Phương Pháp Hiệu Quả Để Phát Hiện Tấn Công Web Ứng Dụng Thông Qua Phân Tích Hành Vi

Chuyên khảo kỹ thuật phân tích Luận văn phương pháp phát hiện tấn công web ứng dụng dựa trên kỹ thuật phân tích hành vi, đánh giá các khía cạnh quan trọng, đề xuất hướng nghiên

• Tác giả: Khuất Thị Ngọc Ánh
• Người hướng dẫn: TS. Đỗ Xuân Chợ
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Phương pháp phát hiện tấn công web ứng dụng dựa trên kỹ thuật phân tích hành vi
• Loại tài liệu: luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2020
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: NGUY CƠ MẤT AN TOÀN THÔNG TIN WEB VÀ BIỆN PHÁP PHÒNG CHỐNG
• 1.1. Top 10 lỗ hổng bảo mật ứng dụng web theo OWASP
• 1.2. Broken Authentication And Session Management
• 1.3. Cross Site Scripting (XSS)
• 1.4. Insecure Direct Object References
• 1.5. Security Misconfiguration
• 1.6. Sensitive Data Exposure
• 1.7. Missing Function Level Access Control
• 1.8. Cross-Site Request Forgery (CSRF)
• 1.9. Using Components with Known Vulnerabilities
• 1.10. Unvalidated Redirects and Forwards
• 1.11. Phương pháp phòng chống tấn công trên web
• 1.11.1. Các phương pháp phòng chống tấn công web phổ biến
• 1.11.2. Phương pháp phòng chống tấn công SQL injection
• 1.11.3. Phương pháp phòng chống tấn công Cross Site Scripting (XSS)
• 1.12. Kết luận chương 1
• 2. CHƯƠNG 2: PHƯƠNG PHÁP PHÁT HIỆN TẤN CÔNG TRÊN WEB DỰA TRÊN KỸ THUẬT PHÂN TÍCH HÀNH VI
• 2.1. Giới thiệu về phương pháp phát hiện tấn công web
• 2.2. Một số phương pháp phát hiện tấn công web
• 2.3. Công cụ phát hiện tấn công web
• 2.4. Phương pháp phát hiện hành vi bất thường người dùng web sử dụng học máy
• 2.5. Một số thuật toán phát hiện tấn công web
• 2.6. Lựa chọn và trích xuất hành vi người dùng web
• 2.7. Kết luận chương 2
• 3. CHƯƠNG 3: THỰC NGHIỆM VÀ ĐÁNH GIÁ
• 3.1. Một số yêu cầu cài đặt
• 3.2. Yêu cầu chung cho cài đặt thử nghiệm
• 3.3. Giới thiệu chung về Python
• 3.4. Giới thiệu về bộ dữ liệu CSIC
• 3.5. Kịch bản thực nghiệm
• 3.6. Một số kết quả thực nghiệm
• 3.7. Những đóng góp của luận văn
• 3.8. Hướng phát triển của luận văn
• DANH MỤC CÁC TÀI LIỆU THAM KHẢO

Tóm tắt

I. Phát hiện tấn công web

Phát hiện tấn công web là một trong những vấn đề cấp thiết trong lĩnh vực an ninh mạng. Các cuộc tấn công web ngày càng trở nên tinh vi và phức tạp, đòi hỏi các phương pháp phát hiện hiệu quả. Luận văn tập trung vào việc sử dụng kỹ thuật phân tích hành vi để phát hiện các hành vi bất thường của người dùng web. Phương pháp này dựa trên việc phân tích dữ liệu truy cập web và sử dụng các thuật toán học máy để xác định các mẫu hành vi bất thường. Điều này giúp nâng cao khả năng phát hiện xâm nhập và giám sát an ninh một cách chủ động.

1.1. Kỹ thuật phân tích hành vi

Kỹ thuật phân tích hành vi là phương pháp chính được sử dụng trong luận văn để phát hiện các cuộc tấn công web. Phương pháp này tập trung vào việc phân tích hành vi người dùng web thông qua dữ liệu truy cập. Bằng cách sử dụng các thuật toán học máy, hệ thống có thể xác định các hành vi bất thường, từ đó cảnh báo về các cuộc tấn công tiềm ẩn. Kỹ thuật này đặc biệt hiệu quả trong việc phát hiện các cuộc tấn công không dựa trên dấu hiệu cụ thể mà dựa trên sự thay đổi trong hành vi người dùng.

1.2. Phát hiện bất thường

Phát hiện bất thường là một phần quan trọng trong quá trình phát hiện tấn công web. Phương pháp này dựa trên việc so sánh hành vi hiện tại của người dùng với các mẫu hành vi bình thường đã được thiết lập. Khi phát hiện sự chênh lệch đáng kể, hệ thống sẽ cảnh báo về khả năng xảy ra tấn công. Các thuật toán như SVM (Support Vector Machine) và K-NN (K-Nearest Neighbors) được sử dụng để tăng độ chính xác trong việc phân loại hành vi bất thường.

II. Bảo mật ứng dụng web

Bảo mật ứng dụng web là một yếu tố không thể thiếu trong việc đảm bảo an toàn thông tin. Luận văn đề cập đến các lỗ hổng bảo mật phổ biến trong ứng dụng web, bao gồm SQL Injection, Cross-Site Scripting (XSS), và Cross-Site Request Forgery (CSRF). Các lỗ hổng này thường bị khai thác bởi tin tặc để thực hiện các cuộc tấn công nhằm đánh cắp dữ liệu hoặc kiểm soát hệ thống. Việc hiểu rõ các lỗ hổng này giúp xây dựng các biện pháp phòng chống hiệu quả.

2.1. Lỗ hổng bảo mật

Các lỗ hổng bảo mật trong ứng dụng web là điểm yếu chính mà tin tặc thường khai thác. Luận văn liệt kê các lỗ hổng phổ biến theo khuyến nghị của OWASP, bao gồm SQL Injection, Broken Authentication, và Sensitive Data Exposure. Các lỗ hổng này có thể dẫn đến hậu quả nghiêm trọng như mất dữ liệu, giả mạo danh tính, và kiểm soát hệ thống. Việc phát hiện và vá các lỗ hổng này là bước đầu tiên trong việc bảo vệ ứng dụng web.

2.2. Phương pháp phòng chống

Để phòng chống các cuộc tấn công web, luận văn đề xuất các phương pháp như kiểm tra dữ liệu đầu vào, mã hóa dữ liệu nhạy cảm, và sử dụng các công cụ bảo mật như Web Application Firewall (WAF). Các phương pháp này giúp giảm thiểu rủi ro từ các cuộc tấn công và tăng cường khả năng bảo vệ hệ thống. Đặc biệt, việc sử dụng các thuật toán học máy để phát hiện hành vi bất thường cũng là một phương pháp hiệu quả trong việc phòng chống tấn công.

III. Phân tích dữ liệu và thực nghiệm

Phân tích dữ liệu là bước quan trọng trong việc phát hiện tấn công web. Luận văn sử dụng bộ dữ liệu CSIC để thực nghiệm các phương pháp phân tích hành vi. Bộ dữ liệu này bao gồm các yêu cầu HTTP được ghi lại từ các ứng dụng web, giúp mô phỏng các tình huống tấn công thực tế. Kết quả thực nghiệm cho thấy hiệu quả của các thuật toán học máy trong việc phân loại hành vi bình thường và bất thường.

3.1. Bộ dữ liệu CSIC

Bộ dữ liệu CSIC là một trong những bộ dữ liệu phổ biến được sử dụng trong nghiên cứu về bảo mật ứng dụng web. Bộ dữ liệu này bao gồm các yêu cầu HTTP được ghi lại từ các ứng dụng web, bao gồm cả các yêu cầu hợp lệ và bất thường. Việc sử dụng bộ dữ liệu này giúp đánh giá hiệu quả của các phương pháp phát hiện tấn công dựa trên phân tích hành vi.

3.2. Kết quả thực nghiệm

Kết quả thực nghiệm cho thấy các thuật toán học máy như SVM và K-NN có khả năng phân loại hành vi bất thường với độ chính xác cao. Các kết quả này khẳng định tính khả thi của phương pháp phát hiện tấn công web dựa trên kỹ thuật phân tích hành vi. Điều này mở ra hướng phát triển mới trong việc áp dụng trí tuệ nhân tạo vào lĩnh vực an ninh mạng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh sự phát triển nhanh chóng của Internet, nguy cơ mất an toàn thông tin trên các ứng dụng web ngày càng gia tăng cả về số lượng và mức độ nghiêm trọng. Theo báo cáo an ninh website quý 3 năm 2018 của CyStack, trên thế giới đã có khoảng 129.722 website bị tin tặc tấn công và chiếm quyền điều khiển, tương đương với mỗi phút lại có một website bị xâm nhập. Tại Việt Nam, trong cùng kỳ, có 1.183 website bị tấn công, trong đó các website doanh nghiệp chiếm tới 71,51%, thương mại điện tử chiếm 13,86%, và website chính phủ chiếm 1,9%. Những cuộc tấn công này không chỉ gây thiệt hại về dữ liệu mà còn ảnh hưởng nghiêm trọng đến uy tín của các tổ chức.

Trước thực trạng đó, việc phát hiện sớm các hành vi tấn công web, đặc biệt là các hành vi bất thường của người dùng, trở thành một nhiệm vụ cấp thiết. Luận văn tập trung nghiên cứu phương pháp phát hiện tấn công web dựa trên kỹ thuật phân tích hành vi người dùng, ứng dụng các thuật toán học máy nhằm nâng cao độ chính xác và khả năng phát hiện các tấn công mới, chưa được biết đến trước đó. Phạm vi nghiên cứu tập trung vào dữ liệu truy cập web của Trường Đại học Công nghệ Giao thông vận tải, với mục tiêu xây dựng mô hình phân loại hành vi người dùng bình thường và bất thường trên hệ thống website của trường.

Nghiên cứu có ý nghĩa quan trọng trong việc nâng cao hiệu quả bảo mật hệ thống web, góp phần giảm thiểu rủi ro mất an toàn thông tin, bảo vệ dữ liệu và uy tín của các tổ chức, đồng thời mở rộng ứng dụng của trí tuệ nhân tạo trong lĩnh vực an toàn thông tin.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính: lý thuyết về các lỗ hổng bảo mật ứng dụng web theo OWASP và các thuật toán học máy trong phân loại dữ liệu.

1. Lý thuyết về lỗ hổng bảo mật OWASP: Bao gồm các loại tấn công phổ biến như SQL Injection, Cross-Site Scripting (XSS), Broken Authentication, CSRF, và các lỗ hổng khác như Insecure Direct Object References, Sensitive Data Exposure. Khung này giúp nhận diện các nguy cơ mất an toàn thông tin trên web và các điểm yếu cần được phát hiện và phòng chống.

2. Thuật toán học máy phân loại: Học máy có giám sát được sử dụng để phân loại hành vi người dùng thành bình thường và bất thường. Các thuật toán chính bao gồm:

   • Support Vector Machine (SVM): Tìm siêu phẳng tối ưu phân chia dữ liệu trong không gian nhiều chiều, tối đa hóa khoảng cách margin giữa các lớp.
   • Decision Tree (Cây quyết định): Mô hình phân lớp dựa trên cấu trúc cây, dễ hiểu và có thể chuyển đổi sang các câu lệnh SQL.
   • Random Forest (Rừng ngẫu nhiên): Tập hợp nhiều cây quyết định được xây dựng trên các mẫu dữ liệu ngẫu nhiên, kết hợp kết quả bằng bỏ phiếu đa số.
   • K-Nearest Neighbors (K-NN): Phân lớp dựa trên khoảng cách Euclidean đến các điểm láng giềng gần nhất.

Các khái niệm chính bao gồm margin trong SVM, node và nhánh trong cây quyết định, cũng như nguyên tắc bỏ phiếu trong Random Forest.

Phương pháp nghiên cứu

Nghiên cứu sử dụng dữ liệu truy cập web thực tế từ hệ thống website của Trường Đại học Công nghệ Giao thông vận tải, cụ thể là bộ dữ liệu CSIC 2010, bao gồm các hành vi truy cập bình thường và tấn công. Cỡ mẫu dữ liệu được lựa chọn đảm bảo tính đại diện cho các hành vi người dùng.

Phương pháp phân tích bao gồm:

• Trích xuất và lựa chọn đặc trưng hành vi người dùng: Sử dụng kỹ thuật kết hợp N-Gram và TF-IDF để trích xuất các thuộc tính quan trọng từ dữ liệu truy cập.
• Áp dụng thuật toán học máy có giám sát: Sử dụng SVM, Decision Tree, Random Forest và K-NN để xây dựng mô hình phân loại hành vi người dùng thành bình thường và bất thường.
• Đánh giá mô hình: So sánh hiệu quả các thuật toán dựa trên các chỉ số như độ chính xác, tỷ lệ phát hiện tấn công, và tỷ lệ báo động giả.

Quá trình nghiên cứu được thực hiện theo timeline gồm: thu thập và xử lý dữ liệu, xây dựng mô hình, thực nghiệm và đánh giá kết quả, hoàn thiện luận văn.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả phân loại của các thuật toán học máy: Thuật toán Random Forest đạt độ chính xác phân loại hành vi người dùng lên tới khoảng 92%, cao hơn so với SVM (khoảng 88%), Decision Tree (khoảng 85%) và K-NN (khoảng 83%). Điều này cho thấy khả năng tổng hợp và bỏ phiếu của Random Forest giúp cải thiện đáng kể hiệu quả phát hiện tấn công.

2. Khả năng phát hiện hành vi bất thường: Mô hình dựa trên kỹ thuật phân tích hành vi người dùng có thể phát hiện các hành vi tấn công mới, chưa có trong cơ sở dữ liệu mẫu, với tỷ lệ phát hiện trên 90%, vượt trội so với các phương pháp truyền thống dựa trên signature.

3. Tỷ lệ báo động giả thấp: Các mô hình học máy, đặc biệt là Random Forest và SVM, duy trì tỷ lệ báo động giả dưới 5%, giúp giảm thiểu cảnh báo không cần thiết và tăng tính tin cậy của hệ thống phát hiện.

4. Tác động của việc lựa chọn đặc trưng: Việc kết hợp kỹ thuật N-Gram và TF-IDF trong trích xuất đặc trưng hành vi giúp tăng độ phân biệt giữa hành vi bình thường và bất thường, nâng cao hiệu quả phân loại lên khoảng 7% so với sử dụng đặc trưng đơn lẻ.

Thảo luận kết quả

Kết quả thực nghiệm cho thấy phương pháp phát hiện tấn công web dựa trên phân tích hành vi người dùng và học máy có nhiều ưu điểm vượt trội so với các phương pháp truyền thống như rule-based hay signature-based. Nguyên nhân là do khả năng học và tổng quát hóa của các thuật toán học máy, giúp phát hiện các tấn công mới, chưa được biết đến trước đó.

So sánh với các nghiên cứu trong ngành, kết quả này phù hợp với xu hướng ứng dụng trí tuệ nhân tạo trong an toàn thông tin, đồng thời khẳng định tính khả thi của việc áp dụng kỹ thuật phân tích hành vi trong môi trường thực tế với dữ liệu truy cập web phức tạp.

Dữ liệu có thể được trình bày qua biểu đồ so sánh độ chính xác của các thuật toán, bảng thống kê tỷ lệ phát hiện và báo động giả, giúp minh họa rõ ràng hiệu quả của từng phương pháp.

Đề xuất và khuyến nghị

1. Triển khai hệ thống phát hiện tấn công dựa trên học máy: Các tổ chức, đặc biệt là các trường đại học và doanh nghiệp có hệ thống website lớn, nên áp dụng mô hình phân tích hành vi người dùng kết hợp thuật toán Random Forest để nâng cao khả năng phát hiện tấn công. Thời gian triển khai dự kiến trong vòng 6 tháng.

2. Cập nhật và mở rộng bộ dữ liệu đào tạo: Liên tục thu thập và cập nhật dữ liệu truy cập mới để đào tạo lại mô hình, đảm bảo khả năng phát hiện các tấn công mới và biến thể. Chủ thể thực hiện là bộ phận an ninh mạng, với chu kỳ cập nhật 3 tháng/lần.

3. Tích hợp hệ thống phát hiện với các giải pháp bảo mật hiện có: Kết hợp với tường lửa ứng dụng web (WAF), hệ thống phát hiện xâm nhập (IDS) để tạo thành lớp phòng thủ đa tầng, tăng cường khả năng phản ứng nhanh và chính xác. Thời gian tích hợp dự kiến 4 tháng.

4. Đào tạo nhân sự và nâng cao nhận thức bảo mật: Tổ chức các khóa đào tạo về an toàn thông tin và kỹ thuật phát hiện tấn công cho đội ngũ quản trị hệ thống và người dùng cuối nhằm giảm thiểu rủi ro từ hành vi người dùng. Chủ thể thực hiện là phòng CNTT và phòng nhân sự, triển khai định kỳ hàng năm.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và quản trị hệ thống: Nghiên cứu cung cấp các phương pháp phát hiện tấn công web hiện đại, giúp nâng cao kỹ năng và áp dụng hiệu quả trong thực tế.

2. Nhà phát triển phần mềm và quản lý dự án CNTT: Hiểu rõ các lỗ hổng bảo mật phổ biến và cách phòng chống, từ đó thiết kế và phát triển các ứng dụng web an toàn hơn.

3. Sinh viên và nghiên cứu sinh ngành Hệ thống thông tin, An toàn thông tin: Tài liệu tham khảo quý giá về ứng dụng học máy trong an toàn thông tin, hỗ trợ nghiên cứu và học tập chuyên sâu.

4. Doanh nghiệp và tổ chức có hệ thống website lớn: Áp dụng các giải pháp phát hiện tấn công dựa trên phân tích hành vi để bảo vệ tài sản số và dữ liệu khách hàng, giảm thiểu thiệt hại do tấn công mạng.

Câu hỏi thường gặp

1. Phương pháp phân tích hành vi người dùng có ưu điểm gì so với phương pháp truyền thống?
   Phương pháp này dựa trên học máy để phát hiện các hành vi bất thường, giúp phát hiện các tấn công mới chưa có mẫu trước đó, trong khi phương pháp truyền thống chủ yếu dựa trên mẫu tấn công đã biết, dễ bỏ sót các biến thể mới.

2. Các thuật toán học máy nào được sử dụng trong nghiên cứu?
   Luận văn sử dụng các thuật toán SVM, Decision Tree, Random Forest và K-NN để phân loại hành vi người dùng, trong đó Random Forest cho kết quả tốt nhất với độ chính xác khoảng 92%.

3. Làm thế nào để trích xuất đặc trưng hành vi người dùng từ dữ liệu truy cập web?
   Sử dụng kỹ thuật kết hợp N-Gram và TF-IDF để trích xuất các đặc trưng quan trọng từ các truy vấn và hành vi truy cập, giúp mô hình học máy phân biệt rõ ràng giữa hành vi bình thường và bất thường.

4. Tỷ lệ báo động giả của mô hình như thế nào?
   Các mô hình học máy, đặc biệt là Random Forest và SVM, duy trì tỷ lệ báo động giả dưới 5%, giúp giảm thiểu cảnh báo không cần thiết và tăng tính tin cậy của hệ thống.

5. Phương pháp này có thể áp dụng cho các hệ thống web khác ngoài trường đại học không?
   Có, phương pháp phân tích hành vi người dùng dựa trên học máy có thể áp dụng rộng rãi cho các hệ thống web doanh nghiệp, thương mại điện tử, và các tổ chức có nhu cầu bảo mật cao, với việc điều chỉnh phù hợp theo đặc thù dữ liệu.

Kết luận

• Luận văn đã nghiên cứu và phát triển thành công phương pháp phát hiện tấn công web dựa trên kỹ thuật phân tích hành vi người dùng và thuật toán học máy, nâng cao hiệu quả phát hiện các hành vi bất thường.
• Thuật toán Random Forest được đánh giá là phù hợp nhất với độ chính xác phân loại lên tới khoảng 92% và tỷ lệ báo động giả thấp.
• Việc kết hợp kỹ thuật trích xuất đặc trưng N-Gram và TF-IDF giúp tăng khả năng phân biệt hành vi, góp phần nâng cao hiệu quả mô hình.
• Kết quả nghiên cứu có ý nghĩa thực tiễn cao, có thể ứng dụng trong các hệ thống web của các tổ chức, doanh nghiệp nhằm tăng cường an toàn thông tin.
• Đề xuất triển khai hệ thống phát hiện tấn công dựa trên học máy, cập nhật dữ liệu thường xuyên và đào tạo nhân sự để nâng cao hiệu quả bảo mật trong thời gian tới.

Để tiếp tục phát triển, cần mở rộng phạm vi dữ liệu, thử nghiệm trên các môi trường thực tế khác và tích hợp với các giải pháp bảo mật hiện đại. Mời các chuyên gia và tổ chức quan tâm áp dụng và đóng góp ý kiến để hoàn thiện hơn nữa giải pháp này.

Trích đoạn nội dung tài liệu

chương 1 luận văn sẽ trình bày một số phương pháp và công cụ phòng chống tấn công web. Top 10 lỗ hổng bảo mật ứng dụng web theo OWASP Ngày nay nguy cơ mất an toàn thông tin ngày càng xảy ra nhiều và dẫn đến các hậu quả nghiêm trọng mà người quản trị website không thể lường trước được. Đặc biệt là đối với các cuộc tấn công web ngày càng tinh vi và khó lường. Chính vì vậy, trong mục này luận văn sẽ khảo sát các phương thức tấn công lỗ hổng bảo mật Website dựa trên khuyến nghị của OWASP (The Open Web Application Security Project- dự án mở về bảo mật ứng dụng Web) [12].

SQL injection SQL injection là một kĩ thuật cho phép những kẻ tấn công lợi dụng lỗ hổng trong việc kiểm tra dữ liệu nhập trong các ứng dụng web và các thông báo lỗi của hệ quản trị cơ sở dữ liệu để "tiêm vào" (inject) và thi hành các câu lệnh SQL bất hợp pháp (không được người phát triển ứng dụng lường trước). Hậu quả của nó rất tai hại vì nó cho phép những kẻ tấn công có thể thực hiện các thao tác xóa, hiệu chỉnh,… do có toàn quyền trên cơ sở dữ liệu của ứng dụng, thậm chí là server mà ứng dụng đó đang chạy. Lỗi này thường xảy ra trên các ứng dụng web có dữ liệu được quản lí bằng các hệ quản trị cơ sở dữ liệu như SQL Server, MySQL, Oracle, DB2, Sysbase. Có 4 dạng tấn công kiểu SQL injection sau: - Vượt qua kiểm tra lúc đăng nhập; - Sử dụng câu lệnh SELECT; - Sử dụng câu lệnh INSERT; 5 - Sử dụng các Stored-Procedures.

Broken Authentication And Session Management Đây là kiểu tấn công lỗi xác thực và quản lý phiên làm việc (Broken Authentication And Session Management), bao gồm những đoạn chương trình kiểm tra danh tính và quản lý phiên làm việc của ngƣời sử dụng thường hay được làm qua loa không đúng cách. Điều này giúp kẻ thâm nhập có thể ăn cắp mật mã, khóa, mã của các phiên làm việc {session token} hoặc tận dụng những lỗi khác để giả mạo danh tính các người dùng khác. Quản lý xác thực và phiên bao gồm tất cả các khía cạnh xử lý xác thực và quản lý phiên làm việc. Xác thực là một khía cạnh quan trọng của quá trình này, nhưng ngay cả các cơ chế xác thực vững chắc cũng có thể bị suy yếu do chức năng quản lý có khe hở, bao gồm thay đổi mật khẩu, ghi nhớ mật khẩu, thay đổi tài khoản và nhiều chức năng khác.

Vì các cuộc tấn công có thể xảy ra với nhiều ứng dụng web nên chức năng quản lý tài khoản yêu cầu xác thực lại ngay cả khi người sử dụng có phiên làm việc hợp lệ. Một phương pháp xác thực mạnh mẽ hơn là sử dụng phần mềm và phần cứng tuy nhiên phương pháp này rất tốn kém. Các ứng dụng web thường phải thiết lập phiên để theo dõi các luồng yêu cầu từ người dùng, giao thức HTTP không hỗ trợ khả năng này vì vậy các ứng dụng web phải tự tạo ra nó. Thông thường môi trƣờng ứng dụng web cung cấp khả năng phiên nhưng nhiều nhà phát triển thích tự họ tạo ra một thẻ phiên của riêng họ.

Tuy nhiên, chức năng ứng dụng liên quan đến quản lý xác thực và phiên làm việc thường thực hiện một cách chính xác, điều này cho phép kẻ tấn công lấy được mật khẩu, khóa, thẻ phiên hoặc khai thác lỗ hổng để thực hiện các giả mạo danh tính người dùng. Cross Site Scripting (XSS) Kiểu tấn công thực thi mã script xấu Cross-Site Scripting (XSS) là một trong những kĩ thuật tấn công phổ biến nhất hiên nay, đồng thời nó cũng là một trong những vấn đề bảo mật quan trọng đối với các nhà phát triển web và cả những người sử dụng 6 web. Bất kì một website nào cho phép người sử dụng đăng thông tin mà không có sự kiểm tra chặt chẽ các đoạn mã nguy hiểm thì đều có thể tiềm ẩn các lỗi XSS. Cross-Site Scripting hay còn được gọi tắt là XSS (thay vì gọi tắt là CSS để tránh nhầm lẫn với CSS-Cascading Style Sheet của HTML) là một kĩ thuật tấn công bằng cách chèn vào các website động (ASP, PHP, CGI, JSP .) những thẻ HTML hay những đoạn mã script nguy hiểm có thể gây nguy hại cho những người sử dụng khác.

Trong đó, những đoạn mã nguy hiểm được chèn vào hầu hết được viết bằng các Client-Site Script như JavaScript, JScript, DHTML và cũng có thể là cả các thẻ HTML. Kĩ thuật tấn công XSS đã nhanh chóng trở thành một trong những lỗi phổ biến nhất của Web Applications và mối đe dọa của chúng đối với người sử dụng ngày càng lớn. Insecure Direct Object References Kiểu tấn công đối tượng tham chiếu trực tiếp không an toàn (Insecure Direct Object References), xảy ra khi người phát triển để lộ một tham chiếu đến những đối tượng trong hệ thống như các tập tin, thư mục hay chìa khóa dữ liệu. Nếu chúng ta không có một hệ thống kiểm tra truy cập, kẻ tấn công có thể lợi dụng những tham chiếu này để truy cập dữ liệu một cách trái phép.

Việc phân quyền yếu cho phép người dùng có thể truy cập dữ liệu của người khác. Hacker có thể xác định được cấu trúc truy vấn gửi đến server và có thể nhanh chóng thu nhập dữ liệu như Credit Card, mã khách hàng, thông tin cá nhân. Security Misconfiguration Kiểu tấn công sai sót trong cấu hình bảo mật (Security Misconfiguration), như là một cơ chế an ninh tốt cần phải định nghĩa những hiệu chỉnh về an ninh và triển khai nó cho các ứng dụng, máy chủ ứng dụng, máy chủ web, máy chủ dữ liệu và các ứng dụng nền tảng. Tất cả những thiết lập nên được định nghĩa, thực hiện và bảo trì bởi vì rất nhiều 7 hệ thống không được triển khai với thiết lập an toàn mặc định.

Các hiệu chỉnh cũng bao gồm cập nhật phần mềm và những thư viện được sử dụng bởi ứng dụng. Sensitive Data Exposure Kiểu tấn công phơi bày các dữ liệu nhạy cảm (Sensitive Data Exposure), bao gồm nhiều ứng dụng web không bảo vệ dữ liệu nhạy cảm nhƣ thẻ tín dụng, mã số thuế và những mã xác thực bí mật bằng các phƣơng thức mã hóa hay băm (hashing). Kẻ tấn công có thể ăn cắp hay thay đổi những dữ liệu nhạy cảm này và tiến hành hành vi trộm cắp, gian lận thẻ tín dụng, v. Missing Function Level Access Control Kiểu tấn công thiếu chức năng điều khiển truy cập (Missing Function Level Access Control) bao gồm gần như tất cả các ứng dụng web kiểm tra quyền truy cập cấp độ chức năng trước khi thực hiện chức năng mà có thể nhìn thấy trong giao diện ngƣời dùng.

Tuy nhiên, các ứng dụng cần phải thực hiện kiểm tra kiểm soát truy cập tương tự trên máy chủ khi mỗi chức năng đƣợc truy cập. Nếu yêu cầu không được xác nhận, kẻ tấn công sẽ có thể giả mạo yêu cầu để truy cập vào chức năng trái phép. Cross-Site Request Forgery (CSRF) Kiểu tấn công giả mạo yêu cầu (CSRF) là kiểu tấn công này ép buộc trình duyệt web của một người dùng đã đăng nhập gửi những yêu cầu các HTTP giả bao gồm cookie của phiên truy cập và những thông tin tự động khác bao gồm thông tin đăng nhập đến một ứng dụng web. Điều này, cho phép kẻ tấn công buộc trình duyệt web tạo ra những yêu cầu đến ứng dụng web mà ứng dụng không thể biết đây là những yêu cầu giả mạo của kẻ tấn công.

Using Components with Known Vulnerabilities Kiểu tấn công sử dụng thành phần đã tồn tại lỗ hổng (Using Components with Known Vulnerabilities) bao gồm các lổ hổng có thể có trong các thành phần (thành phần phát triển ứng dụng) như các thư viện, các framework, và mô-đun phần mềm 8 khác. Các thành phần này gần như luôn luôn chạy với quyền cao nhất trong hệ thống. Vì vậy, nếu bị khai thác, các thành phần này có thể gây mất dữ liệu nghiêm trọng. Các ứng dụng sử dụng các thành phần tồn tại lổ hổng có thể làm suy yếu phòng thủ của hệ thống, cho phép một loạt các cuộc tấn công và ảnh hưởng đến hệ thống.

Unvalidated Redirects and Forwards Kiểu tấn công chuyển hướng và chuyển tiếp thiếu kiểm tra (Unvalidated Redirects and Forwards) là kiểu tấn công ứng dụng web thường chuyển hướng, chuyển tiếp người dùng đến những trang web, website khác và sử dụng những thông tin thiếu tin cậy để xác định trang đích đến. Nếu không được kiểm tra một cách cẩn thận, kẻ tấn công có thể lợi dụng để chuyển hướng nạn nhân đến các trang web lừa đảo hay trang web chứa phần mềm độc hại, hoặc chuyển tiếp để truy cập các trang trái phép. Phương pháp phòng chống tấn công trên web 1. Các phương pháp phòng chống tấn công web phổ biến ❖ Phương pháp phòng chống tấn công SQL injection SQL Injection attack [13] gây ra nhiều tác hại tùy thuộc vào môi trường và cách cấu hình hệ thống.

Nếu ứng dụng sử dụng quyền dbo (quyền của người sở hữu CSDL - owner) khi thao tác dữ liệu, nó có thể xóa toàn bộ các bảng dữ liệu, tạo các bảng dữ liệu mới,… Nếu ứng dụng sử dụng quyền sa (quyền quản trị hệ thống), nó có thể điều khiển toàn bộ hệ quản trị CSDL và với quyền hạn rộng lớn như vậy nó có thể tạo ra các tài khoản người dùng bất hợp pháp để điều khiển hệ thống của bạn. Để phòng tránh các nguy cơ có thể xảy ra, cần bảo vệ các câu truy vấn SQL là bằng cách kiểm soát chặt chẽ tất cả các dữ liệu nhập nhận được từ đối tượng Request (Request, Request.Cookies, and Request. 9 Trong trường hợp dữ liệu nhập vào là chuỗi, lỗi xuất phát từ việc có dấu nháy đơn trong dữ liệu. Để tránh điều này, thay thế các dấu nháy đơn bằng hàm Replace để thay thế bằng 2 dấu nháy đơn: p_strUsername = Replace(Request.Form("txtUsername"), "'", "''") p_strPassword = Replace(Request.Form("txtPassword"), "'", "''") Trong trường hợp dữ liệu nhập vào là số, lỗi xuất phát từ việc thay thế một giá trị được tiên đoán là dữ liệu số bằng chuỗi chứa câu lệnh SQL bất hợp pháp.

Để tránh điều này, đơn giản hãy kiểm tra dữ liệu có đúng kiểu hay không: p_lngID = CLng(Request("ID")) Như vậy, nếu người dùng truyền vào một chuỗi, hàm này sẽ trả về lỗi ngay lập tức. Ngoài ra để tránh các nguy cơ từ SQL Injection attack, nên chú ý loại bỏ bất kì thông tin kĩ thuật nào chứa trong thông điệp chuyển xuống cho người dùng khi ứng dụng có lỗi. Các thông báo lỗi thông thường tiết lộ các chi tiết kĩ thuật có thể cho phép kẻ tấn công biết được điểm yếu của hệ thống.