Tài liệu Báo cáo web application analysis

TRƯỜNG ĐẠI HỌC SƯ PHẠM KỸ THUẬT TP. HCM KHOA KINH TẾ  MÔN HỌC: BẢO MẬT THƯƠNG MẠI ĐIỆN TỬ BÁO CÁO WEB APPLICATION ANALYSIS GVHD: Nguyễn Phan Anh Huy SVTH: Thân Lưu Luyến 17126033 Phan Thị Quỳnh Trang 17126067 Trương Thùy Quyên 17126051 Trần Long Phi 17126048 Hà Hữu Khương 16126029 Lớp thứ 2 – Tiết 7,8,9 Tp. Hồ Chí Minh, tháng 12 năm 2019 1 BẢNG PHÂN CÔNG NHIỆM VỤ ST T 1 Nhiệm vụ Thực hiện Kết quả Phụ trách mở đầu, kết luận, chương 2. Thân Lưu Luyến Hoàn thành 2 Phụ trách chương 1, chỉnh sửa. Phan Thị Quỳnh Trang Hoàn thành 3 Phụ trách chương 1. Trương Thùy Quyên Hoàn thành 4 Phụ trách chương 3. Trần Long Phi Hoàn thành 5 Phụ trách chương 3. Hà Hữu Khương Hoàn thành 2 ĐIỂM: ……. NHẬN XÉT: …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… …………………………………………………………………………………… ………………………………………………………………………………….... GV CHẤM ĐIỂM NGUYỄN PHAN ANH HUY 3 MỤC LỤC Mở đầu........................................................................................................................... 4 1. Lý do chọn đề tài.................................................................................................4 2. Mục tiêu nghiên cứu............................................................................................4 2.1. Phương pháp nghiên cứu...............................................................................4 2.2. Bố cục...........................................................................................................4 CHƯƠNG I. TÌM HIỂU VỀ BẢO MẬT MẠNG VÀ BẢO MẬT THƯƠNG MẠI ĐIỆN TỬ TRONG NHỮNG NĂM GẦN ĐÂY............................................................5 1.1. Tình hình bảo mật mạng trong những năm gần đây.........................................5 1.1.1. Khái niệm về bảo mật mạng:.....................................................................5 1.1.2. Những mối đe dọa hàng đầu đối với bảo mật mạng:..................................5 1.2. Tình hình bảo mật thương mại điện tử trong những năm gần đây....................9 1.2.1. Vấn đề về bảo mật sự riêng tư.................................................................10 1.2.2. Một số mối đe dọa đối với bảo mật thương mại điện tử hàng đầu...........10 1.3. Giải pháp cho bảo mật mạng nói chung và bảo mật thương mại điện tử nói riêng ………………………………………………………………………………..12 1.3.1. Nguyên lý thiết kế hệ thống bảo mật:......................................................12 1.3.2. Các giải pháp đảm bảo an ninh mạng......................................................12 CHƯƠNG II. DVWA (DAMN VULNERABLE WEB APPLICATION)...................21 2.1. Giới thiệu...........................................................................................................21 2.2. Môi trường cài đặt.............................................................................................21 2.3. Các lỗ hỗng trong DVWA.................................................................................22 2.4. Các mức độ bảo mật trong DVWA....................................................................23 CHƯƠNG III. TÌM HIỂU VỀ WEB APPLICATION ANALYSIS............................24 3.1. Khái niệm..........................................................................................................24 3.2. Cách hoạt động của web application.................................................................24 3.3. Lợi ích của Web application..............................................................................24 3.4. Các công cụ trong web application analysis......................................................25 3.4.1. Burp suite....................................................................................................25 3.4.2. Commix.......................................................................................................36 3.4.3. Httrack.........................................................................................................48 3.4.4. Paros............................................................................................................ 52 4 3.4.5. Skipfish.......................................................................................................53 3.4.6. Owasp-zap...................................................................................................54 3.4.7. Sqlmap........................................................................................................58 3.4.8. Webscarab...................................................................................................60 3.4.9. Wpscan........................................................................................................60 KẾT LUẬN.................................................................................................................61 TÀI LIỆU THAM KHẢO...........................................................................................62 5 Mở đầu 1. Lý do chọn đề tài Mạng (Internet) ngày càng phổ biến và quan trọng trong đời sống của con người, ngày càng có nhiều ứng dụng, hình thức kinh doanh và các hoạt động như quản lý tài chính, kinh doanh, giáo dục… dựa trên nền tảng này ra đời và phát triển. Điển hình trong đó là hình thức kinh doanh online (thương mại điện tử) ngày càng có vị thế trong thói quen sử dụng của con người. Và người dùng thường cung cấp những thông tin riêng tư thậm chí cơ mật cho những ứng dụng hay các trang web này như: số điện thoại, địa chỉ nhà, số tài khoản…Vì thế tấn công mạng nói chung và tấn công các trang web nói riêng ngày càng nhiều và tạo nên sự hoang mang, lo sợ trong lòng người sử dụng cũng như thiệt hại đến với các nhà kinh doanh trên nền tảng Internet này. Cho nên, nhóm đã lựa chọn đề tài nghiên cứu và báo cáo về “Tình hình bảo mật mạng và bảo mật thương mại điện tử trong những năm gần đây. Tìm hiểu về Web Application Analysis (Kali Linux)” nhằm cung cấp những thông tin về bảo mật mạng và TMĐT, đồng thời bổ sung kiến thức về các công cụ dùng để bảo mật trang web để người dùng có thể phòng tránh những lỗi logic trong quá trình tạo web. 2. Mục tiêu nghiên cứu Bài báo cáo này sẽ dựa trên các thông tin về bảo mật mạng và bảo mật TMĐT để tìm ra các biện pháp bảo vệ những vụ tấn công của hacker. Đồng thời tìm hiểu các công cụ trong Web Application Analysis để phát hiện, dò tìm các lỗ hổng trong một trang web mà hacker hay sử dụng lỗ hổng đó để tấn công. 2.1. Phương pháp nghiên cứu Trong bài báo cáo này, nhóm chúng em sẽ dùng các phương pháp nghiên cứu thực tiễn kết hợp nghiên cứu tài liệu đối với bảo mật mạng và bảo mật thương mại điện tử để tìm hiểu các nguy cơ, mối đe dọa và đưa ra các biện pháp ngăn chặn. Đối với Web Application Analysis, nhóm sử dụng phương pháp thực nghiệm và tiến hành thực thi các công cụ trong Web Application Analysis. 2.2. Bố cục Bài báo cáo tập trung giải quyết các vấn đề sau: 1. Tìm hiểu về bảo mật mạng và bảo mật điện tử trong những năm gần đây 2. Giới thiệu về DVWA (Damn Vulnerable Web Application) 3. Tìm hiểu về Web Application Analysis 6 CHƯƠNG I. TÌM HIỂU VỀ BẢO MẬT MẠNG VÀ BẢO MẬT THƯƠNG MẠI ĐIỆN TỬ TRONG NHỮNG NĂM GẦN ĐÂY 1.1. Tình hình bảo mật mạng trong những năm gần đây 1.1.1. Khái niệm về bảo mật mạng: Bảo mật mạng là sự bảo vệ hệ thống mạng nhằm tránh bị truy cập, sử dụng, tiết lộ, gián đoạn sửa đổi hoặc phá hoại trái phép nhằm đảm bảo tính toàn vẹn, tính bảo mật của thông tin tổ chức, doanh nghiệp. Hoặc cũng có thể hiểu đơn giản quá trình thực hiện các biện pháp phòng chống những lỗ hổng về bảo mật hoặc virus có trong các phần mềm, ứng dụng, website, server, dữ liệu,… nhằm bảo vệ cơ sở hạ tầng mạng. 1.1.2. Những mối đe dọa hàng đầu đối với bảo mật mạng: Công ty nghiên cứu và tư vấn doanh nghiệp Gartner (Mỹ) dự báo rằng, chi phí cho an toàn thông tin trên toàn thế giới sẽ vượt quá 124 tỷ USD vào năm 2019. Việc hiểu được hiện trạng an toàn mạng là điều quan trọng để bảo vệ tổ chức, doanh nghiệp khỏi sự phát triển liên tục của các cuộc tấn công mạng. Các chuyên gia an toàn mạng của công ty giải pháp an toàn mạng Infradata (trụ sở chính tại Hà Lan) đã đưa ra 5 nguy cơ đe dọa an toàn mạng hàng đầu năm 2019. 1.1.2.1. Tấn công chuỗi cung ứng khi cập nhật phần mềm: Nhiều ngành công nghiệp đã chứng kiến sự gia tăng các vụ tấn công chuỗi cung ứng trong năm 2017 và 2018. Trong năm 2017, hãng bảo mật Symantec đã quan sát được số lượng tấn công tăng 200% so với năm 2016. Trung bình mỗi tháng trong năm 2017 xảy ra 01 cuộc tấn công chuỗi cung ứng, so với 04 cuộc tấn công mỗi năm trong những năm trước. Tấn công chuỗi cung ứng khi cập nhật phần mềm là mối đe dọa mạng đang bắt đầu nổi lên, bởi số lượng lây nhiễm mã độc khi cập nhật phần mềm có thể phát triển nhanh chóng và không dễ được phát hiện. Những kẻ tấn công thường nhắm mục tiêu vào các khu vực hoặc lĩnh vực cụ thể, ví dụ như các cuộc tấn công mã độc Petya/NotPetya. 7 Kiểu tấn công này được thực hiện bằng cách cài mã độc vào gói phần mềm hợp pháp tại vị trí phân phối thông thường của nó, có thể xảy ra trong quá trình sản xuất của nhà cung cấp phần mềm, tại vị trí lưu trữ của bên thứ ba hoặc thông qua chuyển hướng dữ liệu. Trong nhiều năm, Diễn đàn An toàn thông tin (Information Security Forum – ISF) đã đưa ra cảnh báo về lỗ hổng trong chuỗi cung ứng. Các thông tin có giá trị và nhạy cảm thường được chia sẻ với các nhà cung cấp. Khi các thông tin đó được chia sẻ, thì sẽ mất sự kiểm soát trực tiếp, dẫn đến việc tăng nguy cơ xâm phạm tính bảo mật, tính toàn vẹn hoặc tính sẵn sàng của thông tin. Năm 2019, các tổ chức sẽ cần tập trung vào những điểm yếu nhất trong chuỗi cung ứng cập nhật phần mềm của họ. Không phải mọi xâm phạm an toàn đều có thể được ngăn chặn trước, nhưng các nhà cung cấp và chuyên gia an toàn mạng cần phải chủ động. Áp dụng các quy trình mạnh mẽ, có thể mở rộng và lặp lại để có sự đảm bảo an toàn phù hợp với các rủi ro mà tổ chức đang đối mặt. Các tổ chức phải áp dụng giải pháp quản lý rủi ro thông tin chuỗi cung ứng hiện có trong quy trình quản lý nhà cung cấp và mua sắm thiết bị. Việc phòng tránh các cuộc tấn công chuỗi cung ứng khi cập nhật phần mềm là một công việc khó khăn. Tuy nhiên, thực hiện các bước sau sẽ giúp hạn chế các cuộc tấn công: - Một là, Kiểm tra các bản cập nhật mới, kể cả những phiên bản hợp pháp, trong môi trường thử nghiệm nhỏ hoặc trên sandbox để phát hiện các hành vi đáng ngờ. - Hai là, Giám sát hành vi và hoạt động trên một hệ thống giúp xác định các hành vi không mong muốn và cho phép ngăn chặn một ứng dụng đáng ngờ trước khi thiệt hại xảy ra. - Ba là, Phát hiện các thay đổi không mong muốn trong quy trình cập nhật phần mềm bằng cách luôn theo dõi trang web của nhà sản xuất gói phần mềm. 1.1.2.2. Tấn công lừa đảo: Hệ thống chống tấn công lừa đảo của Kaspersky đã được kích hoạt 246.231.645 lần trong năm 2017, hơn 91 triệu lần so với năm 2016. Với 76% doanh nghiệp báo cáo đã từng là nạn nhân của tấn công lừa đảo trong năm 2018, thì không đáng ngạc nhiên 8 khi nhiều nhà quản lý CNTT ghi nhận các cuộc tấn công lừa đảo là mối đe dọa an toàn mạng lớn nhất hiện nay của họ. Tấn công lừa đảo là một loại tấn công kỹ nghệ xã hội được thiết kế để đánh cắp thông tin đăng nhập của người dùng, thông tin thẻ tín dụng và các loại thông tin cá nhân, kinh doanh hoặc tài chính khác. Những cuộc tấn công này có thể đến từ một nguồn trông có vẻ đáng tin cậy, như mạo danh các trang web, tổ chức ngân hàng phổ biến và đáng tin, hoặc từ các liên hệ cá nhân, nên các cuộc tấn công này ngày càng trở nên tiên tiến hơn và hiệu quả hơn. Việc nhập thông tin đăng nhập, nhấp vào liên kết hoặc trả lời email lừa đảo với nội dung chứa các chi tiết tài chính, thông tin sẽ được gửi trực tiếp đến nguồn độc hại. Phòng tránh những cuộc tấn công này là một thách thức lớn. Nâng cao nhận thức bằng việc triển khai các chương trình nhận thức không gian mạng là một phương thức để giảm thiểu nguy cơ trở thành nạn nhân của các cuộc tấn công lừa đảo. Bên cạnh đó, triển khai đánh giá nhận thức về các mối đe dọa không gian mạng có thể là một bước khởi điểm tốt, nhằm tìm hiểu được mức độ cảnh giác của người dùng đối với các thủ đoạn tấn công lừa đảo. 1.1.2.3. Mã độc tống tiền Theo Gartner, mã độc tống tiền là một trong những mối đe dọa lớn nhất ảnh hưởng đến các doanh nghiệp trong hai năm qua. Nó khai thác các lỗ hổng cơ bản bao gồm thiếu phân đoạn mạng và thiếu sao lưu. Với trung bình khoảng 4.000 cuộc tấn công mã độc tống tiền xảy ra mỗi ngày và ước tính rằng vào cuối năm 2019, cứ mỗi 14 giây sẽ có một cuộc tấn công mã độc tống tiền vào các doanh nghiệp, thì việc xây dựng phòng thủ chống lại mã độc tống tiền là ưu tiên hàng đầu. Mã độc tống tiền có khả năng làm mất dữ liệu của công ty vĩnh viễn, vì có thể lây nhiễm đến các dữ liệu mã hóa và các hệ thống cơ sở dữ liệu được bảo vệ, cũng như xóa hoặc làm hỏng các tập tin, trừ khi nạn nhân trả tiền chuộc. Để chống lại loại phần mềm độc hại này, cần đào tạo, huấn luyện nhân viên, kết hợp với việc sử dụng các giải pháp bảo vệ điểm cuối hiện đại. Thay vì sử dụng các hệ thống chống virus truyền thống, có thể sử dụng giải pháp bảo vệ điểm cuối dựa trên 9 điện toán đám mây. Các tổ chức cần đưa ra các chiến lược phục hồi, khôi phục sau khi bị tấn công mã độc tống tiền và lưu trữ dữ liệu tại nhiều nơi. 1.1.2.4. Tấn công có chủ đích APT Tấn công có chủ đích APT là chiến dịch tấn công mà tin tặc sử dụng những kỹ thuật nâng cao nhắm vào mục tiêu cụ thể. Các mục tiêu thường được lựa chọn là các tổ chức doanh nghiệp lớn, cơ quan an ninh, chính phủ. Mã độc có thể tồn tại trong mạng trong một khoảng thời gian nhất định, đánh cắp các loại thông tin nhạy cảm khác nhau như thông tin tài chính, thông tin đăng nhập, các sáng chế và các thông tin tối mật, quan trọng của tổ chức. Tấn công APT thâm nhập thông qua tệp, email, mạng hoặc lỗ hổng ứng dụng, sau đó chèn mã độc vào mạng của tổ chức. Mạng đó được coi là bị xâm phạm, nhưng chưa bị vi phạm vì chưa được phát hiện. Bằng cách lấy cắp thông tin đăng nhập, tấn công APT có thể lây nhiễm các phần sâu hơn của mạng hoặc hệ thống, xâm phạm đến dữ liệu và có thể lây nhiễm sang các mạng được kết nối với nhau. Các bằng chứng của tấn công APT có thể được xóa bỏ bởi tin tặc, trong khi đó mạng vẫn đang bị xâm phạm. Tin tặc có thể quay lại mạng bất cứ lúc nào để tiếp tục xâm phạm dữ liệu. Mặc dù loại tấn công này rất khó phát hiện, nhưng các hệ thống phòng chống tấn công APT và phân đoạn mạng thông minh có thể giúp khám phá hành vi hoặc hoạt động bất thường trong mạng. Các biện pháp an toàn mạng truyền thống như phòng thủ chuyên sâu, tường lửa và chống virus không thể bảo vệ chống lại tấn công APT, khiến các tổ chức dễ bị vi phạm dữ liệu. 1.1.2.5. Tấn công botnet IoT từ chối dịch vụ phân tán (DDoS) Mạng của các thiết bị IoT bị xâm phạm có thể được điều khiển từ xa và được sử dụng để khởi chạy các cuộc tấn công trên quy mô lớn, có thể bao gồm hàng triệu thiết bị và máy tính, tạo ra các mạng botnet vô cùng mạnh mẽ. Loại tấn công này trở nên phổ biến bởi tấn công botnet Mirai. Các botnet được điều khiển bởi các mạng C&C. Tin tặc điều khiển các mạng C&C này, từ đó có thể lợi dụng để khởi chạy các cuộc tấn công DDoS. 10 Với việc sử dụng thiết bị IoT đang gia tăng nhanh chóng trong thế giới kết nối ngày nay, mối đe dọa tấn công DDoS của botnet cũng tăng lên như vậy. Do nhiều thiết bị IoT thiếu các biện pháp bảo mật tích hợp, nên chúng đang được “tuyển mộ” vào các mạng botnet và được sử dụng để khởi chạy các cuộc tấn công DDoS. Với botnet Mirai vẫn còn tương đối mới, thì cần đáng lưu ý là một số mạng botnet phụ vẫn đang hoạt động. Tin tặc đang bắt đầu khởi động các cuộc tấn công botnet DDoS tương tự, lợi dụng các thiết bị IoT được bảo mật kém. Với ngày càng nhiều các thiết bị IoT, thế hệ tấn công botnet DDoS mới này dự báo số lượng các mối đe dọa và tiềm năng gây thiệt hại của chúng sẽ tăng lên trong năm 2019. Đó là lý do tại sao việc giảm thiểu lưu lượng truy cập lớn bằng các giải pháp phòng chống DDoS được coi là một ưu tiên chính để bảo đảm an toàn mạng trong những năm tới 1.2. Tình hình bảo mật thương mại điện tử trong những năm gần đây Các nhà bán lẻ không thể thành công chỉ với một mô hình chính thống và phải nắm lấy phương pháp omnichannel (mô hình bán đa kênh) để thúc đẩy tăng trưởng và doanh thu đồng thời cải thiện sự tham gia của khách hàng. Trong một cuộc đua để trở thành một cửa hàng tiện lợi và dễ tiếp cận nhất, các nhà bán lẻ trực tuyến đã phát triển nhiều con đường để người tiêu dùng mua sắm trực tuyến. Thông qua các trang web, phương tiện truyền thông xã hội và ứng dụng điện thoại, người tiêu dùng có thể mua hàng trực tuyến mọi lúc mọi nơi trở nên dễ dàng hơn bao giờ hết. Tuy nhiên, việc cung cấp cho khách hàng nhiều cách hơn để tương tác với doanh nghiệp của bạn cũng có nghĩa là nhiều cơ hội hơn cho các tác nhân đe dọa để khai thác các quy trình và thủ tục tại chỗ. Từ đó các nhà bán lẻ trực tuyến là mục tiêu sinh lợi cho các cuộc tấn công mạng. Nghiên cứu cho thấy, năm 2018, tội phạm bán lẻ kiếm được 777.877 đô la cho mỗi 1 tỷ đô la doanh thu. Báo cáo bảo mật TrustwaveGlobal năm 2019 cho thấy tỷ lệ lớn nhất trong các sự cố mạng năm ngoái liên quan đến ngành bán lẻ. Các tác nhân đe dọa đang tấn công từ mọi phía, từ Thương mại điện tử nền tảng cho tài khoản khách hàng. Ngoài ra, có một sự thay đổi đáng chú ý khỏi các cuộc tấn công thông qua các máy 11 ATM và hệ thống điểm bán hàng (PoS), hướng tới các cuộc tấn công chống lại các ứng dụng thương mại điện tử. Những cuộc tấn công có thể dẫn đến việc đánh cắp tài sản trí tuệ hoặc dữ liệu tài chính và dữ liệu của khách hàng từ đó gây tổn thất cả về tài chính lẫn tổn hại danh tiếng của thương hiệu. Dưới đây là những vấn đề về bảo mật mà ngành thương mại điện tử đang gặp phải nhiều nhất: 1.2.1. Vấn đề về bảo mật sự riêng tư Sự riêng tư bị xâm phạm là một trong những vấn đề phức tạp nhất mà các doanh nghiệp thương mại điện tử phải đối mặt. Nếu không bảo mật quyền riêng tư tốt cho khách hàng, các hacker có thể thu thập thông tin website, dữ liệu nhân viên, khách hàng và lấy trộm. Và gần đây nhất vào cuối tháng 3 năm 2017, một số vụ đánh cắp tài khoản của khách hàng đã diễn ra khi các hacker mạo danh là bên thứ 3 và mua hàng tại website thương mại điện tử Amazon, hoặc trường hợp tương tự của Ebay. Hiện tại, bất kỳ rủi ro nào cũng có thể xảy ra dưới hình thức giao dịch thương mại điện tử nằm trong tay nhà cung cấp. Ví dụ: PayPal, Amazon, tiki, lazada hoặc các công ty thẻ tín dụng. Có một thực tế rằng, người tiêu dùng trực tuyến đều biết rằng nhiều trang web đang thu thập và lưu trữ thông tin cá nhân của họ. Đôi khi họ sợ hãi vì nếu dữ liệu cá nhân của họ bị rơi vào tay kẻ xấu, họ có thể bị mạo danh và có thể bị mất tiền trong giao dịch, mất tiền trong thẻ ngân hàng, thẻ tín dụng. 1.2.2. Một số mối đe dọa đối với bảo mật thương mại điện tử hàng đầu Thương mại điện tử xuất hiện và tồn tại nhờ vào mạng, Internet cho nên những mối đe dọa về bảo mật mạng cũng chính là mối đe dọa đến bảo mật thương mại điện tử, và nổi bật nhất là tấn công từ chối dịch vụ phân tán (DDoS) và tấn công lừa đảo (Phishing). 1.2.2.1. Tấn công từ chối dịch vụ phân tán (DDoS): Các cuộc tấn công (DoS) là một vấn đề nghiêm trọng mà các doanh nghiệp, tổ chức, ngành TMĐT đã và đang phải đối mặt hàng ngày. Nạn nhân của các vụ tấn công 12 này là nhằm vào những đối tượng trên mà SecurityBox vừa nói ngay trên. Chúng chỉ nhằm vào những tổ chức lớn có nhiều tiền. Khi bị tấn công DoS, hàng loạt các yêu cầu về giao dịch, dịch vụ đều bị từ chối, Và trong thời gian ngắn, mạng trở nên chậm đến ” nghẹt thở” và người dùng khó lòng có thể truy cập vào website đó hoặc khó tiếp tục giao dịch tiếp. 1.2.2.2. Tấn công lừa đảo (Phishing): Phishing là hình thức lừa đảo mà hacker thiết lập một trang web giống như một bản sao của trang web thương mại điện tử, website gốc và sau đó ăn cắp dữ liệu bí mật từ cá nhân hoặc tổ chức. Một khi các thông tin xác thực cá nhân của nạn nhân được xác thực khi người dùng gõ vào, hacker có thể sử dụng thông tin này để lấy cắp danh tính của họ. Hacker có thể truy cập thông qua các lỗ hổng bảo mật trong các giao diện quản lý từ xa của trang web. Khi website đã bị tấn công, hacker sẽ thay đổi website làm cho trang web không thể sử dụng được sau đó. Qua nhiều năm, hình thức tấn công phishing lừa đảo này đã ảnh hưởng tiêu cực đến sự tin tưởng và mối quan hệ giữa khách hàng và nhà cung cấp trực tuyến. Trong tương lai, ngành công nghiệp liên quan đến thương mại điện tử đang phải đối mặt với thách thức khó lường về các vấn đề bảo mật thương mại điện tử, an toàn thông tin. Các tội phạm cyber đang trở nên ngày càng có tay nghề cao trong những vụ lừa đảo và bất kỳ lúc nào sự tấn công đều có thể xảy ra. Các doanh nghiệp trực tuyến phải thực hiện những chính sách bảo mật cùng với các quy trình mã hoá và xác thực mạnh mẽ để có thể đứng vững trước những sự cố về bảo mật, an ninh mạng. Bên cạnh đó, doanh nghiệp, công ty TMĐT cần sử dụng dịch vụ an ninh mạng, dịch vụ bảo mật thường xuyên để bảo vệ toàn diện cho website của mình. Đó là 3 thách thức hiện tại của ngành TMĐT và các tổ chức, doanh nghiệp. Chúng ta rất khó nói trước được trong tương lai các lỗ hổng, các vấn đề bảo mật trong thương mại điện tử (TMĐT) sẽ như thế nào. 13 Từ đó ta có thể thấy được cách bảo vệ tốt nhất trang thương mại điện tử vẫn là nâng cao bảo mật và cảnh giác với những cách tấn công 1.3. Giải pháp cho bảo mật mạng nói chung và bảo mật thương mại điện tử nói riêng 1.3.1. Nguyên lý thiết kế hệ thống bảo mật: An ninh mạng phải được thiết lập dựa trên các nguyên tắc sau: Bảo vệ có chiều sâu (defense in depth): Hệ thống phải được bảo vệ theo chiều sâu, phân thành nhiều tầng và tách thành nhiều lớp khác nhau. Mỗi tầng và lớp đó sẽ được thực hiện các chính sách bảo mật hay ngăn chặn khác nhau. Mặt khác cũng là để phòng ngừa khi một tầng hay một lớp nào đó bị xâm nhập thì xâm nhập trái phép đó chỉ bó hẹp trong tầng hoặc lớp đó thôi và không thể ảnh hưởng sang các tầng hay lớp khác. Sử dụng nhiều công nghệ khác nhau: Không nên tin cậy vào chỉ một công nghệ hay sản phẩm công nghệ bảo đảm an ninh cho mạng của một hãng nào đó. Bởi nếu như sản phẩm của hãng đó bị hacker tìm ra lỗ hổng thì dễ dàng các sản phẩm tương tự của hãng đó trong mạng cũng sẽ bị xuyên qua và việc phân tầng, phân lớp trong chính sách phòng vệ là vô nghĩa. Vì vậy khi tiến hành phân tầng, tách lớp, nên sử dụng nhiều sản phẩm công nghệ của nhiều hãng khác nhau để hạn chế nhược điểm trên. Đồng thời sử dụng nhiều cộng nghệ và giải pháp bảo mật kết hợp để tăng cường sức mạnh hệ thống phòng vệ như phối hợp Firewall làm công cụ ngăn chặn trực tiếp, IDS làm công cụ “đánh hơi”, phản ứng phòng vệ chủ động, Anti-virus để lọc virus…v.v Các tiêu chuẩn đáp ứng: Các sản phẩm bảo mật phải đáp ứng một số chứng nhận tiêu chuẩn như Common Criteria, ISO/IEC 15408:2005 và ISO/IEC 18405:2005 EAL4, ICSA Firewall và VPN, FIPS-140… 1.3.2. Các giải pháp đảm bảo an ninh mạng 1.3.2.1. Công nghệ tường lửa (Firewall): Hệ thống tường lửa là hệ thống kiểm soát truy nhập giữa mạng Internet và mạng nội bộ. Tường lửa có 2 loại: phần cứng và phần mềm. Phần cứng có hiệu năng ổn định, không phụ thuộc vào hệ điều hành, virus, mã độc, ngăn chặn tốt giao thức ở tầng mạng trong mô hình tham chiếu TCP/IP. 14 Phần mềm rất linh hoạt trong những cấu hình ở giao thức tầng ứng dụng trong mô hình TCP/IP. Ví dụ, tường lửa tầng thứ nhất (thường là phần cứng) đã loại bỏ hầu hết các kiểu tấn công trực diện vào hệ thống máy chủ web, máy chủ mail như kiểu tấn công phân tán (DDOS), tức hacker dùng các công cụ tạo các yêu cầu truy xuất tới máy chủ từ nhiều máy tính khác trên mạng với tần suất cao để nhằm làm cho máy chủ quá tải và dẫn tới ngừng phục vụ. Nhưng hacker cũng không dừng tại đó, chúng có thể vượt qua hệ thống tường lửal tầng thứ nhất với những gói tin hợp lệ để vào hệ thống mạng LAN. Bằng các giao thức tầng ứng dụng chúng có thể lại đạt được mục đích. Chính vì thế triển khai hệ thống tường lửa phần mềm sẽ hỗ trợ và làm gia tăng tính bảo mật cho toàn mạng. Trong trường hợp, một hệ thống tường lửa gặp sự cố thì hệ thống còn lại vẫn kiểm soát được. Ví dụ giải pháp thiết kế hệ thống tường lửa thường đa tầng, nó bao gồm ít nhất 2 tầng chính sau: tường lửa trước và tường lửa sau: 15 1.3.2.2. Công nghệ phát hiện và ngăn chặn xăm nhập mạng IDS/IPS Một, Hệ thống phát hiện xâm nhập (Intrusion Detect System – IDS): Hệ thống phát hiện xâm nhập cung cấp thêm cho việc bảo vệ thông tin mạng ở mức độ cao hơn. IDS cung cấp thông tin về các cuộc tấn công vào hệ thống mạng. Tuy nhiên IDS không tự động cấm hoặc là ngăn chặn các cuộc tấn công. Hai, hệ thống ngăn chặn xâm nhập (Intrusion Prevent System – IPS): Giải pháp ngăn ngừa xâm nhập nhằm mục đích bảo vệ tài nguyên, dữ liệu và mạng. Chúng sẽ làm giảm bớt những mối đe dọa tấn công bằng việc loại bỏ lưu lượng mạng bất hợp pháp, trong khi vẫn cho phép các hoạt động hợp pháp được tiếp tục. IPS ngăn chặn các cuộc tấn công dưới những dạng sau: - Ứng dụng không mong muốn và tấn công kiểu “Trojan horse” nhằm vào mạng và ứng dụng cá nhân, qua việc sử dụng các nguyên tắc xác định và danh sách kiểm soát truy nhập. - Các tấn công từ chối dịch vụ như “lụt” các gói tin SYN và ICMP bởi việc dùng các thuật toán dựa trên cơ sở “ngưỡng”. - Sự lạm dụng các ứng dụng và giao thức qua việc sử dụng những qui tắc giao thức ứng dụng và chữ kí. - Những tấn công quá tải hay lạm dụng ứng dụng bằng việc sử dụng giới hạn tài nguyên dựa trên cơ sở ngưỡng. Thành phần trong IPS: - Modul phân tích gói: Nhiệm vụ phân tích cấu trúc thông tin trong các gói tin. Card giao tiếp mạng (NIC) của máy giám sát được đặt ở chế độ không phân loại, các gói tin qua chúng đều được sao chép và chuyển lên lớp trên. - Modul phát hiện tấn công: Modul quan trọng nhất trong hệ thống, có khả năng phát hiện các cuộc tấn công. Có 2 phương pháp phát hiện các cuộc tấn công xâm nhập. 16 Dò tìm sự lạm dụng (Missuse Detection): Phương pháp này phân tích các hoạt động của hệ thống, tìm kiếm dựa trên các dấu hiệu tấn công, tức là các sự kiện giống các mẫu tấn công đã biết. Ưu điểm: phát hiện các cuộc tấn công nhanh và chính xác, không đưa ra các cảnh báo sai làm giảm khả năng hoạt động của mạng, giúp người quản trị xác định các lỗ hổng bảo mật trong hệ thống của mình. Nhược điểm: Không phát hiện được các tấn công không có trong mẫu, các tấn công mới. Do đó hệ thống phải luôn cập nhật các mẫu tấn công mới. - Modul phản ứng: Khi có dấu hiệu của sự tấn công hoặc xâm nhập thì modul phát hiện tấn công sẽ gửi tín hiệu thông báo đến modul phản ứng. Khi đó, modul phản ứng sẽ kích hoạt Firewall thực hiện chức năng ngăn chặn cuộc tấn công. Tại đây nếu chỉ đưa ra các cảnh báo tới người quản trị và dừng lại ở đó thì hệ thống này được gọi là hệ thống phòng thủ bị động. - Một số kĩ thuật ngăn chặn: Chấm dứt phiên làm việc (Terminate Session): Hệ thống IPS gửi các gói tin reset thiết lập lại cuộc giao tiếp tới Client và Server. Kết quả cuộc giao tiếp sẽ được bắt đầu lại và cuộc tấn công bị ngừng lại. Nhược điểm: thời gian gửi gói tin reset là quá chậm so với cuộc tấn công; phương pháp này không hiệu quả với các giao thức hoạt động trên UDP như DNS; các gói reset phải có trường Sequence number đúng thì server mới chấp nhận: Cảnh báo tức thì (Realtime Alerting), Tạo ra bản ghi log (Log packet). Ba modul trên hoạt động tuần tự tạo nên IPS hoàn chỉnh. IPS được xem là thành công nếu chúng hội tụ được các yếu tố như thực hiện nhanh, chính xác, đưa ra các thông báo hợp lý, phân tích được toàn bộ thông lượng, ngăn chặn thành công và có chính sách quản lí mềm. Những hạn chế của IDS/IPS: So với Firewall, IDS/ IPS đã thể hiện được nhiều tính năng ưu việt. Nó không chỉ có khả năng phát hiện ra các cuộc tấn công, mà còn chống lại các cuộc tấn công này một cách hữu hiệu. Tuy vậy hệ thống này vẫn còn những hạn chế sau: 17 Các sản phẩm IPS không thể nhận biết được trạng thái tầng ứng dụng (chỉ có thể nhận biết được các dòng thông tin trên tầng mạng). Do vậy các cuộc tấn công trên tầng ứng dụng sẽ không bị phát hiện và ngăn chặn. 1.3.2.3. Công nghệ LAN ảo (VLAN) VLAN là một mạng LAN ảo. Về mặt kỹ thuật, VLAN là một miền quảng bá được tạo bởi các switch. Bình thường thì router đóng vai tạo ra miền quảng bá. VLAN là một kỹ thuật kết hợp chuyển mạch lớp 2 và định tuyến lớp 3 để giới hạn miền đụng độ và miền quảng bá. VLAN còn được sử dụng để bảo mật giữa các nhóm VLAN theo chức năng nhóm. VLAN là một nhóm các thiết bị mạng không giới hạn theo vị trí vật lý hoặc theo LAN switch mà chúng tham gia kết nối vào. VLAN là một segment mạng theo logic dựa trên chức năng, đội nhóm, hoặc ứng dụng của một tổ chức chứ không phụ thuộc vào vị trí vật lý hay kết nối vật lý trong mạng. Tất cả các trạm và server được sử dụng bởi cùng một nhóm làm việc sẽ được đặt trong cùng VLAN bất kể vị trí hay kết nối vật lý của chúng. Ưu điểm: 18 Lợi ích của VLAN là cho phép người quản trị mạng tổ chức mạng theo logic chứ không theo vật lý nữa. Nhờ đó những công việc sau thực hiện dễ dàng hơn: Có tính linh động cao: di chuyển máy trạm trong LAN dễ dàng. Thêm máy trạm vào LAN dễ dàng: Trên một switch nhiều cổng, có thể cấu hình VLAN khác nhau cho từng cổng, do đó dẽ dàng kết nối thêm các máy tính với các VLAN. Tiết kiệm băng thông của mạng: do VLAN có thể chia nhỏ LAN thành các đoạn (là một vùng quản bá). Khi một gói tin buảng bả, nó sẽ được truyền đi chỉ trong một LAN duy nhất, không truyền đi ở các VLAN khác nên giảm lưu lượng quảng bá, tiết kiệm băng thông đường truyền. Ứng dụng của VLAN: Sử dụng VLAN để tạo ra các LAN khác nhau của nhiều máy tính cùng văn phòng. Việc chia VLAN thành các phân hệ khác nhau giúp khả năng bảo mật, quản lý và hiệu năng đạt kết quả cao nhất. 1.3.2.4. Nhóm giải pháp về quy hoạch, thiết kế: Thiết kế cơ sở hạ tầng theo mô hình SOA 19 Kiến trúc SOA gồm có ba lớp: Lớp cơ sở hạ tầng mạng (networked infrasstructure layer): là lớp mạng liên kết các khối chức năng theo kiến trúc phân tầng, có trật tự. Lớp dịch vụ tương tác (Interactive services layer): bao gồm sự kết hợp một số kiến trúc mạng đầy đủ với nhau tạo thành các chức năng cho phép nhiều ứng dụng có thể sử dụng trên mạng. Lớp ứng dụng (Application layer): Bao gồm các loại ứng dụng cộng tác và nghiệp vụ. Các ứng dụng này kết hợp .với các dịch vụ tương tác cung cấp ở lớp dưới sẽ giúp triển khai nhanh và hiệu quả. Ưu điểm: Cho phép hướng sự tập trung vào xây dựng các tính năng nghiệp vụ trong quá trình phát triển phần mềm; Giảm thiểu chi phí trong quá trình phát triển; Giảm thiểu yêu cầu về đào tạo và kỹ năng; Chi phí bảo trì thấp; 20