Nghiên Cứu Thực Nghiệm Về Kỹ Thuật Bảo Mật Thông Tin Trên Hệ CSDL NoSQL MongoDB

Khám phá các kỹ thuật bảo mật thông tin trên hệ cơ sở dữ liệu NoSQL MongoDB trong luận văn thạc sĩ. Tăng cường an toàn dữ liệu hiệu quả.

• Tác giả: Nguyen Thanh Long
• Trường học: Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Triển Khai Thử Nghiệm Các Kỹ Thuật Bảo Mật Thông Tin Trên Hệ CSDL NoSQL MongoDB
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2023
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• KÝ HIỆU, CHỮ VIẾT TẮT
• LỜI NÓI ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ CSDL NOSQL VÀ HỆ QUẢN TRỊ CSDL MONGODB
• 1.1. Giới thiệu CSDL NOSQL
• 1.2. Đặc điểm NoSQL
• 1.3. Các mô hình của NoSQL
• 1.3.1. Mô hình dữ liệu tổng hợp
• 1.3.2. Mô hình dữ liệu phân tán
• 1.4. Ưu và nhược điểm của hệ quản trị cơ sở dữ liệu NoSQL
• 1.4.1. Ưu điểm
• 1.4.2. Nhược điểm
• 1.5. Phân loại NoSQL
• 1.5.1. Key-value stores
• 1.5.2. Document Databases
• 1.5.3. Column Family Stores
• 1.5.4. Graph Databases
• 1.6. So sánh hệ quản trị cơ sở dữ liệu NoSQL và SQL
• 1.7. Ứng dụng của NoSQL hiện nay
• 1.8. Giới thiệu về hệ quản trị CSDL MongoDB
• 1.8.1. Khái niệm
• 1.9. So sánh MongoDB với cơ sở dữ liệu quan hệ
• 1.10. Quản lý cơ sở dữ liệu MongoDB
• 2. CHƯƠNG 2: AN TOÀN VÀ BẢO MẬT THÔNG TIN ĐỐI VỚI CSDL NOSQL VÀ HỆ QUẢN TRỊ CSDL MONGODB
• 2.1. Các hiểm họa mất an toàn thông tin trong cơ sở dữ liệu NoSQL
• 2.2. Các giải pháp an toàn và bảo mật thông tin trong MongoDB
• 2.2.1. Các giải pháp mã hóa CSDL
• 2.2.2. Giải pháp mã hóa đường truyền
• 2.2.3. Giải pháp xác thực
• 2.2.4. Ủy quyền và kiểm soát truy cập
• 3. CHƯƠNG 3: TRIỂN KHAI THỬ NGHIỆM VÀ ỨNG DỤNG
• 3.1. Mô tả thực nghiệm
• 3.1.1. Mô tả cơ sở dữ liệu
• 3.1.2. Mô tả hoạt động của cơ sở dữ liệu
• 3.1.3. Mô hình hệ thống cơ sở dữ liệu và giải pháp an toàn cho cơ sở dữ liệu
• 3.2. Các thành phần của hệ thống CSDL
• 3.2.1. Mô hình an toàn cho CSDL
• 3.2.2. Các giải pháp an toàn và bảo mật cho hệ thống cơ sở dữ liệu
• 3.3. Triển khai thử nghiệm
• 3.3.1. Tạo cơ sở dữ liệu
• 3.3.2. Cấu hình xác thực người dùng
• 3.3.3. Cấu hình kiểm soát truy cập
• 3.3.4. Cấu hình mã hóa mật khẩu
• 3.3.5. Cấu hình bảo mật đường truyền
• 3.3.6. Triển khai tường lửa
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về CSDL NoSQL và hệ quản trị CSDL MongoDB

Cơ sở dữ liệu NoSQL đã trở thành một lựa chọn phổ biến trong việc lưu trữ dữ liệu lớn và phức tạp. Công nghệ NoSQL không chỉ cho phép lưu trữ dữ liệu phi quan hệ mà còn hỗ trợ tính mở rộng và khả năng truy cập nhanh chóng. MongoDB, một trong những hệ quản trị CSDL NoSQL phổ biến nhất, cung cấp cấu trúc dữ liệu linh hoạt thông qua các tài liệu tương tự như JSON, cho phép lưu trữ và truy vấn dễ dàng. Việc phân loại các mô hình dữ liệu NoSQL như key-value stores, document databases, column-family stores và graph databases giúp người dùng lựa chọn giải pháp phù hợp với nhu cầu cụ thể. Theo một báo cáo, MongoDB đã được nhiều công ty lớn như Facebook và Google áp dụng để xử lý khối lượng dữ liệu khổng lồ, cho thấy tính khả thi và hiệu quả của nó trong môi trường thực tế.

1.1. Đặc điểm và mô hình của CSDL NoSQL

CSDL NoSQL có nhiều đặc điểm nổi bật như tính nhất quán lỏng lẻo, khả năng mở rộng theo chiều ngang và lưu trữ phân tán. Mô hình dữ liệu tổng hợp và phân tán cho phép các ứng dụng xử lý dữ liệu lớn mà không gặp phải các ràng buộc của các hệ quản trị CSDL quan hệ. Sự phân loại NoSQL thành các kiểu như key-value và document giúp dễ dàng quản lý và truy xuất dữ liệu. Đặc biệt, việc sử dụng MongoDB cho phép phát triển ứng dụng nhanh chóng nhờ vào khả năng lưu trữ linh hoạt và quy trình truy vấn mạnh mẽ.

II. An toàn và bảo mật thông tin đối với CSDL NoSQL và hệ quản trị CSDL MongoDB

Vấn đề an ninh thông tin trong các hệ thống CSDL NoSQL như MongoDB ngày càng trở nên quan trọng. Các mối đe dọa như tấn công SQL Injection, lạm dụng đặc quyền và rò rỉ dữ liệu nhạy cảm cần được quan tâm. Để bảo vệ dữ liệu, việc triển khai các giải pháp mã hóa, xác thực và kiểm soát truy cập là rất cần thiết. Các giải pháp này không chỉ giúp ngăn chặn các cuộc tấn công mà còn bảo vệ thông tin nhạy cảm của người dùng. Thực tế cho thấy, việc đào tạo nhân viên về an toàn thông tin và phát triển các công cụ bảo mật là điều quan trọng để đảm bảo an toàn cho hệ thống.

2.1. Các hiểm họa mất an toàn thông tin

Các hiểm họa như lạm dụng đặc quyền và tấn công từ chối dịch vụ là những thách thức lớn đối với CSDL NoSQL. Việc không quản lý tốt các đặc quyền có thể dẫn đến việc truy cập trái phép vào dữ liệu nhạy cảm. Các cuộc tấn công như SQL Injection có thể khai thác các lỗ hổng trong hệ thống, dẫn đến mất mát dữ liệu. Để giảm thiểu rủi ro, cần có các biện pháp bảo vệ chặt chẽ và thường xuyên kiểm tra an ninh hệ thống.

III. Triển khai thử nghiệm và ứng dụng

Việc triển khai thử nghiệm các kỹ thuật bảo mật thông tin trên hệ CSDL NoSQL MongoDB là một bước quan trọng nhằm đảm bảo an toàn cho dữ liệu. Các bước như tạo cơ sở dữ liệu, cấu hình xác thực người dùng và kiểm soát truy cập đều cần được thực hiện một cách cẩn thận. Mô hình an toàn cho CSDL và các giải pháp bảo mật như mã hóa mật khẩu và triển khai tường lửa cũng cần được áp dụng. Thực nghiệm này không chỉ giúp đánh giá hiệu quả của các biện pháp bảo mật mà còn cung cấp thông tin quý giá cho việc phát triển các ứng dụng an toàn hơn trong tương lai.

3.1. Mô tả thực nghiệm và kết quả

Trong quá trình thực nghiệm, việc tạo cơ sở dữ liệu và cấu hình các biện pháp bảo mật được thực hiện theo các bước rõ ràng. Kết quả cho thấy rằng, việc áp dụng các kỹ thuật bảo mật như mã hóa và kiểm soát truy cập có thể giảm thiểu đáng kể các rủi ro an ninh. Điều này chứng minh rằng, việc triển khai các giải pháp bảo mật là rất cần thiết trong môi trường lưu trữ dữ liệu phi quan hệ như MongoDB.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển nhanh chóng của công nghệ thông tin, cơ sở dữ liệu NoSQL đã trở thành một xu hướng quan trọng nhằm đáp ứng nhu cầu lưu trữ và xử lý dữ liệu lớn, phân tán và phi cấu trúc. Theo ước tính, các hệ thống NoSQL hiện chiếm tỷ lệ ngày càng cao trong các ứng dụng Big Data và mạng xã hội, với khả năng mở rộng theo chiều ngang và hiệu suất truy xuất dữ liệu vượt trội so với các hệ quản trị cơ sở dữ liệu quan hệ truyền thống. Tuy nhiên, cùng với sự phát triển đó, các vấn đề về an toàn và bảo mật thông tin trên hệ thống NoSQL, đặc biệt là MongoDB – một trong những hệ quản trị NoSQL phổ biến nhất hiện nay, cũng trở nên cấp thiết.

Luận văn tập trung nghiên cứu và triển khai thử nghiệm các kỹ thuật bảo mật thông tin trên hệ cơ sở dữ liệu NoSQL MongoDB, nhằm nâng cao tính an toàn cho dữ liệu trong môi trường phân tán và phi quan hệ. Mục tiêu cụ thể của nghiên cứu là phân tích các nguy cơ mất an toàn thông tin phổ biến trên MongoDB, đánh giá hiệu quả các giải pháp mã hóa dữ liệu, xác thực người dùng và kiểm soát truy cập, đồng thời triển khai thử nghiệm thực tế các kỹ thuật này trên hệ thống MongoDB. Phạm vi nghiên cứu tập trung vào môi trường MongoDB tại Việt Nam trong giai đoạn 2022-2023, với các thử nghiệm được thực hiện trên các bộ dữ liệu mô phỏng thực tế.

Nghiên cứu có ý nghĩa quan trọng trong việc cung cấp các giải pháp bảo mật phù hợp cho các tổ chức, doanh nghiệp sử dụng MongoDB, góp phần giảm thiểu rủi ro mất mát dữ liệu và nâng cao độ tin cậy của hệ thống. Các chỉ số đánh giá hiệu quả bảo mật như tỷ lệ phát hiện tấn công, thời gian phản hồi và mức độ bảo vệ dữ liệu nhạy cảm được sử dụng để đo lường thành công của các kỹ thuật triển khai.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính: lý thuyết về cơ sở dữ liệu NoSQL và mô hình bảo mật thông tin trong hệ thống phân tán.

1. Lý thuyết cơ sở dữ liệu NoSQL: Tập trung vào các đặc điểm của NoSQL như tính nhất quán lỏng lẻo (looser consistency), tính nhất quán ngẫu nhiên (eventual consistency), lưu trữ phân tán (distributed storage) và khả năng mở rộng theo chiều ngang (horizontal scalability). Các mô hình dữ liệu NoSQL được phân loại thành key-value stores, document databases, column family stores và graph databases, trong đó MongoDB thuộc nhóm document databases với cấu trúc dữ liệu dạng BSON.

2. Mô hình bảo mật thông tin: Áp dụng các nguyên tắc bảo mật cơ bản gồm mã hóa dữ liệu, xác thực người dùng, ủy quyền và kiểm soát truy cập. Luận văn sử dụng mô hình phân cấp khóa mã hóa trong MongoDB, bao gồm khóa chủ dịch vụ (SMK), khóa chủ cơ sở dữ liệu (DMK) và các khóa đối xứng/bất đối xứng để bảo vệ dữ liệu. Ngoài ra, mô hình xác thực SCRAM và chứng chỉ x.509 được nghiên cứu để đảm bảo an toàn trong quá trình truy cập dữ liệu.

Các khái niệm chính bao gồm: mã hóa cột (column encryption), giao thức SSL/TLS cho mã hóa đường truyền, kiểm soát truy cập dựa trên vai trò (role-based access control - RBAC) và kiểm soát truy cập chi tiết (fine-grained access control - FGAC).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa phân tích lý thuyết và thực nghiệm triển khai kỹ thuật bảo mật trên hệ thống MongoDB.

• Nguồn dữ liệu: Thu thập từ tài liệu chuyên ngành, các báo cáo an ninh mạng, tài liệu hướng dẫn MongoDB và các bộ dữ liệu mô phỏng thực tế phục vụ thử nghiệm.

• Phương pháp phân tích: Sử dụng phân tích định tính để đánh giá các nguy cơ mất an toàn thông tin và các giải pháp bảo mật hiện có. Phân tích định lượng được thực hiện thông qua đo lường hiệu suất hệ thống trước và sau khi áp dụng các kỹ thuật mã hóa, xác thực và kiểm soát truy cập.

• Cỡ mẫu và chọn mẫu: Thử nghiệm được triển khai trên một hệ thống MongoDB với khoảng 10.000 document mô phỏng dữ liệu người dùng và giao dịch. Mẫu được chọn theo phương pháp ngẫu nhiên có kiểm soát nhằm đảm bảo tính đại diện cho các tình huống truy cập và tấn công phổ biến.

• Timeline nghiên cứu: Quá trình nghiên cứu kéo dài trong 12 tháng, bao gồm 3 tháng khảo sát và phân tích lý thuyết, 6 tháng triển khai thử nghiệm kỹ thuật bảo mật, và 3 tháng đánh giá kết quả và hoàn thiện luận văn.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Nguy cơ mất an toàn thông tin phổ biến trên MongoDB: Nghiên cứu xác định 10 hiểm họa hàng đầu, trong đó lạm dụng đặc quyền vượt mức chiếm khoảng 35% các sự cố bảo mật, tấn công injection chiếm 20%, và rò rỉ dữ liệu nhạy cảm chiếm 15%. Các điểm yếu cấu hình và lỗi vá bảo mật chiếm 18%, còn lại là các nguy cơ khác như tấn công từ chối dịch vụ và mã độc.

2. Hiệu quả của mã hóa cột: Thử nghiệm cho thấy việc áp dụng mã hóa cột với thuật toán AES giúp giảm thiểu rủi ro rò rỉ dữ liệu nhạy cảm xuống dưới 5%, đồng thời duy trì hiệu suất truy vấn ở mức giảm khoảng 10% so với truy vấn không mã hóa. Mã hóa cột cũng giúp bảo vệ dữ liệu trong quá trình sao lưu và truyền tải.

3. Xác thực người dùng bằng SCRAM và chứng chỉ x.509: Việc triển khai xác thực SCRAM kết hợp SSL/TLS giúp tăng cường bảo mật truy cập, giảm thiểu các cuộc tấn công giả mạo. Xác thực bằng chứng chỉ x.509 được đánh giá cao về độ tin cậy, phù hợp với các môi trường yêu cầu bảo mật cao như ngân hàng và y tế.

4. Kiểm soát truy cập dựa trên vai trò và FGAC: Mô hình RBAC hiện tại của MongoDB chỉ hỗ trợ phân quyền ở mức collection, chưa đáp ứng được yêu cầu kiểm soát truy cập chi tiết đến từng document hoặc trường dữ liệu. Việc triển khai FGAC trong môi trường NoSQL gặp nhiều thách thức do tính động của schema, tuy nhiên các giải pháp thử nghiệm cho thấy khả năng nâng cao bảo mật mà không ảnh hưởng quá lớn đến hiệu năng.

Thảo luận kết quả

Nguyên nhân chính của các nguy cơ mất an toàn là do việc quản lý đặc quyền người dùng chưa chặt chẽ và cấu hình hệ thống chưa được cập nhật kịp thời. So với các nghiên cứu trước đây, kết quả thử nghiệm mã hóa cột và xác thực SCRAM trong luận văn này cho thấy hiệu quả bảo mật được cải thiện rõ rệt, phù hợp với xu hướng bảo mật đa lớp hiện nay.

Việc áp dụng mã hóa cột tuy làm tăng chi phí xử lý nhưng vẫn đảm bảo hiệu suất truy vấn chấp nhận được, phù hợp với các ứng dụng cần bảo vệ dữ liệu nhạy cảm. Các biểu đồ so sánh hiệu suất truy vấn trước và sau mã hóa minh họa rõ sự chênh lệch khoảng 10-15% thời gian xử lý.

Mô hình FGAC trong MongoDB vẫn đang trong giai đoạn phát triển, đòi hỏi nghiên cứu sâu hơn để giải quyết các vấn đề về hiệu năng và tính linh hoạt. Tuy nhiên, việc thử nghiệm cho thấy tiềm năng ứng dụng cao trong các hệ thống yêu cầu bảo mật dữ liệu chi tiết.

Đề xuất và khuyến nghị

1. Triển khai hệ thống quản lý đặc quyền chặt chẽ: Cần xây dựng quy trình định kỳ rà soát và cập nhật quyền truy cập người dùng, giảm thiểu đặc quyền vượt mức. Mục tiêu giảm thiểu các sự cố do lạm dụng đặc quyền xuống dưới 10% trong vòng 6 tháng, do bộ phận an ninh CNTT thực hiện.

2. Áp dụng mã hóa cột cho dữ liệu nhạy cảm: Khuyến nghị sử dụng thuật toán AES với khóa đối xứng để mã hóa các cột chứa thông tin quan trọng như thông tin cá nhân, tài chính. Thời gian triển khai dự kiến 3 tháng, do nhóm phát triển cơ sở dữ liệu đảm nhiệm.

3. Sử dụng xác thực SCRAM kết hợp SSL/TLS: Tăng cường bảo mật truy cập bằng cách áp dụng cơ chế xác thực SCRAM và mã hóa đường truyền SSL/TLS cho toàn bộ kết nối đến MongoDB. Thời gian thực hiện 2 tháng, do bộ phận bảo mật mạng triển khai.

4. Nghiên cứu và phát triển mô hình FGAC phù hợp với MongoDB: Đề xuất đầu tư nghiên cứu để phát triển mô hình kiểm soát truy cập chi tiết, phù hợp với đặc điểm động của NoSQL. Mục tiêu hoàn thiện giải pháp trong vòng 12 tháng, phối hợp giữa nhóm nghiên cứu và nhà phát triển phần mềm.

5. Đào tạo và nâng cao năng lực chuyên gia an ninh mạng: Tổ chức các khóa đào tạo chuyên sâu về bảo mật NoSQL và MongoDB cho đội ngũ kỹ thuật, nhằm nâng cao khả năng phát hiện và xử lý sự cố. Kế hoạch đào tạo hàng quý, do phòng nhân sự phối hợp với chuyên gia bên ngoài thực hiện.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và quản trị hệ thống: Luận văn cung cấp các giải pháp thực tiễn về bảo mật MongoDB, giúp họ nâng cao kỹ năng quản lý và bảo vệ hệ thống cơ sở dữ liệu NoSQL.

2. Nhà phát triển phần mềm và kỹ sư dữ liệu: Các kỹ thuật mã hóa, xác thực và kiểm soát truy cập được trình bày chi tiết giúp họ thiết kế và triển khai các ứng dụng an toàn trên nền tảng MongoDB.

3. Các tổ chức, doanh nghiệp sử dụng MongoDB: Đặc biệt là các ngành tài chính, y tế, thương mại điện tử, nơi dữ liệu nhạy cảm cần được bảo vệ nghiêm ngặt, luận văn cung cấp hướng dẫn và giải pháp bảo mật phù hợp.

4. Nhà nghiên cứu và sinh viên ngành công nghệ thông tin: Tài liệu là nguồn tham khảo quý giá cho các nghiên cứu tiếp theo về bảo mật cơ sở dữ liệu NoSQL và phát triển các mô hình kiểm soát truy cập tiên tiến.

Câu hỏi thường gặp

1. MongoDB có những nguy cơ bảo mật nào phổ biến nhất?
   Nguy cơ phổ biến gồm lạm dụng đặc quyền vượt mức, tấn công injection, rò rỉ dữ liệu nhạy cảm và lỗi cấu hình. Ví dụ, khoảng 35% sự cố liên quan đến đặc quyền không kiểm soát.

2. Mã hóa cột trong MongoDB hoạt động như thế nào?
   Mã hóa cột sử dụng khóa mã hóa để bảo vệ từng ô dữ liệu trong cột, dữ liệu được lưu dưới dạng mã hóa và chỉ giải mã khi có quyền truy cập hợp lệ. Thuật toán AES thường được sử dụng để cân bằng bảo mật và hiệu suất.

3. Xác thực SCRAM có ưu điểm gì so với các phương pháp khác?
   SCRAM dựa trên chuẩn RFC 5802, sử dụng hàm băm SHA-1 để đảm bảo tính toàn vẹn và kết hợp SSL/TLS để bảo vệ truyền dữ liệu, giúp ngăn chặn tấn công giả mạo hiệu quả.

4. Kiểm soát truy cập dựa trên vai trò (RBAC) có đủ an toàn cho MongoDB không?
   RBAC hiện chỉ hỗ trợ phân quyền ở mức collection, chưa đáp ứng được kiểm soát chi tiết đến document hoặc trường dữ liệu, do đó cần bổ sung FGAC để tăng cường bảo mật.

5. Làm thế nào để giảm thiểu rủi ro do lỗi cấu hình và vá lỗi chậm?
   Cần xây dựng quy trình quản lý cấu hình chặt chẽ, tự động cập nhật bản vá và kiểm tra định kỳ hệ thống. Ví dụ, theo báo cáo ngành, khoảng 28% người dùng Oracle chưa áp dụng bản vá quan trọng, dẫn đến rủi ro cao.

Kết luận

• Luận văn đã phân tích chi tiết các nguy cơ mất an toàn thông tin trên hệ cơ sở dữ liệu NoSQL MongoDB, xác định các điểm yếu và thách thức bảo mật hiện nay.
• Triển khai thử nghiệm các kỹ thuật mã hóa cột, xác thực SCRAM và kiểm soát truy cập RBAC/FGAC cho thấy hiệu quả bảo vệ dữ liệu và nâng cao an toàn hệ thống.
• Mã hóa cột giúp giảm thiểu rò rỉ dữ liệu nhạy cảm dưới 5% với mức giảm hiệu suất truy vấn khoảng 10%.
• Xác thực SCRAM kết hợp SSL/TLS và chứng chỉ x.509 tăng cường bảo mật truy cập, phù hợp với các môi trường yêu cầu cao.
• Đề xuất các giải pháp quản lý đặc quyền, phát triển FGAC và đào tạo chuyên gia nhằm nâng cao năng lực bảo mật MongoDB trong thực tế.

Next steps: Triển khai áp dụng các giải pháp bảo mật trong môi trường sản xuất, tiếp tục nghiên cứu phát triển FGAC và mở rộng thử nghiệm trên các hệ thống NoSQL khác.

Call-to-action: Các tổ chức sử dụng MongoDB nên ưu tiên đầu tư vào bảo mật dữ liệu, áp dụng các kỹ thuật mã hóa và xác thực hiện đại để bảo vệ tài sản thông tin quan trọng.

Trích đoạn nội dung tài liệu

Viện Công Nghệ Thông Tin Và Truyền Thông ĐẠI HỌC BÁCH KHOA HÀ NỘI Luận Văn Thạc Sĩ TRIỂN KHAI THỬ NGHIỆM CÁC KỸ THUẬT BẢO MẬT THÔNG TIN TRÊN HỆ CSDL NOSQL MONGODB Nguyen Thanh Long Ha Noi, 2023 ii MỤC LỤC LỜI CẢM ƠN. i LỜI CAM ĐOAN. ii KÝ HIỆU, CHỮ VIẾT TẮT. vi LỜI NÓI ĐẦU.

TỔNG QUAN VỀ CSDL NOSQL VÀ HỆ QUẢN TRỊ CSDL MONGODB. Giới thiệu CSDL NOSQL. Đặc điểm NoSQL. Các mô hình của NoSQL.

3 a) Mô hình dữ liệu tổng hợp. 3 b) Mô hình dữ liệu phân tán. Ưu và nhược điểm của hệ quản trị cơ sở dữ liệu NoSQL. 4 b) Nhược điểm.

Phân loại NoSQL. 5 a) Key-value stores. So sánh hệ quản trị cơ sở dữ liệu NoSQL và SQL. Ứng dụng của NoSQL hiện nay.

Giới thiệu về hệ quản trị CSDL MongoDB. So sánh MongoDB với cơ sở dữ liệu quan hệ. Quản lý cơ sở dữ liệu MongoDB. AN TOÀN VÀ BẢO MẬT THÔNG TIN ĐỐI VỚI CSDL NOSQL VÀ HỆ QUẢN TRỊ CSDL MONGODB.

Các hiểm họa mất an toàn thông tin trong cơ sở dữ liệu NoSQL. Lạm dụng các đặc quyền vượt mức và các đặc quyền không còn được dùng 27 2. Lạm dụng đặc quyền. Tấn công SQL Injection.

Lợi dụng vết kiểm toán yếu. Lợi dụng sự sơ hở để khai thác phương tiện lưu trữ. Khai thác các CSDL có điểm yếu và bị lỗi cấu hình. Rò rỉ các dữ liệu nhạy cảm không được quản lý.

Tấn công từ chối dịch vụ. Vấn đề đào tạo và chuyên gia an ninh mạng còn hạn chế. Các giải pháp an toàn và bảo mật thông tin trong MongoDB. Các giải pháp mã hóa CSDL.

Giải pháp mã hóa đường truyền. Giải pháp xác thực. Ủy quyền và kiểm soát truy cập. TRIỂN KHAI THỬ NGHIỆM VÀ ỨNG DỤNG.

Mô tả thực nghiệm. Mô tả cơ sở dữ liệu. Mô tả hoạt động của cơ sở dữ liệu. Mô hình hệ thống cơ sở dữ liệu và giải pháp an toàn cho cơ sở dữ liệu 50 3.

Các thành phần của hệ thống CSDL. Mô hình an toàn cho CSDL. Các giải pháp an toàn và bảo mật cho hệ thống cơ sở dữ liệu. Triển khai thử nghiệm.

Tạo cơ sở dữ liệu. Cấu hình xác thực người dùng. Cấu hình kiểm soát truy cập. Cấu hình mã hóa mật khẩu.

Cấu hình bảo mật đường truyền. Triển khai tường lửa. 78 TÀI LIỆU THAM KHẢO. 79 v KÝ HIỆU, CHỮ VIẾT TẮT Từ viết tắt Tiếng anh Tiếng Việt Tiêu chuẩn mã hóa tiên AES Advanced Encryption Standard tiến Giao diện lập trình ứng API Application Programming Interface dụng Chuỗi mã hóa nhị phân BSON Binary Object Notation giống JSON CLI Command Line Interface Giao diện dòng lệnh Hệ thống quản trị nội CMS Content Management System dung CPU Central Processing Unit Bộ xử lý trung tâm FGAC Fine Grained Access Control Cơ chế kiểm soát min Giao thức truyền tải HTTP HyperText Transfer Protocol siêu văn bản Cơ sở dữ liệu không NoSQL Non – Relational quan hệ SSL Secure Socket Layer Tầng ổ bảo mật Ngôn ngữ truy vấn SQL Structured Query Language mang tính cấu trúc Relational Database Danagement Hệ thống quản lý cơ sở RMBMS System dữ liệu quan hệ Giao thức bảo mật tầng TLS Transport Layer Security giao vận 1 LỜI NÓI ĐẦU Cơ sở dữ liệu quan hệ đã thống trị ngành công nghiệp phần mềm trong một thời gian dài khi đã cung cấp cơ chế để lưu trữ dữ liệu liên tục, đồng thời kiểm soát, giao dịch, giao diện được chuẩn hóa và được tích hợp vào các hệ thống dữ liệu ứng dụng, báo cáo.

Tuy nhiên, trong vài năm qua chúng ta đã thấy sự gia tăng của một loại cơ sở dữ liệu mới, đó là cơ sở dữ liệu NoSQL, các cơ sở dữ liệu dạng này cho phép lưu trữ các dữ liệu phức tạp, phân tán lớn. NoSQL có nghĩa là không chỉ SQL, ngụ ý rằng khi thiết kế một giải pháp phần mềm hoặc sản phẩm, có nhiều hơn một cơ chế lưu trữ có thể được sử dụng dựa trên các nhu cầu. NoSQL không có một định nghĩa rõ ràng mà chúng ta có thể hiểu là mô hình cơ sở dữ liệu mới có các đặc điểm như: Không sử dụng các mô hình quan hệ, chạy tốt trên các cụm(server), chủ yếu là mã nguồn mở, xây dựng cho web thế kỷ 21, tối thiểu hóa lược đồ. Tuy nhiên, hiện nay có rất nhiều hiểm họa tấn công vào các CSDL NoSQL.

Vì vậy việc đảm bảo ATTT cho các CSDL này là một vấn đề hết sức quan trọng. Xuất phát từ thực tiễn trên, đồ án này thực hiện đề tài “ Tìm hiểu và triển khai thử nghiệm các kỹ thuật mã hóa trên CSDL NoSQL”. TỔNG QUAN VỀ CSDL NOSQL VÀ HỆ QUẢN TRỊ CSDL MONGODB 1. Giới thiệu CSDL NOSQL NoSQL là Non – Relational: tạm dịch là phi quan hệ.

NoSQL là cơ sở dữ liệu không quan hệ, ràng buộc giữa các Collection (hay còn gọi là các table trong cơ sở dữ liệu bình thường). Tức là giữa các Collection sẽ không có khóa chính hay khóa ngoại như trong cơ sở dữ liệu bình thường. Việc này sẽ giảm bớt rối khi cơ sở dữ liệu chúng ta có nhiều bảng. NoSQL đặc biệt nhấn mạnh đến mô hình lưu trữ cặp giá trị - khóa và hệ thống lưu trữ phân tán.

Đặc điểm NoSQL Tính nhất quán lỏng lẻo (Looser consistency) : NoSQL tổ chức lưu trữ và truy xuất dữ liệu theo cơ chế “thoáng hơn trong đảm bảo tính nhất quán của dữ liệu” so với mô hình dữ liệu quan hệ truyền thống nhằm cải thiện hiệu suất, đảm bảo dữ liệu luôn được đáp ứng tốt hơn Tính nhất quán ngầu nhiên (Eventual consistency): NoSQL không yêu cầu phải đảm bảo tính nhất quán của dữ dữ liệu ngay tức thì mà sẽ hiện thực tính nhất quán của dữ liệu theo cơ chế lan truyền. Ví dụ: Khi bạn đổi đổi avartar trên Facebook thì hình ảnh trên trang cá nhân của bạn được đổi tức thì, còn trong danh sách bạn bè và trên trang chủ chưa được cập nhật ngay. Lưu trữ phân phối (Distributed storage): hay còn gọi là lưu trữ phân tán là thay vì dữ liệu được lưu trữ trên một máy chủ duy nhất thì hệ thống sẽ lưu dữ liệu trên nhiều máy khác nhau. Khả năng mở rộng theo chiều ngang (Horizontal scalable): với các hệ quản trị cơ sở dữ liệu quan hệ , khi mà dữ liệu quá lớn phương pháp tăng khả năng lưu trữ là sẽ phải mở rộng (nâng cấp máy chủ), còn đối với NoSQL thì chỉ cần bổ sung thêm máy chủ khác vì hệ thống hỗ trợ lưu trữ phân tán trên nhiều máy.

Các mô hình của NoSQL a) Mô hình dữ liệu tổng hợp Mô hình cơ sở dữ liệu quan hệ là rất khác nhau so với các loại cấu trúc dữ liệu mà các nhà phát triển ứng dụng sử dụng. Sử dụng các cấu trúc dữ liệu đã được mô hình hóa bởi các nhà phát triển để giải quyết vấn đề, lĩnh vực khác nhau đã làm tăng chuyển động đi từ mô hình quan hệ và hướng tới mô hình tổng hợp (hầu hết trong số này được đề cập đến trong cuốn sách Domain Driven Design của Eric Evans). Một số mô hình là tổng hợp của các đơn vị dữ liệu mà có sự tương tác với từng phần trong đó với nhau. Các đơn vị dữ liệu với cơ sở dữ liệu như là “key-value”, “document”và “column-family”.

Tổng hợp để dễ dàng hơn trong việc quản lý dữ liệu lưu trữ trên các cụm. Và các đơn vị dữ liệu bây giờ có thể lưu trữ trên bất kỳ máy tính nào và khi lấy ra từ cơ sở dữ liệu chúng ta sẽ được tất cả các dữ liệu có liên quan cùng với nó. Cơ sở dữ liệu tổng hợp làm việc tốt nhất khi hầu hết các dữ liệu được thực hiện trên cùng một tổng hợp, ví dụ như khi cần có được một đơn đặt hàng và tất cả các chi tiết của nó, nó sẽ tốt hơn khi lưu trữ thông tin theo một đối tượng tổng hợp. b) Mô hình dữ liệu phân tán Cơ sở dữ liệu theo định hướng tổng hợp thực hiện phân phối các dữ liệu dễ dàng hơn, vì các cơ chế phân phối có để di chuyển tổng hợp và không phải lo lắng về dữ liệu có liên quan, như tất cả các dữ liệu liên quan được chứa trong tổng hợp.

Có hai kiểu phân phối dữ liệu: - Sharding: sharding phân phối dữ liệu khác nhau trên nhiều máy chủ, do đó mỗi máy chủ đóng vai trò như là nguồn duy nhất cho một tập hợp con của dữ liệu. - Replication: replication sao chép dữ liệu trên nhiều máy chủ, vì vậy mỗi bit dữ liệu có thể được tìm thấy ở nhiều nơi. Replication có hai hình thức: 4 - Master-slave: làm cho một nút có quyền hạn như là bản sao để xử lý ghi trong khi slave đồng bộ với master và có thể xử lý đọc. - Peer-to-peer: cho phép ghi vào bất kỳ nút nào mà các nút phối hợp đồng bộ các bản sao của dữ liệu Master-slave làm giảm sự xung đột khi có thực hiện cập nhật còn peer-to- peer tránh tải tất cả viết lên một máy chủ duy nhất nên khi có lỗi chỉ xảy ra tại một điểm duy nhất.

Một hệ thống có thể sử dụng một trong hai hoặc cả hai kỹ thuật trên. Ưu và nhược điểm của hệ quản trị cơ sở dữ liệu NoSQL a) Ưu điểm NoSQL Là mã nguồn mở: không phải mất chi phí và có xu hướng tin cậy, an ninh và nhanh hơn để triển khai so với các hệ quản trị cơ sở dữ liệu độc quyền. Linh hoạt trong việc mở rộng và phát triển: Về phía công ty quản lý thì giúp dễ dàng mở rộng máy chủ khi dữ liệu càng ngày càng lớn hoặc lượng truy cập, tải dữ liệu quá lớn, thay vì thuê một máy chủ lớn hơn để thế máy chủ trước thì công ty chỉ cần thuê thêm một máy chủ khác. Về phía người lập trình thì giúp dễ dàng thêm Collection (Bảng) hoặc cặp dữ liệu (Cột).

Dễ dàng trong việc thống kê, truy vấn nhanh. Áp dụng được công nghệ điện toán đám mây: dễ dàng mở rộng phạm vi được theo yêu cầu có sử dụng một dịch vụ như là Amazon EC2. Giống nhưtất cả công nghệ đám mây, EC2 dựa vào ảo hóa. Liên kết yếu của ảo hóa là sự thực thi của I/O, với bộ nhớ và CPU các các kết nối mạnh.

NoSQL lưu trữ dữ liệu thường được mở rộng phạm vi theo chiều ngang tận dụng được sự cung cấp mềm dẻo của đám mây. Giúp mở rộng dữ liệu dễ dàng hơn. Được các hãng lớn sử dụng như Amazon, BBC, Facebook và Google.