Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và phát triển phần mềm thần tốc, các ứng dụng web đóng vai trò là xương sống của mọi hạ tầng dịch vụ trực tuyến, từ thương mại điện tử, tài chính - ngân hàng đến mạng xã hội và dịch vụ công. Tuy nhiên, theo các báo cáo bảo mật ứng dụng toàn cầu từ OWASP (Open Web Application Security Project) và Verizon DBIR, hơn 75% các cuộc tấn công mạng hiện đại nhắm trực tiếp vào tầng ứng dụng (Layer 7), trong đó các lỗ hổng xác thực dữ liệu đầu vào (Input Validation Vulnerabilities) như SQL Injection (SQLi), Cross-Site Scripting (XSS), Command Injection và Server-Side Request Forgery (SSRF) chiếm tỷ trọng áp đảo.

Phương pháp kiểm thử xâm nhập thủ công (Manual Penetration Testing) truyền thống bộc lộ nhiều điểm nghẽn nghiêm trọng: chi phí nhân lực chuyên gia đắt đỏ, thời gian thực hiện kéo dài nhiều tuần cho một chu kỳ kiểm thử, và không thể bắt kịp tốc độ phát hành liên tục của quy trình CI/CD hiện đại. Mặc dù trên thị trường đã xuất hiện các công cụ kiểm thử bảo mật động (DAST - Dynamic Application Security Testing) thương mại như Burp Suite Professional hay Acunetix, nhưng rào cản về chi phí bản quyền (dao động từ $400 đến hơn $4,500/người dùng/năm) cùng cấu trúc phần mềm dạng "hộp đen" gây khó khăn lớn cho các doanh nghiệp vừa và nhỏ (SMEs) cũng như các nhóm phát triển trong việc tùy biến kịch bản kiểm thử riêng biệt.

Đồ án tốt nghiệp Kỹ sư Công nghệ Thông tin tại Trường Đại học Sư phạm Kỹ thuật TP.HCM (Bộ môn An ninh mạng) do sinh viên Trần Quốc Siêu (MSSV: 20110558) và Võ Huỳnh Anh Nhật (MSSV: 20110533) thực hiện, dưới sự hướng dẫn của ThS. Nguyễn Thị Thanh Vân, đã giải quyết triệt để bài toán trên bằng việc nghiên cứu và phát triển thành công công cụ WebSentry – hệ thống quét và phát hiện lỗ hổng bảo mật tự động trên ứng dụng web dựa trên cơ chế Template Engine hướng khai báo (Declarative YAML).

Mục tiêu cụ thể của dự án bao gồm:

  1. Hệ thống hóa toàn diện cơ chế phát sinh và phương pháp khai thác của các lỗ hổng xác thực đầu vào phổ biến trong ứng dụng web theo chuẩn OWASP Top 10.
  2. Phân tích kiến trúc và thuật toán quét của các công cụ mã nguồn mở hàng đầu như Nuclei, Nikto, OWASP ZAP và Burp Suite Active Scan.
  3. Thiết kế và hiện thực hóa công cụ WebSentry với kiến trúc API Gateway, cơ chế xử lý đa luồng (Multi-threading), Template Engine linh hoạt và các bộ phân tích Matcher/Asserter chuyên biệt.
  4. Thực nghiệm, đối soát và đánh giá hiệu năng phát hiện lỗi thực tế trên các hệ thống tiêu chuẩn (testphp.vulnweb.com và testasp.vulnweb.com) so với giải pháp công nghiệp Burp Suite Active Scan.

Phạm vi nghiên cứu tập trung chuyên sâu vào các lỗ hổng bảo mật phía máy chủ và máy khách liên quan đến xác thực và xử lý đầu vào (Input Validation Flaws: SQLi, XSS, SSRF, SSTI, XXE, Command Injection, File Inclusion). Đồ án không bao gồm việc phân tích mã nguồn tĩnh (SAST) hoặc kiểm thử tự động các luồng nghiệp vụ phức tạp đòi hỏi xác thực nhiều bước phụ thuộc trạng thái người dùng (Stateful multi-step business logic).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Quá trình khảo sát các giải pháp quét lỗ hổng ứng dụng web hiện nay cho thấy sự phân hóa rõ rệt giữa tính linh hoạt, tốc độ và chi phí đầu tư:

Tiêu chí WebSentry (Đề tài) Burp Suite Active Scan Nikto Scanner ProjectDiscovery Nuclei
Bản quyền & Chi phí Mã nguồn mở (Miễn phí) Thương mại ($449+/năm) Mã nguồn mở (GPL) Mã nguồn mở (MIT)
Kiến trúc kịch bản YAML Template Engine Cấu hình nội bộ (Đóng) Cơ sở dữ liệu tĩnh (Perl) YAML Template DSL
Khả năng tự động hóa API Gateway + REST API REST API (Bản Enterprise) Command-line (CLI) CLI / SDK Go
Tốc độ quét Rất cao (Đa luồng Python) Trung bình (Nặng tài nguyên) Chậm (Đơn luồng) Cực nhanh (Go Goroutines)
Độ phủ lỗ hổng đầu vào Chuyên sâu Input Injection Đa dạng toàn diện Cấu hình sai máy chủ/File Đa dạng qua cộng đồng
Khả năng tích hợp DevSecOps Dễ dàng (JSON/Postman) Phức tạp (Cần Enterprise) Hạn chế Rất tốt

Dựa trên phân tích khoảng trống công nghệ (Gap Analysis), nhóm nghiên cứu xác định yêu cầu phát triển theo mô hình MoSCoW:

  • Must-have: Module phân tích cú pháp kịch bản YAML; Module thực thi HTTP đa luồng; Module phát hiện lỗi SQLi (Error-based, Union, Time-based), XSS (Reflected/Stored), File Inclusion, Command Injection; Hệ thống Matcher và Asserter tự động xác minh kết quả.
  • Should-have: Kiến trúc API Gateway điều phối tác vụ; Hỗ trợ Import/Export dữ liệu Endpoint từ trình duyệt qua FoxyProxy và Postman Collection.
  • Could-have: Báo cáo tổng hợp trực quan dạng JSON/HTML; Khả năng tùy biến Payload Fuzzing động theo ngữ cảnh tham số.
  • Won't-have: Tính năng dịch ngược mã nguồn (Decompiler) hoặc phân tích động mã nguồn nhị phân.

Thiết kế hệ thống

Kiến trúc của WebSentry được thiết kế theo hướng module hóa lỏng (Loose Coupling), phân tách độc lập giữa tầng giao tiếp, tầng điều phối kịch bản và tầng thực thi mạng:

+-----------------------------------------------------------------------+
|                         GIAO DIỆN / CLIENT TƯƠNG TÁC                 |
|               (Postman Workspace / FoxyProxy HTTP Traffic)            |
+-----------------------------------+-----------------------------------+
                                    |
                                    v (HTTP/REST)
+-----------------------------------+-----------------------------------+
|                        TẦNG API GATEWAY                              |
|          (Quản lý Task, Điều hướng Endpoint, Routing & Logging)       |
+-----------------------------------+-----------------------------------+
                                    |
            +-----------------------+-----------------------+
            v                                               v
+-----------+-----------+                       +-----------+-----------+
|    TEMPLATE ENGINE    |                       |   CRAWLER & MATCHER   |
| (YAML Parser & Logic) |                       | (Trích xuất Param/URL)|
+-----------+-----------+                       +-----------+-----------+
            |                                               |
            +-----------------------+-----------------------+
                                    |
                                    v
+-----------------------------------+-----------------------------------+
|                     EXECUTION ENGINE (ĐA LUỒNG)                       |
|           (Thực thi Payload Fuzzing & Gửi HTTP Requests)              |
+-----------------------------------+-----------------------------------+
                                    |
                                    v
+-----------------------------------+-----------------------------------+
|                           ASSERTER ENGINE                             |
|       (Phân tích HTTP Response: Regex, Status Code, Time Delta)        |
+-----------------------------------+-----------------------------------+
                                    |
                                    v
+-----------------------------------+-----------------------------------+
|                   BÁO CÁO & XÁC THỰC LỖ HỔNG (VULN DB)                |
+-----------------------------------------------------------------------+

Hệ thống công nghệ (Technology Stack) bao gồm:

  • Ngôn ngữ thực thi chính: Python phiên bản 3.10+ (Đảm bảo hiệu năng tính toán chuỗi và xử lý I/O bất đồng bộ).
  • Thư viện mạng & phân tích cú pháp: requests v2.31.0, urllib3 v2.0.7, PyYAML v6.0.1, BeautifulSoup4 v4.12.2.
  • Kiến trúc Gateway: Framework FastAPI v0.110.0 kết hợp máy chủ ASGI Uvicorn v0.28.0.
  • Công cụ điều phối & bắt gói tin: Postman Desktop Agent v10.x, FoxyProxy Standard Extension v7.5.1 trên Mozilla Firefox.

Methodology

Quy trình nghiên cứu và phát triển được xây dựng dựa trên phương pháp luận Agile Scrum kết hợp quy chuẩn đánh giá an toàn thông tin OWASP Testing Guide v4.2. Dự án trải qua 4 giai đoạn chính kéo dài trong 16 tuần:

Giai đoạn 1 (Tuần 1-4)  : Nghiên cứu lý thuyết OWASP, phân loại lỗ hổng & phân tích công cụ Nikto, Nuclei.
Giai đoạn 2 (Tuần 5-8)  : Xây dựng Template Engine YAML, Matcher Engine và thư viện Testcase chuẩn.
Giai đoạn 3 (Tuần 9-12) : Phát triển Execution Engine đa luồng, Asserter Module và hoàn thiện API Gateway.
Giai đoạn 4 (Tuần 13-16): Triển khai thực nghiệm trên Web Server chuẩn, đối soát với Burp Suite và tối ưu hiệu năng.

Nhóm triển khai quản trị rủi ro thông qua cơ chế Sandbox: toàn bộ payload độc hại được giới hạn thực thi kiểm thử trong môi trường an toàn, sử dụng các payload không phá hủy dữ liệu (Non-destructive payloads) nhằm tránh gây nghẽn dịch vụ (Denial of Service - DoS) đối với hệ thống mục tiêu.

Implementation và kết quả

Development process

Cấu trúc mã nguồn của WebSentry phân bổ rõ ràng thành 4 module cốt lõi:

  1. Module Template Engine (template_engine.py): Đọc và biên dịch các tệp cấu hình YAML định nghĩa kịch bản tấn công. Mỗi template chứa định danh lỗ hổng, mức độ nghiêm trọng (Severity), cấu trúc HTTP Request mẫu và danh sách vector tấn công (Payloads).
  2. Module Matcher (matcher.py): Tách bóc các tham số mục tiêu từ URL (Query params), Body dữ liệu (Form-urlencoded, JSON, XML) hoặc HTTP Headers để gắn payload vào đúng vị trí cần kiểm thử.
  3. Module Execution Engine (execution_engine.py): Khởi tạo hồ chứa luồng (ThreadPoolExecutor) quản lý đồng thời từ 10 đến 50 luồng gửi gói tin, thực thi fuzzing tham số với cơ chế Retry và Timeout thông minh.
  4. Module Asserter (asserter.py): Đánh giá phản hồi HTTP Response dựa trên 3 tiêu chí: Phân tích biểu thức chính quy (Regex Pattern Matching), mã trạng thái HTTP (Status Codes), và độ trễ thời gian (Latency Threshold).

Dưới đây là một ví dụ về cấu trúc Testcase dạng YAML được chuẩn hóa trong WebSentry để phát hiện lỗi Error-based SQL Injection:

id: sqli-error-based-detection
info:
  name: Generic Error-based SQL Injection Detection
  author: WebSentry Team
  severity: high
  description: Phat hien cac loi cu phap SQL thong qua viec truyen ky tu dac biet vao tham so.

requests:
  - method: GET
    path:
      - "{{BaseURL}}/{{Endpoint}}?{{Parameter}}={{Payload}}"
    payloads:
      - "'"
      - "''"
      - "\";"
      - "' OR '1'='1"
      - "1' ORDER BY 1--+"
    matchers-condition: or
    matchers:
      - type: word
        words:
          - "You have an error in your SQL syntax"
          - "Warning: mysql_fetch_array()"
          - "Unclosed quotation mark after the character string"
          - "Microsoft OLE DB Provider for ODBC Drivers"
          - "PostgreSQL query failed: ERROR: parser:"
        part: body

Thuật toán của module Asserter trong việc phân tích phản hồi và định lượng lỗ hổng Time-based Blind SQL Injection được hiện thực trực tiếp trong Python:

import time
import requests
import re

class VulnerabilityAsserter:
    def __init__(self, baseline_timeout=2.0):
        self.baseline_timeout = baseline_timeout

    def verify_time_based_sqli(self, url, param_name, payload, expected_delay=5):
        """
        Xac thuc lo hong Time-based SQLi dua tren do tre phan hoi HTTP
        """
        target_params = {param_name: payload}
        start_time = time.time()
        try:
            response = requests.get(url, params=target_params, timeout=expected_delay + 5)
            elapsed_time = time.time() - start_time
            
            # Xac nhan neu thoi gian phan hoi vuot qua nguong tre mong doi
            if elapsed_time >= (self.baseline_timeout + expected_delay):
                return {
                    "vulnerable": True,
                    "type": "Time-based Blind SQL Injection",
                    "param": param_name,
                    "latency": round(elapsed_time, 2),
                    "evidence": f"Delay {round(elapsed_time, 2)}s matching payload sleep({expected_delay})"
                }
        except requests.exceptions.Timeout:
            return {
                "vulnerable": True,
                "type": "Time-based Blind SQL Injection (Gateway Timeout)",
                "param": param_name,
                "latency": "> timeout",
                "evidence": "Server dropped connection due to sleep query execution."
            }
        return {"vulnerable": False}

    def verify_regex_signature(self, response_body, signature_list):
        """
        Kiem tra su xuat hien cua chu ky loi hoac du lieu nhay cam
        """
        matched_signatures = []
        for sig in signature_list:
            if re.search(sig, response_body, re.IGNORECASE):
                matched_signatures.append(sig)
        return matched_signatures

Testing và validation

Quá trình kiểm thử và đánh giá độ chính xác của WebSentry được tiến hành trên 2 môi trường ứng dụng web thực nghiệm tiêu chuẩn trong kiểm thử an toàn thông tin:

  1. Target 1: http://testphp.vulnweb.com (Hệ thống xây dựng trên nền tảng PHP, máy chủ Web Nginx/Apache, cơ sở dữ liệu MySQL).
  2. Target 2: http://testasp.vulnweb.com (Hệ thống xây dựng trên nền tảng ASP.NET, máy chủ Web Microsoft-IIS, cơ sở dữ liệu Microsoft SQL Server).

Hệ thống được thiết lập thông qua FoxyProxy thu thập danh sách URL/Endpoint, sau đó truyền vào WebSentry thông qua Postman REST Collection để tiến hành quét tự động.

Dưới đây là bảng tổng hợp kết quả quét thực nghiệm chi tiết của WebSentry trên các endpoint của mục tiêu testphp.vulnweb.com:

STT Endpoint / URL kiểm thử Tham số khai thác Loại lỗ hổng phát hiện Bằng chứng kỹ thuật (Evidence Signature)
1 /search.php test Reflected XSS Payload reflected: <script>alert('XSS')</script>
2 /listproducts.php cat Error-based SQLi Error: You have an error in your SQL syntax
3 /listproducts.php artist Union-based SQLi Trích xuất thành công Database banner via UNION SELECT
4 /showimage.php file Path Traversal / LFI Xuất thành công tệp tin hệ thống /etc/passwd
5 /product.php pic Boolean-based SQLi Trạng thái hiển thị thay đổi theo điều kiện logic 1=1 vs 1=2
6 /cart.php id Error-based SQLi MySQL syntax warning xuất hiện trong thẻ <td>
7 /sendcommand.php command OS Command Injection Lệnh whoami trả về chuỗi www-data
8 /artists.php artist SQL Injection SQL Syntax Error tại vị trí nối chuỗi truy vấn
9 /comment.php comment Stored XSS Payload lưu trữ vào Database và kích hoạt khi xem lại
10 /AJAX/showxml.php xml XML External Entity (XXE) Đọc tệp tin nội bộ máy chủ qua SYSTEM Entity URI

Kết quả đạt được

Để chứng minh tính chính xác và hiệu quả, WebSentry được đối soát trực tiếp với giải pháp tiêu chuẩn công nghiệp Burp Suite Active Scan trên cùng một tập Endpoint mục tiêu:

Mục tiêu thực nghiệm Công cụ quét Tổng số Endpoint quét Số lỗ hổng SQLi tìm thấy Số lỗ hổng XSS tìm thấy Lỗ hổng LFI/Cmd Injection Thời gian hoàn thành (s)
testphp.vulnweb.com WebSentry 20 8 6 4 42.5s
Burp Suite Active Scan 20 8 7 4 148.0s
testasp.vulnweb.com WebSentry 12 5 3 1 28.3s
Burp Suite Active Scan 12 5 4 1 96.2s

Dữ liệu thực nghiệm chứng minh WebSentry đạt độ tương đồng phát hiện lỗ hổng lên đến 94.1% so với Burp Suite Active Scan trên các nhóm lỗi trọng yếu (SQL Injection, Path Traversal, Command Injection), đồng thời rút ngắn thời gian quét trung bình tới 71.2% nhờ cơ chế Template Engine tối giản và tối ưu hóa xử lý đa luồng bất đồng bộ.

Đổi mới và đóng góp

  1. Cơ chế kịch bản hóa hoàn toàn bằng YAML Declarative Template: Khác biệt với các công cụ mã nguồn đóng gắn chặt logic kiểm thử vào mã nguồn phần mềm, WebSentry cho phép các kỹ sư bảo mật định nghĩa, cập nhật hoặc tạo mới vector tấn công cho các lỗ hổng zero-day/CVE mới chỉ trong vài phút mà không cần biên dịch lại ứng dụng.
  2. Kiến trúc tích hợp API Gateway linh hoạt: Cho phép WebSentry đóng vai trò như một dịch vụ DAST Microservice, dễ dàng gắn kết vào các đường ống CI/CD (GitHub Actions, GitLab CI, Jenkins) hoặc điều khiển từ xa qua RESTful API, tương thích hoàn toàn với Postman Workspace.
  3. Bộ phân tích Asserter đa tầng thông minh: Kết hợp đồng thời Heuristic Regex Matching và Dynamic Latency Evaluation, giúp triệt tiêu hiện tượng báo động giả (False Positive) thường gặp trong các phép thử Time-based Blind SQLi khi đường truyền mạng không ổn định.
  4. Đóng góp học thuật và thực tiễn: Cung cấp tài liệu nghiên cứu chuyên sâu, có hệ thống về cơ chế vận hành của các cuộc tấn công tầng ứng dụng cho sinh viên, giảng viên ngành An toàn thông tin, đồng thời cung cấp một công cụ DAST miễn phí nhưng hiệu năng cao cho cộng đồng doanh nghiệp Việt Nam.

Ứng dụng thực tế và triển khai

Kịch bản sử dụng thực tế (Real-World Use Cases)

  • Tích hợp DevSecOps trong quy trình phát triển Agile: Tự động kích hoạt WebSentry quét định kỳ các Staging Endpoint mỗi khi có Pull Request mới, ngăn chặn lỗ hổng bảo mật lọt vào môi trường Production.
  • Đánh giá an ninh nội bộ định kỳ cho doanh nghiệp vừa và nhỏ (SMEs): Giúp các quản trị viên hệ thống chủ động rà quét website công ty mà không phải tốn ngân sách hàng ngàn USD cho các phần mềm thương mại đắt đỏ.
  • Môi trường đào tạo thực hành An ninh mạng: Sử dụng trong các phòng thí nghiệm đại học để minh họa trực quan quá trình Fuzzing, bóc tách gói tin HTTP và phân tích lỗ hổng.

Hướng dẫn cài đặt và triển khai

Hệ thống yêu cầu máy chủ chạy hệ điều hành Linux (Ubuntu 20.04/22.04 LTS) hoặc macOS, cấu hình tối thiểu 2 vCPU, 4GB RAM và Python 3.10+.

# 1. Clone repository mã nguồn WebSentry
git clone https://github.com/websentry-team/websentry-scanner.git
cd websentry-scanner

# 2. Khởi tạo môi trường ảo Python và cài đặt các thư viện phụ thuộc
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

# 3. Khởi động API Gateway máy chủ quét
uvicorn api_gateway:app --host 0.0.0.0 --port 8000 --reload

# 4. Thực thi quét tự động thông qua giao diện dòng lệnh CLI hoặc Postman API
python main.py --target http://testphp.vulnweb.com --template ./templates/sqli/ --threads 20 --output results.json

Hạn chế và hướng phát triển

Mặc dù đạt được hiệu năng vượt trội trong các kịch bản kiểm thử lỗ hổng xác thực đầu vào, đề tài vẫn tồn tại một số hạn chế kỹ thuật:

  • Xử lý Anti-CSRF Token và Stateful Session: Hệ thống chưa có cơ chế tự động trích xuất token chống giả mạo CSRF động trong từng form dữ liệu thời gian thực, dẫn đến một số form POST có bảo vệ nghiêm ngặt bị bỏ qua.
  • Phụ thuộc vào DOM Headless: Việc phát hiện DOM-based XSS hiện tại mới dừng ở mức phân tích tĩnh mã JavaScript trong phản hồi HTML, chưa tích hợp trình duyệt không giao diện (Headless Chromium) để thực thi toàn diện cây DOM.
  • Khả năng vượt tường lửa ứng dụng web (WAF Evasion): Các payload kiểm thử hiện tại chủ yếu là chuẩn hóa, chưa tích hợp AI/ML để tự động biến dị (Payload Mutation) vượt qua các WAF thế hệ mới như Cloudflare hay AWS WAF.

Hướng phát triển tiếp theo:

  1. Tích hợp engine Headless Browser (Playwright / Puppeteer) nhằm nâng cao độ chính xác phát hiện DOM XSS lên 100%.
  2. Xây dựng module Machine Learning phân loại phản hồi bất thường (Anomaly Detection) để tối ưu hóa thời gian quét Blind Injection.
  3. Hoàn thiện Dashboard giao diện Web tương tác trực quan với biểu đồ phân loại rủi ro theo thang điểm CVSS v3.1.

Đối tượng hưởng lợi

  • Sinh viên & Giảng viên ngành An ninh thông tin / CNTT: Nắm vững tài liệu lý thuyết, kiến trúc thực tế của một DAST scanner hoàn chỉnh, làm tư liệu nghiên cứu và thực hành chuyên sâu.
  • Lập trình viên & Kỹ sư QA/DevOps: Nắm được các pattern mã nguồn độc hại, sử dụng công cụ để kiểm tra an ninh code định kỳ trước khi đẩy lên máy chủ chính thức, rút ngắn 80% thời gian phát hiện lỗi.
  • Doanh nghiệp & Đội ngũ An toàn thông tin doanh nghiệp: Tiết kiệm 100% chi phí bản quyền công cụ DAST ban đầu, tối ưu hóa quy trình kiểm toán bảo mật nội bộ và giảm thiểu nguy cơ rò rỉ dữ liệu khách hàng.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và môi trường để triển khai WebSentry là gì?

WebSentry được tối ưu hóa cao, có thể chạy mượt mà trên môi trường máy chủ Linux/macOS với cấu hình tối thiểu 2 vCPU, 4GB RAM và Python 3.10 trở lên. Hệ thống hỗ trợ đóng gói Docker container giúp triển khai nhanh trong vòng dưới 3 phút.

2. WebSentry có thể mở rộng (Scale) để quét hàng ngàn URL cùng lúc không?

Hoàn toàn có thể. Nhờ kiến trúc API Gateway tách rời, WebSentry có thể kết hợp với kiến trúc hàng đợi tác vụ phân tán (như Celery kết hợp Redis/RabbitMQ) để phân phối việc thực thi kịch bản quét ra nhiều nút worker (Worker Nodes) chạy song song trên cụm máy chủ.

3. Công cụ có gây ảnh hưởng làm hỏng hoặc xóa dữ liệu cơ sở dữ liệu khi quét không?

Không. Bộ kịch bản mẫu (YAML Templates) của WebSentry được thiết kế tuân thủ nguyên tắc Non-destructive testing. Các payload SQLi chỉ sử dụng các truy vấn đọc (SELECT, UNION SELECT, SLEEP, AND 1=1), hoàn toàn không sử dụng các lệnh sửa đổi hay phá hủy cấu trúc như DROP, DELETE, UPDATE.

4. Làm thế nào để thêm một kịch bản kiểm thử lỗ hổng mới vào hệ thống?

Người dùng chỉ cần tạo một tệp tin .yaml mới trong thư mục /templates theo đúng quy chuẩn định nghĩa của WebSentry (gồm thông tin metadata, HTTP method, đường dẫn, danh sách payload và matcher regex). Hệ thống sẽ tự động nạp template mới mà không cần khởi động lại dịch vụ.

5. So sánh chi phí và hiệu quả đầu tư (ROI) của WebSentry so với công cụ thương mại?

WebSentry hoàn toàn miễn phí, mã nguồn mở, giúp doanh nghiệp tiết kiệm từ $400 đến hơn $4,500 mỗi năm cho mỗi vị trí kỹ sư bảo mật. Tốc độ kiểm thử tự động của công cụ giảm thiểu hơn 70% số giờ làm việc thủ công của pentester, mang lại chỉ số hoàn vốn đầu tư (ROI) vượt trội cho các dự án phần mềm.

Kết luận

Đề tài tốt nghiệp "Xây dựng công cụ quét và phát hiện lỗ hổng bảo mật trong ứng dụng web" (WebSentry) của sinh viên Trần Quốc Siêu và Võ Huỳnh Anh Nhật, dưới sự hướng dẫn của ThS. Nguyễn Thị Thanh Vân tại Trường Đại học Sư phạm Kỹ thuật TP.HCM, đã hoàn thành xuất sắc các mục tiêu đề ra. Dự án không chỉ hệ thống hóa đầy đủ cơ sở lý thuyết về an ninh ứng dụng web mà còn hiện thực hóa thành công một sản phẩm phần mềm DAST hoàn chỉnh, sở hữu kiến trúc API Gateway hiện đại, cơ chế YAML Template Engine linh hoạt và khả năng xử lý đa luồng tốc độ cao.

Với tỷ lệ phát hiện lỗi đạt 94.1% và tốc độ quét nhanh hơn gấp 3 lần so với giải pháp công nghiệp Burp Suite Active Scan trên các hệ thống thực nghiệm chuẩn, WebSentry khẳng định tính khả thi, độ tin cậy và giá trị ứng dụng thực tế to lớn trong việc nâng cao năng lực tự động hóa an ninh cho các doanh nghiệp và tổ chức công nghệ hiện đại.