Luận văn Thạc sĩ: Phân tích, đánh giá và giám sát độ an toàn của các dịch vụ web

Tải luận văn phân tích, đánh giá và giám sát độ an toàn dịch vụ web. Nội dung gồm các lỗ hổng thường gặp và quy trình bảo mật theo OWASP.

• Tác giả: Ngô Vinh Quy
• Người hướng dẫn: Ts. Quốc Khánh
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ Thuật Máy Tính Và Truyền Thông
• Đề tài: Phân Tích, Đánh Giá Và Giám Sát An Toàn Của Các Dịch Vụ Web
• Loại tài liệu: Luận Văn Thạc Sĩ
• Năm xuất bản: 2012
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng quan về An toàn Dịch vụ Web

An toàn dịch vụ web là một lĩnh vực quan trọng trong công nghệ thông tin hiện đại. Với sự phát triển nhanh chóng của các ứng dụng web, nguy cơ về bảo mật thông tin ngày càng tăng cao. Luận văn này tập trung vào đánh giá và giám sát an toàn các dịch vụ web để bảo vệ dữ liệu người dùng. Các tổ chức và doanh nghiệp cần hiểu rõ về các lỗ hổng bảo mật web phổ biến để có thể triển khai các biện pháp phòng chống hiệu quả. Việc xây dựng quy trình đánh giá bảo mật hệ thống thông tin là bước quan trọng không thể bỏ qua. Nghiên cứu này cung cấp các phương pháp và chuẩn mực quốc tế để đảm bảo an toàn cho các ứng dụng web.

1.1. Lịch sử phát triển và các mô hình ứng dụng Web

Ứng dụng web đã trải qua nhiều giai đoạn phát triển, từ mô hình đơn giản đến kiến trúc phức tạp hiện nay. Các mô hình phổ biến bao gồm mô hình MVC (Model-View-Controller) và mô hình 3-Tier Architecture. Mỗi mô hình có những đặc điểm bảo mật riêng biệt. Hiểu rõ về cấu trúc ứng dụng web giúp chúng ta nhận diện những điểm yếu trong hệ thống và đưa ra giải pháp bảo vệ phù hợp.

1.2. Các thuật ngữ cơ bản và khái niệm bảo mật

Trong lĩnh vực bảo mật web, cần nắm vững các thuật ngữ như Cookies, Session, HTTP/HTTPS, và URL. Cookies là tệp dữ liệu lưu trữ thông tin người dùng, trong khi Session quản lý trạng thái kết nối. Giao thức HTTPS đảm bảo truyền tải dữ liệu an toàn và mã hóa. Việc hiểu rõ các khái niệm này là nền tảng để phân tích và đánh giá an toàn bảo mật ứng dụng web.

II. Các lỗ hổng bảo mật Web thường gặp

Lỗ hổng bảo mật web là những điểm yếu trong ứng dụng mà kẻ tấn công có thể lợi dụng. Theo báo cáo năm 2010-2011, có 10 lỗ hổng bảo mật nguy hiểm nhất cần được chú ý. Các lỗ hổng phổ biến bao gồm SQL Injection, Cross-Site Scripting (XSS), và Path Traversal. SQL Injection cho phép kẻ tấn công truy cập trái phép vào cơ sở dữ liệu. XSS cho phép chèn mã độc vào trang web. Path Traversal cho phép truy cập các tệp hệ thống không được phép. Hiểu rõ về các lỗ hổng này giúp nhà phát triển xây dựng ứng dụng web an toàn và bảo mật hơn.

2.1. Phân loại và cách thức tấn công Website

Các cuộc tấn công website có thể được phân loại thành nhiều nhóm khác nhau. Tấn công chủ động trực tiếp nhằm vào lỗ hổng bảo mật, trong khi tấn công bị động thu thập thông tin về hệ thống. Kẻ tấn công (Hacker) sử dụng nhiều kỹ thuật khác nhau như brute force, phishing, và malware injection. Quy trình tấn công thường bắt đầu từ reconnaissance (tìm hiểu thông tin), scanning (quét lỗ hổng), exploitation (khai thác), và cuối cùng là post-exploitation (duy trì truy cập).

2.2. Nguyên nhân và hậu quả của lỗ hổng bảo mật

Nguyên nhân chính của lỗ hổng bảo mật web bao gồm code lỗi, xác thực không đủ, và kiến thức bảo mật hạn chế. Hậu quả của lỗ hổng bảo mật có thể rất nghiêm trọng như mất dữ liệu, tổn thất tài chính, và ảnh hưởng danh tiếng doanh nghiệp. Các sự cố bảo mật không chỉ gây thiệt hại cho công ty mà còn ảnh hưởng đến quyền riêng tư và an toàn thông tin của người dùng.

III. Phương pháp đánh giá bảo mật theo chuẩn quốc tế

Để đánh giá an toàn bảo mật hiệu quả, cần tuân theo các chuẩn quốc tế được công nhận. OSSTMM (Open Source Security Testing Methodology Manual) cung cấp phương pháp kiểm thử bảo mật toàn diện cho mạng và hệ thống. ISSAF (Information Systems Security Assessment Framework) tập trung vào đánh giá hệ thống thông tin bảo mật. PCI DSS (Payment Card Industry Data Security Standard) đặc biệt quan trọng cho các hệ thống xử lý thanh toán. OWASP ASVS (Application Security Verification Standard) là chuẩn xác minh bảo mật ứng dụng phổ biến nhất hiện nay. Các chuẩn này cung cấp danh sách kiểm tra (Checklist) chi tiết giúp đánh giá toàn diện độ an toàn của ứng dụng web.

3.1. Chuẩn OWASP ASVS và các mức độ bảo mật

OWASP ASVS chia các yêu cầu bảo mật thành 3 mức độ khác nhau. Mức 1 (Minimum) phù hợp cho các ứng dụng web cơ bản, Mức 2 (Standard) cho ứng dụng có yêu cầu bảo mật trung bình, và Mức 3 (Advanced) cho các hệ thống quan trọng cần bảo mật cấp độ cao. Mỗi mức độ bao gồm các kiến trúc bảo mật chi tiết và yêu cầu kiểm tra cụ thể giúp nhà phát triển xây dựng ứng dụng an toàn.

3.2. Quy trình phân tích và kiểm thử thâm nhập

Quy trình đánh giá bảo mật bao gồm nhiều giai đoạn từ lập kế hoạch, thu thập thông tin, phân tích, đến kiểm thử thâm nhập (Penetration Testing). Kiểm thử thâm nhập là phương pháp mô phỏng tấn công thực tế để phát hiện các lỗ hổng bảo mật. Sử dụng OWASP Testing Guide V3 cung cấp các kỹ thuật kiểm thử chuẩn hóa và có thể lặp lại, giúp đảm bảo đánh giá toàn diện và chính xác về an toàn bảo mật.

IV. Quy trình giám sát an toàn bảo mật dịch vụ Web

Giám sát an toàn bảo mật là hoạt động liên tục không thể thiếu sau khi đánh giá bảo mật hoàn tất. Giám sát giúp phát hiện các nguy cơ mới, hoạt động bất thường, và lỗ hổng được khai thác. Các phương pháp giám sát bao gồm theo dõi nhật ký hệ thống (Log Monitoring), giám sát lưu lượng mạng (Network Monitoring), và quét lỗ hổng định kỳ (Vulnerability Scanning). Quy trình giám sát đề xuất bao gồm các công việc như thu thập dữ liệu, phân tích sự cố, cảnh báo kịp thời, và báo cáo định kỳ. Việc triển khai giám sát hiệu quả giúp bảo vệ dịch vụ web khỏi các mối đe dọa bảo mật liên tục.

4.1. Các công cụ và kỹ thuật giám sát phổ biến

Các công cụ giám sát như Nmap, Netca, Webscarab, và Nessus được sử dụng rộng rãi. Nmap dùng để quét cổng mạng và phát hiện dịch vụ. Webscarab là proxy tool giúp phân tích lưu lượng HTTP/HTTPS. Netcat cung cấp khả năng kết nối mạng nâng cao. Các công cụ này phối hợp với Firefox Firebug giúp phân tích chi tiết hoạt động của ứng dụng web.

4.2. Hướng phát triển và khuyến nghị tương lai

Để nâng cao an toàn bảo mật, cần tìm hiểu sâu hơn về các kỹ thuật tấn công mới. Việc mở rộng phạm vi giám sát từ ứng dụng web sang các hệ thống mạng và dịch vụ khác là hướng phát triển quan trọng. Hoàn thiện quy trình đánh giá để bao gồm tất cả khía cạnh của dịch vụ web là cần thiết. Chương trình phát hiện lỗ hổng (Bug Bounty) trên nhiều nền tảng kỹ thuật sẽ giúp phát hiện và khắc phục lỗ hổng hiệu quả hơn.

Trích đoạn nội dung tài liệu

MỞ ĐẦU 1. Lý do chọn dé tai Với sự phát triển của các ứng đụng đựa trên nên Web, việc nghiên cứu đánh. giả và giám sát dộ an toàn của các dịch vụ Web là rất quan trọng và cân thiết. Đặc biệt nêu áp dụng hiệu quá vào thực tế thì giảm thiểu rất nhiều rủi ro và thiệt hại do các lễ hồng bảo mật gây ra cho tố chức, doanh nghiệp.

Mục đích nghiên rứu Mục đích nghiên cứu của luận văn là tìm tổng quan về yêu cầu bảo vệ địch. vụ Web, các lễ hỏng bão mật phố biển, xây cng phương pháp phân tích đanh giá và giảm sắt độ an toàn của các địch vụ Wcb. Đôi lượng áp dụng là các kỹ sư công, nghệ thông tin, các nhà quản trị và các cán bộ đấm bão an toàn thông tín cho địch vu Web, 3. Nội dung nghiên cứu nội dung chỉnh và đóng góp của tác giá: - Tổng quan về lich sử phát Iriển, các rô hình Web phố biến, các thuật ngí? Web - Các bước tần công một địch vụ Web và thông tin về 10 lễ hỗng bảo mật.

phô biến nhật ic giả đã nghiên cứu, tổng hợp vả đề xuất được phương pháp, quy trình phân tích đánh giá và phương pháp, quy trình giảm sát đồ an toàn địch vụ Web, -Cö áp dụng quy trình đánh giá để xuất để đánh giá một hệ thống Web thực tế và có kết quả bảo cáo lỗi. - Xây dựng hướng dẫn kiếm thử an ninh cho địch vụ Web. Phương pháp nghiên rứn. Phương pháp nghiên cứu kết hợp tim hiểu.

ý thuyết và thực hành đề tìm hiểu và xây dựng phương pháp phân tích đánh giá độ an toàn cho các địch vụ Web. Tải Biêu nghiên cửu chủ yếu đựa vào tài Hện của tổ chức Owasp. 5, Kết quả đạt được Kết quả: théo yêu cầu đặt ra bạn đầu thì cho đến thời điểm liện tại, luận văn sơ bản đã đạt dược các nội đung yêu câu Han chế: bên cạnh đó luận văn cũng còn một số điểm hạn chế - Phương pháp đánh giá còn thiểu sốt hạn chí và chưa toàn điện. - Trong quả trình thực hiện tôi có than khảo nhiều tải liệu nhưng do kiến thức về lĩnh vực này còn hạn ché, tài liệu thi nhiêu, inh vực bão mật rộng nên trong quá trình trình còn nhiều sai sói.

Đề xuất: vẫn đề an toàn bão mật thật sự là một vẫn đề rộng và thường xuyên xuất hiện những nguy co, lỗ hỗng bảo mật mới, việc nhận thc về an toàn bảo mật. của người dùng, doanh nghiệp, cơ quan quân lý còn hạn ché và chưa dược quan tâm đúng mức. Irong quá trình tìm hiểu đẻ tải với kết quả thu được, cả nhãn tôi có dé xuất áp đụng quy trình phân tích, giám sát trên cho các địch vụ Web. Hướng phát triển: bản thân cả nhân tôi xin để xuất hướng, phát triển luận văn: - Tim hiếu thêm vê các kĩ thuật tấn công để đưa ra phương pháp bảo mật ứng, dụng Web ở mức độ sâu hơn.

~ Tìm hiểu về văn dé bảo mật sâu hơn, không chỉ đừng ở mức độ một ứng, dụng Web mà phát triển hơn vần đề bão mậi ở các hệ thống mạng và địch vụ. - Hoàn thiện quy trình đánh giá, giảm sat cho day đủ hơn, bao gồm hết các kía cạnh của địch vụ Web, ~ Triển khai chương trình phát luện lỗ hồng Web, trên nhiều phương điện kĩ thuật. LOL CAM BOAN Tôi xin cam đoan luận văn thạc sĩ kỳ thuật “Phân tích đánh giá và giảm sát độ an toàn các dịch vụ Web” là công trình nghiên cứu của cá nhân tối. Các số liệu và thông tin rong luận văn là trung thực 1à nội, tháng 3 năm 2012 NGÔ VĨNH QUÝ TIạc viên cao học khóa 2009 Chuyên ngành: Mạng máy tính và Truyền thông Trường Đại học Bách Khoa Hà Nội NỌI DUNG CHUONG 1: TONG QUAN VE AN TOAN BAO MAT UNG DUNG WEB 1.1 Théng tin an toan bao mat ~_ Theo số liệu thông kê từ công ty bảo mật hang đầu hiện nay Acunetix, thoi gian gần đây số lượng các cuộc tân công vào ứng dụng web đã tăng lên nhanh chóng (75% các cuộc tân công được thực hiện là ở lớp ứng dụng Web).

Trong đó hai kĩ thuật tắn công được các hacker sử dụng phổ biến lả eross-sife scripting va sql injection CredeaaSesson Predetion, 2.9% FSapeslefes2 Macontiquration, 226% Stolen Credentats, 2.1% Predieabe Resource Location, 4394 Coss Ste Request Forgery (CSBP, 1. Abuse of Functionality, 145% el of Stevie, E08%: 05 Commancing, 129% DNS Hịaceng, L2, ankiog Troan, 1.29% Rediection, L138 Insufcent Authentication, 1.13% Cross Ste Srptng S9), 12.8 Uhảnsen, 18 87 SOL ejection, 1.87% Hinh 1: Nguén Web Hacking Incident Database for 2011 (WHID) 1. Lịch sử phát triển ứng dụng Web a. Lịch sử phát triển Web - Ngày 6-8-1991, Tim Berners Lee công bố chương trình Web.

Dự án “World Wide Web” được Tim giới thiệu tại newsgroup alt. Ông cho biết dự án nhằm tới việc tạo ra các liên kết giữa các tài liệu bằng cách sử dụng “siêu văn bản” (hypertext) củng với internet ~ Tháng 6-1993: Ngôn ngữ HTML (Hypertext Mark Language) dùng trong lập trình Web được công bổ. THN VE Hình 1: Nguôn Web Hacking Incident Database for 2011 (WHID). Tinh 2: M6 hinh lap trinh Web cd dién THình 3: Mô hình lận trinh Web MVC Hình 4: Mô hình 3 Tierv.

Hình 3: Mô tả các bước lẫn công một Website. Hình 6: Các nội dung đánh giá bảo của OSSTMM. TRnh 7: Các mức độ bảo mật của OIASP. Tinh 8: Owasp 4SVS cấp độ 1, 1A va IB.

Hình 9: Ví dụ về kiên trúc bảo mật OIASP ASUN mức độ 1. Hình 10: Qwasn ASVS cấp độ 2, 24 và 2B. Tình 11: Vĩ dụ về kiến trúc bảo mật OW/ASP ASVS mức di 1ình 12: Owasp ASVS cấp độ 3. Tinh 13: Vi dy vé kién tric bdo mat OWASP ASVS mức độ 3.

Hình 14: i Hinh 15: Vi du vé kin inic bdo mit OWASP ASVS mute a6 4. Hình 16: Nội dung bdo cita chudn OWASP ASVS. 1ình 17: Quy trình đánh giá an toàn bảo một dịch vụ Ieb. Tầnh 18: Quy trink gidm sit an toan bdo mat dich vy Web Finh 19.

Man hinh sir dung cing cu Netca Hình 20: Màn hình sử dụng công cụ Nmap Hình 21: Sơ da Website. Hình 22: Màn hình sử dụng trình duyệt Firgfox. Linh 23: Su dung Proxy Webscarab. Hình 24: Ðoam code của chức năng kiễm ta SOL Injection.

Tình 35: Lỗi SỢI. Injeotion trong chúc năng tim kiém lop hoc Hình 26: Lỗi XS trong chứo năng xem danh sách môn bọc của sinh viên Hình 27: Lỗi Path traversal trong chức năng 2ownload. 1ình 28: Màn hình mô tả thao tác LUpshell. Hinh 29: Lỗi Path traversal trong chức năng Uploaả.

THUẬT NGỮ, TỪ VIẾT TẮT Client: Nguoi ding cudi File: Tap Iiu lưu đữ liệu HEML: Hypertext Mark Laneuage Hacker: Ké tan công Owasp: Open web application security project Checklist: Danh sách các điểm kiểm tra bão mật “ THUẬT NGỮ, TỪ VIẾT TẮT Client: Nguoi ding cudi File: Tap Iiu lưu đữ liệu HEML: Hypertext Mark Laneuage Hacker: Ké tan công Owasp: Open web application security project Checklist: Danh sách các điểm kiểm tra bão mật “ THN VE Hình 1: Nguôn Web Hacking Incident Database for 2011 (WHID). Tinh 2: M6 hinh lap trinh Web cd dién THình 3: Mô hình lận trinh Web MVC Hình 4: Mô hình 3 Tierv. Hình 3: Mô tả các bước lẫn công một Website. Hình 6: Các nội dung đánh giá bảo của OSSTMM.

TRnh 7: Các mức độ bảo mật của OIASP. Tinh 8: Owasp 4SVS cấp độ 1, 1A va IB. Hình 9: Ví dụ về kiên trúc bảo mật OIASP ASUN mức độ 1. Hình 10: Qwasn ASVS cấp độ 2, 24 và 2B.

Tình 11: Vĩ dụ về kiến trúc bảo mật OW/ASP ASVS mức di 1ình 12: Owasp ASVS cấp độ 3. Tinh 13: Vi dy vé kién tric bdo mat OWASP ASVS mức độ 3. Hình 14: i Hinh 15: Vi du vé kin inic bdo mit OWASP ASVS mute a6 4. Hình 16: Nội dung bdo cita chudn OWASP ASVS.

1ình 17: Quy trình đánh giá an toàn bảo một dịch vụ Ieb. Tầnh 18: Quy trink gidm sit an toan bdo mat dich vy Web Finh 19. Man hinh sir dung cing cu Netca Hình 20: Màn hình sử dụng công cụ Nmap Hình 21: Sơ da Website. Hình 22: Màn hình sử dụng trình duyệt Firgfox.

Linh 23: Su dung Proxy Webscarab. Hình 24: Ðoam code của chức năng kiễm ta SOL Injection. Tình 35: Lỗi SỢI. Injeotion trong chúc năng tim kiém lop hoc Hình 26: Lỗi XS trong chứo năng xem danh sách môn bọc của sinh viên Hình 27: Lỗi Path traversal trong chức năng 2ownload.

1ình 28: Màn hình mô tả thao tác LUpshell. Hinh 29: Lỗi Path traversal trong chức năng Uploaả. LỜI CẢM ƠN Xin chân thánh cẩm ơn T8. Vũ Quốc Khánh đã tận tinh hướng dẫn, chỉ bão và các thầy cõ Viện Công nghệ Thông tin, Viện Đào tạo sau đại học trường Đại học Bách khoa Hả nội đã truyền dạy những kiến thức quỷ báu trong chương trình cao hoc va giúp đỡ tôi hoàn thành luận van nay.

Kết quả: théo yêu cầu đặt ra bạn đầu thì cho đến thời điểm liện tại, luận văn sơ bản đã đạt dược các nội đung yêu câu Han chế: bên cạnh đó luận văn cũng còn một số điểm hạn chế - Phương pháp đánh giá còn thiểu sốt hạn chí và chưa toàn điện. - Trong quả trình thực hiện tôi có than khảo nhiều tải liệu nhưng do kiến thức về lĩnh vực này còn hạn ché, tài liệu thi nhiêu, inh vực bão mật rộng nên trong quá trình trình còn nhiều sai sói. Đề xuất: vẫn đề an toàn bão mật thật sự là một vẫn đề rộng và thường xuyên xuất hiện những nguy co, lỗ hỗng bảo mật mới, việc nhận thc về an toàn bảo mật. của người dùng, doanh nghiệp, cơ quan quân lý còn hạn ché và chưa dược quan tâm đúng mức.

Irong quá trình tìm hiểu đẻ tải với kết quả thu được, cả nhãn tôi có dé xuất áp đụng quy trình phân tích, giám sát trên cho các địch vụ Web. Hướng phát triển: bản thân cả nhân tôi xin để xuất hướng, phát triển luận văn: - Tim hiếu thêm vê các kĩ thuật tấn công để đưa ra phương pháp bảo mật ứng, dụng Web ở mức độ sâu hơn. ~ Tìm hiểu về văn dé bảo mật sâu hơn, không chỉ đừng ở mức độ một ứng, dụng Web mà phát triển hơn vần đề bão mậi ở các hệ thống mạng và địch vụ. - Hoàn thiện quy trình đánh giá, giảm sat cho day đủ hơn, bao gồm hết các kía cạnh của địch vụ Web, ~ Triển khai chương trình phát luện lỗ hồng Web, trên nhiều phương điện kĩ thuật.

PHẢN MỞ ĐẦU 1. Lý do chọn dé tai Với sự phát triển của các ứng đụng đựa trên nên Web, việc nghiên cứu đánh.