đầu cuối chính) và RTU (Điều khiển từ xa thiết bị đầu cuối).

Chúng kết hợp và xây dựng một mạng lưới hoàn chỉnh. PLC giao tiếp với HMI thông qua RTU và MTU. Remote Controller Mininet - 7 h Ovs. sở L ' xế Node 1 u Node 2`.} Node 3 ` Í ATTACK Engagement Need Based le) i — Decoys Orchestrating = | c stp — ( Customized ` — mm m win | required | | Conpot, Nova "> cuca” (Cu ) =~ {Siemens ge Artillery | Isolated PLC's HML | | \ honeypots / , g E nvironment Vai Modbus | server Modbus — inal | | \ | 8 ; y) DataBase Flles Network = B mt mh .DNP |—>*|EEL—>|REI — — : A) \ server — ⁄ : | Admin Can control the creation of new decoys Threat hunters can deeply monitor each activity HINH 2.2: Mạng mỗi nhử SCADA Với cách tiếp cận này, nhóm tác giả đã xây dựng được một hệ thống mỗi nhử với day đủ các giao thức phổ biến hiện nay như: HTTP, FTP, SSH,.

cơ chế hoạt động linh hoạt khi có thể thêm bớt các note trong mạng, dé dàng cau hình hệ thống điều khiển mang đến khả năng mở rộng cao. Thế nhưng mô hình này là một mô hình bị động khi phải chờ tin tặc tấn công vào, rồi phân tích để xác định mối de doa với việc phân tích nhật ký, việc này có thể vượt qua bằng các kỹ thuật cao như sử dụng mã hóa, ẩn kết nối phía sau kết nối hợp lệ,. Sau khi hệ thống xuất báo cáo cho người quản trị, người quản trị cần có rất nhiều kinh nghiệm để xem xét, đánh giá và đưa ra quyết định đối với các hệ thống có chứa những lỗ hổng tương tự trong mạng môi nhử. Điều này dẫn tới việc để vận hành hệ thống này cần có một đội ngũ chuyên gia để phân tích mối đe dọa đã được thống kê.

Sự không chủ động, chờ đợi kẻ tan công vô tình tấn công vào hệ thống mỗi nhử để 8 Chương 2. Tổng quan tình hình nghiên cứu biết được những lỗ hổng tiém tàng trong hệ thống là không an toàn khi những tiêu chí về bảo mật càng ngày càng được nâng cao. Ngoài ra, tôi còn tham khảo các nghiên cứu của nhóm tác giả Al Shebli (ol, Stefinko [7] va Hakluke [2] dé xay dựng công cu tự động hóa quá trình kiểm thử xâm nhập. Tính mới và tính khoa học của đề tài Theo các nghiên cứu đã trình bày ở mục trên, chưa có nhiều công trình nghiên cứu phát triển công cụ tự động hoàn toàn các bước trinh thám, tan công, đến xử lý 16 hổng sau khi phát hiện, các nghiên cứu trên chi tập trung vào việc phát hiện khả năng xâm nhập vào máy chủ dựa vào trí tuệ nhân tạo, tạo ra nhiều kịch bản nhất có thể và đánh giá con đường khả thi nhất, dẫn đến việc bỏ sót lỗ hổng và tạo ra nhiều trường hợp dương tính giả.