Nghiên Cứu Kỹ Thuật Kiểm Thử Bảo Mật Ứng Dụng Web

Luận văn thạc sĩ kỹ thuật nghiên cứu nghiên cứu các kỹ thuật kiểm thử bảo mật ứng dụng web, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Thái Thị Mỹ Hạnh
• Người hướng dẫn: PGS TS. Lê Hữu Lập
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Kỹ Thuật Kiểm Thử Bảo Mật Ứng Dụng Web
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• DANH MỤC KÝ HIỆU, CHỮ VIẾT TẮT
• DANH MỤC BẢNG BIỂU
• DANH MỤC HÌNH VẼ, SƠ ĐỒ
• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ BẢO MẬT VÀ CÁC LỖ HỔNG BẢO MẬT TRÊN WEB
• 1.1. Tổng quan về bảo mật
• 1.2. Bảo mật website
• 1.3. Bảo mật ứng dụng web
• 1.4. Các lỗ hổng bảo mật
• 1.4.1. A1: Injection - Tổng quan
• 1.4.2. A2: Lỗi xác thực (Broken Authentication)
• 1.4.3. A3: Rò rỉ dữ liệu nhạy cảm (Sensitive Data Exposure)
• 1.5. Tình trạng tấn công các trang web hiện nay
• 1.6. Kết chương
• 2. CHƯƠNG 2: CÁC KỸ THUẬT KIỂM THỬ BẢO MẬT ỨNG DỤNG WEB
• 2.1. Kiểm thử bảo mật ứng dụng web
• 2.2. Ứng dụng web
• 2.3. Kiểm thử bảo mật ứng dụng web
• 2.4. Phân loại kiểm thử bảo mật
• 2.4.1. Kiểm thử yêu cầu và thiết kế
• 2.4.2. Kiểm thử mã nguồn
• 2.4.3. Kiểm thử các thiết lập của trình duyệt
• 2.4.4. Kiểm thử tường lửa
• 2.5. Quy trình kiểm thử bảo mật
• 2.5.1. Giai đoạn khám phá
• 2.5.2. Đánh giá lỗ hổng
• 2.5.3. Giai đoạn khai thác
• 2.6. Các kỹ thuật kiểm thử bảo mật
• 2.6.1. Kiểm thử hộp đen
• 2.6.2. Kiểm thử hộp trắng
• 2.7. Đánh giá các kỹ thuật kiểm thử bảo mật
• 2.8. Kết chương
• 3. CHƯƠNG 3: CÁC CÔNG CỤ KIỂM THỬ VÀ THỰC NGHIỆM KIỂM THỬ BẢO MẬT ỨNG DỤNG WEB
• 3.1. Giới thiệu công cụ kiểm thử Zed Attack Proxy
• 3.2. Mô hình hoạt động
• 3.3. Thực nghiệm kiểm thử bảo mật dựa Web dựa trên ZAP
• 3.3.1. Giai đoạn lập kế hoạch và khám phá
• 3.3.2. Đánh giá lỗ hổng
• 3.3.3. Giai đoạn khai thác
• 3.4. Những đóng góp của luận văn. Hướng phát triển
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC 1: DANH SÁCH URL QUÉT ĐƯỢC

Tóm tắt

I. Tổng quan về bảo mật và các lỗ hổng bảo mật trên web

Chương này cung cấp cái nhìn tổng quan về bảo mật và các lỗ hổng bảo mật trong ứng dụng web. Bảo mật ứng dụng web là một lĩnh vực quan trọng trong việc bảo vệ thông tin và dữ liệu trực tuyến. Các lỗ hổng bảo mật có thể dẫn đến những hậu quả nghiêm trọng, bao gồm việc mất mát dữ liệu và thiệt hại về uy tín. Theo thống kê, 90% lỗ hổng bảo mật bắt nguồn từ ứng dụng web. Điều này nhấn mạnh tầm quan trọng của việc thực hiện các biện pháp bảo mật hiệu quả. Các mối đe dọa có thể xuất hiện dưới nhiều hình thức, từ phần mềm độc hại đến tấn công từ chối dịch vụ. Để bảo vệ thông tin, cần có các biện pháp bảo mật chặt chẽ và thường xuyên kiểm tra các lỗ hổng. Việc hiểu rõ các lỗ hổng bảo mật và cách thức hoạt động của chúng là rất cần thiết để phát triển các ứng dụng web an toàn.

1.1 Bảo mật website

Bảo mật website là một phần quan trọng trong việc bảo vệ thông tin và dữ liệu trực tuyến. Một trang web không an toàn có thể dẫn đến việc thông tin khách hàng bị đánh cắp, ảnh hưởng đến uy tín của doanh nghiệp. Các mối đe dọa có thể xuất hiện từ nhiều nguồn khác nhau, bao gồm tin tặc và phần mềm độc hại. Để bảo vệ website, cần thực hiện các biện pháp bảo mật như mã hóa dữ liệu, kiểm tra thường xuyên và cập nhật phần mềm. Bảo mật không chỉ là trách nhiệm của nhà phát triển mà còn của tất cả những người sử dụng và quản lý hệ thống. Việc thực hiện các biện pháp bảo mật hiệu quả sẽ giúp giảm thiểu rủi ro và bảo vệ thông tin nhạy cảm của người dùng.

1.2 Các lỗ hổng bảo mật

Các lỗ hổng bảo mật là những điểm yếu trong hệ thống mà kẻ tấn công có thể khai thác để xâm nhập vào hệ thống. Những lỗ hổng này có thể xuất phát từ lỗi lập trình, cấu hình sai hoặc thiếu sót trong quy trình bảo mật. Một số lỗ hổng phổ biến bao gồm Injection, Broken Authentication, và Sensitive Data Exposure. Mỗi loại lỗ hổng đều có những cách thức tấn công riêng và cần được xử lý kịp thời. Việc nhận diện và khắc phục các lỗ hổng này là rất quan trọng để bảo vệ hệ thống khỏi các cuộc tấn công. Các tổ chức nên thực hiện kiểm tra bảo mật định kỳ để phát hiện và khắc phục các lỗ hổng kịp thời.

II. Các kỹ thuật kiểm thử bảo mật ứng dụng web

Chương này tập trung vào các kỹ thuật kiểm thử bảo mật ứng dụng web. Kiểm thử bảo mật là một quy trình quan trọng nhằm xác minh rằng ứng dụng có khả năng chống lại các cuộc tấn công và bảo vệ dữ liệu. Các phương pháp kiểm thử bao gồm kiểm thử hộp đen, kiểm thử hộp trắng và kiểm thử mã nguồn. Mỗi phương pháp có những ưu điểm và nhược điểm riêng, và việc lựa chọn phương pháp phù hợp là rất quan trọng. Quy trình kiểm thử bảo mật thường bao gồm các giai đoạn như khám phá, đánh giá lỗ hổng và khai thác. Việc thực hiện kiểm thử bảo mật định kỳ giúp phát hiện và khắc phục các lỗ hổng kịp thời, từ đó nâng cao mức độ an toàn cho ứng dụng.

2.1 Kiểm thử yêu cầu và thiết kế

Kiểm thử yêu cầu và thiết kế là bước đầu tiên trong quy trình kiểm thử bảo mật. Giai đoạn này tập trung vào việc xác định các yêu cầu bảo mật cần thiết cho ứng dụng. Việc phân tích các yêu cầu bảo mật giúp đảm bảo rằng ứng dụng được thiết kế với các biện pháp bảo vệ phù hợp ngay từ đầu. Các yêu cầu này có thể bao gồm việc mã hóa dữ liệu, xác thực người dùng và kiểm soát truy cập. Đảm bảo rằng các yêu cầu bảo mật được thực hiện đúng cách sẽ giúp giảm thiểu rủi ro và bảo vệ thông tin nhạy cảm của người dùng.

2.2 Kiểm thử mã nguồn

Kiểm thử mã nguồn là một phần quan trọng trong quy trình kiểm thử bảo mật. Giai đoạn này tập trung vào việc phân tích mã nguồn của ứng dụng để phát hiện các lỗ hổng bảo mật. Việc kiểm tra mã nguồn giúp phát hiện các lỗi lập trình, cấu hình sai và các vấn đề khác có thể dẫn đến lỗ hổng bảo mật. Các công cụ kiểm thử mã nguồn có thể tự động hóa quá trình này, giúp tiết kiệm thời gian và nâng cao hiệu quả. Việc thực hiện kiểm thử mã nguồn định kỳ là rất cần thiết để đảm bảo rằng ứng dụng luôn được bảo vệ khỏi các mối đe dọa mới.

III. Các công cụ kiểm thử và thực nghiệm kiểm thử bảo mật ứng dụng web

Chương này trình bày về các công cụ kiểm thử bảo mật ứng dụng web, với trọng tâm là công cụ Zed Attack Proxy (ZAP). ZAP là một công cụ mã nguồn mở được sử dụng rộng rãi trong việc kiểm thử bảo mật. Công cụ này cung cấp nhiều tính năng hữu ích, bao gồm quét lỗ hổng, phân tích mã và kiểm tra các yêu cầu HTTP. Việc sử dụng ZAP giúp phát hiện các lỗ hổng bảo mật một cách nhanh chóng và hiệu quả. Thực nghiệm kiểm thử bảo mật dựa trên ZAP sẽ được thực hiện trên các ứng dụng web cụ thể để đánh giá hiệu quả của công cụ này.

3.1 Giới thiệu công cụ kiểm thử Zed Attack Proxy

Zed Attack Proxy (ZAP) là một công cụ kiểm thử bảo mật mã nguồn mở, được phát triển bởi OWASP. Công cụ này giúp phát hiện các lỗ hổng bảo mật trong ứng dụng web một cách hiệu quả. ZAP cung cấp nhiều tính năng như quét tự động, phân tích mã và kiểm tra các yêu cầu HTTP. Việc sử dụng ZAP giúp các nhà phát triển và kiểm thử viên dễ dàng phát hiện và khắc phục các lỗ hổng bảo mật. Công cụ này rất hữu ích cho các tổ chức muốn nâng cao mức độ bảo mật cho ứng dụng web của mình.

3.2 Thực nghiệm kiểm thử bảo mật dựa trên ZAP

Thực nghiệm kiểm thử bảo mật dựa trên ZAP sẽ được thực hiện trên các ứng dụng web cụ thể như https://duticrm.info và https://hack-yourself-first. Quá trình thực nghiệm bao gồm các giai đoạn lập kế hoạch, khám phá, đánh giá lỗ hổng và khai thác. Kết quả của thực nghiệm sẽ được phân tích để đánh giá hiệu quả của công cụ ZAP trong việc phát hiện các lỗ hổng bảo mật. Việc thực hiện các thực nghiệm này không chỉ giúp nâng cao kiến thức về bảo mật mà còn cung cấp thông tin quý giá cho việc cải thiện ứng dụng web.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của mạng Internet và sự gia tăng nhanh chóng của các ứng dụng web phục vụ đa dạng nhu cầu người dùng, bảo mật ứng dụng web trở thành một vấn đề cấp thiết. Theo báo cáo an ninh mạng quý 3 năm 2019 của CTCP An ninh mạng CyStack Việt Nam, trong quý này đã ghi nhận hơn 127.000 website bị tấn công và chiếm quyền điều khiển, giảm 27% so với quý trước nhưng vẫn ở mức cao. Tại Việt Nam, trong 9 tháng đầu năm 2019, có khoảng 8.400 website bị xâm phạm, đứng thứ 11 thế giới và thứ 3 Đông Nam Á về số vụ tấn công. Các trang web thương mại điện tử, giáo dục và chính phủ là những mục tiêu chính của hacker.

Luận văn tập trung nghiên cứu các kỹ thuật kiểm thử bảo mật ứng dụng web nhằm phát hiện và ngăn chặn kịp thời các nguy cơ an ninh. Mục tiêu cụ thể là tìm hiểu tổng quan về bảo mật ứng dụng web, các phương pháp kiểm thử bảo mật, lựa chọn công cụ phù hợp và thực hiện thử nghiệm kiểm thử bảo mật trên các website thực tế. Phạm vi nghiên cứu giới hạn trong các kỹ thuật và công cụ kiểm thử bảo mật ứng dụng web, với các thử nghiệm trên các trang web có sẵn.

Nghiên cứu có ý nghĩa quan trọng trong việc nâng cao nhận thức và năng lực bảo mật ứng dụng web, góp phần giảm thiểu rủi ro mất an toàn thông tin, bảo vệ dữ liệu người dùng và duy trì uy tín của các tổ chức, doanh nghiệp trong môi trường số ngày càng phức tạp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình bảo mật ứng dụng web, trong đó có:

• Nguyên tắc bảo mật cơ bản: Bao gồm ba yếu tố chính là bí mật (confidentiality), tính toàn vẹn (integrity) và tính khả dụng (availability). Đây là nền tảng để đánh giá mức độ an toàn của ứng dụng web.
• Mô hình OWASP Top 10: Tiêu chuẩn toàn cầu liệt kê 10 lỗ hổng bảo mật phổ biến nhất trên ứng dụng web, như Injection, Broken Authentication, Cross-Site Scripting (XSS), và Security Misconfiguration. Mô hình này giúp định hướng kiểm thử và đánh giá các nguy cơ bảo mật.
• Mô hình kiểm thử bảo mật ứng dụng web: Bao gồm các giai đoạn khám phá, đánh giá lỗ hổng, khai thác và báo cáo. Mô hình này đảm bảo quy trình kiểm thử có hệ thống, toàn diện và hiệu quả.
• Phân loại kiểm thử bảo mật: Kiểm thử hộp đen (black-box testing) và kiểm thử hộp trắng (white-box testing), mỗi loại có ưu nhược điểm riêng, phù hợp với các mục tiêu và điều kiện kiểm thử khác nhau.

Các khái niệm chính được sử dụng gồm: kiểm thử bảo mật ứng dụng web, lỗ hổng bảo mật, kỹ thuật kiểm thử hộp đen và hộp trắng, công cụ kiểm thử tự động và thủ công.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa phân tích lý thuyết và thực nghiệm kiểm thử bảo mật trên các website thực tế. Cụ thể:

• Nguồn dữ liệu: Thu thập từ các tài liệu chuyên ngành, báo cáo an ninh mạng, tiêu chuẩn OWASP, và các công cụ kiểm thử bảo mật phổ biến như Zed Attack Proxy (ZAP), Nikto, Acunetix WVS, RIPS, AppScan Source.
• Phương pháp phân tích: Áp dụng quy trình kiểm thử bảo mật gồm bốn giai đoạn: khám phá thông tin, đánh giá lỗ hổng, khai thác lỗ hổng và báo cáo kết quả. Kết hợp kiểm thử thủ công và tự động để đảm bảo phát hiện toàn diện các lỗ hổng.
• Cỡ mẫu và chọn mẫu: Thực nghiệm kiểm thử trên hai website có tính đại diện trong lĩnh vực quản lý quan hệ khách hàng và an ninh mạng. Việc lựa chọn dựa trên tính phổ biến và mức độ phức tạp của ứng dụng web.
• Timeline nghiên cứu: Quá trình nghiên cứu kéo dài trong khoảng hai năm, từ việc tổng hợp lý thuyết, lựa chọn công cụ, thực hiện kiểm thử đến phân tích và đánh giá kết quả.

Phương pháp nghiên cứu đảm bảo tính khoa học, thực tiễn và khả năng áp dụng cao trong lĩnh vực bảo mật ứng dụng web.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phát hiện lỗ hổng phổ biến theo OWASP Top 10: Qua kiểm thử trên các website thực nghiệm, các lỗ hổng như Injection, Cross-Site Scripting (XSS), và Broken Authentication chiếm tỷ lệ phát hiện cao, lần lượt khoảng 35%, 28% và 20% tổng số lỗ hổng được phát hiện. Điều này phù hợp với xu hướng toàn cầu về các lỗ hổng phổ biến nhất.

2. Hiệu quả của kiểm thử tự động và thủ công: Kiểm thử tự động bằng công cụ ZAP và Acunetix WVS phát hiện được khoảng 70% các lỗ hổng phổ biến, trong khi kiểm thử thủ công bổ sung thêm khoảng 25% lỗ hổng phức tạp, đặc biệt là các lỗi logic và kiểm soát truy cập. Sự kết hợp hai phương pháp nâng cao hiệu quả phát hiện lên gần 95%.

3. Tác động của cấu hình sai và thành phần có lỗ hổng: Lỗi cấu hình (Security Misconfiguration) và việc sử dụng các thành phần có lỗ hổng chiếm khoảng 15% các điểm yếu được phát hiện, cho thấy tầm quan trọng của việc quản lý cấu hình và cập nhật thư viện, framework trong bảo mật ứng dụng web.

4. Khả năng khai thác lỗ hổng: Trong giai đoạn khai thác, khoảng 60% lỗ hổng được xác định có thể bị khai thác để truy cập trái phép hoặc chiếm quyền điều khiển hệ thống, gây nguy cơ nghiêm trọng cho dữ liệu và hoạt động của ứng dụng.

Thảo luận kết quả

Kết quả nghiên cứu cho thấy các lỗ hổng bảo mật phổ biến vẫn tồn tại rộng rãi trên các ứng dụng web hiện nay, đặc biệt là các lỗi Injection và XSS, tương đồng với báo cáo của OWASP và các nghiên cứu trong ngành. Việc kết hợp kiểm thử tự động và thủ công là cần thiết để phát hiện toàn diện các lỗ hổng, bởi công cụ tự động có giới hạn trong việc nhận diện các lỗi logic phức tạp.

Lỗi cấu hình và sử dụng thành phần có lỗ hổng phản ánh thực trạng quản lý chưa chặt chẽ trong phát triển và vận hành ứng dụng web, đồng thời nhấn mạnh vai trò của việc cập nhật và kiểm tra định kỳ. Khả năng khai thác cao của các lỗ hổng phát hiện được cảnh báo về mức độ nguy hiểm nếu không có biện pháp xử lý kịp thời.

Dữ liệu có thể được trình bày qua biểu đồ cột thể hiện tỷ lệ các loại lỗ hổng phát hiện, biểu đồ tròn phân bổ tỷ lệ kiểm thử tự động và thủ công, cũng như bảng tổng hợp mức độ nguy hiểm và khả năng khai thác của từng loại lỗ hổng. Những biểu đồ này giúp trực quan hóa kết quả và hỗ trợ phân tích sâu hơn.

Đề xuất và khuyến nghị

1. Thực hiện kiểm thử bảo mật định kỳ và kết hợp đa phương pháp: Các tổ chức cần xây dựng quy trình kiểm thử bảo mật ứng dụng web định kỳ, kết hợp kiểm thử tự động và thủ công để phát hiện toàn diện các lỗ hổng. Mục tiêu là giảm tỷ lệ lỗ hổng nghiêm trọng xuống dưới 5% trong vòng 6 tháng, do bộ phận an ninh thông tin thực hiện.

2. Cập nhật và quản lý chặt chẽ các thành phần phần mềm: Thiết lập hệ thống quản lý phiên bản và cập nhật thư viện, framework thường xuyên để loại bỏ các thành phần có lỗ hổng. Mục tiêu là đảm bảo 100% thành phần sử dụng trong ứng dụng được kiểm tra và cập nhật trong vòng 1 tháng kể từ khi có bản vá, do nhóm phát triển phần mềm chịu trách nhiệm.

3. Đào tạo nâng cao nhận thức và kỹ năng bảo mật cho đội ngũ phát triển: Tổ chức các khóa đào tạo chuyên sâu về bảo mật ứng dụng web, đặc biệt là các kỹ thuật phòng chống Injection, XSS và cấu hình an toàn. Mục tiêu là 80% lập trình viên hoàn thành khóa đào tạo trong 3 tháng, do phòng nhân sự phối hợp với chuyên gia bảo mật thực hiện.

4. Xây dựng hệ thống giám sát và ghi nhật ký hiệu quả: Triển khai hệ thống ghi nhật ký và giám sát hoạt động ứng dụng để phát hiện sớm các hành vi bất thường và tấn công. Mục tiêu là phát hiện và phản ứng trong vòng 30 phút kể từ khi sự cố xảy ra, do bộ phận vận hành và an ninh mạng đảm nhiệm.

Các giải pháp này cần được triển khai đồng bộ và liên tục để nâng cao mức độ an toàn cho ứng dụng web, giảm thiểu rủi ro mất mát dữ liệu và bảo vệ người dùng.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và kỹ sư bảo mật thông tin: Luận văn cung cấp kiến thức chuyên sâu về các kỹ thuật kiểm thử bảo mật ứng dụng web, giúp họ cập nhật phương pháp và công cụ mới để nâng cao hiệu quả công việc.

2. Nhà phát triển phần mềm và lập trình viên: Hiểu rõ các lỗ hổng phổ biến và cách phòng tránh qua kiểm thử bảo mật giúp họ viết mã an toàn hơn, giảm thiểu rủi ro bảo mật trong quá trình phát triển.

3. Quản lý dự án và lãnh đạo doanh nghiệp: Nắm bắt tầm quan trọng của bảo mật ứng dụng web và các giải pháp kiểm thử giúp họ đưa ra quyết định đầu tư hợp lý, xây dựng chiến lược bảo mật toàn diện.

4. Sinh viên và nghiên cứu sinh ngành công nghệ thông tin: Tài liệu là nguồn tham khảo quý giá cho việc học tập, nghiên cứu về bảo mật ứng dụng web, cung cấp cả lý thuyết và thực tiễn kiểm thử.

Mỗi nhóm đối tượng có thể áp dụng kiến thức từ luận văn để nâng cao năng lực chuyên môn, cải thiện quy trình phát triển và vận hành ứng dụng web an toàn hơn.

Câu hỏi thường gặp

1. Kiểm thử bảo mật ứng dụng web là gì và tại sao quan trọng?
   Kiểm thử bảo mật ứng dụng web là quá trình xác định các lỗ hổng và điểm yếu trong ứng dụng để ngăn chặn các cuộc tấn công mạng. Nó quan trọng vì giúp bảo vệ dữ liệu người dùng, duy trì hoạt động ổn định và uy tín của tổ chức.

2. Phân biệt kiểm thử hộp đen và hộp trắng trong bảo mật?
   Kiểm thử hộp đen không yêu cầu kiến thức về mã nguồn, tập trung vào thử nghiệm chức năng từ bên ngoài. Kiểm thử hộp trắng dựa trên phân tích mã nguồn và kiến trúc để phát hiện lỗi sâu hơn. Kết hợp cả hai giúp phát hiện toàn diện hơn.

3. Các công cụ kiểm thử bảo mật phổ biến hiện nay là gì?
   Các công cụ như Zed Attack Proxy (ZAP), Nikto, Acunetix WVS cho kiểm thử tự động; RIPS và AppScan Source cho kiểm thử mã nguồn tĩnh là những công cụ được sử dụng rộng rãi trong ngành.

4. Làm thế nào để phòng tránh lỗ hổng Injection?
   Phòng tránh bằng cách kiểm soát chặt chẽ dữ liệu đầu vào, sử dụng câu truy vấn có tham số (parameterized queries), và thực hiện kiểm thử bảo mật thường xuyên để phát hiện sớm các lỗ hổng.

5. Tại sao cần kết hợp kiểm thử thủ công và tự động?
   Kiểm thử tự động nhanh và hiệu quả trong phát hiện các lỗ hổng phổ biến, nhưng không thể phát hiện hết các lỗi logic phức tạp. Kiểm thử thủ công bổ sung khả năng phát hiện các vấn đề này nhờ kinh nghiệm và kỹ năng của chuyên gia.

Kết luận

• Luận văn đã nghiên cứu và áp dụng thành công các kỹ thuật kiểm thử bảo mật ứng dụng web, phát hiện nhiều lỗ hổng phổ biến theo tiêu chuẩn OWASP Top 10.
• Kết hợp kiểm thử tự động và thủ công nâng cao hiệu quả phát hiện lỗ hổng lên gần 95%, giúp đánh giá toàn diện mức độ an toàn của ứng dụng.
• Các lỗi cấu hình và sử dụng thành phần có lỗ hổng là nguyên nhân phổ biến, cần được quản lý chặt chẽ và cập nhật thường xuyên.
• Đề xuất các giải pháp thực tiễn gồm kiểm thử định kỳ, đào tạo nhân sự, quản lý thành phần và giám sát hệ thống nhằm nâng cao bảo mật ứng dụng web.
• Nghiên cứu mở ra hướng phát triển tiếp theo về tự động hóa kiểm thử nâng cao và tích hợp bảo mật trong quy trình phát triển phần mềm.

Để bảo vệ ứng dụng web hiệu quả, các tổ chức cần hành động ngay bằng cách áp dụng các kỹ thuật kiểm thử bảo mật đã được nghiên cứu và đề xuất trong luận văn. Hãy bắt đầu xây dựng môi trường phát triển an toàn và kiểm thử bảo mật toàn diện ngay hôm nay!

Trích đoạn nội dung tài liệu

Chương 1. TỔNG QUAN VỀ BẢO MẬT VÀ CÁC LỖ HỔNG BẢO MẬT TRÊN WEB Trong chương này, luận văn sẽ giới thiệu một cách tổng quan về bài toán bảo mật website, sự cần thiết bảo mật website, các lỗ hổng bảo mật và tình trạng tấn công các trang web hiện nay.1 Tổng quan về bảo mật [1], [2] 1.1 Bảo mật website Bảo mật là bảo vệ an toàn thông tin trước những "tay" chuyên rình mò thông tin của người khác (Hình 1. Bảo mật website Với hệ thống thông tin của doanh nghiệp, thông tin chính là tiền. Với website của doanh nghiệp, việc có thể thay đổi thông tin trên đó sẽ ảnh hưởng xấu đến thương hiệu.

Trang web là thương hiệu của một đơn vị hay một cá nhân, mặt tiền của một cửa hàng và thường là lần tiếp xúc đầu tiên với khách hàng. Nếu nó không an toàn và bảo mật, những mối quan hệ kinh doanh quan trọng đó có thể bị ảnh hưởng. Các mối đe dọa có thể xuất hiện dưới nhiều hình thức - lây nhiễm một trang web có phần mềm độc hại để phát tán phần mềm độc hại đó cho khách truy cập trang Luan van 5 web, đánh cắp thông tin khách hàng, như tên và địa chỉ email, đánh cắp thẻ tín dụng và thông tin giao dịch khác, thêm trang web vào botnet của các trang web bị nhiễm và thậm chí chiếm quyền điều khiển hoặc đánh sập trang web. Nếu ứng dụng thương mại điện tử, thiệt hại sẽ rất lớn nếu website bị tấn công, khách hàng sẽ không bao giờ tin tưởng để cung cấp những thông tin cá nhân trên website nữa.

Bảo mật là sự thỏa hiệp giữa việc đảm bảo an toàn và chức năng hay khả năng sử dụng. Nếu bảo mật của hệ thống quá chặt chẽ, nó sẽ trở nên rất khó sử dụng hoặc khó hoạt động một cách hiệu quả. Nếu bảo mật quá đơn giản, hệ thống dễ bị tấn công và xâm nhập. Tùy thuộc vào các yêu cầu của mỗi hệ thống mà có những mục đích về bảo mật khác nhau, nhưng chúng đều có điểm chung là: Đảm bảo sự an toàn dữ liệu cho hệ thống và bảo vệ các tài nguyên trên mạng trước sự tấn công nhằm phá vỡ hệ thống hoặc sử dụng trái phép các tài nguyên của một số người có chủ ý xấu.

Bảo mật website có thể hiểu là một loại chức năng hoặc thao tác quan trọng, cần thiết trong quá trình sử dụng và vận hành website, bảo vệ trang web khỏi sự truy cập, sử dụng, sửa đổi, phá hủy hoặc phá vỡ trái phép. Bảo mật website có nghĩa là bảo vệ trang web của bạn và dữ liệu khỏi các mối đe dọa ác ý, tin tặc, tấn công mạng, tấn công DDOS và phần mềm độc hại. Mục đích của kiểm tra bảo mật là khám phá các lỗ hổng của ứng dụng web để các nhà phát triển có thể loại bỏ các lỗ hổng này khỏi ứng dụng và làm cho ứng dụng web và dữ liệu an toàn khỏi mọi hành động trái phép. Để trang web có thể hoạt động tốt, các nhà quản trị website cần thực hiện các thao tác bảo mật thường xuyên, kịp thời.

Bảo mật trang web muốn hiệu quả đòi hỏi sự nỗ lực trên toàn bộ trang web: trong ứng dụng web, cấu hình của máy chủ web, chính sách tạo mật khẩu từ phía máy khách. Quá trình phân tích bảo mật nên được chạy song song với phát triển ứng dụng Web. Nhóm lập trình viên và nhà phát triển chịu trách nhiệm phát triển mã cũng chịu Luan van 6 trách nhiệm thực hiện các chiến lược khác nhau, phân tích sau rủi ro, giảm thiểu và giám sát.2 Bảo mật ứng dụng web Bảo mật ứng dụng web là một nhánh của bảo mật thông tin liên quan cụ thể đến bảo mật của các trang web, ứng dụng web và dịch vụ web. Ở cấp độ cao, bảo mật ứng dụng web dựa trên các nguyên tắc bảo mật ứng dụng nhưng áp dụng chúng cụ thể cho các hệ thống Internet và web.

Bảo mật ứng dụng web là quá trình bảo mật dữ liệu bí mật được lưu trữ trực tuyến khỏi sự truy cập và sửa đổi trái phép. Điều này được thực hiện bằng cách thực thi các biện pháp chính sách nghiêm ngặt. Các mối đe dọa bảo mật có thể ảnh hưởng đến dữ liệu được lưu trữ với mục đích xấu là cố gắng truy cập vào thông tin nhạy cảm. Bảo mật ứng dụng web nhằm giải quyết và đáp ứng ba điều kiện bảo mật, còn được gọi là các nguyên tắc bảo mật: - Bí mật: Hạn chế quyền được phép truy nhập và công bố thông tin, bao gồm cả bảo vệ quyền riêng tư cá nhân và quyền sở hữu thông tin.

- Tính toàn vẹn: Xác định rằng dữ liệu trong ứng dụng Web là nhất quán và không bị sửa đổi bởi người dùng trái phép. - Tính khả dụng: bảo đảm Ứng dụng web có thể truy nhập và sử dụng được kịp thời, tin cậy. Tính khả dụng (utility) khác với tính sẵn sàng (availability) ở chỗ ứng dụng web có thể sẵn sàng song vẫn vô dụng (không dùng được) nếu thiếu mã khóa để giải mã chẳng hạn.2 Các lỗ hổng bảo mật [3], [4], [8] Lỗ hổng bảo mật là tập hợp những điều kiện mà cho phép một kẻ xấu tấn công làm vi phạm những chính sách bảo mật một cách tương minh hoặc ngầm. Đó là những điểm yếu nằm trong thiết kế và cấu hình của hệ thống, lỗi của lập trình viên hoặc sơ Luan van 7 suất trong quá trình vận hành.

“90% lỗ hổng bảo mật bắt nguồn từ ứng dụng web, 90% nhà quản trị chưa có cái nhìn tổng quan về bảo mật Web App”[3]. Đây là lý do dẫn tới số lượng các cuộc tấn công trên mạng ngày càng nhiều. Một số nguyên nhân sâu xa của lỗ hổng bảo mật như sau: - Phức tạp: Các lỗ hổng bảo mật tăng tỷ lệ thuận với sự phức tạp của một hệ thống. Sự phức tạp về phần mềm, phần cứng, thông tin, doanh nghiệp và quy trình giới thiệu nhiều lỗ hổng bảo mật hơn.

- Kết nối: Mỗi kết nối không bảo đảm là một con đường tiềm năng để các hacker khai thác thông tin - Lỗi thiết kế: Không nên có bất kỳ lỗi thiết kế nào trong phần mềm và phần cứng. Những lỗi này có thể khiến doanh nghiệp gặp rủi ro đáng kể. - Cấu hình: Cấu hình hệ thống kém làm tăng lỗ hổng bảo mật. - Đầu vào của người dùng: Dữ liệu nhận được thông qua SQL injections, tràn bộ đệm, v., có thể được thiết kế để tấn công hệ thống nhận.

- Sự quản lý: Quản lý nên có một kế hoạch quản lý rủi ro thích hợp để tránh các lỗ hổng bảo mật trong hệ thống. - Mật khẩu: Mật khẩu để tránh truy cập trái phép và bảo mật dữ liệu cá nhân của bạn. Mật khẩu không được bảo mật (chia sẻ với người khác, viết chúng xuống một nơi nào đó, cài đặt dễ đoán) cho phép tin tặc đoán mật khẩu của bạn một cách dễ dàng. - Lỗi của con người: Các lỗi của con người như xử lý tài liệu không đúng cách, lỗi mã hóa, đưa ra mật khẩu cho các trang web lừa đảo là một nguồn lỗ hổng bảo mật đáng kể.

Lỗi của con người có thể được ngăn chặn bằng cách đào tạo thích hợp cho nhân viên. - Giao tiếp: Các kênh truyền thông như điện thoại, điện thoại di động, internet cung cấp phạm vi cho các lỗ hổng bảo mật. OWASP Top ten là một tiêu chuẩn toàn cầu để phục vụ việc kiểm thử xâm nhập được dễ dàng hơn. Tiêu chuẩn này được đề xuất bởi một tổ chức phi lợi nhuận: Luan van 8 Open Web Application Security Project (OWASP- Dự án mở về bảo mật ứng dụng web).

Dưới đây là TOP 10 lỗ hổng bảo mật web phổ biến nhất theo tiêu chuẩn OWASP năm 2017 [8]: 1.1 A1: Injection - Tổng quan Injection là một kĩ thuật cho phép những kẻ tấn công lợi dụng lỗ hổng trong việc kiểm tra dữ liệu nhập trong các ứng dụng web và các thông báo lỗi của hệ quản trị cơ sở dữ liệu để "tiêm vào" (inject) và thi hành các câu lệnh bất hợp pháp (không được người phát triển ứng dụng lường trước). Hậu quả của nó có thể rất lớn vì nó cho phép những kẻ tấn công có thể thực hiện các thao tác: vượt qua khâu xác thực, đánh cắp thông tin trong cơ sở dữ liệu, chèn, xóa, sửa đổi dữ liệu bên trong cơ sở dữ liệu, chiếm quyền điều khiển của hệ thống. Các lỗ hổng đặc trưng: SQL injection; OS injection; LDAP injection; NoSQL injection…Ví dụ điển hình của Injection: - Kịch bản # 1: Một ứng dụng sử dụng dữ liệu không tin cậy khi xây dựng lệnh gọi SQL dễ bị tấn công sau: String query = "SELECT * FROM accounts WHERE custID='" + request.getParameter("id") + "'"; - Kịch bản # 2: Tương tự, một ứng dụng nếu tin tưởng quá vào các khung sẵn có, có thể dẫn đến các truy vấn vẫn dễ bị tấn công, (ví dụ: Ngôn ngữ truy vấn Hibernate (HQL)): Query HQLQuery = session.createQuery("FROM accounts WHERE custID='" + request.getParameter("id") + "'"); Trong cả hai trường hợp, kẻ tấn công đều sửa đổi giá trị tham số ‘id, trong trình duyệt của họ để gửi: hoặc’ 1, = 1 Ví dụ: http://example.com/app/accountView?id=' or '1'='1 Điều này thay đổi ý nghĩa của cả hai truy vấn để trả về tất cả các bản ghi từ bảng “Account”. Các cuộc tấn công nguy hiểm hơn có thể sửa đổi hoặc xóa dữ liệu, hoặc thậm chí gọi các thủ tục được lưu trữ.

Luan van 9 - Phòng chống Lỗ hổng Injection xảy ra do các biến được nhập vào từ người dùng không được kiểm soát chặt chẽ trước khi xây dựng câu truy vấn tới CSDL. Đó chính là nguyên nhân chung nhất của các lỗ hổng dạng Injection. Lỗ hổng Injection xảy ra khi có kết hợp cả 2 điều kiện:  Có sự truy vấn tới CSDL  Câu truy vấn chưa được kiểm soát sự an toàn Có thể khẳng định rằng, một biến được nhập vào từ người dùng, qua nhiều bước xử lý trung gian xây dựng câu truy vấn tới cơ sở dữ liệu mà không có bất cứ bước kiểm tra sự an toàn nào thì chắc chắn sẽ mắc các lỗ hổng Injection. Đây cũng chính là điểm mấu chốt để nhận diện và phòng chống các lỗ hổng Injection.

Phương pháp hữu hiệu nhất để chống tấn công Injection là kiểm soát thật chặt chẽ các giá trị nhập được nhập vào từ người dùng.2 A2: Lỗi xác thực (Broken Authentication) Đây là nhóm các vấn đề có thể xảy ra trong quá trình xác thực, quản lý phiên đăng nhập.