Xây Dựng Các Ca Kiểm Thử An Toàn Thông Tin Cho Ứng Dụng Web

Luận văn thạc sĩ kỹ thuật nghiên cứu xây dựng các ca kiểm thử an toàn thông tin cho ứng dụng web, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Nguyễn Thị Thu Hiền
• Người hướng dẫn: TS. Đặng Đức Hạnh
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Kiểm Thử An Toàn Thông Tin Cho Ứng Dụng Web
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• DANH MỤC KÝ HIỆU, TỪ VIẾT TẮT
• DANH MỤC BẢNG
• DANH MỤC HÌNH VẼ
• MỞ ĐẦU
• 1. CHƯƠNG 1: KHÁI NIỆM CƠ BẢN
• 1.1. Các khái niệm cơ bản trong kiểm thử phần mềm
• 1.1.1. Khái niệm về kiểm thử phần mềm
• 1.1.2. Các phương pháp kiểm thử
• 1.1.3. Các chiến lược kiểm thử
• 1.2. Kiểm thử an toàn thông tin cho ứng dụng web
• 1.2.1. Khái niệm ứng dụng web
• 1.2.2. Hoạt động của một ứng dụng Web
• 1.2.3. Kiểm thử ATTT cho ứng dụng web
• 1.2.4. Quy trình kiểm thử an toàn thông tin
• 2. CHƯƠNG 2: THIẾT KẾ CA KIỂM THỬ ATTT CHO ỨNG DỤNG WEB
• 2.1. Phương pháp thiết kế ca kiểm thử ATTT
• 2.1.1. Tổng hợp nguy cơ về ATTT cho ứng dụng web
• 2.1.2. Tương tác với cơ sở dữ liệu tránh lỗ hổng SQL Injection
• 2.1.3. Xử lý dữ liệu đầu vào tránh lỗ hổng XSS
• 2.1.4. Sử dụng Token trong phương thức GET và POST tránh lỗ hổng CSRF
• 2.1.5. Kiểm tra quyền truy cập của người dùng
• 2.1.6. Kiểm soát các thao tác với file
• 2.1.7. Mã hóa dữ liệu nhạy cảm
• 2.1.8. HTTP Only cookie
• 2.1.9. Chuyển hướng và chuyển tiếp thiếu thẩm tra
• 2.1.10. Thất thoát thông tin và xử lý lỗi không đúng cách
• 2.1.11. Sử dụng captcha an toàn
• 2.1.12. Mật khẩu mạnh
• 2.2. Các ca kiểm thử ATTT
• 2.2.1. Ca kiểm thử mức chung
• 2.2.2. Ca kiểm thử cho chức năng Đăng nhập – Đăng xuất
• 2.2.3. Ca kiểm thử cho chức năng Tìm kiếm
• 2.2.4. Ca kiểm thử cho chức năng Thêm mới
• 2.2.5. Ca kiểm thử cho chức năng Sửa
• 2.2.6. Ca kiểm thử cho chức năng Xóa
• 2.2.7. Ca kiểm thử cho chức năng Xem thông tin
• 2.2.8. Ca kiểm thử cho chức năng Download
• 2.2.9. Ca kiểm thử cho chức năng Upload
• 2.2.10. Ca kiểm thử cho chức năng Import
• 2.2.11. Ca kiểm thử cho chức năng Trang có chuyển hướng
• 2.2.12. Ca kiểm thử liên quan đến dữ liệu nhạy cảm
• 2.2.13. Ca kiểm thử cho chức năng liên quan đến mật khẩu
• 3. CHƯƠNG 3: VẬN DỤNG VÀ CÔNG CỤ HỖ TRỢ
• 3.1. Minh họa phương pháp kiểm thử
• 3.2. Công cụ hỗ trợ
• 3.2.1. Quản lý các ca kiểm thử an toàn thông tin
• 3.2.2. Sinh các ca kiểm thử với từng chức năng của hệ thống website
• KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Kiểm Thử An Toàn Thông Tin Web Tại Sao Quan Trọng

Trong kỷ nguyên số, ứng dụng web đóng vai trò then chốt trong mọi lĩnh vực. Tuy nhiên, sự gia tăng của các cuộc tấn công mạng đặt ra thách thức lớn về an toàn thông tin. Kiểm thử an toàn thông tin cho web không chỉ là một bước kiểm tra thông thường mà là yếu tố sống còn để bảo vệ dữ liệu, uy tín và hoạt động kinh doanh. Các lỗ hổng bảo mật có thể gây ra hậu quả nghiêm trọng, từ rò rỉ dữ liệu nhạy cảm đến gián đoạn dịch vụ và thiệt hại tài chính. Theo USA Today, năm 2012, tội phạm công nghệ cao gây thiệt hại cho nước Mỹ khoảng 67,2 tỷ USD. Do đó, việc chủ động kiểm thử bảo mật web là biện pháp phòng ngừa thiết yếu. Một quy trình security testing web application bài bản giúp phát hiện và khắc phục các lỗ hổng trước khi kẻ tấn công khai thác chúng. Nghiên cứu này sẽ trình bày các phương pháp và ca kiểm thử an toàn thông tin hiệu quả cho ứng dụng web.

1.1. Tầm quan trọng của kiểm thử bảo mật web ứng dụng hiện nay

Kiểm thử bảo mật web ngày càng trở nên quan trọng do sự gia tăng của các mối đe dọa mạng. Hacker liên tục tìm kiếm và khai thác các lỗ hổng trong ứng dụng web để đánh cắp dữ liệu, gây gián đoạn dịch vụ hoặc thực hiện các hành vi phá hoại. Các doanh nghiệp cần phải chủ động kiểm tra và vá các lỗ hổng này để bảo vệ tài sản và uy tín của mình. Việc bỏ qua vulnerability assessment web application có thể dẫn đến những hậu quả nghiêm trọng về pháp lý và tài chính. Theo các chuyên gia Bkav, hầu hết các doanh nghiệp Việt Nam chưa chú trọng đầu tư cho an ninh mạng.

1.2. Các nguy cơ và thách thức bảo mật web ứng dụng phổ biến

Các nguy cơ và thách thức bảo mật web rất đa dạng và phức tạp, bao gồm các lỗ hổng như SQL Injection, XSS, CSRF, và các vấn đề liên quan đến xác thực, ủy quyền, quản lý phiên, và xử lý lỗi. OWASP Top 10 liệt kê các lỗ hổng bảo mật web phổ biến nhất và cung cấp hướng dẫn để ngăn chặn chúng. Các nhà phát triển và kiểm thử viên cần phải hiểu rõ các nguy cơ này và áp dụng các biện pháp bảo mật phù hợp. Việc kiểm thử xâm nhập ứng dụng web (pentest ứng dụng web) giúp xác định các điểm yếu trong hệ thống.

II. Phương Pháp Kiểm Thử An Toàn Thông Tin Web Hộp Đen Trắng Xám

Có nhiều phương pháp kiểm thử an toàn thông tin cho ứng dụng web, mỗi phương pháp có ưu và nhược điểm riêng. Ba phương pháp phổ biến nhất là kiểm thử hộp đen, kiểm thử hộp trắng và kiểm thử hộp xám. Phương pháp kiểm thử hộp đen tập trung vào kiểm tra chức năng của ứng dụng mà không cần biết về cấu trúc bên trong. Phương pháp kiểm thử hộp trắng cho phép kiểm thử viên truy cập vào mã nguồn và cấu trúc dữ liệu của ứng dụng để tìm kiếm các lỗ hổng. Phương pháp kiểm thử hộp xám kết hợp cả hai phương pháp trên, cho phép kiểm thử viên có một phần thông tin về cấu trúc bên trong của ứng dụng. Tùy thuộc vào mục tiêu và nguồn lực, kiểm thử viên có thể lựa chọn phương pháp phù hợp nhất. Luận văn cũng đề cập đến các công cụ kiểm thử an ninh web hỗ trợ quá trình này.

2.1. Kiểm thử hộp đen Ưu điểm và hạn chế trong bảo mật web

Phương pháp kiểm thử hộp đen là cách tiếp cận mà người kiểm thử không có kiến thức về cấu trúc bên trong của ứng dụng web. Họ chỉ tương tác với ứng dụng thông qua giao diện người dùng và đánh giá bảo mật dựa trên các phản hồi. Ưu điểm của phương pháp này là nó mô phỏng cách mà một hacker thực tế sẽ tấn công hệ thống. Tuy nhiên, nhược điểm là có thể bỏ sót các lỗ hổng nằm sâu trong mã nguồn. Kiểm thử viên cần có kỹ năng tốt để thực hiện các ca kiểm thử bảo mật một cách hiệu quả.

2.2. Kiểm thử hộp trắng Phân tích mã nguồn để phát hiện lỗ hổng

Phương pháp kiểm thử hộp trắng đòi hỏi người kiểm thử có kiến thức sâu về mã nguồn của ứng dụng web. Họ sẽ phân tích mã nguồn để tìm kiếm các lỗ hổng bảo mật tiềm ẩn. Ưu điểm của phương pháp này là có thể phát hiện các lỗ hổng phức tạp mà kiểm thử hộp đen có thể bỏ sót. Tuy nhiên, nhược điểm là tốn nhiều thời gian và đòi hỏi kiến thức chuyên môn cao. Việc tuân thủ các secure coding practices là rất quan trọng.

2.3. Kiểm thử hộp xám Kết hợp ưu điểm của cả hai phương pháp

Phương pháp kiểm thử hộp xám là sự kết hợp giữa kiểm thử hộp đen và hộp trắng. Người kiểm thử có một phần thông tin về cấu trúc bên trong của ứng dụng web, nhưng không cần phải biết tất cả chi tiết. Ưu điểm của phương pháp này là có thể tận dụng ưu điểm của cả hai phương pháp, giảm thiểu nhược điểm. Ví dụ, người kiểm thử có thể biết về các security headers được sử dụng, nhưng không cần phải xem mã nguồn chi tiết.

III. Thiết Kế Ca Kiểm Thử ATTT Web Xây Dựng Kịch Bản Kiểm Tra Hiệu Quả

Việc thiết kế ca kiểm thử bảo mật hiệu quả là yếu tố then chốt để đảm bảo an toàn cho ứng dụng web. Một ca kiểm thử tốt cần phải bao phủ các nguy cơ bảo mật tiềm ẩn, dễ thực hiện và có thể tái sử dụng. Quá trình thiết kế ca kiểm thử bao gồm việc xác định các chức năng cần kiểm tra, các nguy cơ bảo mật liên quan, và các bước thực hiện để kiểm tra các nguy cơ đó. Các mẫu ca kiểm thử bảo mật web có thể được sử dụng làm điểm khởi đầu, nhưng cần được tùy chỉnh để phù hợp với đặc thù của từng ứng dụng. Việc sử dụng checklist kiểm thử an toàn thông tin web cũng giúp đảm bảo không bỏ sót các khía cạnh quan trọng.

3.1. Xác định các nguy cơ bảo mật tiềm ẩn cho từng chức năng

Bước đầu tiên trong việc thiết kế ca kiểm thử là xác định các nguy cơ bảo mật tiềm ẩn cho từng chức năng của ứng dụng web. Ví dụ, chức năng đăng nhập có thể bị tấn công bằng brute-force hoặc credential stuffing. Chức năng tìm kiếm có thể bị khai thác bằng SQL Injection. Chức năng tải lên tệp có thể bị lợi dụng để tải lên mã độc. Cần phải xem xét kỹ lưỡng từng chức năng để xác định tất cả các nguy cơ có thể xảy ra. Tham khảo OWASP Top 10 để có danh sách các nguy cơ phổ biến.

3.2. Xây dựng kịch bản kiểm tra chi tiết cho từng nguy cơ

Sau khi xác định các nguy cơ bảo mật, cần xây dựng kịch bản kiểm tra chi tiết cho từng nguy cơ. Kịch bản kiểm tra cần mô tả rõ các bước thực hiện, các giá trị đầu vào cần sử dụng, và các kết quả mong đợi. Ví dụ, để kiểm tra SQL Injection trong chức năng tìm kiếm, kịch bản kiểm tra có thể bao gồm việc nhập các chuỗi đặc biệt vào ô tìm kiếm và kiểm tra xem ứng dụng có trả về lỗi hay không. Các phương pháp kiểm thử hộp đen thường được sử dụng trong bước này.

3.3. Sử dụng công cụ tự động hóa để tăng hiệu quả kiểm thử

Việc sử dụng công cụ kiểm thử an ninh web tự động hóa có thể giúp tăng hiệu quả kiểm thử và giảm thiểu sai sót. Các công cụ này có thể tự động quét các lỗ hổng bảo mật phổ biến, giúp kiểm thử viên tiết kiệm thời gian và công sức. Một số công cụ phổ biến bao gồm Burp Suite, ZAP Proxy, và Nessus. Tuy nhiên, cần lưu ý rằng các công cụ tự động hóa không thể thay thế hoàn toàn cho kiểm thử thủ công. Chúng chỉ là một phần của quy trình kiểm thử toàn diện. Quá trình authorization testing và authentication testing đôi khi cần thực hiện thủ công.

IV. Ứng Dụng Thực Tiễn Kiểm Thử ATTT Web Ví Dụ và Bài Học Kinh Nghiệm

Việc áp dụng các phương pháp và ca kiểm thử an toàn thông tin vào thực tế giúp đánh giá và cải thiện đáng kể mức độ bảo mật của ứng dụng web. Các ví dụ thực tế cho thấy rằng việc bỏ qua kiểm thử bảo mật có thể dẫn đến những hậu quả nghiêm trọng. Ngược lại, việc chủ động kiểm tra và khắc phục lỗ hổng giúp ngăn chặn các cuộc tấn công và bảo vệ dữ liệu người dùng. Các bài học kinh nghiệm từ các dự án kiểm thử thực tế cung cấp những thông tin quý giá để cải thiện quy trình kiểm thử và nâng cao nhận thức về bảo mật. Việc lập báo cáo kiểm thử an toàn thông tin chi tiết giúp các nhà phát triển hiểu rõ các vấn đề bảo mật và có biện pháp khắc phục kịp thời.

4.1. Các ví dụ về kiểm thử ATTT cho chức năng đăng nhập tìm kiếm

Trong chức năng đăng nhập, cần kiểm tra khả năng chống lại các cuộc tấn công brute-force bằng cách giới hạn số lần đăng nhập thất bại và sử dụng CAPTCHA. Cũng cần kiểm tra xem mật khẩu có được lưu trữ an toàn hay không (sử dụng hashing và salting). Trong chức năng tìm kiếm, cần kiểm tra xem có thể khai thác lỗ hổng SQL Injection hay không bằng cách nhập các chuỗi đặc biệt vào ô tìm kiếm. Cần đảm bảo rằng input validation được thực hiện đúng cách.

4.2. Phân tích các trường hợp tấn công web ứng dụng thực tế

Phân tích các trường hợp tấn công web ứng dụng thực tế giúp hiểu rõ hơn về các kỹ thuật tấn công và các lỗ hổng thường bị khai thác. Ví dụ, một cuộc tấn công XSS có thể được thực hiện bằng cách chèn mã JavaScript độc hại vào một trang web. Một cuộc tấn công CSRF có thể được thực hiện bằng cách lừa người dùng thực hiện các hành động không mong muốn. Phân tích các trường hợp này giúp các nhà phát triển và kiểm thử viên nâng cao cảnh giác và có biện pháp phòng ngừa hiệu quả. Logging and monitoring là rất quan trọng để phát hiện các cuộc tấn công.

V. Kết Luận và Hướng Phát Triển Kiểm Thử ATTT Web Tương Lai Bảo Mật

Kiểm thử an toàn thông tin là một quá trình liên tục và không ngừng phát triển. Các framework kiểm thử bảo mật web cần được cập nhật thường xuyên để đối phó với các mối đe dọa mới. Trong tương lai, kiểm thử tự động hóa sẽ đóng vai trò ngày càng quan trọng, nhưng vẫn cần sự tham gia của các chuyên gia bảo mật để đảm bảo tính toàn diện và hiệu quả. Việc nâng cao nhận thức về bảo mật cho các nhà phát triển và người dùng cũng là yếu tố quan trọng để xây dựng một môi trường web an toàn hơn. Session management testing cần được chú trọng để ngăn chặn các cuộc tấn công chiếm đoạt phiên.

5.1. Xu hướng phát triển của kiểm thử ATTT web trong tương lai

Xu hướng phát triển của kiểm thử ATTT web bao gồm việc tăng cường sử dụng trí tuệ nhân tạo (AI) và học máy (Machine Learning) để tự động phát hiện và phân tích các lỗ hổng bảo mật. Cũng có xu hướng sử dụng các phương pháp kiểm thử dựa trên rủi ro (Risk-Based Testing) để tập trung vào các khu vực có nguy cơ cao nhất. Ngoài ra, DevOps và SecDevOps đang trở nên phổ biến, tích hợp bảo mật vào quy trình phát triển phần mềm từ giai đoạn đầu.

5.2. Các khuyến nghị để nâng cao bảo mật web ứng dụng

Các khuyến nghị để nâng cao bảo mật web ứng dụng bao gồm việc thực hiện kiểm thử bảo mật thường xuyên, tuân thủ các tiêu chuẩn bảo mật (ví dụ: PCI DSS), sử dụng các công cụ bảo mật mạnh mẽ, và đào tạo nhân viên về bảo mật. Cũng cần phải theo dõi và cập nhật các bản vá bảo mật thường xuyên để đối phó với các lỗ hổng mới được phát hiện. Error handling cần được thực hiện cẩn thận để tránh rò rỉ thông tin nhạy cảm.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh tội phạm công nghệ cao và an ninh mạng trở thành mối đe dọa thường trực, an toàn thông tin cho ứng dụng web đã trở thành tiêu chuẩn sống còn đối với mọi tổ chức. Theo thống kê của báo chí quốc tế năm 2012, các cuộc tấn công mạng gây thiệt hại kinh tế khoảng 67,2 tỷ USD tại Mỹ và chạm mốc 400 tỷ USD trên toàn cầu, chỉ đứng sau mức thiệt hại 460 tỷ USD từ tội phạm ma túy. Tại Việt Nam, nhiều tổ chức và doanh nghiệp vẫn chưa đầu tư đúng mức cho nhân sự an ninh mạng, khiến các ứng dụng trực tuyến dễ dàng trở thành mục tiêu khai thác của hacker.

Vấn đề cốt lõi đặt ra là hầu hết các quy trình kiểm thử phần mềm truyền thống chỉ tập trung vào kiểm tra tính đúng đắn của chức năng mà bỏ qua việc rà soát các lỗ hổng mã nguồn. Để giải quyết triệt để vấn đề này, luận văn thạc sĩ chuyên ngành Kỹ thuật phần mềm của tác giả Nguyễn Thị Thu Hiền, dưới sự hướng dẫn của Tiến sĩ Đặng Đức Hạnh tại Trường Đại học Công nghệ, Đại học Quốc gia Hà Nội (bảo vệ năm 2014), tập trung vào mục tiêu xây dựng một khung phương pháp luận hoàn chỉnh nhằm thiết kế và chuẩn hóa các ca kiểm thử an toàn thông tin dành riêng cho ứng dụng web.

Phạm vi nghiên cứu bao quát các lỗ hổng bảo mật mã nguồn phổ biến, khảo sát hoạt động tương tác giữa trình duyệt và máy chủ qua giao thức HTTP/HTTPS, đồng thời phân loại ứng dụng thành 13 nhóm chức năng cốt lõi. Ý nghĩa khoa học và thực tiễn của công trình thể hiện ở việc hệ thống hóa 14 nhóm nguy cơ bảo mật nghiêm trọng và xây dựng thành công bộ 115 ca kiểm thử chuẩn mực. Kết quả này cung cấp một công cụ kiểm định vững chắc, giúp giảm thiểu rủi ro bảo mật ngay từ giai đoạn phát triển, bảo vệ toàn vẹn dữ liệu cho hệ thống thông tin.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng dựa trên nền tảng lý thuyết kiểm thử phần mềm hiện đại kết hợp với mô hình kiến trúc web ba lớp gồm Lớp trình bày (Presentation Layer), Lớp ứng dụng (Application Layer) và Lớp dữ liệu (Database Layer). Luận văn tích hợp hai lý thuyết kiểm thử cơ bản là kiểm thử tĩnh (Static Testing) và kiểm thử động (Dynamic Testing), đồng thời khai thác ba chiến lược kiểm định: kiểm thử hộp đen (Black-box), kiểm thử hộp trắng (White-box) và kiểm thử hộp xám (Gray-box). Trong đó, kiểm thử hộp trắng được sử dụng làm trọng tâm để phân tích cấu trúc mã nguồn, giải thuật xử lý và câu truy vấn dữ liệu.

Khung lý thuyết an toàn thông tin của luận văn tập trung nhận diện và phòng chống 14 nhóm nguy cơ bảo mật phổ biến:

• Lỗ hổng SQL/HQL Injection phát sinh khi lập trình viên sử dụng kỹ thuật cộng chuỗi dữ liệu đầu vào.
• Lỗ hổng Cross-Site Scripting (XSS) xuất hiện khi thiếu cơ chế mã hóa 6 ký tự đặc biệt gồm dấu ngoặc nhọn mở, ngoặc nhọn đóng, dấu và, dấu nháy đơn, nháy kép và dấu gạch chéo.
• Lỗ hổng Cross-Site Request Forgery (CSRF) lợi dụng quyền xác thực của người dùng qua phương thức GET và POST.
• Lỗ hổng leo quyền truy cập và thao tác URL Manipulation.
• Các nguy cơ liên quan đến quản lý phiên làm việc như Session Hijacking và Session Fixation.
• Rủi ro mất an toàn trong thao tác tải lên (Upload) và tải xuống (Download) tập tin.
• Rò rỉ thông tin nhạy cảm trên đường truyền không sử dụng HTTPS hoặc mã hóa cơ sở dữ liệu.
• Nguy cơ dò quét tài khoản (User Enumeration), thiếu thuộc tính HTTPOnly trên cookie, chuyển hướng thiếu thẩm tra (Unvalidated Redirects), xử lý ngoại lệ không đúng cách, thiếu mã Captcha an toàn và chính sách mật khẩu yếu.

Phương pháp nghiên cứu

Quy trình nghiên cứu áp dụng phương pháp tiếp cận ba bước có cấu trúc chặt chẽ. Bước đầu tiên phân tích sâu bản chất kỹ thuật của 14 nhóm nguy cơ bảo mật từ các tiêu chuẩn an toàn thông tin thế giới. Bước thứ hai chia cấu trúc ứng dụng web thành 12 nhóm chức năng nghiệp vụ cụ thể kết hợp với 1 nhóm chức năng kiểm tra mức chung toàn hệ thống. Bước thứ ba tiến hành ánh xạ từng cặp nguy cơ và chức năng để thiết kế chi tiết từng kịch bản kiểm thử.

Cỡ mẫu nghiên cứu được xác lập hoàn chỉnh với 115 ca kiểm thử đơn vị, được phân bổ chính xác theo ma trận rủi ro chức năng. Phương pháp chọn mẫu là chọn mẫu có chủ đích theo đặc trưng chức năng phần mềm, bao phủ 100% các tác vụ thao tác dữ liệu tiêu chuẩn (CRUD), quản lý phiên và xác thực người dùng. Lý do lựa chọn phương pháp phân tích hộp trắng kết hợp kiểm thử tham số thông qua các công cụ hỗ trợ như Firebug và Tamper Data là nhằm can thiệp trực tiếp vào mã nguồn phía máy khách (Client-side), trích xuất và biến đổi giá trị Cookie, Header, Request Parameter nhằm giả lập chính xác các hành vi tấn công tinh vi trong môi trường thực tế. Toàn bộ quá trình nghiên cứu và thử nghiệm được hoàn thành trong mốc thời gian năm 2014.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã đạt được 4 phát hiện quan trọng mang tính thực tiễn cao trong lĩnh vực kỹ thuật phần mềm an toàn:

Thứ nhất, việc phân bổ 115 ca kiểm thử trên 13 nhóm chức năng cho thấy mức độ rủi ro bảo mật tập trung không đồng đều giữa các tác vụ. Chức năng Sửa dữ liệu (F5) có mật độ nguy cơ cao nhất với 22 ca kiểm thử (chiếm 19,13% tổng số ca), tiếp theo là chức năng Thêm mới (F4) với 15 ca kiểm thử (chiếm 13,04%), chức năng Tìm kiếm (F3) với 13 ca kiểm thử (chiếm 11,30%), chức năng Upload (F9) với 12 ca kiểm thử (chiếm 10,43%) và chức năng Đăng nhập - Đăng xuất (F2) với 10 ca kiểm thử (chiếm 8,70%). Ngược lại, các chức năng như Trang có chuyển hướng (F11) chỉ cần 1 ca kiểm thử đặc thù (0,87%).

Thứ hai, nghiên cứu xác định lỗi SQL Injection (R1) và lỗi leo quyền truy cập (R4) là hai nguy cơ có phạm vi tác động rộng nhất, xuất hiện lần lượt tại 7 trên 13 và 8 trên 13 nhóm chức năng. Việc không tham số hóa các câu truy vấn qua đối tượng PreparedStatement hay Hibernate Query Language khiến hệ thống bị xâm nhập chỉ bằng các mệnh đề logic đơn giản như phép so sánh luôn đúng.

Thứ ba, nghiên cứu chứng minh cơ chế mã hóa đầu ra cho 6 ký tự HTML đặc biệt gồm nháy kép ("), và (&), nháy đơn ('), gạch chéo (/), dấu nhỏ hơn (<), và dấu lớn hơn (>) giúp triệt tiêu hoàn toàn khả năng thực thi các đoạn mã script độc hại trong các trường văn bản và danh sách chọn.

Thứ tư, nghiên cứu chuẩn hóa các thông số kiểm soát phiên và xác thực: thiết lập định danh SessionID mới sau khi đăng nhập, hủy SessionID cũ ngay khi đăng xuất, cấu hình cờ HTTPOnly cho 100% cookie phiên, giới hạn hiệu lực mật khẩu trong 90 ngày và độ dài tối thiểu 8 ký tự kết hợp 4 nhóm ký tự bắt buộc.

Thảo luận kết quả

Các phát hiện của luận văn có thể được trực quan hóa rõ nét thông qua biểu đồ hình cột thể hiện tần suất ca kiểm thử trên từng chức năng và bảng ma trận đối chiếu giữa 14 nguy cơ với 13 thành phần nghiệp vụ. Dữ liệu từ bảng tổng hợp minh chứng rằng các chức năng có tính chất thay đổi trạng thái cơ sở dữ liệu như Thêm, Sửa, Xóa và Import luôn tiềm ẩn nguy cơ cao gấp 2 đến 3 lần so với các chức năng chỉ đọc như Xem chi tiết hay Chuyển hướng trang.

Nguyên nhân cốt lõi dẫn đến các lỗ hổng nghiêm trọng bắt nguồn từ thói quen lập trình thiếu an toàn, chủ yếu dựa vào kiểm tra dữ liệu phía trình duyệt (Client-side Validation) thay vì xử lý nghiêm ngặt tại máy chủ (Server-side Validation). Khi so sánh với các quy trình kiểm thử thông thường vốn chỉ phát hiện lỗi logic giao diện, phương pháp kiểm thử an toàn thông tin theo ma trận chức năng của luận văn giúp phát hiện thêm hơn 80% các điểm yếu cấu trúc mà kiểm thử hộp đen truyền thống bỏ sót. Điều này khẳng định tính ưu việt của việc kết hợp kiểm thử hộp trắng với việc sử dụng công cụ bắt gói tin chuyên dụng trong phát triển phần mềm web.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu, luận văn đưa ra 4 nhóm giải pháp kỹ thuật cụ thể nhằm nâng cao năng lực an toàn thông tin cho ứng dụng web:

1. Tích hợp bộ 115 ca kiểm thử an toàn thông tin vào quy trình phát triển và tích hợp liên tục (CI/CD). Mục tiêu nhằm giảm thiểu 90% lỗi bảo mật trước giai đoạn phát hành chính thức. Thời gian triển khai dự kiến trong vòng 3 tháng. Chủ thể chịu trách nhiệm thực hiện là Đội ngũ Đảm bảo chất lượng (QA/QC) phối hợp cùng Trưởng nhóm Kỹ thuật phần mềm.

2. Chuẩn hóa quy tắc lập trình an toàn với cơ chế tham số hóa 100% truy vấn cơ sở dữ liệu. Bắt buộc sử dụng đối tượng PreparedStatement và phương thức setParam cho cả câu lệnh SQL và HQL, loại bỏ hoàn toàn kỹ thuật ghép chuỗi dữ liệu đầu vào. Thời gian hoàn thành trong vòng 1 tháng. Đội ngũ Lập trình viên Backend chịu trách nhiệm rà soát và tái cấu trúc mã nguồn.

3. Thiết lập chính sách bảo mật phiên làm việc và mã hóa dữ liệu nghiêm ngặt. Kích hoạt cờ HTTPOnly cho 100% cookie phiên, cấu hình giao thức HTTPS cho mọi kênh truyền dữ liệu nhạy cảm, đặt thời gian hết hạn phiên tự động và triển khai mã Token ngẫu nhiên cho các phương thức POST/GET để ngăn chặn triệt để tấn công CSRF. Thời gian cấu hình hoàn tất trong 2 tuần. Kỹ sư DevOps và Quản trị hệ thống chịu trách nhiệm vận hành.

4. Xây dựng công cụ sinh ca kiểm thử tự động và tổ chức đào tạo chuyên sâu về an toàn thông tin. Nâng cao 85% nhận thức và kỹ năng kiểm thử bảo mật cho nhân sự công nghệ. Thời gian thực hiện định kỳ trong 6 tháng. Chủ thể điều phối là Ban Giám đốc Công nghệ (CTO) phối hợp với các Chuyên gia An toàn thông tin.

Đối tượng nên tham khảo luận văn

Luận văn là tài liệu tham khảo học thuật và thực tiễn giá trị cao dành cho 4 nhóm đối tượng chính:

1. Chuyên viên kiểm thử phần mềm (Software Testers / QA Engineers): Sử dụng trực tiếp danh mục 115 ca kiểm thử chi tiết, học hỏi các bước thao tác từng bước với Firebug và Tamper Data để xây dựng kịch bản kiểm thử bảo mật định kỳ cho các dự án web thực tế.

2. Lập trình viên phát triển ứng dụng Web (Web Developers): Tra cứu các biểu hiện lỗi, cơ chế phát sinh lỗ hổng từ mã nguồn và áp dụng các hướng dẫn phòng chống cụ thể như mã hóa 6 ký tự XSS, sử dụng PreparedStatement và xử lý kiểm tra quyền hạn ở cấp độ máy chủ.

3. Quản lý dự án và Trưởng bộ phận Đảm bảo chất lượng (Project Managers / QA Leads): Ứng dụng khung ma trận đánh giá rủi ro để hoạch định nguồn lực, xây dựng tiêu chuẩn nghiệm thu bảo mật phần mềm trước khi bàn giao cho khách hàng.

4. Giảng viên, Nghiên cứu sinh và Sinh viên ngành Công nghệ thông tin: Khai thác nội dung luận văn như một tài liệu giảng dạy và học tập chuyên sâu về bộ môn Kỹ thuật phần mềm, Kiểm thử phần mềm và An toàn thông tin ứng dụng.

Câu hỏi thường gặp

1. Tại sao chức năng Sửa dữ liệu lại chiếm số lượng ca kiểm thử an toàn thông tin lớn nhất với 22 ca? Chức năng Sửa dữ liệu vừa nhận dữ liệu đầu vào phức tạp, vừa tương tác trực tiếp với cơ sở dữ liệu hiện có và tiềm ẩn nguy cơ leo quyền thông qua việc sửa đổi tham số ID bản ghi. Do đó, chức năng này phải đối mặt đồng thời với 5 nhóm nguy cơ lớn: SQL Injection, XSS, CSRF, kiểm soát truy cập và rò rỉ dữ liệu qua xử lý ngoại lệ.

2. Phương pháp phòng chống lỗ hổng SQL Injection hiệu quả nhất được nêu trong luận văn là gì? Giải pháp triệt để nhất là bắt buộc sử dụng cơ chế tham số hóa câu truy vấn thông qua đối tượng PreparedStatement và gán giá trị bằng phương thức setParam. Lập trình viên tuyệt đối không sử dụng phương pháp cộng chuỗi dữ liệu người dùng nhập vào câu lệnh SQL hoặc HQL để tránh bị thay đổi cấu trúc truy vấn logic.

3. Việc sử dụng công cụ Firebug và Tamper Data mang lại lợi ích gì trong quy trình kiểm thử an toàn thông tin? Các công cụ này cho phép kiểm thử viên xem và sửa đổi mã HTML, Cookie và các tham số gói tin HTTP trước khi gửi lên máy chủ. Nhờ đó, người kiểm thử có thể giả lập chính xác hành vi can thiệp trái phép vào trường dữ liệu bị ẩn, sửa đổi ID quyền hạn hoặc gỡ bỏ các ràng buộc kiểm tra phía máy khách.

4. Vì sao hệ thống bắt buộc phải thiết lập thuộc tính HTTPOnly cho Session Cookie? Thuộc tính HTTPOnly ngăn chặn mã lệnh JavaScript phía máy khách truy cập vào nội dung cookie của phiên làm việc. Khi thuộc tính này được bật, ngay cả khi ứng dụng mắc lỗi Cross-Site Scripting (XSS), kẻ tấn công cũng không thể đánh cắp mã định danh phiên (JSESSIONID/SID) của người dùng để thực hiện hành vi chiếm quyền điều khiển.

5. Chính sách mật khẩu an toàn theo đề xuất của luận văn bao gồm những yêu cầu kỹ thuật nào? Hệ thống cần áp dụng các quy chuẩn kỹ thuật bắt buộc gồm: độ dài mật khẩu tối thiểu 8 ký tự, phải bao gồm đủ 4 nhóm ký tự (chữ hoa, chữ thường, chữ số và ký tự đặc biệt), chu kỳ hiệu lực tối đa là 90 ngày và không cho phép đặt mật khẩu mới trùng lặp với mật khẩu cũ.

Kết luận

• Luận văn hệ thống hóa toàn diện 14 nhóm nguy cơ mất an toàn thông tin đặc trưng trên các ứng dụng web hiện đại.
• Xây dựng thành công bộ ma trận 115 ca kiểm thử bảo mật chi tiết, phân bổ khoa học trên 13 nhóm chức năng nghiệp vụ chuẩn.
• Đề xuất quy trình kiểm thử hộp trắng kết hợp công cụ can thiệp gói tin thực nghiệm, giúp phát hiện chính xác các lỗ hổng tiềm ẩn trong mã nguồn.
• Xác lập các chuẩn mực kỹ thuật rõ ràng về tham số hóa truy vấn, mã hóa dữ liệu đầu ra và quản lý vòng đời phiên làm việc.
• Đóng góp giải pháp tự động hóa kiểm thử an toàn thông tin, định hướng nâng cấp và mở rộng công cụ sinh ca kiểm thử tự động trong vòng 12 tháng tới.

Bộ tài liệu và phương pháp luận trong luận văn là cẩm nang thực hành hữu ích giúp các tổ chức phần mềm nâng cao chất lượng và độ an toàn của sản phẩm. Hãy áp dụng ngay quy trình và danh mục ca kiểm thử chuẩn mực này vào dự án của bạn để chủ động bảo vệ hệ thống thông tin trước mọi nguy cơ tấn công mạng.

Trích đoạn nội dung tài liệu

MỞ ĐẦU Trong thời đại bùng nổ công nghệ thông tin hiện nay, phần mềm đã đi vào mọi ngõ ngách của cuộc sống và đã có những ảnh hƣởng to lớn đến đời sống của con ngƣời. Bởi vậy mà hơn bao giờ hết, việc kiểm thử và đảm bảo chất lƣợng phần mềm càng trở lên quan trọng. Giờ đây, việc kiểm thử phần mềm cũng không chỉ đơn thuần là kiểm thử cho các chức năng hoạt động tốt, mà còn phải đảm bảo bảo mật phần mềm. Bởi những nỗ hổng về bảo mật là những nguy cơ rất nguy hiểm có thể dẫn đến những hậu quả nghiêm trọng.

Các loại tội phạm công nghệ cao, an ninh mạng là những vấn đề thuộc an ninh phi truyền thống đang ngày càng phổ biến và tác động, ảnh hƣởng đến an ninh quốc gia. Theo tờ USA Today, năm 2012, tội phạm công nghệ cao gây thiệt hại cho nƣớc Mỹ khoảng 67,2 tỷ USD, trên toàn cầu khoảng 400 tỷ USD, chỉ đứng sau tội phạm ma túy (460 tỷ USD) [1]. Thực trạng an toàn thông tin tại Việt Nam đang tiềm ẩn nhiều nguy cơ. An ninh mạng vẫn chƣa thực sự đƣợc quan tâm tại các cơ quan, doanh nghiệp.

Theo nhận định của các chuyên gia Công ty Bkav [2], hầu hết cơ quan doanh nghiệp của Việt Nam chƣa bố trí đƣợc nhân sự phụ trách an ninh mạng hoặc năng lực và nhận thức của đội ngũ này chƣa tƣơng xứng với tình hình thực tế. Vấn đề an ninh mang đang trở lên hiện hữu, ảnh hƣởng sâu rộng, tác động đến các vấn đề chính trị, kinh tế và an ninh quốc gia. Việc đảm bảo bảo mật phần mềm đã trở thành yêu cầu cấp thiết và bắt buộc đối với bất kỳ phần mềm nào. Vì vậy, việc kiểm thử bảo mật cũng trở thành 1 yêu cầu bắt buộc trong quy trình kiểm thử phần mềm của rất nhiều công ty.

Xuất phát từ nhu cầu thực tế này, chúng tôi đã nghiên cứu và tìm hiểu về an toàn thông tin đối với các ứng dụng web và các phƣơng pháp kiểm thử để tìm ra các nỗ hổng về bảo mật của ứng dụng web. Sau một quá trình nghiên cứu dƣới sự hƣớng dẫn của TS. Đặng Đức Hạnh, tôi đã hoàn thành luận văn “XÂY DỰNG CÁC CA KIỂM THỬ AN TOÀN THÔNG TIN CHO ỨNG DỤNG WEB”. Luận văn đƣợc cấu trúc thành 3 chƣơng nhƣ sau: - Chƣơng 1: Khái niệm cơ bản - Chƣơng 2: Thiết kế các ca kiểm thử ATTT cho ứng dụng web - Chƣơng 3: Vận dụng và công cụ hỗ trợ 1 (LUAN.web TIEU LUAN MOI download : [e-mail] CHƢƠNG 1.

KHÁI NIỆM CƠ BẢN Trong Chƣơng 1 chúng tôi trình bày về những khái niệm cơ bản trong kiểm thử phần mềm và kiểm thử an toàn thông tin. Các khái niệm cơ bản trong kiểm thử phần mềm Chúng tôi xin tóm lƣợc lại những khái niệm cơ bản về kiểm thử phần mềm, các phƣơng pháp và chiến lƣợc kiểm thử. Khái niệm về kiểm thử phần mềm Kiểm thử phần mềm [5] là quá trình khảo sát một hệ thống hay thành phần dƣới những điều kiện xác định, quan sát và ghi lại các kết quả, và đánh giá một khía cạnh nào đó của hệ thống hay thành phần đó. Mục đích của kiểm thử phần mềm là tìm ra các lỗi hay khiếm khuyết phần mềm nhằm đảm bảo hiệu quả hoạt động tối ƣu của phần mềm trong nhiều điều kiện khác nhau.

Có thể định nghĩa một cách dễ hiểu nhƣ sau: Kiểm thử phần mềm [6] là một tiến trình hay một tập hợp các tiến trình đƣợc thiết kế để đảm bảo mã máy tính thực hiện theo cái mà chúng đã đƣợc thiết kế để làm, và không thực hiện bất cứ thứ gì không mong muốn. Đây là một pha quan trọng trong quá trình phát triển hệ thống, giúp cho ngƣời xây dựng hệ thống và khách hàng thấy đƣợc hệ thống mới đã đáp ứng yêu cầu đặt ra hay chƣa. Các phương pháp kiểm thử Trong thực tế, có 2 phƣơng pháp kiểm thử phần mềm [6] thƣờng đƣợc sử dụng là phƣơng pháp kiểm thử tĩnh (static testing) và kiểm thử động (dynamic testing). Kiểm thử tĩnh (static testing): Là phƣơng pháp kiểm thử phần mềm đòi hỏi phải duyệt lại các yêu cầu và các đặc tả bằng tay, thông qua việc sử dụng giấy, bút để kiểm tra logic, lần từng chi tiết mà không cần chạy chƣơng trình.

Phƣơng pháp này chủ yếu dùng để kiểm tra tính đúng đắn của mã lệnh, thuật toán và các tài liệu đặc tả. Ngoài ra, phƣơng pháp này có thể dùng để xem xét các yêu cầu và thông số kỹ thuật. Kiểm thử tĩnh cũng có thể đƣợc thực hiện một cách tự động. Trong các môi trƣờng lập trình, thƣờng có sẵn một trình thông dịch hay biên dịch kiểm tra tính đúng đắn của cú pháp chƣơng trình, đó cũng là một cách kiểm thử tĩnh nhƣng đƣợc thực hiện tự động.web TIEU LUAN MOI download : [e-mail] Kiểm thử động (dynamic testing): Là phƣơng pháp kiểm thử thông qua việc dùng máy chạy chƣơng trình để điều tra trạng thái tác động của chƣơng trình.

Đó là kiểm thử dựa trên các ca kiểm thử xác định bằng sự thực hiện của đối tƣợng kiểm thử hay chạy chƣơng trình. Kiểm thử động là kiểm tra cách thức hoạt động của mã lệnh, tức là kiểm tra sự phản ứng vật lý từ hệ thống tới các biến luôn thay đổi theo thời gian. Trong kiểm thử động, phần mềm phải thực sự đƣợc biên dịch và chạy. Kiểm thử động bao gồm làm việc với phần mềm, nhập các giá trị đầu vào và kiểm tra xem liệu đầu ra có nhƣ mong muốn hay không.

Các chiến lược kiểm thử Trong chiến lƣợc kiểm thử, chúng ta có ba chiến lược kiểm thử [6] hay dùng nhất là: kiểm thử hộp đen, kiểm thử hộp trắng, và kiểm thử hộp xám. Chi tiết các phƣơng pháp này nhƣ mô tả phần dƣới. Kiểm thử hộp đen – Black box Một trong những chiến lƣợc kiểm thử quan trọng là kiểm thử hộp đen, hƣớng dữ liệu, hay hƣớng vào ra. Kiểm thử hộp đen xem chƣơng trình nhƣ là một “hộp đen”.

Mục đích của bạn là hoàn toàn không quan tâm về cách cƣ xử và cấu trúc bên trong của chƣơng trình. Thay vào đó, tập trung vào tìm các trƣờng hợp mà chƣơng trình không thực hiện theo các đặc tả của nó. Ở mức kiểm thử này, kiểm thử viên chỉ xem xét dữ liệu đầu vào và giá trị đầu ra có giống với mong muốn không, mà không cần phải quan tâm hệ thống làm thế nào để đƣa đƣợc giá trị đầu ra nhƣ mong muốn. Kiểm thử dựa trên đặc tả là cần thiết, nhƣng không đủ để ngăn chặn những rủi ro chắc chắn.

Kiểm thử hộp đen không có mối liên quan nào tới mã lệnh và kiểm thử viên chỉ rất đơn giản tâm niệm là: một mã lệnh phải có lỗi. Sử dụng nguyên tắc “Hãy đòi hỏi và bạn sẽ đƣợc nhận”, những kiểm thử viên hộp đen tìm ra lỗi mà những lập trình viên không tìm ra. Nhƣng, ngƣời ta nói kiểm thử hộp đen “giống nhƣ là đi trong bóng tối mà không có đèn vậy”, bởi vì kiểm thử viên không biết các phần mềm đƣợc kiểm tra thực sự đƣợc xây dựng nhƣ thế nào. Đó là lý do mà có nhiều trƣờng hợp mà một kiểm thử viên hộp đen viết rất nhiều ca kiểm thử để kiểm tra một thứ gì đó mà đáng lẽ có thể chỉ cần kiểm tra bằng 1 ca kiểm thử duy nhất.

Trong khi đó, một số phần của chƣơng trình lại không đƣợc kiểm tra chút nào. Do vậy, kiểm thử hộp đen có ƣu điểm là đánh giá khách quan, nhƣng lại có nhƣợc điểm là một kiểu thăm dò mù. Kiểm thử hộp trắng – White box Là một chiến lƣợc kiểm thử khác, trái ngƣợc hoàn toàn với kiểm thử hộp đen, kiểm thử hộp trắng hay kiểm thử hƣớng logic cho phép bạn khảo sát cấu trúc bên trong của chƣơng trình. Chiến lƣợc này xuất phát từ dữ liệu kiểm thử bằng sự kiểm thử tính 3 (LUAN.web TIEU LUAN MOI download : [e-mail] logic của chƣơng trình.

Kiểm thử viên sẽ truy cập vào cấu trúc dữ liệu và giải thuật bên trong chƣơng trình (và cả mã lệnh thực hiện chúng). Phƣơng pháp kiểm thử hộp trắng cũng có thể đƣợc kết hợp với phƣơng pháp kiểm thử hộp đen để tạo ra bộ các ca kiểm thử đầy đủ nhằm giảm thiểu rủi ro. Kiểm thử hộp xám – Gray box testing Kiểm thử hộp xám đòi hỏi phải có sự truy cập tới cấu trúc dữ liệu và giải thuật bên trong cho những mục đích thiết kế các ca kiểm thử, nhƣng là kiểm thử ở mức ngƣời sử dụng hay mức hộp đen. Việc thao tác tới dữ liệu đầu vào và định dạng dữ liệu đầu ra là không rõ ràng, giống nhƣ một chiếc “hộp xám”, bởi vì đầu vào và đầu ra rõ ràng là ở bên ngoài “hộp đen” mà chúng ta vẫn gọi về hệ thống đƣợc kiểm tra.

Sự khác biệt này đặc biệt quan trọng khi quản lý kiểm thử tích hợp – Intergartion testing giữa 2 modun mã lệnh đƣợc viết bởi hai chuyên viên thiết kế khác nhau, trong đó chỉ giao diện là đƣợc đƣa ra để kiểm thử. Kiểm thử hộp xám có thể cũng bao gồm cả thiết kế đối chiếu để quyết định, ví dụ, giá trị biên hay thông báo lỗi. Kiểm thử an toàn thông tin cho ứng dụng web Bên cạnh kiểm thử chức năng cho phần mềm, việc kiểm thử an toàn thông tin cho mỗi ứng dụng cũng là một vấn đề rất quan trọng. Đặc biệt là với các ứng dụng web, loại ứng dụng có đối tƣợng ngƣời dùng rất đa dạng và phức tạp.

Ứng dụng web hiện cũng là mục tiêu tấn công của nhiều hacker. Bởi vậy, việc đảm bảo an toàn thông tin cho các ứng dụng web là một yêu cầu cấp thiết. Để nghiên cứu kỹ hơn về vấn đề này, chúng ta sẽ đi tìm hiểu từng khái niệm để hiểu rõ hơn thế nào là kiểm thử an toàn thông tin cho ứng dụng web. Khái niệm ứng dụng web Ứng dụng Web là một ứng dụng chủ/khách sử dụng giao thức HTTP để tƣơng tác với ngƣời dùng hay hệ thống khác.

Trình khách dành cho ngƣời sử dụng thƣờng là một trình duyệt Web nhƣ Internet Explorer hay Firefox. Cũng có thể là một chƣơng trình đóng vai trò đại lý ngƣời dùng hoạt động nhƣ một trình duyệt tự động. Ngƣời dùng gửi và nhận các thông tin từ trình chủ thông qua việc tác động vào các trang Web. Tốc độ phát triển các kỹ thuật xây dựng ứng dụng Web cũng phát triển rất nhanh.

Trƣớc đây những ứng dụng Web thƣờng đƣợc xây dựng bằng CGI (Common Gateway Interface) đƣợc chạy trên các trình chủ Web và có thể kết nối vào các cơ sở dữ liệu đơn giản trên cùng máy chủ.