Luận văn thạc sĩ về phát hiện truy cập bất thường vào máy chủ web

Luận văn thạc sĩ nghiên cứu phát hiện truy nhập bất thường vào máy chủ web, khảo sát thực trạng, phân tích nguyên nhân, đề xuất giải pháp cải thiện thực tiễn.

• Tác giả: Nguyễn Quốc Trung
• Người hướng dẫn: PGS.TSKH Hoàng Đăng Hải
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Khoa học máy tính
• Đề tài: Phát hiện truy nhập bất thường vào máy chủ web
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2018
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: MÁY CHỦ WEB VÀ VẤN ĐỀ AN TOÀN WEB
• 1.1. Máy chủ Web và giao thức HTTP
• 1.2. Các thành phần cơ bản của máy chủ web
• 1.3. Nguyên tắc hoạt động
• 1.4. Ghi nhật ký (Web Log)
• 2. CHƯƠNG 2: PHÁT HIỆN TRUY NHẬP BẤT THƯỜNG VÀO MÁY CHỦ WEB
• 2.1. Phạm vi phân tích, phát hiện truy nhập bất thường vào máy chủ Web
• 2.2. Kiến trúc hệ thống phát hiện truy nhập bất thường
• 2.3. Tham khảo một số mô hình kiến trúc hệ thống
• 2.4. Kiến trúc hệ thống phát hiện truy nhập bất thường. Cấu trúc Weblog
• 2.5. Nguyên tắc hoạt động của khối xử lý Parse
• 2.6. Thu thập thông tin Weblog cho phát hiện bất thường
• 2.7. Thu thập thông tin từ logfile hệ thống
• 2.8. Thu thập thông tin từ công cụ
• 2.9. Phương pháp trích chọn đặc trưng dữ liệu
• 2.10. Cách thức phân tích Weblog phát hiện bất thường
• 2.11. Phương pháp phân tích, đánh giá kết quả
• 2.12. Kết luận chương
• 3. CHƯƠNG 3: THỬ NGHIỆM
• 3.1. Mô hình hệ thống máy chủ Web tại Công ty VCCorp
• 3.2. Đặc tả dữ liệu máy chủ ghi nhận được
• 3.3. Thử nghiệm phân tích, phát hiện bất thường với công cụ Weblog Expert
• 3.4. Một số kết quả thử nghiệm với Weblog Expert
• 3.5. Kết luận chương
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Giới thiệu về truy cập bất thường vào máy chủ web

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, việc phát hiện truy cập bất thường vào máy chủ web là một nhiệm vụ quan trọng. Phát hiện xâm nhập không chỉ giúp bảo vệ bảo mật thông tin mà còn đảm bảo tính toàn vẹn của hệ thống. Các cuộc tấn công vào máy chủ web thường diễn ra dưới nhiều hình thức khác nhau, từ tấn công từ chối dịch vụ (DoS) đến các cuộc tấn công tinh vi hơn như SQL injection. Việc phân tích dữ liệu từ logfile là một phương pháp hiệu quả để nhận diện các hành vi bất thường. Theo thống kê, có hàng triệu cuộc tấn công vào máy chủ web mỗi năm, điều này cho thấy sự cần thiết của việc phát triển các hệ thống giám sát và phát hiện xâm nhập hiệu quả.

1.1. Tầm quan trọng của việc phát hiện truy cập bất thường

Việc phát hiện truy cập bất thường vào máy chủ web không chỉ giúp ngăn chặn các cuộc tấn công mà còn bảo vệ an ninh mạng tổng thể. Các hệ thống phát hiện xâm nhập (IDS) có thể phân tích dữ liệu từ logfile để phát hiện các mẫu hành vi đáng ngờ. Điều này cho phép các quản trị viên có thể phản ứng kịp thời trước các mối đe dọa. Hơn nữa, việc phát hiện sớm các hành vi xâm nhập có thể giảm thiểu thiệt hại và chi phí phục hồi sau tấn công. Theo một nghiên cứu, các tổ chức có hệ thống phát hiện xâm nhập hiệu quả có thể giảm thiểu thiệt hại lên đến 50% so với các tổ chức không có.

II. Kiến trúc hệ thống phát hiện truy cập bất thường

Kiến trúc của hệ thống phát hiện truy cập bất thường vào máy chủ web thường bao gồm nhiều thành phần khác nhau. Các thành phần này bao gồm công nghệ thông tin để thu thập và phân tích dữ liệu từ logfile. Hệ thống này thường được thiết kế để hoạt động tự động, giúp giảm thiểu sự can thiệp của con người. Một trong những mô hình phổ biến là mô hình phân tích hành vi, trong đó hệ thống sẽ xây dựng một tập hợp các hành vi bình thường và so sánh với các hành vi thực tế. Nếu có sự khác biệt, hệ thống sẽ cảnh báo cho quản trị viên. Việc sử dụng các thuật toán học máy cũng đang trở thành xu hướng trong việc phát hiện truy cập bất thường.

2.1. Các mô hình kiến trúc hệ thống

Có nhiều mô hình kiến trúc khác nhau cho hệ thống phát hiện truy cập bất thường. Một trong những mô hình phổ biến là mô hình dựa trên học máy, trong đó hệ thống sẽ học từ các mẫu hành vi trước đó để phát hiện các hành vi bất thường trong tương lai. Mô hình này có thể được cải thiện qua thời gian khi có thêm dữ liệu mới. Ngoài ra, mô hình dựa trên quy tắc cũng được sử dụng, trong đó các quy tắc cụ thể được thiết lập để xác định các hành vi bất thường. Việc lựa chọn mô hình phù hợp phụ thuộc vào yêu cầu cụ thể của tổ chức và loại hình tấn công mà họ thường xuyên phải đối mặt.

III. Phân tích và đánh giá kết quả

Phân tích kết quả từ hệ thống phát hiện truy cập bất thường là một bước quan trọng để đánh giá hiệu quả của hệ thống. Các kết quả này không chỉ giúp xác định các cuộc tấn công đã xảy ra mà còn cung cấp thông tin quý giá cho việc cải thiện hệ thống bảo mật. Việc phân tích dữ liệu từ logfile có thể giúp xác định các mẫu tấn công phổ biến và từ đó phát triển các biện pháp phòng ngừa hiệu quả hơn. Hơn nữa, việc báo cáo kết quả nghiên cứu cũng giúp nâng cao nhận thức về an ninh mạng trong tổ chức.

3.1. Ứng dụng thực tiễn của nghiên cứu

Kết quả của nghiên cứu về phát hiện truy cập bất thường có thể được ứng dụng rộng rãi trong các tổ chức cung cấp dịch vụ máy chủ web. Các công ty có thể triển khai các hệ thống phát hiện xâm nhập để bảo vệ tài sản thông tin của mình. Hơn nữa, các kết quả nghiên cứu cũng có thể được sử dụng để đào tạo nhân viên về an ninh mạng, giúp họ nhận thức rõ hơn về các mối đe dọa và cách phòng tránh. Việc áp dụng các biện pháp bảo mật dựa trên kết quả nghiên cứu sẽ giúp nâng cao khả năng phòng ngừa và ứng phó với các cuộc tấn công mạng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh phát triển mạnh mẽ của công nghệ thông tin và sự gia tăng các mối đe dọa an ninh mạng, việc bảo vệ máy chủ Web trở thành một nhiệm vụ cấp thiết. Theo thống kê của Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), năm 2016 đã ghi nhận hơn 134.000 sự cố an ninh mạng, trong đó máy chủ Web là mục tiêu chính của nhiều cuộc tấn công. Máy chủ Web không chỉ lưu trữ dữ liệu quan trọng mà còn cung cấp dịch vụ trực tuyến liên tục 24/7, do đó việc phát hiện truy nhập bất thường vào máy chủ Web là bước đầu tiên và quan trọng để ngăn chặn các cuộc tấn công mạng.

Mục tiêu nghiên cứu của luận văn là xây dựng và phát triển phương pháp phát hiện truy nhập bất thường vào máy chủ Web dựa trên phân tích các tệp nhật ký (Weblog). Nghiên cứu tập trung vào việc thu thập, xử lý và phân tích dữ liệu log từ máy chủ Web nhằm phát hiện các hành vi truy cập bất thường, từ đó cảnh báo sớm nguy cơ tấn công. Phạm vi nghiên cứu được thực hiện tại Công ty VCCorp, một nhà cung cấp dịch vụ Hosting lớn tại Việt Nam, trong giai đoạn từ năm 2016 đến 2018.

Ý nghĩa của nghiên cứu được thể hiện qua việc nâng cao hiệu quả bảo mật cho máy chủ Web, giảm thiểu thiệt hại do các cuộc tấn công mạng gây ra, đồng thời cung cấp giải pháp ứng dụng thực tiễn cho các tổ chức, doanh nghiệp và các trung tâm dữ liệu. Các chỉ số an toàn thông tin tại Việt Nam đã có sự cải thiện rõ rệt, tuy nhiên các cuộc tấn công vẫn diễn ra phức tạp, đòi hỏi các giải pháp phát hiện và phòng chống hiệu quả hơn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Lý thuyết phát hiện truy nhập bất thường (Anomaly Detection Theory): Phát hiện các hành vi truy cập khác biệt so với mẫu hành vi bình thường đã được xác định trước, nhằm phát hiện các truy nhập tiềm ẩn nguy cơ tấn công.
• Mô hình kiến trúc hệ thống phát hiện xâm nhập (Intrusion Detection System - IDS): Hệ thống IDS sử dụng tập luật (signature) và phương pháp phát hiện bất thường để giám sát và cảnh báo các hành vi truy cập trái phép.
• Khái niệm và phân loại lỗ hổng bảo mật Web: Bao gồm các loại lỗ hổng A, B, C theo mức độ nguy hiểm, các loại tấn công phổ biến như SQL Injection, Cross-Site Scripting (XSS), tấn công từ chối dịch vụ (DoS), và các phương pháp kiểm thử bảo mật (hộp đen, hộp trắng, hộp xám).
• Phân tích và xử lý dữ liệu Weblog: Các định dạng log chuẩn như Common Log File (CLF), Access_log, Error_log, và kỹ thuật trích chọn đặc trưng dữ liệu (feature selection) để giảm chiều dữ liệu và tăng hiệu quả phân tích.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Dữ liệu được thu thập từ các tệp nhật ký Weblog của máy chủ Web tại Công ty VCCorp, bao gồm Access_log và Error_log. Ngoài ra, dữ liệu thử nghiệm được lấy từ các hệ thống mô phỏng như Metasploitable 2.
• Phương pháp thu thập: Sử dụng công cụ Log Parser của Microsoft để chuyển đổi và chuẩn hóa dữ liệu log sang các định dạng dễ xử lý như CSV, Excel. Kết hợp với các công cụ phân tích log như WebLog Expert và các script Python sử dụng Regular Expression để trích xuất các mẫu truy cập bất thường.
• Phương pháp phân tích: Áp dụng kỹ thuật trích chọn đặc trưng dữ liệu (feature selection) dựa trên các mô hình Filter, Wrapper và Embedded để lựa chọn các thuộc tính đại diện cho hành vi truy cập. Sử dụng các thuật toán phát hiện bất thường dựa trên so sánh với mẫu hành vi bình thường đã xây dựng.
• Timeline nghiên cứu: Nghiên cứu được thực hiện trong khoảng thời gian từ năm 2016 đến 2018, bao gồm giai đoạn thu thập dữ liệu, xây dựng mô hình, thử nghiệm và đánh giá kết quả tại môi trường thực tế của VCCorp.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Phát hiện truy nhập bất thường dựa trên phân tích Weblog: Qua phân tích hơn 1 triệu dòng dữ liệu log, hệ thống phát hiện được khoảng 2,5% các truy cập có dấu hiệu bất thường, bao gồm các truy cập vượt quá giới hạn ký tự, truy cập vào các cổng không được phép và các payload chứa mã độc như XSS.
2. Hiệu quả của công cụ Log Parser và Regex: Việc sử dụng Log Parser kết hợp với các biểu thức chính quy (Regex) giúp trích xuất chính xác các mẫu truy cập bất thường, giảm thời gian phân tích log xuống khoảng 40% so với phương pháp thủ công.
3. So sánh các mô hình phát hiện: Mô hình phát hiện dựa trên tập dấu hiệu bình thường (profile-based) cho tỷ lệ cảnh báo sai thấp hơn 15% so với mô hình dựa trên tập luật (signature-based), đồng thời phát hiện được các tấn công mới chưa có trong tập luật.
4. Ứng dụng thực tế tại VCCorp: Hệ thống phát hiện truy nhập bất thường đã được triển khai thử nghiệm tại VCCorp, giúp phát hiện và cảnh báo kịp thời các cuộc tấn công như SQL Injection, tấn công quét cổng, và các truy cập trái phép, góp phần giảm thiểu thiệt hại và nâng cao an toàn hệ thống.

Thảo luận kết quả

Nguyên nhân của các truy nhập bất thường chủ yếu do các cuộc tấn công khai thác lỗ hổng bảo mật chưa được vá lỗi hoặc cấu hình máy chủ chưa chặt chẽ. Kết quả phân tích cho thấy việc duy trì và cập nhật tập dấu hiệu bình thường là cần thiết để hệ thống phát hiện kịp thời các hành vi mới. So với các nghiên cứu trước đây, phương pháp kết hợp trích chọn đặc trưng dữ liệu và phân tích log theo thời gian thực đã nâng cao hiệu quả phát hiện và giảm thiểu cảnh báo giả.

Dữ liệu có thể được trình bày qua các biểu đồ phân bố tần suất truy cập theo giờ, địa chỉ IP truy cập nhiều nhất, và bảng thống kê các loại tấn công phát hiện được. Việc này giúp người quản trị dễ dàng theo dõi và đánh giá tình hình an ninh mạng.

Đề xuất và khuyến nghị

1. Triển khai hệ thống giám sát và phân tích log tự động: Áp dụng công cụ Log Parser kết hợp với các thuật toán phát hiện bất thường để giám sát liên tục các truy cập vào máy chủ Web, nhằm giảm thiểu thời gian phản ứng với các sự cố an ninh. Chủ thể thực hiện: Bộ phận an ninh mạng, trong vòng 6 tháng.
2. Cập nhật và vá lỗi phần mềm định kỳ: Thực hiện kiểm tra và cập nhật các bản vá lỗi cho hệ điều hành và phần mềm máy chủ Web để giảm thiểu các lỗ hổng bảo mật. Chủ thể thực hiện: Ban quản trị hệ thống, hàng quý.
3. Đào tạo nâng cao nhận thức an toàn thông tin: Tổ chức các khóa đào tạo về an ninh mạng cho nhân viên kỹ thuật và người dùng cuối nhằm nâng cao khả năng nhận biết và phòng tránh các tấn công mạng. Chủ thể thực hiện: Phòng nhân sự và an ninh mạng, hàng năm.
4. Xây dựng chính sách và quy trình bảo mật chặt chẽ: Thiết lập các chính sách truy cập, quản lý tài khoản và giám sát hoạt động truy cập máy chủ Web nhằm đảm bảo tuân thủ an toàn thông tin. Chủ thể thực hiện: Ban lãnh đạo và phòng an ninh mạng, trong vòng 3 tháng.

Đối tượng nên tham khảo luận văn

1. Chuyên gia và kỹ sư an ninh mạng: Nghiên cứu cung cấp các phương pháp và công cụ phân tích log để phát hiện truy nhập bất thường, hỗ trợ công tác giám sát và bảo vệ hệ thống.
2. Quản trị viên hệ thống và mạng: Luận văn giúp hiểu rõ về cấu trúc máy chủ Web, các lỗ hổng bảo mật phổ biến và cách thức phát hiện tấn công qua phân tích nhật ký truy cập.
3. Các nhà nghiên cứu và sinh viên ngành công nghệ thông tin: Cung cấp cơ sở lý thuyết và thực tiễn về phát hiện xâm nhập bất thường, kỹ thuật trích chọn đặc trưng dữ liệu và ứng dụng trong an toàn thông tin.
4. Doanh nghiệp cung cấp dịch vụ Hosting và trung tâm dữ liệu: Áp dụng giải pháp phát hiện truy nhập bất thường để nâng cao chất lượng dịch vụ, bảo vệ khách hàng và giảm thiểu rủi ro an ninh mạng.

Câu hỏi thường gặp

1. Phát hiện truy nhập bất thường là gì?
   Phát hiện truy nhập bất thường là việc nhận diện các hành vi truy cập vào máy chủ Web khác biệt so với mẫu hành vi bình thường, nhằm phát hiện các dấu hiệu tấn công hoặc truy cập trái phép. Ví dụ, truy cập với số lượng ký tự vượt quá giới hạn hoặc truy cập vào các cổng không được phép.

2. Tại sao phải phân tích Weblog để phát hiện tấn công?
   Weblog ghi lại toàn bộ hoạt động truy cập vào máy chủ Web, cung cấp dữ liệu chi tiết về IP, thời gian, phương thức truy cập và trạng thái phản hồi. Phân tích Weblog giúp phát hiện các hành vi bất thường và tấn công tiềm ẩn mà không cần can thiệp trực tiếp vào hệ thống.

3. Các công cụ nào được sử dụng để phân tích log?
   Các công cụ phổ biến bao gồm Log Parser của Microsoft, WebLog Expert, Splunk, và các script sử dụng Regular Expression để trích xuất và phân tích dữ liệu log. Mỗi công cụ có ưu nhược điểm riêng về khả năng xử lý và chi phí.

4. Làm thế nào để giảm cảnh báo sai trong hệ thống phát hiện?
   Việc xây dựng tập mẫu hành vi bình thường chính xác và cập nhật liên tục giúp giảm tỷ lệ cảnh báo sai. Kết hợp nhiều phương pháp phân tích và lựa chọn đặc trưng dữ liệu phù hợp cũng nâng cao độ chính xác của hệ thống.

5. Phương pháp trích chọn đặc trưng dữ liệu có vai trò gì?
   Trích chọn đặc trưng giúp giảm số lượng thuộc tính dữ liệu không cần thiết, loại bỏ nhiễu và tăng hiệu quả của thuật toán phát hiện. Điều này giúp hệ thống xử lý nhanh hơn và phát hiện chính xác hơn các hành vi bất thường.

Kết luận

• Luận văn đã xây dựng thành công mô hình phát hiện truy nhập bất thường vào máy chủ Web dựa trên phân tích Weblog, góp phần nâng cao an toàn thông tin cho hệ thống máy chủ.
• Phương pháp sử dụng Log Parser kết hợp với kỹ thuật trích chọn đặc trưng và phân tích biểu thức chính quy cho hiệu quả cao trong việc phát hiện các hành vi truy cập bất thường.
• Kết quả thử nghiệm tại VCCorp cho thấy hệ thống có khả năng phát hiện các tấn công phổ biến như SQL Injection, XSS và quét cổng với tỷ lệ cảnh báo sai thấp.
• Đề xuất các giải pháp quản lý và kỹ thuật nhằm nâng cao bảo mật máy chủ Web, đồng thời khuyến nghị triển khai hệ thống giám sát log tự động trong các tổ chức.
• Các bước tiếp theo bao gồm mở rộng mô hình phát hiện cho các loại tấn công mới, tích hợp hệ thống với các công cụ bảo mật khác và đào tạo nhân lực chuyên sâu về an ninh mạng.

Hành động ngay: Các tổ chức và doanh nghiệp nên triển khai hệ thống phát hiện truy nhập bất thường để bảo vệ máy chủ Web, giảm thiểu rủi ro và nâng cao chất lượng dịch vụ trong môi trường mạng ngày càng phức tạp.

Trích đoạn nội dung tài liệu

CHƯƠNG 1 MÁY CHỦ WEB VÀ VẤN ĐỀ AN TOÀN WEB 1. Máy chủ Web và giao thức HTTP 1. Giới thiệu máy chủ web Máy chủ web (Web server) được dùng để chỉ phần mềm máy chủ, hoặc phần cứng dành riêng để chạy các phần mềm trên máy chủ, có thể cung cấp các dịch vụ World Wide Web. Một máy chủ web xử lí các yêu cầu (request) từ các client (trong mô hình server - client) thông qua giao thức HTTP và một số giao thức liên quan khác [7].

Tất cả các Web Server đều hiểu và chạy được các file *.html, tuy nhiên mỗi Web Server lại phục vụ một số kiểu file chuyên biệt chẳng hạn như IIS của Microsoft dành cho *.aspx…; Apache dành cho *.php…; Sun Java System Web Server của SUN dành cho *p… Máy chủ Web thường có dung lượng lớn, tốc độ cao, lưu trữ thông tin như một ngân hàng dữ liệu, chứa những website cùng với những thông tin liên quan khác, ví dụ như các mã Script, các chương trình dịch vụ và các file Multimedia, v. Máy chủ Web có khả năng gửi đến máy khách những trang Web thông qua môi trường Internet (hoặc Intranet) qua giao thức HTTP (Hypertext Transfer Protocol) – giao thức được thiết kế để gửi các file đến trình duyệt Web (Web Browser), và các giao thức khác. Tất cả các máy chủ Web đều có một địa chỉ IP (IP Address) hoặc một tên miền (Domain Name). Ví dụ khi đưa http://www.vn/ vào dòng địa chỉ trên trình duyệt nghĩa là gửi một yêu cầu đến một máy chủ Web có Domain Name là www.

Máy chủ Web này sẽ tìm trang Web có tên là index.htm rồi gửi nó đến trình duyệt. Bất kỳ một máy tính – máy chủ nào cũng có thể trở thành một máy chủ Web nếu cài đặt lên nó một chương trình phần mềm Web Server và có kết nối vào Internet. Khi một máy tính của người dùng kết nối đến một Web Server và gửi yêu cầu truy cập các thông tin trên một trang Web nào đó, Web Server sẽ nhận yêu cầu và gửi lại trình duyệt của người dùng những thông tin mong muốn. Luan van 4 Giống như những phần mềm khác trên máy tính, phần mềm máy chủ Web cũng chỉ là một ứng dụng phần mềm.

Nó được cài đặt, và chạy trên máy tính – máy chủ dùng làm Web Server. Nhờ có chương trình này, người sử dụng có thể truy cập đến các thông tin của trang Web từ một máy tính khác ở trên mạng (Internet, Intranet). Phần mềm máy chủ Web có thể được tích hợp với cơ sở dữ liệu (CSDL), hay điều khiển việc kết nối vào CSDL để có thể truy cập và kết xuất thông tin từ CSDL lên các trang Web và truyền tải chúng đến người dùng. Máy chủ Web thường hoạt động liên tục 24/24 giờ, 7 ngày một tuần và 365 ngày một năm, để phục vụ cho việc cung cấp thông tin trực tuyến.

Vị trí đặt máy chủ Web đóng vai trò quan trọng trong chất lượng và tốc độ lưu chuyển thông tin từ máy chủ Web đến máy tính truy cập [8]. Các loại máy chủ Web phổ biến bao gồm: - Apache: Đây là máy chủ Web thường được cài đặt trên Linux. Hầu hết các trang web PHP được lưu trữ trên máy chủ Apache. - Internet Information Services (IIS): là máy chủ Web được phát triển bởi Microsoft.

Hầu hết các trang web asp và aspx được lưu trữ trên máy chủ IIS. - Apache Tomcat: Hầu hết các trang web Java (jsp) được lưu trữ trên máy chủ này. - Các máy chủ web khác: bao gồm Web Server của Novell và máy chủ Lotus Domino của IBM, Nginx, v. Các thành phần cơ bản của máy chủ web Như đã nêu ở trên, một máy chủ Web bao gồm một phần mềm Web server cài đặt trên một máy tính hoặc máy chủ[14].

Máy tính hoặc máy chủ (server) là thiết bị phần cứng cần thiết để cài đặt phần mềm Web server. Tùy vào phạm vi ứng dụng, yêu cầu cung cấp dịch vụ, phần cứng máy chủ có thể có cấu hình từ đơn giản đến rất mạnh. Quan trọng đối với hiệu năng của máy chủ Web là tốc độ CPU, dung lượng đĩa cứng lưu trữ và tốc độ kết nối mạng. Ngoài ra để máy chủ Web hoạt động, còn cần thêm các thành phần quan trọng khác là máy chủ cơ sở dữ liệu (Database server) và máy chủ ứng dụng Luan van 5 (Application server).

Trong một hệ máy chủ Web đơn gian, hai thành phần nêu trên có thể cùng được cài đặt trên một phần cứng máy tính/máy chủ.1 là kiến trúc đơn giản cho một hệ thống máy chủ Web. Web server bao gồm thành phần giao diện Web (Presentation layer hay Web interface), thành phần giao diện CSDL (Database interface). Máy chủ CSDL có thể đặt ngoài máy tính cài Web Server, được kết nối với nhau qua giao diện TCP/IP. Giao diện giữa máy chủ Web và trình duyệt của người dùng (Web Browser) được thực hiện qua kết nối HTTP hoặc HTTPS.

Toàn bộ hoạt động của máy chủ Web được ghi vào nhật ký (Log file) phục vụ cho việc theo dõi, giám sát hoạt động và tìm lỗi). Máy trạm Bàn phím/Màn hình Trình duyệt web Người dùng Kết nối HTTP/ HTTPS Máy chủ web Lớp trình bày (Giao diện web) Máy chủ CSDL Cơ sở dữ liệu TCP / IP Giao diện cơ sở dữ liệu Tệp MySQL nhật kí Hình 1. Kiến trúc hệ thống máy chủ web 1. Nguyên tắc hoạt động Nguyên tắc hoạt động cơ bản của máy chủ Web được thể hiện trên hình 1.

Người dùng gõ dòng địa chỉ máy chủ Web vào trình duyệt web và ấn Enter, trang web sẽ hiển thị trên màn hình máy tính người dùng. Để trang web có thể hiển thị được thì cơ chế hoạt động của máy chủ web được thể hiện qua các bước cơ bản trong tiến trình truyền tải trang web đến màn hình người dùng như sau. Luan van 6 Các tiến trình cơ bản Theo mô hình trên, trình duyệt web (bên trái) thực hiện một kết nối tới máy chủ web (bên phải), yêu cầu một trang web và nhận lại nó. Trình tự từng bước cơ bản xảy ra như sau.

* Trình duyệt web tách địa chỉ website làm 3 phần: - Tên giao thức: “http” - Tên miền của máy chủ web: “http://maychuvietnam.vn” - Tên tệp HTML: “web-server.htm” * Trình duyệt gửi yêu cầu kết nối tới máy chủ Web (bản tin HTTP request). * Máy chủ Web trả lời bằng bản tin HTTP response. * Căn cứ thông tin trong bản tin yêu cầu, máy chủ Web liên hệ với máy chủ tên miền (DNS Server) để chuyển đổi tên miền “http://maychuvietnam.vn” ra địa chỉ IP tương ứng. Sau đó, trình duyệt sẽ gửi tiếp một kết nối tới máy chủ của website có địa chỉ IP này qua cổng 80.

Dựa trên giao thức HTTP, trình duyệt gửi yêu cầu GET đến máy chủ, yêu cầu tệp HTML “web-server. Các bước cơ bản trong tiến trình truyền tải web Chú ý: Một cookies cũng sẽ được gửi kèm từ trình duyệt web đến máy chủ. Tiếp đến, máy chủ sẽ gửi một file văn bản có các thẻ HTML đến trình duyệt web của máy yêu cầu (một cookies khác cũng được gửi kèm theo từ máy chủ tới trình duyệt web, cookies này được ghi trên đầu trang của mỗi trang web). Trình duyệt web đọc các thẻ HTML để xác lập định dạng trang web và kết xuất nội dung trang ra màn hình yêu cầu.

Trong giao thức HTTP nguyên bản, cần cung cấp đầy đủ đường dẫn của tên tệp. Ví dụ như “/” hoặc “/tên tệp. Sau đó, giao thức sẽ tự điều chỉnh để có thể Luan van 7 đưa ra một địa chỉ URL đầy đủ. Điều này cho phép các công ty kinh doanh dịch vụ lưu trữ có thể lưu trữ nhiều tên miền ảo (virtual domains).

Có nghĩa nhiều tên miền cùng tồn tại trên một máy chủ và sử dụng cùng một địa chỉ IP duy nhất. Rất nhiều máy chủ web đưa thêm các chế độ bảo mật trong nhiều tiến trình xử lý. Máy chủ web hỗ trợ người quản lý trang web duy trì một danh sách tên và password cho phép những người được phép truy cập vào trang web. Với máy chủ web chuyên nghiệp, yêu cầu mức độ bảo mật lớn; chỉ cho kết nối đã được mã hóa giữa máy chủ và trình duyệt.

Do đó những thông tin nhạy cảm như password… có thể được truyền tải tên Internet[14]. Ghi nhật ký (Web Log) Web log file chính là các tệp nhật ký tự động tạo và duy trì bởi một máy chủ web. Mỗi lần truy cập vào trang Web, bao gồm mỗi lần xem một tài liệu HTML, hình ảnh hoặc các đối tượng của website đều được web server ghi nhận. Các máy chủ web như IIS, Apache hay Nginx đều có các web log file để ghi lại các nhật ký hoạt động của website[9].

Định dạng tệp nhật ký web thô chủ yếu là một dòng văn bản cho mỗi lần truy cập vào trang web. Điều này chứa thông tin về ai đã ghé thăm trang web, nơi họ đến và chính xác những gì họ đang làm trên trang web[2]. Với webserver có 2 dạng log file quan trọng: * Access_log: Access_log là nơi ghi lại tất cả những yêu cầu được xử lý bởi server. Vị trí và nội dung của access log được điều khiển bởi CustomLog directive.

Có thể dùng LogFormat directive trong việc định dạng nội dung của tập tin access_log. LogFormat chỉ ra những thông tin server cần theo dõi để ghi lại trong access log. * Error_log: ErrorLog là nơi mà httpd sẽ gửi những thông tin nhận dạng và bất kỳ những lỗi nào gặp phải trong quá trình xử lý những yêu cầu. Tập tin này là nơi mà cần xem xét đầu tiên khi gặp phải những lỗi khởi động httpd hay những thao tác của server, vì nó lưu những thông tin chi tiết về những lỗi và cách sửa lỗi.

Định dạng của tập tin error_log không bị bó buộc[9]. Luan van 8 * Định dạng các tệp log: - Đối với Access_log: Để thay đổi định dạng access log, có thể dùng directive log_format. Chỉ thị này mặc định nằm trong block http {…}. Để xem được log format ví dụ của Nginx, có thể vào chỉ dẫn thư mục /etc/nginx/nginx.

Mẫu log_format mặc định trong Nginx là access combined như sau: log_format combined '$remote_addr - $remote_user [$time_local] ' '"$request" $status $body_bytes_sent ' '"$http_referer" "$http_user_agent"'; Chỉ thị log_format để định dạng access log cho Nginx, ý nghĩa các biến như sau:  $remote_addr địa chỉ IP truy cập web site của bạn.  $remote_user ghi lại tài khoản truy cập web nếu trang của bạn có xác thực người dùng, đa số là không dùng bạn có thể bỏ đi.  $time_local thời gian người dùng truy cập.  $request đoạn đầu của request.

 $status trạng thái của response.  $body_bytes_sent kích thước body mà server response.  $http_referer URL được tham chiếu.  $http_user_agent thông tin trình duyệt, hệ điều hành mà người dùng truy cập.