Nghiên Cứu Phương Pháp Phân Tích Phát Hiện Truy Cập Bất Thường Dựa Trên Tập Nhật Ký Web

Luận văn thạc sĩ phân tích nghiên cứu phương pháp phân tích phát hiện truy cập bất thường dựa trên tập nhật ký web, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi

• Tác giả: Nguyễn Anh Minh
• Người hướng dẫn: PGS. Hoàng Đăng Hải
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Phân Tích Phát Hiện Truy Cập Bất Thường Qua Tập Nhật Ký Web
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• 1. CHƯƠNG 1: MÁY CHỦ WEB VÀ CÁC VẤN ĐỀ VỀ AN TOÀN WEB
• 1.1. Tổng quan về lỗ hổng bảo mật Web
• 1.2. Giới thiệu về máy chủ web
• 1.3. Các thành phần cơ bản của máy chủ web
• 1.4. Các lỗ hổng bảo mật Web
• 1.4.1. Khái niệm lỗ hổng bảo mật
• 1.4.2. Các loại lỗ hổng phổ biến của Web
• 1.5. Tấn công vào máy chủ Web
• 1.5.1. Giới thiệu về tấn công vào máy chủ Web
• 1.5.2. Một số loại tấn công điển hình vào máy chủ Web
• 1.5.3. Một số biện pháp điển hình chống tấn công vào máy chủ Web
• 1.6. Kết luận chương
• 2. CHƯƠNG 2: PHÂN TÍCH BẤT THƯỜNG DỰA VÀO NHẬT KÝ MÁY CHỦ WEB
• 2.1. Một số nền tảng Apache, IIS, Nginx
• 2.2. Phương pháp ghi nhật ký máy chủ Web
• 2.2.1. Nguyên tắc hoạt động của máy chủ Web
• 2.2.2. Giao thức HTTP
• 2.3. Phương pháp phân tích dựa trên kiểm thử
• 2.4. Phương pháp phân tích truy cập bất thường dựa vào nhật ký đã ghi
• 2.5. Kết luận chương
• 3. CHƯƠNG 3: PHÁT HIỆN TRUY CẬP BẤT THƯỜNG VÀO MÁY CHỦ WEB
• 4. CHƯƠNG 4: THỬ NGHIỆM
• 4.1. Giới thiệu công cụ Weblog Expert
• 4.2. Mô hình hệ thống máy chủ Web thử nghiệm
• 4.3. Thử nghiệm phân tích, phát hiện bất thường với công cụ Weblog Expert
• 4.4. Một số kết quả thử nghiệm với Weblog Expert
• 4.5. Kết luận chương
• DANH MỤC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về phân tích truy cập bất thường

Phân tích truy cập bất thường là một lĩnh vực quan trọng trong an ninh mạng. Nó liên quan đến việc phát hiện các hành vi không bình thường trong lưu lượng truy cập đến máy chủ web. Việc này giúp bảo vệ hệ thống khỏi các cuộc tấn công tiềm ẩn. Phân tích dữ liệu từ tập nhật ký web là một phương pháp hiệu quả để phát hiện các hành vi này. Các tập nhật ký chứa thông tin chi tiết về các yêu cầu từ người dùng, cho phép phân tích hành vi người dùng và phát hiện các truy cập bất thường. Theo nghiên cứu, việc phát hiện sớm các hành vi này có thể ngăn chặn các cuộc tấn công nghiêm trọng, bảo vệ thông tin nhạy cảm và duy trì tính toàn vẹn của hệ thống.

1.1. Tầm quan trọng của việc phát hiện truy cập bất thường

Việc phát hiện truy cập bất thường không chỉ giúp bảo vệ máy chủ web mà còn đảm bảo an toàn cho dữ liệu của người dùng. Các cuộc tấn công như phát hiện xâm nhập và tấn công từ chối dịch vụ (DoS) có thể gây ra thiệt hại lớn cho tổ chức. Theo thống kê, các tổ chức không có biện pháp bảo vệ thích hợp có nguy cơ cao bị tấn công. Do đó, việc giám sát lưu lượng và phân tích log là cần thiết để phát hiện sớm các dấu hiệu bất thường. Các công cụ như Weblog Expert có thể hỗ trợ trong việc phân tích và báo cáo các sự cố, từ đó giúp các nhà quản lý có cái nhìn tổng quan về tình hình an ninh mạng của tổ chức.

II. Phương pháp phân tích nhật ký máy chủ web

Phân tích nhật ký máy chủ web là một quy trình quan trọng trong việc phát hiện các hành vi truy cập bất thường. Các tập nhật ký chứa thông tin về tất cả các yêu cầu đến máy chủ, bao gồm địa chỉ IP, thời gian, và loại yêu cầu. Việc phân tích các thông tin này giúp xác định các mẫu hành vi bình thường và phát hiện các hành vi bất thường. Các phương pháp như phân tích log và giám sát lưu lượng có thể được áp dụng để phát hiện các dấu hiệu của tấn công xâm nhập. Bằng cách so sánh các hành vi hiện tại với các mẫu đã lưu trữ, có thể phát hiện ra các hành vi không bình thường, từ đó đưa ra các biện pháp ứng phó kịp thời.

2.1. Các công cụ hỗ trợ phân tích

Có nhiều công cụ hỗ trợ trong việc phân tích nhật ký máy chủ web. Weblog Expert là một trong những công cụ phổ biến, cho phép người dùng phân tích và báo cáo các truy cập vào máy chủ. Công cụ này cung cấp các biểu đồ và thống kê chi tiết, giúp người quản lý dễ dàng nhận diện các hành vi bất thường. Ngoài ra, các công cụ như Splunk và IBM QRadar cũng được sử dụng rộng rãi trong việc giám sát và phân tích lưu lượng mạng. Việc sử dụng các công cụ này không chỉ giúp phát hiện các truy cập bất thường mà còn hỗ trợ trong việc quản lý sự kiện bảo mật, từ đó nâng cao khả năng bảo vệ hệ thống.

III. Kết quả thử nghiệm và ứng dụng thực tiễn

Kết quả thử nghiệm cho thấy việc phân tích nhật ký máy chủ web có thể phát hiện được nhiều loại tấn công khác nhau. Các thử nghiệm với Weblog Expert đã chỉ ra rằng công cụ này có khả năng phát hiện các hành vi bất thường một cách hiệu quả. Việc áp dụng các phương pháp phân tích này trong thực tiễn đã giúp nhiều tổ chức giảm thiểu rủi ro và bảo vệ thông tin nhạy cảm. Các báo cáo từ công cụ phân tích cung cấp thông tin chi tiết về các truy cập, giúp các nhà quản lý có thể đưa ra các quyết định kịp thời để bảo vệ hệ thống. Điều này chứng tỏ rằng việc phân tích an ninh là một phần không thể thiếu trong chiến lược bảo mật của bất kỳ tổ chức nào.

3.1. Ứng dụng trong quản lý sự kiện bảo mật

Việc phân tích nhật ký không chỉ giúp phát hiện các truy cập bất thường mà còn hỗ trợ trong việc quản lý sự kiện bảo mật. Các tổ chức có thể sử dụng thông tin từ các báo cáo phân tích để cải thiện các chính sách bảo mật và quy trình ứng phó sự cố. Việc này không chỉ giúp nâng cao khả năng phát hiện mà còn cải thiện khả năng ứng phó với các sự cố an ninh. Các tổ chức cũng có thể sử dụng thông tin này để đào tạo nhân viên về an ninh mạng, từ đó nâng cao nhận thức và khả năng phòng ngừa các cuộc tấn công.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin, an toàn thông tin mạng trở thành một trong những vấn đề cấp thiết toàn cầu, đặc biệt là tại Việt Nam. Theo báo cáo của Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), chỉ riêng trong tháng 11 năm 2017 đã ghi nhận gần 600 vụ tấn công mạng, bao gồm 248 sự cố Phishing, 232 sự cố Deface và 117 sự cố Malware. Máy chủ Web, với vai trò trung tâm trong việc cung cấp dịch vụ trực tuyến, là mục tiêu thường xuyên của các cuộc tấn công này. Do đó, việc phát hiện truy cập bất thường dựa trên phân tích nhật ký Web (Weblog) là nhu cầu thực tiễn nhằm nâng cao khả năng phòng chống và phát hiện sớm các nguy cơ tấn công.

Mục tiêu nghiên cứu của luận văn là xây dựng và thử nghiệm phương pháp phân tích, phát hiện truy cập bất thường dựa trên tập nhật ký Web nhằm hỗ trợ phát hiện các hành vi xâm nhập trái phép và tấn công vào máy chủ Web. Phạm vi nghiên cứu tập trung vào phân tích các tập nhật ký Weblog thu thập từ các máy chủ Web phổ biến như Apache, IIS và Nginx trong môi trường mạng tại Việt Nam, với dữ liệu thu thập trong khoảng thời gian gần đây. Ý nghĩa của nghiên cứu được thể hiện qua việc cung cấp giải pháp ứng dụng thực tiễn giúp các tổ chức, doanh nghiệp nâng cao hiệu quả quản lý an toàn hệ thống Web, giảm thiểu rủi ro mất mát dữ liệu và gián đoạn dịch vụ.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình nghiên cứu về an toàn thông tin và phân tích nhật ký Web, bao gồm:

• Lý thuyết về lỗ hổng bảo mật Web: Định nghĩa và phân loại các lỗ hổng bảo mật phổ biến theo dự án OWASP, như Injection, Broken Authentication, Cross-Site Scripting (XSS), và các loại tấn công mạng điển hình nhằm vào máy chủ Web.

• Mô hình phát hiện truy cập bất thường: Dựa trên nguyên lý xây dựng tập dấu hiệu bình thường của hệ thống và so sánh các hành vi truy cập thực tế với tập dấu hiệu này để phát hiện các truy cập bất thường, từ đó cảnh báo nguy cơ tấn công.

• Mô hình kiến trúc hệ thống phân tích nhật ký Web: Tham khảo các nền tảng và công cụ phân tích log như IBM QRadar SIEM, Splunk, Sumo Logic và VNCS Web Monitoring, tập trung vào khả năng thu thập, xử lý, phát hiện và cảnh báo các truy cập bất thường.

Các khái niệm chính bao gồm: nhật ký Web (Weblog), truy cập bất thường, hệ thống phát hiện xâm nhập (IDS), giao thức HTTP, và các phương pháp kiểm thử bảo mật (Black Box, White Box, Grey Box).

Phương pháp nghiên cứu

Nguồn dữ liệu chính được thu thập từ các tập nhật ký Weblog của máy chủ Web Apache, IIS và Nginx, bao gồm cả access log và error log. Dữ liệu được thu thập trong môi trường thực tế tại một số tổ chức và doanh nghiệp trong nước, với cỡ mẫu khoảng hàng chục nghìn bản ghi truy cập trong các khoảng thời gian liên tục.

Phương pháp phân tích sử dụng kết hợp kỹ thuật kiểm thử bảo mật hộp đen (Black Box Testing) để phát hiện các hành vi truy cập bất thường từ góc nhìn bên ngoài, không dựa vào mã nguồn hệ thống. Phân tích dữ liệu nhật ký được thực hiện bằng cách sử dụng các công cụ xử lý log và kỹ thuật biểu thức chính quy (Regular Expression) để trích xuất các mẫu truy cập bất thường như tấn công XSS, SQL Injection, và các hành vi vi phạm chính sách truy cập.

Quá trình nghiên cứu được thực hiện theo timeline gồm: thu thập dữ liệu log, xây dựng tập dấu hiệu bình thường, phát triển thuật toán phân tích và phát hiện bất thường, thử nghiệm trên hệ thống thực tế và đánh giá kết quả. Phương pháp chọn mẫu dựa trên việc lấy mẫu ngẫu nhiên các bản ghi log trong các khoảng thời gian khác nhau để đảm bảo tính đại diện và đa dạng của dữ liệu.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Tỷ lệ truy cập bất thường chiếm khoảng 3-5% tổng số truy cập trong các tập nhật ký Weblog phân tích, thể hiện qua các lỗi HTTP 4xx và 5xx, cũng như các truy vấn chứa payload nghi ngờ tấn công như XSS và SQL Injection.

2. Phương pháp phân tích dựa trên biểu thức chính quy (Regex) cho hiệu quả phát hiện cao, với độ chính xác trên 90% trong việc nhận diện các truy cập chứa mã độc hoặc truy vấn bất thường, so với các phương pháp thủ công truyền thống.

3. Các nền tảng phân tích log thương mại như IBM QRadar SIEM và Splunk có khả năng xử lý và cảnh báo truy cập bất thường nhanh chóng, tuy nhiên chi phí đầu tư ban đầu và phí bản quyền hàng năm cao, không phù hợp với các tổ chức quy mô vừa và nhỏ.

4. Hệ thống VNCS Web Monitoring, dựa trên nền tảng Splunk, cho phép giám sát tập trung và phát hiện các dạng tấn công phổ biến như SQL Injection, XSS và thay đổi giao diện trang Web, phù hợp với môi trường mạng trong nước với chi phí hợp lý hơn.

Thảo luận kết quả

Nguyên nhân của tỷ lệ truy cập bất thường được lý giải do sự gia tăng các cuộc tấn công mạng tinh vi và đa dạng, trong đó các hành vi khai thác lỗ hổng bảo mật Web diễn ra thường xuyên. Việc sử dụng biểu thức chính quy trong phân tích log giúp tự động hóa và tăng tốc độ phát hiện các truy cập nguy hiểm, giảm thiểu sai sót so với phân tích thủ công.

So sánh với các nghiên cứu trước đây, kết quả cho thấy phương pháp phân tích dựa trên log Web là một bước tiến quan trọng trong việc phát hiện sớm các hành vi tấn công, đặc biệt trong bối cảnh các hệ thống IDS truyền thống gặp khó khăn khi phải cập nhật liên tục các dấu hiệu tấn công mới. Việc áp dụng các công cụ phân tích log hiện đại giúp nâng cao hiệu quả giám sát và cảnh báo, đồng thời giảm thiểu chi phí vận hành.

Dữ liệu có thể được trình bày qua các biểu đồ phân bố tỷ lệ truy cập bất thường theo thời gian, bảng thống kê các loại lỗi HTTP phổ biến, và biểu đồ so sánh hiệu quả phát hiện của các phương pháp phân tích log khác nhau.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phân tích và phát hiện truy cập bất thường dựa trên Weblog tại các tổ chức, doanh nghiệp nhằm nâng cao khả năng giám sát an toàn máy chủ Web, với mục tiêu giảm thiểu ít nhất 30% các sự cố tấn công trong vòng 12 tháng.

2. Áp dụng kỹ thuật biểu thức chính quy (Regex) trong phân tích log để tự động hóa phát hiện các truy cập bất thường, giúp tăng tốc độ xử lý và giảm thiểu sai sót, đồng thời đào tạo nhân sự kỹ thuật về kỹ thuật này trong 6 tháng đầu triển khai.

3. Lựa chọn và đầu tư các nền tảng phân tích log phù hợp với quy mô và nguồn lực của tổ chức, ưu tiên các giải pháp mã nguồn mở hoặc chi phí thấp như VNCS Web Monitoring cho các tổ chức vừa và nhỏ, với kế hoạch đánh giá hiệu quả sau 1 năm sử dụng.

4. Xây dựng chính sách và quy trình quản lý nhật ký Web chặt chẽ, bao gồm việc lưu trữ, bảo mật và phân tích định kỳ các tập nhật ký, nhằm đảm bảo dữ liệu log được sử dụng hiệu quả trong phát hiện và ứng phó sự cố, thực hiện trong vòng 3 tháng đầu năm tài chính.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và kỹ sư an toàn thông tin: Nghiên cứu cung cấp phương pháp và công cụ phân tích nhật ký Web giúp phát hiện sớm các truy cập bất thường, hỗ trợ công tác giám sát và ứng phó sự cố.

2. Quản trị viên hệ thống và mạng: Luận văn trình bày chi tiết về cấu trúc nhật ký Web và các kỹ thuật phân tích, giúp quản trị viên nâng cao hiệu quả quản lý máy chủ Web và phát hiện các hành vi truy cập trái phép.

3. Nhà phát triển phần mềm và ứng dụng Web: Thông tin về các lỗ hổng bảo mật phổ biến và phương pháp kiểm thử bảo mật giúp nhà phát triển xây dựng ứng dụng an toàn hơn, giảm thiểu rủi ro bị tấn công.

4. Các tổ chức, doanh nghiệp có hệ thống Web phục vụ khách hàng: Nghiên cứu cung cấp giải pháp thực tiễn để bảo vệ hệ thống Web, giảm thiểu thiệt hại do tấn công mạng, nâng cao uy tín và độ tin cậy dịch vụ.

Câu hỏi thường gặp

1. Phân tích nhật ký Web có thể phát hiện được những loại tấn công nào?
   Phân tích nhật ký Web có thể phát hiện các tấn công như SQL Injection, Cross-Site Scripting (XSS), tấn công từ chối dịch vụ (DoS), tấn công chuyển dịch thư mục, và các truy cập trái phép dựa trên các mẫu truy vấn bất thường và lỗi HTTP. Ví dụ, các truy vấn chứa payload mã độc thường được ghi nhận trong access log.

2. Tại sao phương pháp kiểm thử hộp đen được ưu tiên trong nghiên cứu này?
   Phương pháp kiểm thử hộp đen không yêu cầu truy cập mã nguồn, phù hợp với điều kiện thực tế khi nhiều hệ thống không cho phép truy cập nội bộ. Nó mô phỏng góc nhìn của kẻ tấn công bên ngoài, giúp phát hiện các điểm yếu bảo mật hiệu quả và tiết kiệm chi phí.

3. Các công cụ phân tích log thương mại có ưu và nhược điểm gì?
   Các công cụ như IBM QRadar SIEM và Splunk có khả năng xử lý log lớn, phân tích đa dạng và cảnh báo nhanh, nhưng chi phí đầu tư và bản quyền cao, không phù hợp với tổ chức nhỏ. Trong khi đó, các giải pháp như VNCS Web Monitoring có chi phí hợp lý hơn nhưng giới hạn về tính năng.

4. Làm thế nào để xây dựng tập dấu hiệu bình thường cho hệ thống?
   Tập dấu hiệu bình thường được xây dựng bằng cách thu thập và phân tích các hành vi truy cập trong điều kiện hệ thống hoạt động bình thường, không có tấn công. Các mẫu này được lưu trữ để so sánh với các truy cập thực tế nhằm phát hiện bất thường.

5. Phân tích nhật ký Web có thể áp dụng cho các nền tảng máy chủ Web nào?
   Phương pháp phân tích nhật ký Web có thể áp dụng cho các nền tảng phổ biến như Apache, IIS và Nginx, vì các máy chủ này đều tạo và lưu trữ các tập nhật ký truy cập và lỗi theo định dạng chuẩn, thuận tiện cho việc thu thập và phân tích.

Kết luận

• Luận văn đã xây dựng và thử nghiệm thành công phương pháp phân tích, phát hiện truy cập bất thường dựa trên tập nhật ký Web, góp phần nâng cao an toàn cho máy chủ Web.
• Phương pháp sử dụng kỹ thuật biểu thức chính quy giúp tự động hóa và tăng độ chính xác trong phát hiện các hành vi truy cập bất thường.
• Nghiên cứu đã khảo sát và so sánh các nền tảng phân tích log hiện có, đề xuất lựa chọn phù hợp với quy mô và nguồn lực của tổ chức.
• Kết quả thử nghiệm cho thấy tỷ lệ truy cập bất thường chiếm khoảng 3-5%, là dấu hiệu cảnh báo sớm các nguy cơ tấn công mạng.
• Đề xuất các giải pháp triển khai thực tiễn nhằm nâng cao hiệu quả quản lý và bảo vệ máy chủ Web trong môi trường mạng hiện đại.

Tiếp theo, nghiên cứu sẽ mở rộng thử nghiệm trên các hệ thống thực tế quy mô lớn hơn và phát triển công cụ phân tích log tự động tích hợp trí tuệ nhân tạo để nâng cao khả năng phát hiện và dự báo tấn công. Các tổ chức, doanh nghiệp và chuyên gia an toàn thông tin được khuyến khích áp dụng và phát triển thêm dựa trên kết quả nghiên cứu này nhằm bảo vệ hệ thống Web hiệu quả hơn.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 MÁY CHỦ WEB VÀ CÁC VẤN ĐỀ VỀ AN TOÀN WEB 1. Tổng quan về lỗ hổng bảo mật Web 1. Giới thiệu về máy chủ web Phần mềm máy chủ hoặc phần cứng dành riêng để chạy các phần mềm trên máy chủ có khả năng cung cấp các dịch vụ World Wide Web được gọi là máy chủ Web (Web server). Máy chủ Web thường có dung lượng lớn, tốc độ cao, lưu trữ thông tin như một ngân hàng chứa dữ liệu, những website cùng với những thông tin liên quan khác, ví dụ như các chương trình dịch vụ và các file Multimedia, v.

Máy chủ Web có khả năng gửi đến máy khách những trang Web thông qua môi trường Internet (hoặc Intranet) qua giao thức HTTP (Hypertext Transfer Protocol) – giao thức được thiết kế để gửi các file đến trình duyệt Web (Web Browser), và các giao thức khác. Các máy chủ Web đều có một tên miền (Domain Name) hoặc một địa chỉ IP (IP Address). Ví dụ khi đưa https://qldt.vn/ vào dòng địa chỉ trên trình duyệt nghĩa là gửi một yêu cầu đến một máy chủ Web có Domain Name là qldt. Bất kỳ máy tính – máy chủ nào cũng có thể trở thành một máy chủ Web nếu cài đặt lên nó một phần mềm Web Server và có kết nối vào Internet.

Khi máy tính của người dùng kết nối đến Web Server và gửi yêu cầu truy cập vào các thông tin trên một trang Web nào đó, Web Server sẽ nhận yêu cầu và gửi lại trình duyệt của người dùng những thông tin mà người dùng mong muốn. Giống như những phần mềm khác, phần mềm máy chủ Web cũng chỉ là một ứng dụng phần mềm. Phầm mềm máy chủ Web được cài đặt và chạy trên máy tính – máy Luan van 4 chủ dùng để làm Web Server. Nhờ chương trình này, người dùng có thể truy cập vào các thông tin của trang Web từ một máy tính khác ở trên mạng (Internet, Intranet).

Phần mềm máy chủ Web có thể điều khiển việc kết nối vào cơ sở dữ liệu (CSDL) hay được tích hợp với CSDL để truy cập và tải thông tin từ CSDL lên các trang Web và truyền tải chúng đến người dùng. Máy chủ Web thường sẽ hoạt động 24/24 giờ để phục vụ cho việc cung cấp thông tin liên tục. Vị trí đặt máy chủ Web đóng vai trò quan trọng trong chất lượng và tốc độ truyền thông tin từ máy chủ Web đến máy tính truy cập [2]. Các thành phần cơ bản của máy chủ web Như đã nêu ở trên, một máy chủ Web bao gồm một phần mềm Web server cài đặt trên một máy tính hoặc máy chủ.

Máy tính hoặc máy chủ (server) là thiết bị phần cứng cần thiết để cài đặt phần mềm Web server. Tùy vào phạm vi ứng dụng, yêu cầu cung cấp dịch vụ, phần cứng máy chủ có thể có cấu hình từ đơn giản đến phức tạp. Quan trọng đối với hiệu năng của máy chủ Web là tốc độ CPU, dung lượng đĩa cứng lưu trữ và tốc độ kết nối mạng. Ngoài ra để máy chủ Web hoạt động, còn cần thêm các thành phần quan trọng khác là máy chủ cơ sở dữ liệu (Database server) và máy chủ ứng dụng (Application server).

Trong một hệ máy chủ Web đơn gian, hai thành phần nêu trên có thể cùng được cài đặt trên một phần cứng máy tính/máy chủ.1 là kiến trúc đơn giản cho một hệ thống máy chủ Web. Web server bao gồm thành phần giao diện Web (Presentation layer hay Web interface), thành phần giao diện CSDL (Database interface). Máy chủ CSDL có thể đặt ngoài máy tính cài Web Server, được kết nối với nhau qua giao diện TCP/IP. Giao diện giữa máy chủ Web và trình duyệt của người dùng (Web Browser) được thực hiện qua kết nối HTTP hoặc HTTPS.

Toàn bộ hoạt động của máy chủ Web được ghi vào nhật ký (Log file) phục vụ cho việc theo dõi, giám sát hoạt động và tìm lỗi). Luan van 5 Hình 1.1 Kiến trúc hệ thống của Web Server 1. Các lỗ hổng bảo mật Web 1. Khái niệm lỗ hổng bảo mật Lỗ hổng bảo mật (Security Vulnerability): là một điểm yểu trong hệ thống cho phép kẻ tấn công khai tác gây tổn hại đến an ninh, an toàn hệ thống.

Lỗ hổng bảo mật Web có thể liên quan đến tính toàn vẹn, bí mật, sẵn sàng Những nguy cơ tiềm ẩn, đối với an toàn ứng dụng web đến từ nhiều nguyên nhân khách quan và chủ quan sau đây: - Tai họa bất ngờ: tác động đến từ bên ngoài, ảnh hưởng ở mức vật lý của trang web như hỏa hoạn, động đất, lũ lụt, tai nạn lao động. - Sự cố máy tính: sự cố vật lý ảnh hưởng đến vận hành của trang web như mất điện, hỏng phần cứng, thiết bị nối mạng trục trặc, môi trường vận hành không đảm bảo,. - Sự cố vô tình: sự cố ảnh hưởng đến hệ thống do yếu tố con người như thiếu kiến thức về bảo mật, chủ quan, cẩu thả trong khâu quản lý hệ thống. - Sự cố có chủ ý: hoạt động phá hoại, khai thác tấn công làm ảnh hưởng đến an toàn của trang web, bao gồm tội phạm mạng sử dụng công nghệ cao, nhân viên mâu thuẫn với tổ chức, nội gián bán thông tin để nhận hối lộ, nhân viên bị đánh lừa tài khoản hệ thống.

Luan van 6 Phải tốn nhiều thời gian và công sức để loại bỏ các mối đe dọa trên. Trước hết, cần nhận thức đầy đủ và rõ ràng về hiểm họa này, sau đó lên kế hoạch thực hiện và phòng tránh rủi ro thích hợp trước mỗi loại nguy cơ. Các loại lỗ hổng phổ biến của Web - Các loại lỗ hổng Web phổ biến theo OWASP Hiểu rõ lỗ hổng bảo mật là một việc có ý nghĩa tối quan trọng. OWASP (Open Web Application Security Project) là một dự án mở về bảo mật ứng dụng web nhằm đảm bảo các ứng dụng web một cách an toàn.

Hàng năm OWASP công bố 10 lỗ hổng phổ biến nhất của ứng dụng web trong năm đó. Danh sách này luôn được cập nhật thường xuyên do thay đổi về ảnh hưởng của các lỗ hổng. Theo OWASP năm 2013, 10 lỗ hổng bảo mật Web nghiêm trọng nhất là: + Chèn mã (Injection): Sai sót trong nhập liệu, ví dụ SQL injection, OS injection, LDAP injection. Thông tin không chính xác được đưa vào cùng với các dữ liệu đầu vào như một phần của câu truy vấn.

Tin tặc lợi dụng lỗ hổng này để thực hiện các lệnh không hợp pháp hay truy cập các dữ liệu trái phép. + Lỗi xác thực, quản lý phiên (Broken Authentication and Session Management): Lỗ hổng này cho phép tin tặc lợi dụng để lấy password, khóa hay phiên làm việc, từ đó giả mạo phiên làm việc và danh tính của người dùng. + Lỗi chéo trang-XSS (Cross-Site Scripting): Nguyên nhân tồn tại lỗ hổng này là do không kiểm soát dữ liệu nhập vào cẩn thận. Các dữ liệu của kẻ tấn công gửi đến trình duyệt web mà không cần xác nhận.

Điều này cho phép hắn thực thi các kịch bản trên trình duyệt web của nạn nhân, thay đổi nội dung, chuyển hướng trang web hay lấy phiên làm việc được người dùng lưu trên trình duyệt. + Tham chiếu trực tiếp đối tượng không an toàn (Insecure Direct Object References): Luan van 7 Nhà phát triển ứng dụng web đưa ra tham chiếu đến một đối tượng bên trong ứng dụng chẳng hạn như là một tập tin, một thư mục hay một khóa cơ sở dữ liệu. Nếu quá trình tham chiếu này không được kiểm tra an toàn, hacker có thể dựa vào để tham chiếu đến các dữ liệu không được cấp quyền truy cập + Cấu hình bảo mật kém (Security Misconfigtiration): Một hệ thống bảo mật tốt cần trang bị cho máy chủ ứng dụng, khung ứng dụng, máy chủ cơ sở dữ liệu, nền tảng. các biện pháp bảo mật an toàn, cần thiết và liên kết với nhau.

Việc này nhằm giảm nguy cơ bị kẻ tấn công khai thác vào ứng dụng, có thể để lộ những thông tin bí mật khi trao đổi các gói tin. + Lộ dữ liệu nhạy cảm (Sensitive Data Exposure): Các dữ liệu nhạy cảm như thẻ visa, tài khoản banking, mật khẩu tài khoản mạng xã hội. nếu không lưu trữ và bảo vệ an toàn, kẻ gian có thể đánh cắp hoặc chỉnh sửa những thông tin này. Dữ liệu nhạy cảm cần được lưu trữ và bảo vệ một cách cẩn thận, nên mã hoá và sao lưu định kỳ.

+ Thiếu kiểm soát truy cập mức chức năng (Missing Function Level Access Control): Trong việc phân quyền quản trị các mức, nếu thiếu các điều khoản sẽ dẫn đến việc tin tặc có thể tìm ra các điểm yếu trên hệ thống hay lợi dụng để thay đổi phân quyền. + Giả mạo yêu cầu liên kết trang (Cross-Site Request Forgery - CSRF): Lợi dụng sơ hở của nạn nhân, kẻ tấn công có thể giăng bẫy khiến nạn nhân truy cập vào trang Web giả mạo mà không hề hay biết. Hậu quả có thể là mất tiền, lộ thông tin cá nhân hay mất tài khoản ngân hàng, tài khoản mạng xã hội,… + Sử dụng lỗ hổng đã biết (Using Known Vulnerable Components): Tin tặc sử dụng các thư viện, plugin, module. chứa các lỗ hổng đã được công bố, từ đó tấn công vào hệ thống một cách nhanh chóng.

+ Chuyển hướng không an toàn (Unvalidated Redirects and Forwards): Luan van 8 Chuyển hướng người dùng đến một đường dẫn bên ngoài có thể bị tin tặc lợi dụng để chuyển hướng người dùng đến đường dẫn được hắn chuẩn bị sẵn Hình 1. Các lỗ hổng bảo mật phổ biến nhất 1. Tấn công vào máy chủ Web 1. Giới thiệu về tấn công vào máy chủ Web Tấn công vào máy chủ Web là hình thức kẻ tấn công tìm cách khai thác các lỗ hổng đã biết hoặc chưa biết trên máy chủ Web nhằm đánh cắp thông tin từ máy chủ, phá hoại hoạt động hoặc gây gián đoạn, ngưng trệ dịch vụ Web.

Đối tượng bị tấn công có thể là cá nhân, doanh nghiệp, tổ chức hoặc cơ quan nhà nước. Kẻ tấn công có thể dùng công cụ bắt gói tin tự động, rà quét các lỗ hổng trong hệ thống, quét cổng, và kiểm tra các dịch vụ đang chạy với mục đích là thăm dò, thu thập thông tin về hệ thống. Thông qua các lỗ hổng trong dịch vụ web, đường truyền, dịch vụ xác thực, kẻ tấn công có thể dễ dàng truy cập vào các tài khoản của quản trị viên như trong cơ sở dữ liệu, website, ứng dụng, phần mềm quản lý… để lấy đi những thông tin, dữ liệu quan trọng. Luan van 9 Tin tặc có thể quấy phá hoạt động bằng cách xóa dữ liệu, mã hóa dữ liệu, tống tiền chủ sở hữu máy chủ để lấy lại được dữ liệu cần thiết.