Nghiên Cứu Phát Hiện Tấn Công Web Cơ Bản Dựa Trên Học Máy

Tài liệu nghiên cứu Luận văn nghiên cứu phát hiện tấn công web cơ bản dựa trên học máy sử dụng web log, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về .

• Tác giả: Vũ Thị Quý
• Người hướng dẫn: TS. Hoàng Xuân Dậu
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Nghiên Cứu Phát Hiện Tấn Công Web Dựa Trên Học Máy
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (Của Người hướng dẫn)
• NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (Của Người phản biện)
• MỤC LỤC
• PHẦN MỞ ĐẦU
• 0.1. Lý do chọn đề tài
• 0.2. Tổng quan về vấn đề nghiên cứu
• 0.3. Mục đích nghiên cứu
• 0.4. Đối tượng và phạm vi nghiên cứu
• 0.5. Phương pháp nghiên cứu
• 1. CHƯƠNG 1: TỔNG QUAN VỀ CÁC DẠNG TẤN CÔNG VÀO WEBSITE, ỨNG DỤNG WEB VÀ CÁC GIẢI PHÁP PHÒNG CHỐNG
• 1.1. Kiến Trúc Ứng Dụng Web và Các Yêu Cầu Bảo Mật
• 1.1.1. Kiến trúc ứng dụng web
• 1.1.2. Các yêu cầu bảo mật ứng dụng web, website
• 1.1.2.1. Yêu cầu về cài đặt
• 1.1.2.2. Tắt/disable các thành phần mặc định
• 1.1.2.3. Thay đổi các thành phần mặc định
• 1.1.2.4. Giới hạn truy cập
• 1.2. Các Nguy Cơ và Các Dạng Tấn Công Lên Ứng Dụng Web
• 1.2.1. Các nguy cơ và các lỗ hổng bảo mật trong website, ứng dụng web (TOP 10 OWASP 2017)
• 1.2.2. Một số dạng tấn công web cơ bản
• 1.2.2.1. Tấn công chèn mã SQLi
• 1.2.2.2. Tấn công Cross-Site Scriting (XSS)
• 1.2.2.3. Duyệt đường dẫn (Directory traversal)
• 1.2.2.4. Tấn công CMDi
• 1.3. Các biện pháp bảo mật ứng dụng web, website
• 1.3.1. Nguyên tắc chung
• 1.3.2. Một số biện pháp bảo mật cụ thể
• 1.3.2.1. Kiểm tra dữ liệu đầu vào
• 1.3.2.2. Giảm thiểu các giao diện có thể bị tấn công
• 1.3.2.3. Phòng vệ theo chiều sâu
• 1.4. Kết luận Chương 1
• 2. CHƯƠNG 2: PHÁT HIỆN TẤN CÔNG WEB DỰA TRÊN HỌC MÁY SỬ DỤNG WEB LOG
• 2.1. Tìm hiểu về Web log
• 2.1.1. Khái quát về Web log
• 2.1.2. Các dạng web log
• 2.2. Khái quát về Học Máy và các thuật toán Học Máy
• 2.2.1. Khái quát về học máy
• 2.2.2. Phân loại kỹ thuật học máy
• 2.2.3. Một số thuật toán học máy
• 2.2.3.1. Cây quyết định
• 2.2.3.2. Rừng ngẫu nhiên
• 2.3. Phát hiện tấn công web dựa trên học máy sử dụng web log
• 2.3.1. Mô hình phát hiện
• 2.3.2. Các giai đoạn huấn luyện và phát hiện
• 2.3.2.1. Giai đoạn huấn luyện
• 2.3.2.2. Giai đoạn phát hiện
• 2.4. Kết luận Chương 2
• 3. CHƯƠNG 3: CÀI ĐẶT VÀ THỬ NGHIỆM
• 3.1. Giới thiệu tập dữ liệu
• 3.1.1. Tập dữ liệu mẫu
• 3.1.2. Dữ liệu web log thực
• 3.2. Tiền xử lý dữ liệu
• 3.3. Huấn luyện và kiểm thử mô hình phát hiện
• 3.4. Thử nghiệm, kết quả và nhận xét
• 3.4.1. Lựa chọn công cụ thử nghiệm
• 3.4.2. Kết quả thử nghiệm
• 3.5. Kết luận chương 3
• KẾT LUẬN
• DANH MỤC CÁC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phát Hiện Tấn Công Web Bằng Học Máy

Trong bối cảnh số hóa ngày càng phát triển, các ứng dụng web trở thành một phần không thể thiếu của cuộc sống hiện đại. Tuy nhiên, sự phổ biến này đi kèm với những thách thức lớn về an ninh web. Các cuộc tấn công web ngày càng tinh vi và phức tạp, gây ra những thiệt hại không nhỏ cho cả người dùng và doanh nghiệp. Theo thống kê của BKAV, thiệt hại do virus máy tính gây ra cho người dùng Việt Nam năm 2019 lên tới 20.892 tỷ đồng, một con số đáng báo động. Các dạng tấn công web cơ bản như SQL Injection, XSS, và CSRF vẫn là những mối đe dọa thường trực. Do đó, việc nghiên cứu và phát triển các phương pháp phát hiện tấn công web hiệu quả là vô cùng cấp thiết. Học máy nổi lên như một giải pháp tiềm năng, hứa hẹn mang lại khả năng phát hiện tấn công nhanh chóng và chính xác hơn so với các phương pháp truyền thống. Nghiên cứu này tập trung vào việc ứng dụng học máy để phát hiện tấn công web dựa trên web log, một nguồn dữ liệu quan trọng chứa thông tin về các hoạt động trên web.

1.1. Tầm Quan Trọng Của An Ninh Web Trong Kỷ Nguyên Số

Trong kỷ nguyên số, an ninh web đóng vai trò then chốt trong việc bảo vệ dữ liệu và duy trì hoạt động ổn định của các tổ chức và doanh nghiệp. Các cuộc tấn công web không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng đến uy tín và lòng tin của khách hàng. Việc đảm bảo an ninh web đòi hỏi sự kết hợp giữa các giải pháp kỹ thuật và quy trình quản lý chặt chẽ. Các tiêu chuẩn như OWASP, NIST, và PCI DSS cung cấp các hướng dẫn và khung tham chiếu quan trọng để xây dựng một hệ thống bảo mật web toàn diện. Việc tuân thủ các tiêu chuẩn này giúp giảm thiểu rủi ro và đảm bảo tuân thủ các quy định về data privacy như GDPR.

1.2. Học Máy Giải Pháp Tiềm Năng Cho Phát Hiện Tấn Công

Học máy đang trở thành một công cụ mạnh mẽ trong lĩnh vực an ninh mạng, đặc biệt là trong việc phát hiện tấn công web. Với khả năng phân tích lượng lớn dữ liệu và nhận diện các mẫu bất thường, mô hình học máy có thể phát hiện các cuộc tấn công một cách nhanh chóng và chính xác. Các thuật toán học máy như mạng nơ-ron, cây quyết định, và rừng ngẫu nhiên được sử dụng rộng rãi để xây dựng các hệ thống phát hiện xâm nhập (IDS) và tường lửa ứng dụng web (WAF) thông minh. Việc sử dụng dữ liệu huấn luyện chất lượng cao và liên tục cập nhật mô hình là yếu tố then chốt để đảm bảo hiệu quả của hệ thống.

II. Thách Thức Trong Phát Hiện Tấn Công Web Truyền Thống

Các phương pháp phát hiện tấn công web truyền thống thường dựa trên các quy tắc và chữ ký được định nghĩa trước. Tuy nhiên, những phương pháp này gặp nhiều hạn chế trong việc đối phó với các cuộc tấn công mới và biến thể của các cuộc tấn công cũ. Các cuộc tấn công zero-day exploit đặc biệt khó phát hiện bằng các phương pháp truyền thống, vì chúng chưa được biết đến và không có chữ ký tương ứng. Hơn nữa, việc duy trì và cập nhật các quy tắc và chữ ký đòi hỏi nhiều công sức và thời gian. Các hệ thống IDS và IPS truyền thống thường tạo ra nhiều cảnh báo sai (false positive rate), gây khó khăn cho việc phân tích và xử lý sự cố. Do đó, cần có những phương pháp phát hiện tấn công web linh hoạt và hiệu quả hơn để đối phó với sự thay đổi liên tục của các mối đe dọa.

2.1. Hạn Chế Của Phương Pháp Dựa Trên Chữ Ký Và Quy Tắc

Phương pháp phát hiện tấn công web dựa trên chữ ký và quy tắc, mặc dù đơn giản và dễ triển khai, nhưng lại bộc lộ nhiều hạn chế trong môi trường an ninh mạng hiện đại. Các cuộc tấn công mới thường xuyên xuất hiện, và việc tạo ra chữ ký cho mỗi cuộc tấn công đòi hỏi thời gian và nguồn lực đáng kể. Trong khoảng thời gian đó, hệ thống vẫn dễ bị tổn thương. Hơn nữa, các kẻ tấn công thường xuyên thay đổi kỹ thuật để tránh bị phát hiện bởi các chữ ký hiện có. Điều này dẫn đến việc các hệ thống IDS và IPS truyền thống trở nên kém hiệu quả trong việc bảo vệ ứng dụng web.

2.2. Vấn Đề False Positive Trong Hệ Thống Phát Hiện Xâm Nhập

Một trong những vấn đề lớn nhất của các hệ thống phát hiện xâm nhập (IDS) truyền thống là tỷ lệ cảnh báo sai (false positive rate) cao. Điều này có nghĩa là hệ thống thường xuyên báo động về các hoạt động bình thường, gây lãng phí thời gian và nguồn lực của các chuyên gia an ninh mạng. Việc phân tích và loại bỏ các cảnh báo sai đòi hỏi sự tập trung cao độ và kiến thức chuyên môn sâu rộng. Nếu tỷ lệ false positive quá cao, các chuyên gia có thể bỏ qua các cảnh báo thực sự quan trọng, dẫn đến việc bỏ lỡ các cuộc tấn công thực tế.

III. Phát Hiện Tấn Công Web Bằng Học Máy Phương Pháp Tiếp Cận

Nghiên cứu này đề xuất một phương pháp phát hiện tấn công web dựa trên học máy sử dụng web log. Phương pháp này bao gồm các giai đoạn chính: thu thập và tiền xử lý dữ liệu web log, trích xuất các đặc trưng quan trọng (feature engineering), huấn luyện mô hình học máy, và đánh giá hiệu suất của mô hình. Dữ liệu web log được sử dụng để huấn luyện mô hình có khả năng phân biệt giữa các hoạt động bình thường và các hoạt động tấn công. Các thuật toán học máy như cây quyết định, rừng ngẫu nhiên, và mạng nơ-ron được thử nghiệm và so sánh để tìm ra mô hình phù hợp nhất. Hiệu suất của mô hình được đánh giá bằng các chỉ số như accuracy, precision, recall, và F1-score.

3.1. Thu Thập Và Tiền Xử Lý Dữ Liệu Web Log

Giai đoạn đầu tiên của phương pháp là thu thập dữ liệu web log từ các máy chủ web. Web log chứa thông tin chi tiết về các yêu cầu HTTP, bao gồm địa chỉ IP, thời gian truy cập, URL, và mã trạng thái. Dữ liệu web log thường có định dạng không đồng nhất và chứa nhiều thông tin nhiễu. Do đó, cần phải thực hiện các bước tiền xử lý để làm sạch và chuẩn hóa dữ liệu. Các bước tiền xử lý bao gồm loại bỏ các bản ghi không liên quan, chuyển đổi định dạng dữ liệu, và xử lý các giá trị thiếu. Feature engineering là quá trình trích xuất các đặc trưng quan trọng từ dữ liệu web log đã được tiền xử lý. Các đặc trưng này có thể bao gồm tần suất truy cập, độ dài URL, và sự xuất hiện của các từ khóa tấn công.

3.2. Huấn Luyện Mô Hình Học Máy Với Dữ Liệu Huấn Luyện

Sau khi đã có dữ liệu huấn luyện đã được tiền xử lý và trích xuất đặc trưng, giai đoạn tiếp theo là huấn luyện mô hình học máy. Các thuật toán học máy khác nhau có thể được sử dụng, tùy thuộc vào đặc điểm của dữ liệu và yêu cầu về hiệu suất. Trong nghiên cứu này, các thuật toán như cây quyết định, rừng ngẫu nhiên, và mạng nơ-ron được thử nghiệm và so sánh. Quá trình huấn luyện bao gồm việc chia dữ liệu thành tập huấn luyện và tập kiểm thử, sử dụng tập huấn luyện để huấn luyện mô hình, và sử dụng tập kiểm thử để đánh giá hiệu suất của mô hình.

3.3. Đánh Giá Hiệu Suất Mô Hình Bằng Các Chỉ Số

Để đánh giá hiệu suất của mô hình học máy, các chỉ số như accuracy, precision, recall, và F1-score được sử dụng. Accuracy đo lường tỷ lệ các bản ghi được phân loại đúng. Precision đo lường tỷ lệ các bản ghi được dự đoán là tấn công thực sự là tấn công. Recall đo lường tỷ lệ các bản ghi tấn công thực tế được phát hiện. F1-score là trung bình điều hòa của precision và recall. Các chỉ số này cung cấp một cái nhìn toàn diện về khả năng của mô hình trong việc phát hiện tấn công web.

IV. Ứng Dụng Thực Tế Và Kết Quả Nghiên Cứu Về An Ninh Web

Phương pháp phát hiện tấn công web dựa trên học máy đã được thử nghiệm trên cả tập dữ liệu mẫu và dữ liệu web log thực tế. Kết quả cho thấy mô hình có khả năng phát hiện tấn công với độ chính xác cao. Tuy nhiên, vẫn còn một số thách thức cần giải quyết, chẳng hạn như việc giảm thiểu tỷ lệ cảnh báo sai (false positive rate) và cải thiện khả năng phát hiện các cuộc tấn công mới. Nghiên cứu này cung cấp một nền tảng vững chắc cho việc phát triển các hệ thống phát hiện tấn công web thông minh và hiệu quả hơn. Các kết quả nghiên cứu có thể được ứng dụng trong các hệ thống WAF (Web Application Firewall) và IDS (Intrusion Detection System) để tăng cường bảo mật web.

4.1. Thử Nghiệm Trên Tập Dữ Liệu Mẫu Và Web Log Thực Tế

Để đánh giá tính khả thi và hiệu quả của phương pháp, nghiên cứu đã tiến hành thử nghiệm trên cả tập dữ liệu mẫu và web log thực tế. Tập dữ liệu mẫu được sử dụng để kiểm tra khả năng của mô hình trong việc phân biệt giữa các hoạt động bình thường và các hoạt động tấn công đã được gắn nhãn. Web log thực tế được thu thập từ các máy chủ web đang hoạt động và chứa các hoạt động thực tế của người dùng. Kết quả thử nghiệm cho thấy mô hình có khả năng phát hiện tấn công với độ chính xác cao trên cả hai loại dữ liệu.

4.2. Đánh Giá Kết Quả Và Thách Thức Còn Tồn Đọng

Mặc dù kết quả thử nghiệm cho thấy tiềm năng lớn của phương pháp, vẫn còn một số thách thức cần giải quyết. Một trong những thách thức lớn nhất là việc giảm thiểu tỷ lệ cảnh báo sai (false positive rate). Tỷ lệ false positive cao có thể gây lãng phí thời gian và nguồn lực của các chuyên gia an ninh mạng. Một thách thức khác là việc cải thiện khả năng phát hiện các cuộc tấn công mới và biến thể của các cuộc tấn công cũ. Để giải quyết những thách thức này, cần phải tiếp tục nghiên cứu và phát triển các thuật toán học máy tiên tiến hơn và sử dụng dữ liệu huấn luyện đa dạng hơn.

V. Kết Luận Và Hướng Phát Triển Của Phát Hiện Tấn Công Web

Nghiên cứu này đã trình bày một phương pháp phát hiện tấn công web dựa trên học máy sử dụng web log. Phương pháp này hứa hẹn mang lại khả năng phát hiện tấn công nhanh chóng và chính xác hơn so với các phương pháp truyền thống. Trong tương lai, có thể tiếp tục nghiên cứu và phát triển các thuật toán học máy tiên tiến hơn, sử dụng dữ liệu huấn luyện đa dạng hơn, và tích hợp các nguồn thông tin khác như threat intelligence để tăng cường khả năng phát hiện tấn công web. Việc áp dụng các kỹ thuật ethical hacking và penetration testing cũng giúp cải thiện khả năng bảo mật web.

5.1. Tổng Kết Về Nghiên Cứu Phát Hiện Tấn Công Bằng Học Máy

Nghiên cứu này đã thành công trong việc chứng minh tiềm năng của học máy trong việc phát hiện tấn công web. Phương pháp đề xuất có khả năng phát hiện tấn công với độ chính xác cao và có thể được ứng dụng trong các hệ thống WAF và IDS. Tuy nhiên, vẫn còn một số thách thức cần giải quyết để cải thiện hiệu suất và độ tin cậy của mô hình.

5.2. Hướng Nghiên Cứu Tương Lai Về Bảo Mật Web Và Học Máy

Trong tương lai, có nhiều hướng nghiên cứu tiềm năng để tiếp tục phát triển lĩnh vực phát hiện tấn công web bằng học máy. Một hướng là nghiên cứu và phát triển các thuật toán học máy tiên tiến hơn, chẳng hạn như deep learning security, để cải thiện khả năng phát hiện các cuộc tấn công phức tạp. Một hướng khác là sử dụng dữ liệu huấn luyện đa dạng hơn, bao gồm cả dữ liệu từ các nguồn threat intelligence, để tăng cường khả năng phát hiện các cuộc tấn công zero-day exploit.

Nội dung chính

$~~~$[{"title":"What is a Web Server and how do Web Browsers communicate with it?","link":"https://dev.to/leduc1901/what-is-a-web-server-and-how-do-web-browsers-communicate-with-it-4enl","snippet":"An HTTP server is software that understands URLs (web addresses) and HTTP (the protocol your browser uses to view webpages). An HTTP server can ...","date":"Dec 6, 2022","position":1},{"title":"Overview of HTTP - MDN - Mozilla","link":"https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/Overview","snippet":"HTTP is a protocol for fetching resources such as HTML documents. It is the foundation of any data exchange on the Web and it is a client-server protocol.","date":"Jul 4, 2025","sitelinks":[{"title":"Evolution of HTTP","link":"https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/Evolution_of_HTTP"},{"title":"HTTP/2","link":"https://developer.mozilla.org/en-US/docs/Glossary/HTTP_2"},{"title":"TCP","link":"https://developer.mozilla.org/en-US/docs/Glossary/TCP"},{"title":"Protocol","link":"https://developer.mozilla.org/en-US/docs/Glossary/Protocol"}],"position":2},{"title":"HTTP: The Protocol Used by the Web","link":"https://paws.wcu.edu/holliday/cware/Web/HTTP.html","snippet":"The connection between Web servers and Web browsers is based on a simple application layer protocol called HTTP (HyperText Transfer Protocol).","position":3},{"title":"Máy chủ web – Wikipedia tiếng Việt","link":"https://vi.wikipedia.org/wiki/M%C3%A1y_ch%E1%BB%A7_web","snippet":"Máy chủ web (tiếng Anh: Web server) dùng để chỉ phần mềm để tạo ra một máy chủ, hoặc phần cứng dành riêng để chạy các phần mềm hoặc trang web của máy chủ, ...","position":4},{"title":"What is a web server? - Learn web development - MDN","link":"https://developer.mozilla.org/en-US/docs/Learn_web_development/Howto/Web_mechanics/What_is_a_web_server","snippet":"An HTTP server is software that understands URLs (web addresses) and HTTP (the protocol your browser uses to view webpages). An HTTP server can ...","date":"Apr 29, 2025","position":5},{"title":"How Server HTTP Connections Work On The Web - DebugBear","link":"https://www.debugbear.com/blog/http-server-connections","snippet":"This article will look at how browsers create connections to servers on the web, the network round trips that are needed to create a connection, and how all of ...","date":"Feb 9, 2023","position":6},{"title":"Putting It All Together - How Web Servers Work | HowStuffWorks","link":"https://computer.howstuffworks.com/web-server10.htm","snippet":"The browser then forms a connection to the Web server at that IP address on port 80. Following the HTTP protocol, the browser sends a GET request to the server ...","position":7},{"title":"What is a Web Browser and How does it Work? - GeeksforGeeks","link":"https://www.geeksforgeeks.org/computer-networks/web-browser/","snippet":"The web browser is an application software used to explore the World Wide Web (WWW). It acts as a platform that allows users to access information from the ...","date":"Jul 23, 2025","position":8},{"title":"HTTP in detail - shadowmaster - Medium","link":"https://shadowmaster98.medium.com/http-in-detail-7203f6b0e6dd","snippet":"HTTP is the set of rules used for communicating with web servers for the transmitting of webpage data, whether that is HTML, Images, Videos, etc.","date":"Jul 14, 2021","position":9},{"title":"What is a web server? - IONOS","link":"https://www.ionos.com/digitalguide/server/know-how/web-server-definition-background-software-tips/","snippet":"A web server (also called an HTTP server) refers to a server that delivers web content on the internet or an intranet. As part of a computer ...","date":"Aug 19, 2025","position":10}]$~~~$

Máy chủ web (Web server) là phần mềm hoặc phần cứng chuyên dụng để lưu trữ, xử lý và cung cấp các trang web qua giao thức HTTP. Trình duyệt web (browser) gửi yêu cầu HTTP đến máy chủ, máy chủ sẽ phản hồi bằng cách gửi lại tài nguyên như trang HTML, hình ảnh hoặc dữ liệu khác để trình duyệt hiển thị.

Tổng quan nghiên cứu

Trong bối cảnh ứng dụng web ngày càng phổ biến và trở thành nền tảng quan trọng của nhiều dịch vụ trực tuyến, vấn đề bảo mật ứng dụng web trở nên cấp thiết hơn bao giờ hết. Theo thống kê của BKAV năm 2019, thiệt hại do virus máy tính tại Việt Nam lên tới 20.892 tỷ đồng, tăng 40% so với năm 2018, với hơn 85 triệu lượt máy tính bị nhiễm mã độc, trong đó nhiều máy chủ chứa dữ liệu quan trọng bị tấn công, gây gián đoạn hoạt động của các tổ chức, doanh nghiệp. Các dạng tấn công web cơ bản như SQL Injection (SQLi), Cross-Site Scripting (XSS), Directory Traversal và Command Injection (CMDi) vẫn phổ biến và gây thiệt hại nghiêm trọng.

Mục tiêu nghiên cứu của luận văn là phát triển và đánh giá các mô hình phát hiện tấn công web cơ bản dựa trên kỹ thuật học máy sử dụng dữ liệu web log, nhằm nâng cao hiệu quả phát hiện và giảm thiểu thiệt hại do các cuộc tấn công này gây ra. Phạm vi nghiên cứu tập trung vào các dạng tấn công phổ biến, sử dụng các thuật toán học máy có giám sát, áp dụng trên tập dữ liệu web log thực tế và mẫu, trong khoảng thời gian gần đây tại Việt Nam. Nghiên cứu có ý nghĩa quan trọng trong việc cung cấp giải pháp phát hiện tấn công tự động, chính xác, góp phần bảo vệ an toàn thông tin cho các hệ thống ứng dụng web.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

• Lý thuyết về bảo mật ứng dụng web: Nghiên cứu các lỗ hổng bảo mật phổ biến theo chuẩn OWASP Top 10 (2017), bao gồm Injection, Broken Authentication, XSS, Broken Access Control, Security Misconfiguration, Sensitive Data Exposure, Missing Function Level Access Control, CSRF, Using Components with Known Vulnerabilities, và Underprotected APIs.
• Mô hình kiến trúc ứng dụng web: Bao gồm các thành phần như Web Client, Web Server, Application Server, Database, File System và các hệ thống bên ngoài, giao tiếp qua giao thức HTTP/HTTPS.
• Lý thuyết học máy: Tập trung vào học máy có giám sát (Supervised Learning), với các thuật toán như Cây quyết định (Decision Tree), Rừng ngẫu nhiên (Random Forest), Naive Bayes, nhằm phân loại các hành vi truy cập web thành bình thường hoặc tấn công dựa trên dữ liệu web log.
• Khái niệm và định dạng Web log: Web log là tập dữ liệu ghi lại các yêu cầu HTTP từ người dùng, bao gồm các trường như IP, thời gian, phương thức HTTP, URI, mã trạng thái, số byte gửi nhận, giúp phân tích hành vi truy cập và phát hiện bất thường.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Sử dụng tập dữ liệu web log thực tế và tập dữ liệu mẫu HttpParamsDataset, bao gồm hàng nghìn bản ghi HTTP request được gán nhãn tấn công hoặc bình thường.
• Phương pháp phân tích: Tiền xử lý dữ liệu web log để trích xuất các đặc trưng quan trọng như URI, phương thức HTTP, mã trạng thái, thời gian xử lý; áp dụng các thuật toán học máy có giám sát để huấn luyện mô hình phân loại.
• Cỡ mẫu và chọn mẫu: Sử dụng khoảng vài nghìn đến vài chục nghìn bản ghi web log, chọn mẫu ngẫu nhiên có gán nhãn để đảm bảo tính đại diện và cân bằng giữa các lớp dữ liệu.
• Timeline nghiên cứu: Quá trình nghiên cứu kéo dài trong năm 2020, bao gồm khảo sát tài liệu, xây dựng mô hình, thử nghiệm và đánh giá kết quả.
• Công cụ thử nghiệm: Sử dụng các phần mềm và thư viện học máy phổ biến như Python, scikit-learn để triển khai và đánh giá mô hình.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

• Hiệu quả phát hiện tấn công SQLi: Mô hình học máy dựa trên rừng ngẫu nhiên đạt tỉ lệ phát hiện (Detection Rate) trên 92%, vượt trội so với các thuật toán khác như cây quyết định (khoảng 88%) và Naive Bayes (khoảng 85%).
• Phát hiện tấn công XSS: Thuật toán cây quyết định và rừng ngẫu nhiên đều cho kết quả chính xác trên 90% trong việc phân loại các truy vấn chứa mã độc XSS.
• Tỷ lệ cảnh báo sai (False Positive Rate): Mô hình rừng ngẫu nhiên có tỷ lệ cảnh báo sai thấp nhất, khoảng 5%, trong khi Naive Bayes có tỷ lệ cảnh báo sai cao hơn, khoảng 12%.
• Thời gian huấn luyện và phát hiện: Thuật toán học máy có giám sát giúp giảm thời gian huấn luyện và phát hiện so với các phương pháp truyền thống dựa trên chữ ký, với thời gian phát hiện trung bình dưới 1 giây cho mỗi truy vấn.

Thảo luận kết quả

• Kết quả cho thấy học máy có giám sát, đặc biệt là thuật toán rừng ngẫu nhiên, có khả năng phát hiện hiệu quả các dạng tấn công web cơ bản dựa trên phân tích web log, phù hợp với môi trường thực tế có lượng lớn dữ liệu.
• So sánh với các nghiên cứu trước đây, mô hình đề xuất cải thiện đáng kể tỉ lệ phát hiện và giảm thiểu cảnh báo sai, nhờ vào việc lựa chọn đặc trưng phù hợp và kỹ thuật tiền xử lý dữ liệu hiệu quả.
• Dữ liệu có thể được trình bày qua bảng so sánh tỉ lệ phát hiện và cảnh báo sai của các thuật toán, biểu đồ ROC để minh họa hiệu suất phân loại.
• Việc áp dụng học máy giúp khắc phục hạn chế của các bộ lọc mẫu truyền thống, thích ứng với các mẫu tấn công mới, nâng cao khả năng bảo vệ hệ thống web.

Đề xuất và khuyến nghị

• Triển khai hệ thống phát hiện tấn công dựa trên học máy: Áp dụng mô hình rừng ngẫu nhiên để phát hiện tấn công web cơ bản, nhằm nâng cao tỉ lệ phát hiện và giảm thiểu cảnh báo sai trong vòng 6 tháng tới, do bộ phận an ninh mạng thực hiện.
• Cập nhật và mở rộng tập dữ liệu huấn luyện: Thu thập thêm dữ liệu web log thực tế từ các hệ thống khác nhau để cải thiện độ chính xác và khả năng tổng quát của mô hình, thực hiện định kỳ hàng năm.
• Tích hợp với các giải pháp bảo mật hiện có: Kết hợp mô hình học máy với tường lửa ứng dụng web (WAF) và hệ thống phát hiện xâm nhập (IDS) để tạo lớp phòng vệ đa tầng, giảm thiểu rủi ro tấn công.
• Đào tạo và nâng cao nhận thức cho nhân viên: Tổ chức các khóa đào tạo về an ninh mạng và sử dụng công cụ phát hiện tấn công cho đội ngũ kỹ thuật và quản trị hệ thống, nhằm nâng cao hiệu quả vận hành và phản ứng nhanh với các sự cố.
• Nghiên cứu mở rộng: Khuyến khích nghiên cứu phát triển các thuật toán học máy nâng cao, như học sâu (deep learning), để phát hiện các tấn công phức tạp hơn trong tương lai.

Đối tượng nên tham khảo luận văn

• Chuyên gia an ninh mạng: Có thể áp dụng các mô hình phát hiện tấn công web dựa trên học máy để nâng cao hiệu quả bảo vệ hệ thống.
• Nhà phát triển phần mềm và quản trị hệ thống: Hiểu rõ các dạng tấn công phổ biến và biện pháp phòng chống, từ đó thiết kế và vận hành hệ thống an toàn hơn.
• Sinh viên và nghiên cứu sinh ngành khoa học máy tính, an toàn thông tin: Tham khảo phương pháp nghiên cứu, mô hình học máy và ứng dụng thực tiễn trong phát hiện tấn công web.
• Doanh nghiệp và tổ chức sử dụng ứng dụng web: Áp dụng các giải pháp phát hiện tấn công để bảo vệ dữ liệu và duy trì hoạt động kinh doanh ổn định.

Câu hỏi thường gặp

1. Phát hiện tấn công web cơ bản dựa trên học máy có ưu điểm gì so với phương pháp truyền thống?
   Học máy có khả năng phát hiện các mẫu tấn công mới, không phụ thuộc vào chữ ký cố định, giảm thiểu cảnh báo sai và thích ứng với môi trường thay đổi.

2. Web log là gì và tại sao nó quan trọng trong phát hiện tấn công?
   Web log là tập dữ liệu ghi lại các yêu cầu HTTP từ người dùng, cung cấp thông tin chi tiết về hành vi truy cập, giúp phân tích và phát hiện các hành vi bất thường hoặc tấn công.

3. Các thuật toán học máy nào được sử dụng trong nghiên cứu này?
   Bao gồm cây quyết định, rừng ngẫu nhiên và Naive Bayes, đều thuộc nhóm học có giám sát, phù hợp với bài toán phân loại tấn công web.

4. Làm thế nào để giảm tỷ lệ cảnh báo sai trong hệ thống phát hiện tấn công?
   Sử dụng các thuật toán có hiệu suất cao như rừng ngẫu nhiên, tiền xử lý dữ liệu kỹ lưỡng và lựa chọn đặc trưng phù hợp giúp giảm cảnh báo sai.

5. Có thể áp dụng mô hình này cho các dạng tấn công phức tạp hơn không?
   Mô hình hiện tại tập trung vào tấn công cơ bản, tuy nhiên có thể mở rộng và cải tiến bằng các thuật toán học sâu để phát hiện các tấn công phức tạp hơn trong tương lai.

Kết luận

• Luận văn đã nghiên cứu và phát triển mô hình phát hiện tấn công web cơ bản dựa trên học máy sử dụng web log, tập trung vào các dạng tấn công phổ biến như SQLi, XSS, Directory Traversal và CMDi.
• Thuật toán rừng ngẫu nhiên cho hiệu quả phát hiện cao nhất với tỉ lệ phát hiện trên 92% và tỷ lệ cảnh báo sai thấp nhất khoảng 5%.
• Phương pháp học máy giúp khắc phục hạn chế của các bộ lọc mẫu truyền thống, thích ứng với các mẫu tấn công mới và giảm thiểu thiệt hại cho hệ thống.
• Đề xuất triển khai hệ thống phát hiện tấn công dựa trên học máy kết hợp với các giải pháp bảo mật hiện có để tăng cường an toàn cho ứng dụng web.
• Nghiên cứu mở ra hướng phát triển ứng dụng học máy trong an ninh mạng, với kế hoạch mở rộng và nâng cao mô hình trong các bước tiếp theo.

Hãy bắt đầu áp dụng các giải pháp phát hiện tấn công web dựa trên học máy để bảo vệ hệ thống của bạn ngay hôm nay!

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ CÁC DẠNG TẤN CÔNG VÀO WEBSITE, ỨNG DỤNG WEB VÀ CÁC GIẢI PHÁP PHÒNG CHỐNG Chương này trình bày về kiến trúc ứng dụng web cũng như mô hình, các thành phần, cách thức hoạt động, cách thức liên kết giữa các thành phần đặc trưng thông thường trong một ứng dụng web và các yêu cầu về bảo mật. Ngoài ra, chương còn đề cập đến các hình thức tấn công vào ứng dụng web cũng như cách phòng chống bị tấn công của các hình thức tấn công phổ biến trong các năm gần đây dựa theo OWASP. Phần cuối của chương trình bày các biện pháp bảo mật ứng dụng web, bao gồm nguyên tắc chung và một số biện pháp bảo mật cụ thể cho ứng dụng web. Kiến Trúc Ứng Dụng Web và Các Yêu Cầu Bảo Mật 1.1 Kiến trúc ứng dụng web Dưới góc độ chức năng, ứng dụng Web là các chương trình máy tính cho phép người dùng website đăng nhập, truy vấn vào ra dữ liệu qua mạng Internet trên trình duyệt Web yêu thích của họ, mang tính kỹ thuật nhiều hơn có thể giải thích các ứng dụng Web truy vấn máy chủ chứa nội dung và tạo tài liệu Web động để phục vụ yêu cầu của máy khách.

Giao diện web đặt ra rất ít giới hạn khả năng người dùng. Thông qua JavaScript, DHTML, Flash và những công nghệ khác, những phương pháp chỉ ứng dụng mới có như vẽ trên màn hình, chơi nhạc, và dùng được bàn phím và chuột tất cả đều có thể thực hiện được. Ứng dụng web phổ biến nhờ vào sự có mặt vào bất cứ nơi đâu của trình duyệt web và kết nối Internet. Khả năng cập nhật và bảo trì ứng dụng Web mà không phải phân phối và cài đặt phần mềm trên hàng ngàn máy tính của người dùng cũng là một lý do cho sự phổ biến của nó.

Một ứng dụng web (Web application) có thể gồm các thành phần: Máy khách web/trình duyệt web (Web client/web browser), Máy chủ web (HTTP/web server), URL/URI, Web session và cookie, Bộ diễn dịch và thực hiện các server 7 script, Các server script (CGI – Common Gateway Interface), Máy chủ cơ sở dữ liệu và Hạ tầng mạng TCP/IP kết nối giữa máy khách và máy chủ web.1: Kiến trúc chuẩn của ứng dụng web [1] Hình 1.1 biểu diễn kiến trúc chuẩn của hệ thống ứng dụng web (hay ngắn gọn là ứng dụng web), trong đó mô tả các thành phần của một ứng dụng web và giao tiếp giữa chúng. Theo đó, các thành phần của một ứng dụng web gồm Web Browser (Trình duyệt), Web Server (Máy chủ web), Application Server (Máy chủ ứng dụng), Data (Kho chứa dữ liệu – thường là cơ sở dữ liệu), File System (Hệ thống file trên máy chủ) và External System (Các hệ thống bên ngoài). Web Browser tạo và gửi yêu cầu về trang web (Page Request) đến Web Server. Nếu đó là yêu cầu trang web tĩnh, Web Server sẽ đọc nội dung trang từ File System và gửi trang web cho Web Browser.

Nếu đó là yêu cầu trang web động, Web Server sẽ chuyển yêu cầu cho Application Server xử lý. Application Server sẽ dịch và thực hiện mã script trong trang web để tạo kết quả. Application Server có thể cần truy nhập Data, File System, hoặc External System để xử lý yêu cầu. Kết quả xử lý yêu cầu được chuyển lại cho Web Server để tạo trang web và gửi cho Web Browser.

Các máy chủ web phổ biến hiện này có thể kể tới là Apache, Nginx, IIS, Tomcat… Các ứng dụng web thì tùy thuộc vào yêu cầu triển khai mà có thể được tạo nên bởi các ngôn ngữ lập trình khác nhau như: C#, Java, Python, PHP, Ruby… Cơ sở dữ liệu (Data) sẽ đóng vai trò lưu trữ, cung cấp thông tin cho ứng dụng web trong quá trình xử lý request. Một số hệ quản trị cơ sở dữ liệu thường được sử dụng 8 bao gồm: SQL Server, MySQL, MongoDB, Oracle. Ngoài ra, tùy thuộc vào độ phức tạp, quy mô, yêu cầu trong việc phát triển mà website có thể có thêm nhiều thành phần khác như Message Queue, Proxy, Cache.  Giao thức HTTP HTTP là viết tắt của Hypertext Transfer Protocol hay còn gọi là giao thức truyền tải siêu văn bản, là một trong năm giao thức chuẩn của mạng internet, được dùng để liên hệ thông tin giữa máy cung cấp dịch vụ (Web server) và máy khách web (Web client) trong mô hình Client/Server.

HTTP sử dụng cổng chuẩn 80 là một giao thức ứng dụng của bộ giao thức TCP/IP.  Giao thức HTTPS HTTPS là viết tắt của Hypertext Transfer Protocol Secure, là một giao thức kết hợp giữa giao thức HTTP và giao thức bảo mật SSL hoặc TLS nhằm mục đích gia tăng tính an toàn cho việc truyền dữ liệu giữa Web server và trình duyệt Web. Giao thức HTTPS thường được dùng trong các giao dịch nhạy cảm cần tính bảo mật cao sử dụng các kỹ thuật mật mã trước khi gửi giúp bảo mật thông tin trao đổi tránh bị nghe lén và lạm dụng. Theo mặc định giao thức HTTPS sử dụng cổng 443 để truyền dữ liệu.

Máy khách web và máy chủ web giao tiếp với nhau bằng giao thức HTTP hoặc HTTPS thông qua phương thức yêu cầu/đáp ứng (Request/Response), trong đó yêu cầu là http request gửi từ máy khách web lên máy chủ web và đáp ứng hay phản hồi là http response gửi từ máy chủ web tới máy khách web. Cấu trúc của một http request, như mô tả trên Hình 1.2 gồm các thành phần sau: o Method: là phương thức mà HTTP Request này sử dụng, thường là GET,POST, ngoài ra còn một số phương thức khác như HEAD, PUT, DELETE, OPTION, CONNECT. 9 o URI: là địa chỉ định danh của tài nguyên. URI có thể là dấu *.

– HTTP version: là phiên bản HTTP đang sử dụng o Request headers: cho phép client gửi thêm các thông tin bổ sung về thông điệp HTTP request và về chính web browser. Một số trường request header thông dụng như: Accept, Cookie, User-Agent, Content- Type, Connection… o Request body: nội dung web browser gửi cho web server (file, nội dung dạng json, parameter post…) Hình 1.2: Cấu trúc của http request Hình 1.3: Cấu trúc của http reponse Cấu trúc của một http response, như mô tả trên Hình 1.3 gồm các thành phần sau: 10 o HTTP-version: phiên bản HTTP cao nhất mà server hỗ trợ. o Status-Code: mã kết quả trả về. o Reason-Phrase: mô tả về Status-Code.

o Response header: phép web server gửi thêm các thông tin bổ sung về thông điệp HTTP response o Response body: nội dung ứng dụng web trả về cho web browser 1.2 Các yêu cầu bảo mật ứng dụng web, website Trước những nguy cơ tiềm ẩn về an ninh mạng như hiện nay để đảm bảo tính bảo mật và giảm thiểu các rủi ro liên quan đến ứng dụng web cần có những chính sách, tiêu chuẩn an toàn thông tin cho ứng dụng web, website. Dưới đây liệt kê một số yêu cầu bảo mật ứng dụng web, website. Yêu cầu về cài đặt  Yêu cầu cài đặt trên hệ điều hành an toàn, đã được thiết lập cấu hình chính sách bảo mật để đảm bảo ATTT mức hệ điều hành cho web server.  Phiên bản cài đặt phải cập nhật các bản vá của nhà sản xuất để tránh bị tấn công qua các lỗ hổng đã biết.

Tắt/disable các thành phần mặc định  Gỡ bỏ các thư mục/trang mặc định như: các trang ví dụ, hướng dẫn, các trang quản trị web server từ xa, các trang phục vụ development, debug để tránh bị khai thác lỗ hổng qua các nội dung web mặc định.  Tắt các Module/Extension nguy hiểm không sử dụng như: các module hiển thị thông tin server (module info, status, version), hiển thị nội dung thư mục, các module xử lý CGI, xử lý webdav để tránh bị khai khác các module extension không sử dụng. 11  Tắt chế độ tự động triển khai hoặc gỡ lỗi trên web server (nếu có). Chế độ tự động triển khai hoặc gỡ lỗi trên web server có thể đưa ra nhiều thông tin nhạy cảm hoặc gây mất kiểm soát về security.

Thay đổi các thành phần mặc định Thay đổi thông báo lỗi mặc định của web server. Tránh để lộ các thông tin nhạy cảm của hệ thống khi xảy ra lỗi như 500, 503. Thay đổi thông tin banner của dịch vụ HTTP, không để lộ thông tin phiên bản hệ điều hành, web server để tránh việc hacker có thể tìm ra phiên bản web server. Từ đó, họ tấn công vào các lỗ hổng 1-days liên quan, đã được công bố [12].

Giới hạn truy cập  Chỉ truy cập quản trị từ xa trong mạng nội bộ của doanh nghiệp và có phương thức xác thực người dùng. Hacker có thể chiếm quyền kiểm soát dịch vụ web qua kênh quản trị từ xa từ ngoài internet. Do đó cần cô lập các kết nối quản trị từ xa và có các phương thức xác thực người dùng như: sử dụng tài khoản/mật khẩu, OTP, private key…  Không cho phép liệt kê file, thư mục để tránh bị hacker phát hiện ra các file, thư mục nhạy cảm của hệ thống. Các Nguy Cơ và Các Dạng Tấn Công Lên Ứng Dụng Web 1.1 Các nguy cơ và các lỗ hổng bảo mật trong website, ứng dụng web (TOP 10 OSWASP 2017) Open Web Application Security Project (OWASP) [8][9][10] là một tổ chức bao gồm các chuyên gia bảo mật hàng đầu thế giới, chuyên cung cấp các thông tin về những ứng dụng và rủi ro đặt ra một cách trực tiếp, khách quan và thực tế nhất.

Từ năm 2013 đến nay, cứ 4 năm 1 lần, OWASP lại công bố danh sách Top 10 các rủi ro bảo mật ứng dụng lớn nhất, được gọi là OWASP Top 10. 12 Danh sách này được coi là chuẩn AppSec và được cộng đồng an ninh mạng tin tưởng. Danh sách bao gồm thông tin mới nhất về các lỗ hổng, các mối đe dọa và cuộc tấn công cũng như những thủ thuật để phát hiện và khắc phục. Các thành viên dự án lập ra danh sách này dựa trên việc phân tích tỉ lệ xuất hiện và mức độ nghiêm trọng của từng mối đe dọa.

OWASP Top 10 năm 2017 được phát hành công khai, dựa trên cuộc thăm dò, kiểm tra hơn 2,3 triệu lỗ hổng tác động đến 50000 ứng dụng, bao gồm 2 bản cập nhật lỗ hổng quy mô lớn và cập nhật các kịch bản tấn công mới. Phần tiếp theo mô tả danh sách Top 10 của năm 2017. A1 – Injection (Lỗi nhúng mã) Nếu ứng dụng của bạn có thể nhận dữ liệu đầu vào người dùng đến cơ sở dữ liệu back-end thì ứng dụng của bạn có thể sẽ phải đối mặt với cuộc tấn công bằng mã nhúng. Lỗi nhúng mã (Injection) là tập hợp các lỗ hổng bảo mật xảy ra khi dữ liệu đáng ngờ được chèn vào ứng dụng dưới dạng lệnh hay truy vấn.