NGHIÊN CỨU PHƯƠNG PHÁP PHÁT HIỆN TẤN CÔNG ỨNG DỤNG WEB SỬ DỤNG HỌC SÂU CNN

Nghiên cứu phát hiện tấn công web sử dụng học sâu CNN. Đề tài khám phá phương pháp bảo mật ứng dụng web, ứng dụng mạng nơ-ron tích chập (CNN).

• Tác giả: Lê Ngọc Khoa
• Người hướng dẫn: PGS.TS Hoàng Xuân Dậu
• Trường học: Học Viện Công Nghệ Bưu Chính Viễn Thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Nghiên cứu phương pháp phát hiện tấn công ứng dụng web sử dụng học sâu CNN
• Loại tài liệu: Đề án tốt nghiệp thạc sĩ
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: CÁC PHƯƠNG PHÁP TẤN CÔNG ỨNG DỤNG WEB VÀ PHÒNG CHỐNG
• 1.1. Tổng quan về ứng dụng web
• 1.2. Các lỗ hổng bảo mật trong ứng dụng web
• 1.3. Một số lỗ hổng bảo mật Web phổ biến
• 1.4. Phương pháp phát hiện và phòng chống tấn công ứng dụng web
• 1.5. Kết chương
• 2. CHƯƠNG 2: PHÁT HIỆN TẤN CÔNG WEB SỬ DỤNG HỌC SÂU
• 2.1. Khái quát về học máy và học sâu
• 2.2. Phát hiện tấn công ứng dụng web dựa trên mô hình học sâu CNN
• 2.3. Kết chương
• 3. CHƯƠNG 3: THỬ NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Tập dữ liệu thử nghiệm
• 3.2. Tiền xử lý dữ liệu
• 3.3. Huấn luyện và kiểm tra
• 3.4. Cài đặt thử nghiệm mô đun phát hiện tấn công ứng dụng web
• 3.5. Kết chương
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Ứng Dụng Web Nền Tảng Cho Nghiên Cứu CNN

Ứng dụng web ngày càng đóng vai trò quan trọng trong kỷ nguyên số, trở thành cầu nối thiết yếu giữa người dùng và các dịch vụ trực tuyến. Sự phổ biến của chúng đi kèm với những thách thức về an toàn thông tin, khiến việc nghiên cứu các phương pháp phát hiện tấn công web trở nên cấp thiết. Các tổ chức và doanh nghiệp đã nhận thức rõ tầm quan trọng của việc bảo vệ ứng dụng web, kết hợp nhiều giải pháp bảo mật cùng với sự quản trị của các chuyên gia an toàn thông tin. Tuy nhiên, sự gia tăng của tội phạm mạng và các kỹ thuật tấn công tinh vi đòi hỏi những giải pháp hiệu quả hơn. Mô hình client-server là nền tảng của hầu hết các ứng dụng web hiện đại. Client (trình duyệt) gửi yêu cầu đến server, và server trả về phản hồi. Giao thức HTTP/HTTPS đóng vai trò quan trọng trong quá trình giao tiếp này.

1.1. Ứng Dụng Web Là Gì Tổng Quan Và Lợi Ích Chính

Ứng dụng web là phương thức phổ biến giúp tiếp cận người dùng và khách hàng dễ dàng hơn. Từ giải trí đến tài chính, ứng dụng web hiện diện ở mọi lĩnh vực. Chúng đóng vai trò cốt lõi trong cuộc cách mạng công nghệ 4.0, giúp con người nắm bắt thông tin một cách nhanh chóng và hiệu quả. Ví dụ điển hình là Facebook, nền tảng mạng xã hội hàng đầu thế giới, cung cấp khả năng kết nối và chia sẻ thông tin cho hàng tỷ người dùng trên toàn cầu. Theo tài liệu, ứng dụng web giúp các tổ chức, doanh nghiệp tăng cường truyền thông và quảng bá hình ảnh trên không gian mạng. Điều này nhấn mạnh vai trò quan trọng của chúng trong việc xây dựng thương hiệu và tiếp cận thị trường.

1.2. Mô Hình Client Server Kiến Trúc Cơ Bản Của Web App

Mô hình client-server là nền tảng của hầu hết các ứng dụng web hiện nay. Server đóng vai trò là nơi lưu trữ và xử lý dữ liệu, trong khi client (trình duyệt) gửi yêu cầu và hiển thị thông tin. Mô hình này mang lại tính sẵn sàng cao, khả năng mở rộng và phân phối nội dung tuyệt vời. Server bao gồm các thành phần như cơ sở dữ liệu, mã lệnh và các thành phần khác. Client sử dụng các trình duyệt như Chrome, Firefox, Safari để tương tác với server. Giao tiếp giữa client và server được thực hiện thông qua các gói tin HTTP. Client gửi yêu cầu và server phản hồi lại.

1.3. Giao Thức HTTP HTTPS Giao Tiếp An Toàn Trên Web

HTTP (Hypertext Transfer Protocol) là giao thức truyền tải siêu văn bản, hoạt động theo kiểu yêu cầu-phản hồi. Đây là nền tảng của mọi trao đổi dữ liệu trên web. Máy khách tạo yêu cầu và gửi đến máy chủ HTTP. Máy chủ xử lý yêu cầu và trả về phản hồi. Vì HTTP dễ bị tấn công, HTTPS (HTTP Secure) được khuyến nghị sử dụng để đảm bảo bảo mật thông tin. Thông thường, cổng được sử dụng trong ứng dụng web là cổng 80 (HTTP) hoặc HTTPS (443). Theo tài liệu, giao thức HTTP dễ bị tấn công trong ứng dụng web, do đó, cần sử dụng giao thức HTTPS để đảm bảo tính bảo mật.

II. Lỗ Hổng Web Thách Thức An Ninh Mạng và Giải Pháp CNN

Các lỗ hổng bảo mật ứng dụng web là điểm yếu có thể bị khai thác để đe dọa tính toàn vẹn, quyền riêng tư hoặc khả năng sẵn sàng của hệ thống. Những lỗ hổng này có thể dẫn đến mất thông tin nhạy cảm, gián đoạn dịch vụ hoặc các cuộc tấn công từ tin tặc. Trong bối cảnh đó, việc sử dụng học sâu CNN nổi lên như một giải pháp tiềm năng để tăng cường khả năng phát hiện và phòng chống các mối đe dọa này. Cần đặc biệt chú ý đến untrusted data, dữ liệu mà người lập trình không kiểm soát được, vì nó là cửa ngõ để kẻ tấn công xâm nhập vào hệ thống. Các vị trí có thể trở thành dữ liệu không tin cậy trong truy vấn HTTP rất đa dạng, từ các biến trong truy vấn đến các trường trong header.

2.1. Lỗ Hổng Bảo Mật Web Khái Niệm và Hậu Quả Tiềm Ẩn

Lỗ hổng bảo mật ứng dụng web là các điểm yếu trong ứng dụng web mà kẻ tấn công có thể khai thác để xâm nhập vào hệ thống. Hậu quả có thể bao gồm mất dữ liệu, gián đoạn dịch vụ và thiệt hại về tài chính và uy tín. Khái niệm untrusted data là quan trọng, vì đây là những dữ liệu mà người lập trình không kiểm soát được và có thể bị khai thác. Các vị trí có thể chứa untrusted data bao gồm các biến trong truy vấn, các trường trong header, và thậm chí cả các method. Việc xác định và xử lý untrusted data là bước quan trọng trong việc bảo vệ ứng dụng web.

2.2. OWASP Top 10 Danh Sách Các Rủi Ro Web Hàng Đầu

OWASP Top 10 là báo cáo thường niên về các nguy cơ bảo mật ứng dụng web, tập trung vào 10 rủi ro quan trọng nhất. Phiên bản 2021 bao gồm các rủi ro như Lỗ hổng kiểm soát truy cập (Broken Access Control), Lỗi mã hóa (Cryptographic Failures), Lỗ hổng chèn mã (Injection) và Thiết kế không an toàn (Insecure Design). Việc nắm vững OWASP Top 10 giúp các nhà phát triển và chuyên gia bảo mật tập trung vào những rủi ro quan trọng nhất và triển khai các biện pháp phòng ngừa hiệu quả. Tài liệu tham khảo [16] đề cập đến OWASP, nhấn mạnh tầm quan trọng của việc tuân thủ các tiêu chuẩn bảo mật hàng đầu.

2.3. SQL Injection và XSS Các Lỗ Hổng Web Phổ Biến

SQL Injection là một kỹ thuật cho phép kẻ tấn công chèn mã SQL vào dữ liệu gửi đến máy chủ ứng dụng web. Khai thác thành công có thể cho phép kẻ tấn công vượt qua bước đăng nhập, xem, sửa đổi, xóa dữ liệu. Cross-Site Scripting (XSS) là một loại lỗ hổng cho phép kẻ tấn công chèn mã JavaScript độc hại vào các trang web, ảnh hưởng đến người dùng khác. Cả hai lỗ hổng này đều rất phổ biến và nguy hiểm, đòi hỏi các biện pháp phòng ngừa và phát hiện hiệu quả. Hình 1-6 và 1-8 trong tài liệu minh họa cách khai thác lỗ hổng SQL Injection và Path Traversal, cho thấy mức độ nghiêm trọng của các cuộc tấn công này.

III. Học Sâu CNN Phương Pháp Phát Hiện Tấn Công Web Hiện Đại

Để giải quyết các thách thức trong việc phát hiện tấn công web, học sâu CNN (Convolutional Neural Networks) đang được nghiên cứu và phát triển như một giải pháp tiềm năng. Học sâu là một chức năng của trí tuệ nhân tạo (AI), bắt chước hoạt động của bộ não con người trong việc xử lý dữ liệu và tạo ra các mẫu để sử dụng cho việc ra quyết định. Ứng dụng của học sâu đã mang lại hiệu quả cao trong nhiều nhiệm vụ phân loại và nhận dạng trong các lĩnh vực xử lý ngôn ngữ tự nhiên (natural language processing) và thị giác máy tính (computer vision). Đề án này tập trung xây dựng mô hình phát hiện tấn công ứng dụng web dựa trên học sâu CNN.

3.1. Tổng Quan Về Học Máy và Học Sâu Nền Tảng AI

Học máy là một lĩnh vực của trí tuệ nhân tạo cho phép máy tính học từ dữ liệu mà không cần được lập trình rõ ràng. Học sâu là một nhánh của học máy sử dụng các mạng nơ-ron sâu để giải quyết các vấn đề phức tạp. Mạng nơ-ron tích chập (CNN) là một loại mạng nơ-ron đặc biệt hiệu quả trong việc xử lý dữ liệu có cấu trúc lưới, chẳng hạn như hình ảnh và văn bản. Hình 2-1 và 2-2 minh họa kiến trúc mạng nơ-ron, giúp người đọc hiểu rõ hơn về cấu trúc và cách hoạt động của các mô hình này.

3.2. Mô Hình Học Sâu CNN Kiến Trúc và Ưu Điểm Vượt Trội

CNN có khả năng tự động trích xuất các đặc trưng quan trọng từ dữ liệu đầu vào, giúp cải thiện độ chính xác và hiệu quả của việc phát hiện tấn công web. CNN hoạt động bằng cách sử dụng các lớp tích chập để lọc và trích xuất các đặc trưng từ dữ liệu đầu vào. Các lớp này được kết hợp với các lớp gộp (pooling) để giảm kích thước dữ liệu và các lớp kết nối đầy đủ (fully connected) để đưa ra dự đoán. Theo tài liệu, CNN mang lại hiệu quả cao trong nhiều nhiệm vụ phân loại và nhận dạng, chứng minh khả năng ứng dụng của nó trong an toàn thông tin.

3.3. Phát Hiện Tấn Công Web Bằng CNN Quy Trình Chi Tiết

Quy trình phát hiện tấn công web bằng CNN bao gồm các giai đoạn chính: thu thập dữ liệu, tiền xử lý dữ liệu, xây dựng mô hình CNN, huấn luyện mô hình và đánh giá hiệu năng. Dữ liệu đầu vào thường là các bản ghi truy vấn HTTP, được chuyển đổi thành định dạng phù hợp cho CNN. Mô hình CNN được huấn luyện trên một tập dữ liệu lớn các truy vấn tấn công và truy vấn hợp lệ. Sau khi huấn luyện, mô hình có thể được sử dụng để phát hiện các truy vấn tấn công mới. Hình 2-6 mô tả mô hình phát hiện tấn công ứng dụng web sử dụng học sâu CNN, cho thấy sự phức tạp và các thành phần của mô hình.

IV. Thử Nghiệm CNN Đánh Giá Hiệu Quả Phát Hiện Tấn Công Web

Để đánh giá hiệu quả của mô hình phát hiện tấn công web dựa trên học sâu CNN, cần thực hiện các thử nghiệm trên một tập dữ liệu thực tế. Các độ đo hiệu năng như độ chính xác, độ tin cậy, tỷ lệ phát hiện và tỷ lệ báo động giả được sử dụng để đánh giá mô hình. Việc so sánh hiệu năng của mô hình CNN với các phương pháp phát hiện truyền thống cũng rất quan trọng. Mục đích là để chứng minh ưu điểm của CNN so với các phương pháp phát hiện truyền thống trong việc cải thiện độ chính xác, giảm tỷ lệ báo động sai.

4.1. Tập Dữ Liệu Thử Nghiệm Thu Thập và Chuẩn Hóa Dữ Liệu

Việc lựa chọn tập dữ liệu thử nghiệm phù hợp là rất quan trọng để đảm bảo tính khách quan và chính xác của kết quả đánh giá. Tập dữ liệu nên bao gồm cả các truy vấn tấn công và truy vấn hợp lệ, với tỷ lệ phù hợp. Dữ liệu cần được tiền xử lý để loại bỏ nhiễu và chuẩn hóa định dạng. Hình 3-1 và 3-2 minh họa một số payload tấn công và payload hợp lệ được sử dụng trong quá trình thử nghiệm, cho thấy sự đa dạng của dữ liệu đầu vào.

4.2. Kết Quả Thử Nghiệm Phân Tích và Đánh Giá Mô Hình CNN

Kết quả thử nghiệm cho thấy mô hình CNN đạt được độ chính xác và độ tin cậy cao trong việc phát hiện tấn công web. Tỷ lệ phát hiện cao và tỷ lệ báo động giả thấp chứng minh hiệu quả của mô hình. Bảng 3-2 trình bày kết quả thử nghiệm với mô hình học sâu CNN, cho thấy hiệu năng của mô hình trên các loại tấn công khác nhau. Bảng 3-3 so sánh hiệu suất của CNN với các phương pháp học máy truyền thống, nhấn mạnh ưu điểm của CNN.

4.3. Cài Đặt và Tích Hợp Triển Khai Mô Hình Vào Ứng Dụng Web

Sau khi đánh giá hiệu quả, mô hình CNN có thể được cài đặt và tích hợp vào ứng dụng web để phát hiện tấn công web trong thời gian thực. Mô hình có thể được triển khai như một API hoặc tích hợp vào một Web Application Firewall (WAF). Việc tích hợp cần đảm bảo không ảnh hưởng đến hiệu năng của ứng dụng web. Hình 3-6 minh họa sơ đồ mô hình phát hiện tấn công ứng dụng web, cho thấy cách mô hình được tích hợp vào hệ thống.

V. Kết Luận Tiềm Năng và Hướng Phát Triển Của CNN Trong Bảo Mật

Nghiên cứu này đã chứng minh tiềm năng của học sâu CNN trong việc phát hiện tấn công web. Mô hình CNN đạt được hiệu năng cao và có thể được triển khai để bảo vệ các ứng dụng web khỏi các cuộc tấn công. Tuy nhiên, vẫn còn nhiều thách thức cần giải quyết, chẳng hạn như phát hiện các cuộc tấn công zero-day và giảm tỷ lệ báo động giả. Hướng nghiên cứu trong tương lai bao gồm việc khám phá các kiến trúc CNN mới và sử dụng các kỹ thuật data augmentation để cải thiện độ chính xác của mô hình.

5.1. Tóm Tắt Kết Quả Ưu Điểm và Hạn Chế Của Mô Hình CNN

Mô hình CNN đã chứng minh được hiệu quả trong việc phát hiện tấn công web, với độ chính xác cao và khả năng tự động trích xuất đặc trưng. Tuy nhiên, mô hình cũng có một số hạn chế, chẳng hạn như yêu cầu lượng dữ liệu lớn để huấn luyện và khó giải thích các quyết định của mô hình. Việc hiểu rõ các ưu điểm và hạn chế của mô hình CNN là rất quan trọng để triển khai và sử dụng mô hình một cách hiệu quả.

5.2. Hướng Nghiên Cứu Tương Lai Phát Triển và Tối Ưu Hóa CNN

Các hướng nghiên cứu trong tương lai bao gồm việc khám phá các kiến trúc CNN mới, sử dụng các kỹ thuật data augmentation để cải thiện độ chính xác của mô hình và phát triển các phương pháp để giảm tỷ lệ báo động giả. Ngoài ra, việc nghiên cứu các phương pháp để giải thích các quyết định của mô hình CNN cũng rất quan trọng để tăng cường sự tin cậy của mô hình. Việc giải quyết các thách thức này sẽ giúp CNN trở thành một công cụ mạnh mẽ hơn trong việc phát hiện tấn công web.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh cách mạng công nghiệp 4.0, ứng dụng web ngày càng trở nên phổ biến và đóng vai trò thiết yếu trong nhiều lĩnh vực như tài chính, y tế, giáo dục và thương mại điện tử. Theo ước tính, hàng triệu lượt truy cập web diễn ra mỗi ngày, kéo theo nguy cơ gia tăng các cuộc tấn công mạng nhằm khai thác các lỗ hổng bảo mật. Các cuộc tấn công này không chỉ gây thiệt hại về mặt tài chính mà còn ảnh hưởng nghiêm trọng đến uy tín và an toàn dữ liệu của tổ chức. Mục tiêu nghiên cứu của luận văn là phát triển một phương pháp phát hiện tấn công ứng dụng web dựa trên học sâu, cụ thể là mạng nơ-ron tích chập (CNN), nhằm nâng cao hiệu quả phát hiện các truy vấn HTTP độc hại. Nghiên cứu tập trung trên tập dữ liệu gồm 35.000 request HTTP, thu thập từ các nguồn dữ liệu thực tế, trong đó có 12.130 request chứa các dạng tấn công phổ biến như SQL Injection, Cross-Site Scripting (XSS) và Path Traversal. Phạm vi nghiên cứu được giới hạn trong việc phát hiện tấn công trên các ứng dụng web sử dụng giao thức HTTP/HTTPS, với dữ liệu thu thập trong khoảng thời gian gần đây. Ý nghĩa của nghiên cứu thể hiện qua việc cải thiện độ chính xác phát hiện tấn công, giảm thiểu rủi ro bảo mật và góp phần xây dựng hệ thống an toàn thông tin hiệu quả hơn cho các tổ chức, doanh nghiệp.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai nền tảng lý thuyết chính: học máy (Machine Learning) và học sâu (Deep Learning). Học máy được định nghĩa là khả năng của máy tính học hỏi từ dữ liệu mà không cần lập trình rõ ràng, trong đó học có giám sát là phương pháp chủ đạo với mục tiêu phân loại các mẫu dữ liệu. Học sâu là một nhánh của học máy, sử dụng mạng nơ-ron nhân tạo nhiều lớp để mô hình hóa các đặc trưng phức tạp của dữ liệu. Mạng nơ-ron tích chập (CNN) là mô hình học sâu được lựa chọn do khả năng trích xuất đặc trưng cục bộ hiệu quả, tính bất biến vị trí và tốc độ xử lý nhanh. Các khái niệm chính bao gồm:

• Tokenization: chuyển đổi dữ liệu văn bản thành chuỗi số nguyên để mô hình có thể xử lý.
• Padding: chuẩn hóa độ dài chuỗi dữ liệu đầu vào.
• Confusion Matrix: ma trận đánh giá hiệu suất phân loại gồm các chỉ số TP, TN, FP, FN.
• Precision, Recall, F1-score: các chỉ số đánh giá độ chính xác, độ phủ và hiệu quả tổng thể của mô hình.

Phương pháp nghiên cứu

Nguồn dữ liệu chính là tập hợp 35.000 request HTTP, trong đó 22.870 request hợp lệ và 12.130 request chứa các tấn công được phân loại thành ba nhóm: SQL Injection (8.212 request), XSS (2.224 request), và Path Traversal (1.693 request). Dữ liệu được chia thành 75% dùng để huấn luyện (Train) và 25% dùng để kiểm tra (Validation). Phương pháp phân tích sử dụng mạng CNN với các lớp Embedding, Convolutional, Flatten và Dense để xây dựng mô hình phân loại. Quá trình tiền xử lý bao gồm tokenization và padding nhằm chuẩn hóa dữ liệu đầu vào. Mô hình được huấn luyện trên môi trường Windows 11 với CPU Intel Core i5-1135G7, sử dụng ngôn ngữ Python và thư viện Keras. Thời gian nghiên cứu kéo dài trong năm 2023-2024, tập trung vào việc xây dựng, huấn luyện và đánh giá mô hình phát hiện tấn công ứng dụng web.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu suất phát hiện tấn công: Mô hình CNN đạt độ chính xác tổng thể trên 95%, với precision và recall lần lượt đạt khoảng 94% và 93% cho các loại tấn công chính.
2. Phân loại các loại tấn công: Mô hình phân biệt chính xác các dạng tấn công SQL Injection, XSS và Path Traversal với tỷ lệ phát hiện riêng biệt lần lượt là 96%, 92% và 90%.
3. So sánh với phương pháp truyền thống: So với các mô hình học máy truyền thống, CNN cho thấy cải thiện hiệu suất phát hiện tấn công khoảng 8-10% về độ chính xác và giảm tỷ lệ false positive.
4. Tốc độ xử lý: Mô hình CNN có khả năng xử lý nhanh hơn các mô hình học sâu khác như LSTM, phù hợp với yêu cầu xử lý lượng lớn dữ liệu HTTP trong thời gian thực.

Thảo luận kết quả

Nguyên nhân chính của hiệu quả cao đến từ khả năng trích xuất đặc trưng cục bộ của CNN, giúp nhận diện các mẫu tấn công dù xuất hiện ở vị trí khác nhau trong payload HTTP. Kết quả phù hợp với các nghiên cứu gần đây trong lĩnh vực phát hiện tấn công mạng sử dụng học sâu, đồng thời vượt trội hơn về tốc độ xử lý. Việc sử dụng tokenization và padding giúp chuẩn hóa dữ liệu đầu vào, giảm thiểu sai số trong quá trình huấn luyện. Các biểu đồ confusion matrix và biểu đồ so sánh precision-recall minh họa rõ ràng sự phân biệt hiệu quả giữa các lớp tấn công và dữ liệu hợp lệ. Kết quả này có ý nghĩa quan trọng trong việc ứng dụng thực tế, giúp các tổ chức nâng cao khả năng phòng chống tấn công mạng, giảm thiểu thiệt hại do các cuộc tấn công ứng dụng web gây ra.

Đề xuất và khuyến nghị

1. Triển khai mô hình CNN trong hệ thống giám sát an ninh mạng: Áp dụng mô hình phát hiện tấn công CNN vào hệ thống IDS/IPS để nâng cao khả năng phát hiện và phản ứng kịp thời với các cuộc tấn công HTTP. Thời gian thực hiện trong vòng 6 tháng, chủ thể là các phòng CNTT và an ninh mạng.
2. Cập nhật và mở rộng tập dữ liệu huấn luyện: Thu thập thêm các mẫu tấn công mới và dữ liệu thực tế từ các hệ thống để cải thiện độ chính xác và khả năng tổng quát của mô hình. Thời gian thực hiện liên tục, chủ thể là nhóm nghiên cứu và bộ phận bảo mật.
3. Tích hợp mô hình với các giải pháp bảo mật hiện có: Kết hợp mô hình CNN với tường lửa ứng dụng web (WAF) và các hệ thống giám sát để tạo lớp phòng thủ đa tầng, tăng cường hiệu quả bảo vệ. Thời gian thực hiện 3-4 tháng, chủ thể là nhà phát triển phần mềm và quản trị hệ thống.
4. Đào tạo và nâng cao nhận thức cho nhân viên: Tổ chức các khóa đào tạo về an toàn thông tin và cách thức phát hiện tấn công ứng dụng web sử dụng công nghệ học sâu cho đội ngũ kỹ thuật và quản lý. Thời gian thực hiện 2 tháng, chủ thể là phòng nhân sự và đào tạo.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và quản trị hệ thống: Nghiên cứu giúp nâng cao kiến thức về các phương pháp phát hiện tấn công ứng dụng web hiện đại, áp dụng vào thực tế vận hành hệ thống.
2. Nhà phát triển phần mềm và kỹ sư bảo mật: Tham khảo để tích hợp các giải pháp học sâu vào quy trình phát triển và bảo vệ ứng dụng web, giảm thiểu rủi ro bảo mật.
3. Sinh viên và nghiên cứu sinh ngành khoa học máy tính, an toàn thông tin: Tài liệu tham khảo quý giá về ứng dụng học sâu trong phát hiện tấn công mạng, hỗ trợ nghiên cứu và học tập chuyên sâu.
4. Các tổ chức, doanh nghiệp sử dụng ứng dụng web: Hiểu rõ hơn về các nguy cơ bảo mật và giải pháp phòng chống tấn công, từ đó xây dựng chiến lược bảo mật phù hợp, bảo vệ tài sản số và dữ liệu khách hàng.

Câu hỏi thường gặp

1. Mô hình CNN có thể phát hiện được những loại tấn công nào?
   Mô hình CNN trong nghiên cứu phát hiện hiệu quả các tấn công phổ biến như SQL Injection, Cross-Site Scripting (XSS) và Path Traversal, với độ chính xác trên 90%. Ví dụ, mô hình nhận diện chính xác 96% các trường hợp tấn công SQL Injection.

2. Tại sao chọn CNN thay vì các mô hình học sâu khác?
   CNN có ưu điểm về khả năng trích xuất đặc trưng cục bộ và tốc độ xử lý nhanh hơn so với các mô hình như LSTM, phù hợp với xử lý dữ liệu HTTP có cấu trúc chuỗi ký tự phức tạp. Điều này giúp giảm tài nguyên tính toán và tăng hiệu quả phát hiện.

3. Dữ liệu huấn luyện được chuẩn bị như thế nào?
   Dữ liệu gồm 35.000 request HTTP, trong đó 75% dùng để huấn luyện và 25% để kiểm tra. Các payload được token hóa thành chuỗi số nguyên và chuẩn hóa độ dài bằng padding để phù hợp với đầu vào của mô hình CNN.

4. Mô hình có thể áp dụng trong môi trường thực tế không?
   Có, mô hình được thiết kế để tích hợp vào hệ thống giám sát an ninh mạng như IDS/IPS hoặc WAF, giúp phát hiện và ngăn chặn tấn công trong thời gian thực, nâng cao an toàn cho ứng dụng web.

5. Làm thế nào để cải thiện mô hình trong tương lai?
   Cải thiện mô hình có thể thực hiện bằng cách mở rộng tập dữ liệu huấn luyện với các mẫu tấn công mới, cập nhật thuật toán học sâu, và kết hợp với các kỹ thuật phòng thủ đa lớp để tăng độ chính xác và khả năng phát hiện đa dạng các loại tấn công.

Kết luận

• Đề án đã xây dựng thành công mô hình phát hiện tấn công ứng dụng web sử dụng học sâu CNN với độ chính xác trên 95%.
• Mô hình phân loại hiệu quả các dạng tấn công phổ biến như SQL Injection, XSS và Path Traversal, vượt trội hơn các phương pháp truyền thống.
• Phương pháp tiền xử lý dữ liệu tokenization và padding giúp chuẩn hóa đầu vào, tăng hiệu quả huấn luyện và dự đoán.
• Kết quả nghiên cứu có ý nghĩa thực tiễn cao, góp phần nâng cao an toàn thông tin cho các ứng dụng web trong bối cảnh tội phạm mạng ngày càng tinh vi.
• Các bước tiếp theo bao gồm triển khai mô hình vào hệ thống thực tế, mở rộng tập dữ liệu và đào tạo nhân lực để ứng dụng hiệu quả công nghệ học sâu trong bảo mật mạng.

Hành động tiếp theo là phối hợp với các phòng ban CNTT để tích hợp mô hình vào hệ thống giám sát hiện có, đồng thời tổ chức các buổi đào tạo nâng cao nhận thức về an toàn thông tin cho cán bộ kỹ thuật.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 CÁC PHƯƠNG PHÁP TẤN CÔNG ỨNG DỤNG WEB VÀ PHÒNG CHỐNG 1.1 Tổng quan về ứng dụng web 1.1 Ứng dụng web là gì? Ngày nay, với xu hướng phát triển mạnh mẽ của công nghệ số các cơ quan tổ chức, doanh nghiệp tăng cường truyền thông quảng bá hình ảnh trên không gian mạng. Ứng dụng web nổi lên như một phương thức được sử dụng phổ biến giúp cho việc tiếp cận người dùng, khách hàng dễ dàng hơn. Một số ứng dụng web phổ biến, quen thuộc nhất có thể kể đến như facebook. Không chỉ giới hạn trong giải trí, mà ứng dụng web còn lan rộng vào nhiều lĩnh vực quan trọng như tài chính, ngân hàng, bất động sản, y tế, giáo dục và mua sắm.

Ứng dụng web là một yếu tố cốt lõi của cuộc cách mạng công nghệ 4.0, đóng vai trò quan trọng trong việc giúp con người nắm bắt thông tin và dữ liệu một cách nhanh chóng và hiệu quả.2 Mô hình client – server của ứng dụng web Mô hình cơ bản nhất của ứng dụng web: 4 Hình 1- 1 Mô hình client- server của một ứng dụng web [6] Mô hình client- server là một trong những mô hình phổ biến nhất tại thời điểm hiện tại. Không chỉ mang lại tính sẵn sàng cao, mô hình này cũng có khả năng mở rộng và phân phối nội dung tuyệt vời, chỉ cần người dùng có kết nối internet. Trong mô hình, server được hiểu như web server- máy chủ web. Máy chủ web là thành phần cốt lõi để website hoạt động, bao gồm các thành phần con như cơ sở dữ liệu, các đoạn mã, tập lệnh và một số thành phần khác.

Máy chủ web sẽ có vai trò phân tích và xử lý yêu cầu của client, đồng thời phân phối nội dung đến client thông qua các phương thức như HTTP (Hypertext Transfer Protocol) hoặc phương thức truyền file như FTP (File Transfer Protocol). Đối với client, máy khách trong mô hình web client-server,có thể nói là một ứng dụng hoặc trình duyệt web (như Chrome, Opera, Firefox, Safari…) được sử dụng để tương tác với các máy chủ Web theo yêu cầu của người dùng thông qua Internet. Về cơ bản, máy khách là một ứng dụng để gửi và nhận dữ liệu từ máy chủ. Việc giao tiếp giữa Client và Server được thực hiện theo các gói tin HTTP.

Đầu tiên, Client sẽ gửi một yêu cầu ( HTTP request), mô tả công việc tới server. Khi yêu 5 cầu HTTP được gửi đến, server dựa vào thông tin trong yêu cầu để xác định công việc cần phải thực thi. Sau đó, Server sẽ phản hồi cho client trong một gói tin HTTP trả lời (HTTP response). Tổng quan quá trình gửi - nhận dữ liệu có thể mô tả bằng lược đồ như sau: Hình 1- 2 Quy trình gửi nhận dữ liệu trong mô hình Client-Server.3 Giao thức HTTP/HTTPS HTTP là từ viết tắt của Hyper Text Transfer Protocol nghĩa là Giao thức Truyền tải Siêu Văn Bản hoạt động theo kiểu yêu cầu - phản hồi.

Đây là nền tảng của bất kỳ sự trao đổi dữ liệu nào trên các ứng dụng Web và cũng là giao thức được sử dụng trong giao tiếp giữa máy khách (client) và máy chủ (server). Theo đó, máy khách (client) tạo ra một yêu cầu (HTTP request) và gửi nó đến máy chủ HTTP ở cổng biết trước (Well-known port). Thông thường, cổng được sử dụng trong ứng dụng web là cổng 80 (HTTP) hoặc HTTPS (443). Máy chủ HTTP tiếp nhận yêu cầu để xử lý.

6 Hình 1- 3 Ví dụ về yêu cầu HTTP Các thành phần trong HTTP request có chứa đầy đủ các thành phần về kết nối và các thông tin cần truy vấn như: - HTTP version: Phiên bản giao thức HTTP được sử dụng - HTTP method: Phương thức được sử dụng trong yêu cầu, có thể là GET, POST, PUT, DELETE, OPTION,. - URL: URL - Host: domain của ứng dụng web - Cookie: Thông tin về phiên làm việc của client và server - User-agent: Thông tin về trình duyệt (client) được sử dụng trong request. Sau khi xử lý yêu cầu, máy chủ phản hồi lại cho máy khách một HTTP response có định dạng như sau: 7 Hình 1- 4 Ví dụ về phản hồi HTTP Phản hồi thể hiện các thông tin như: Mã trạng thái phản hồi: 200 là mã thành công. Có nhiều mã trạng thái  200 – 299: request thành công  300 – 399: Điều hướng gói tin  400 – 499: lỗi phía máy khách  500 – 599: lỗi phía máy chủ Thông tin server: Một số máy chủ như apache, tomcat, nginx,.

Content – Length: Độ dài nội dung gói tin phản hồi HTTP 8 Giao thức HTTP này cũng nằm trong số các giao thức dễ bị tấn công trong ứng dụng web. Vì vậy, nên sử dụng giao thức HTTPS thay thế nhằm đảm bảo tính bảo mật của thông tin truyền đi.2 Các lỗ hổng bảo mật trong ứng dụng web 1.1 Lỗ hổng bảo mật ứng dụng web là gì? Lỗ hổng bảo mật ứng dụng web là các điểm yếu bảo mật của một ứng dụng web mà có thể bị tận dụng để đe dọa tính toàn vẹn, quyền riêng tư, hoặc khả năng sẵn sàng của hệ thống. Các lỗ hổng này có thể dẫn đến việc mất thông tin nhạy cảm, thất bại trong việc duy trì tính khả dụng của dịch vụ, hoặc bị tấn công bởi các tin tặc hoặc kẻ tấn công khác. Khái niệm unstrusted data Dữ liệu không tin cậy (Untrusted Data) là một trong những khái niệm căn bản nhất khi học về An Toàn Thông Tin nói chung.

"Untrusted data" ám chỉ những dữ liệu mà người lập trình không kiểm soát được, chúng ta cần phải xác định hết tất cả Untrusted Data trên một ứng dụng Web. Vì nó chính là những cửa ngõ mà hacker bắt đầu tấn công vào. Đây là một khái niệm cơ bản trong an toàn bảo mật nhưng là cần thiết để tránh trường hợp bỏ sót hoặc không lường hết được các mối nguy cơ có thể xảy ra đối với hệ thống. Các vị trí có thể trở thành dữ liệu không tin cậy trong truy vấn HTTP rất đa dạng.

Nó có thể là các biến trong truy vấn và cũng có thể là các trường trong header hoặc thậm chí là cả các method. 9 Hình 1- 5 Ví dụ unstrusted data tồn tại ở biến username trong trường cookie thuộc header của truy vấn HTTP 1.2 Top 10 lỗ hổng, rủi ro theo OWASP [16] OWASP Top 10 là một báo cáo được cập nhật thường xuyên về các nguy cơ bảo mật đối với bảo mật ứng dụng web, tập trung vào 10 rủi ro/lỗ hổng quan trọng nhất. Báo cáo được tổng hợp bởi một nhóm các chuyên gia bảo mật từ khắp nơi trên thế giới. Trong lần cập nhật mới nhất năm 2021, danh sách 10 rủi ro/ lỗ hổng nghiêm trọng gồm có: A01:2021-Broken Access Control A02:2021-Cryptographic Failures A03:2021-Injection A04:2021-Insecure Design A05:2021-Security Misconfiguration A06:2021-Vulnerable and Outdated Components A07:2021-Identification and Authentication Failures A08:2021-Software and Data Integrity Failures A09:2021-Security Logging and Monitoring Failures A10:2021-Server-Side Request Forgery A01:2021-Broken Access Control (Lỗ hổng kiểm soát truy cập) 10 Kiểm soát truy cập là một phần rất quan trọng trong các ứng dụng web.

Trong đó hai khâu xác thực (authentication) và phân quyền (authorization), nếu hai khâu này không được xây dựng đủ mạnh thì hệ thống sẽ bị kẻ xấu truy cập trái phép, đánh cắp thông tin. Một số ví dụ có thể kể đến như:  Nhân viên có quyền truy cập đến các tài nguyên mà chỉ lãnh đạo mới có quyền truy cập và tác động.  Truy cập vào các chức năng dành cho quản trị thông qua các URL, các API.  Truy cập vào các thông tin, tài nguyên của người dùng ngang quyền thông qua mã định danh tài khoản (ví dụ: GET /user_infor.

 Cấu hình chia sẻ tài nguyên chưa chính xác (Cross-origin resource sharing). A02:2021-Cryptographic Failures (Lỗ hổng mã hóa) Những lỗi mã hóa dữ liệu có thể gây ra hậu quả nghiêm trọng, khi chúng có thể là nguyên nhân dẫn đến lộ các dữ liệu nhạy cảm, quan trọng hoặc xâm phạm hệ thống. Một số ví dụ của lỗi mã hóa như:  Lưu trữ mật khẩu với thuật toán mã hóa lỗi thời, có thể bị bẻ khóa (MD5,.)  Sử dụng kết nối HTTP để nhận và truyền dữ liệu  Các thuật toán sinh ngẫu nhiên chưa đủ mạnh A03:2021-Injection (lỗ hổng chèn mã) Chèn mã là lỗ hổng cho phép kẻ tấn công chèn vào dữ liệu gửi lên máy chủ và sau đó được thực thi trên hệ thống. Lỗ hổng chèn mã luôn nằm trong nhóm các lỗ hổng bảo mật nghiêm trọng nhất, bị khai thác nhiều nhất và hậu quả nếu bị khai thác cũng là rất nặng nề.

11 Một số dạng tấn công cụ thể của lỗ hổng chèn mã gồm: SQL Injection (chèn mã SQL), OS command injection (chèn mã lệnh OS command), Cross-site Scripting (XSS), LDAP injection,. A04:2021-Insecure Design (thiết kế không an toàn) Các ứng dụng không có thiết kế an toàn, yếu tố bảo mật không được chú trọng đến có nhiều khả năng gây rủi ro cho dữ liệu của người dùng, các tài nguyên hệ thống, tài chính và uy tín doanh nghiệp. Ví dụ về thiết kế không an toàn: Các rạp chiếu phim cho phép đặt tối đa 15 chỗ trước mà không yêu cầu đặt cọc tiền vé, nếu kẻ xấu lợi dụng để đặt nhiều vé ở nhiều rạp chiếu phim thì có thể sẽ gây thiệt hại lớn nếu các ghế đã được đặt mà không được thanh toán. Khi đó các rạp chiếu phim sẽ thiệt hại lớn về doanh thu.

A05:2021-Security Misconfiguration (Thiếu sót cấu hình bảo mật) Trong quá trình triển khai vận hành các ứng dụng web, việc thiếu sót trong cấu hình bảo mật có thể gây ra những hậu quả nghiêm trọng. Một số lỗi thực tế do thiếu sót trong cấu hình như:  Một số ứng dụng tạo mật khẩu mặc định cho người dùng, tuy nhiên hệ thống không yêu cầu người dùng phải đổi mật khẩu sau lần đăng nhập đầu tiên.  Các cổng dịch vụ, các service chạy nội bộ nhưng lại được public ra internet  Các cài đặt bảo mật không được thiết lập (giới hạn truy cập đến các hệ thống, chính sách đổi mật khẩu, .) A06:2021-Vulnerable and Outdated Components (Sử dụng các thành phần tồn tại lỗ hổng hoặc không còn hỗ trợ) Đây là một lỗ hổng rất phổ biến hiện nay, do một ứng dụng web được tạo thành bởi nhiều thư viện, nền tảng khác nhau. Do đó khi một thư viện hay nền tảng tồn tại 12 lỗ hổng bảo mật hay đã không còn được các nhà cung cấp tiếp tục phát triển sẽ trở thành mục tiêu được rất nhiều kẻ tấn công hướng đến.

Ví dụ: Năm 2021, trên thư viện ghi log Log4j (CVE-2021-44228) được sử dụng trong rất nhiều ứng dụng web tồn tại lỗ hổng nghiêm trọng cho phép thực thi mã bất kỳ trên hệ thống.