nghiên cứu hệ thống phát hiện và đưa ra cảnh báo một số loại tấn công sử dụng snort

Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (15.68 MB, 62 trang )

<span class="text_page_counter">Trang 1</span><div class="page_container" data-page="1">

<b>HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THÔNG KHOA CÔNG NGHỆ THÔNG TIN </b>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hoc

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 2</span><div class="page_container" data-page="2">

<b>HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG KHOA CƠNG NGHỆ THÔNG TIN </b>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 3</span><div class="page_container" data-page="3">

Lời đầu tiên em xin gửi lời cảm ơn sâu sắc tới Thầy giáo TS. Đặng Minh Tuấn đã tận tình chỉ bảo, hướng dẫn em trong quá trình em thực hiện đề tài đồ án này. Nhờ sự giúp đỡ và những chia sẻ vô cùng quý báu của Thầy mà em rút ra được nhiều bài học cũng như định hướng sau này của bản thân.

Em xin chân thành cảm ơn các Thầy, Cô trong Khoa Công Nghệ Thơng Tin 1 nói riêng và tồn thể các các bộ, giảng viên các bộ môn của Học viện Công nghệ Bưu chính Viễn thơng nói chung đã tạo điều kiện để em có một mơi trường học tập rất tốt để hoàn thiện và phát triển bản thân. Cảm ơn các Thầy, Cô đã chỉ cho em rất nhiều kiến thức không chỉ về kiến thức chuyên môn mà cả những kinh nghiệm học tập, kỹ năng sống. Đó là hành trang tuyệt vời để bản thân em cũng như các bạn khác học tập dưới mái trường có một hành trang vững chắc để đi tiếp những chặng đường tiếp theo trong tương lai.

Cuối cùng em xin cảm ơn gia đình, bạn bè, những người ln ở bên cạnh em khi gặp khó khăn nhất, giúp đỡ em về mọi mặt để em có thể hồn thành được đề tài đồ án này.

Xin chân thành cảm ơn!

<i>Hà Nội, ngày 12, tháng 01, năm 2022 </i>

<b> Nguyễn Văn Cường </b>

<small>hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hoc622413069:32:22 PM9:32:22 PM622413069:32:22 PM9:32:22 PM622413069:32:22 PM9:32:22 PM</small>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 4</span><div class="page_container" data-page="4">

<b>NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (Của Người hướng dẫn) </b>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 5</span><div class="page_container" data-page="5">

<b>NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM (Của Người phản biện) </b>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 6</span><div class="page_container" data-page="6">

LỜI CẢM ƠN ... 3

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM ... 4

(Của Người hướng dẫn) ... 4

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM ... 5

(Của Người phản biện) ... 5

DANH MỤC HÌNH VẼ ... 8

DANH MỤC BẢNG BIỂU ... 9

DANH MỤC CÁC TỪ VÀ THUẬT NGỮ VIẾT TẮT ... 10

CHƯƠNG 1. TỔNG QUAN TẤN CÔNG ỨNG DỤNG WEB VÀ PHƯƠNG PHÁP PHÁT HIỆN ... 12

1.1. Khái quát về vấn đề bảo mật ứng dụng web ... 12

1.1.1. Khái niệm ứng dụng web ... 12

1.1.2. Điểm yếu của ứng dụng web ... 13

1.1.3. Các loại tấn công ứng dụng web ... 14

1.1.4. Các phương thức tấn công ứng dụng web phổ biến ... 15

1.2. Tổng quan phát hiện tấn công ứng dụng web ... 20

1.2.1. Cơ sở phát hiện tấn công ứng dụng web ... 21

1.2.2. Các kỹ thuật phát hiện tấn công ứng dụng web phổ biến ... 23

2.1.3. Phân loại hệ thống phát hiện xâm nhập ... 30

2.2. Sử dụng Snort IDS để phát hiện tấn công ứng dụng web ... 35

2.2.1. Giới thiệu Snort ... 35

2.3. Phát hiện một số loại tấn công sử dụng rule snort ... 43

2.3.1. Phát hiện tấn công SQL injection ... 43

2.3.2. Phát hiện tấn công DdoS ... 47

2.3.3. Phát hiện tấn công XSS ... 49

123docz.net - File bi loi xin lienhe: <small>hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hochghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hoc622413069:32:22 PM9:32:22 PM622413069:32:22 PM9:32:22 PM622413069:32:22 PM9:32:22 PM</small>

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 7</span><div class="page_container" data-page="7">

2.3.4. Lợi thế của Snort so với các công cụ IDS khác ... 49

3.2. Thử nghiệm phát hiện tấn công ... 55

3.2.1. Phát hiện tấn công SQLi ... 55

3.2.2. Phát hiện tấn công DoS ... 57

3.3. Nhận xét và so sánh... 58

3.4. Kết chương ... 60

KẾT LUẬN ... 61

TÀI LIỆU THAM KHẢO ... 62

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 8</span><div class="page_container" data-page="8">

Hình 1.1 Các thành phần ứng dụng web ... 13

Hình 1.2. Mơ hình tấn cơng sqli ... 16

Hình 1.3. Các loại tấn cơng sqli ... 16

Hình 1.4. Mơ hình tấn cơng XSS ... 18

Hình 1.5. Stored XSS ... 19

Hình 1.6. Điểm yếu bảo mật và mối đe dọa trong kiến trúc ứng dụng web nhiều lớp . 22 Hình 1.7. Ngăn chặn request nguy hiểm sử dụng WAF ... 24

Hình 2.1. Mơ hình hệ thống phát hiện xâm nhập ... 27

Hình 2.2. IDS dựa trên host ... 32

Hình 2.3. Mơ hình hệ thống phát hiện xâm nhập mạng ... 33

Hình 2.4. Hệ thống phát hiện dựa trên kết hợp ... 33

Hình 2.5. Các thành phần trong snort ... 37

Hình 2.6. Kiến trúc Snort IDS ... 39

Hình 2.7. Cấu trúc một rule snort ... 41

Hình 2.8. Tấn cơng DdoS ... 48

Hình 3.1. Thơng tin mạng máy ubuntu... 51

Hình 3.2. Ứng dụng web dvwa ... 52

Hình 3.3. Chỉnh sửa cấu hình mạng trong và ngồi ... 54

Hình 3.4. Chỉnh sửa đường dẫn đến các rule ... 54

Hình 3.5. Cấu hình snort thành cơng ... 54

Hình 3.6. File cấu hình chạy dưới nền của Snort ... 55

Hình 3.7. Kiểm tra trạng thái Snort khi chạy dưới nền ... 55

Hình 3.8. Thực hiện quét lỗ hổng sqli ứng dụng web dvwa ... 55

Hình 3.9. Các request độc hại nhằm tấn công sqli mà Snort phát hiện được ... 56

Hình 3.10. Một alert mà Snort sinh ra khi phát hiện được tấn công sqli ... 57

Hình 3.11. Sử dụng hping3 giả cuộc tấn cơng ICMP flood ... 57

Hình 3.12. Alert phát hiện được tấn cơng ICMP food ... 58

Hình 3.13. Mơ phỏng cuộc tấn cơng SYN flood với hping3 ... 58

Hình 3.14. Alert phát hiện tấn công SYN flood được snort sinh ra ... 58

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 9</span><div class="page_container" data-page="9">

Bảng 1.1.So sánh các đặc điểm kỹ thuật phát hiện tấn công ứng dụng web ... 26

Bảng 2.1. Ưu và nhược điểm của các phương thức phát hiện xâm nhập ... 30

Bảng 2.2. So sánh các loại IDS ... 35

Bảng 2.3. Các module Snort ... 40

Bảng 2.4. Các thành phần trong trường header ... 42

Bảng 2.5. Các thành phần trong trường option ... 43

Bảng 3.1. So sánh công cụ Snort và Bro ... 60

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 10</span><div class="page_container" data-page="10">

<b>DANH MỤC CÁC TỪ VÀ THUẬT NGỮ VIẾT TẮT </b>

DVWA Damn Vulnerable Web App Một ứng dụng web tồn tại nhiều lỗ hổng dựng sẵn NBA Network behavior analysis Hệ thống phát hiện xâm

nhập dựa trên hành vi mạng NIDS Network based intrusion detection

systems

Hệ thống phát hiện xâm nhập dựa trên mạng

NBA Network behavior analysis Hệ thống phân tích hành vi mạng

HIDS Host based instrusion detection Hệ thống phát hiện xâm nhập dựa trên máy chủ PCRE Perl-compatible Regular Expressions Thư viện PCRE là một tập

hợp các hàm triển khai đối sánh mẫu biểu thức chính quy bằng perl

SQLIA SQL Injection Attack Tấn công sqli

<b>WAF Web application firewall </b> Tường lửa ứng dụng web

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 11</span><div class="page_container" data-page="11">

Các dịch vụ internet và việc sử dụng các ứng dụng web đang gia tăng và phát triển nhanh chóng trên tồn thế giới. Khi mà số lượng người sử dụng gia tăng nhanh như vậy nó sẽ đi kèm theo những vấn đề an tồn thơng tin đối với người sử dụng. Các lỗ hổng ứng dụng web đã thu hút sự chú ý của các tin tặc để khai thác và truy cập vào thông tin nhạy cảm của người dùng. Các ứng web đang trở thành thứ chủ đạo để cung cấp quyền truy cập vào các dịch vụ trực tuyến và cũng là mục tiêu có giá trị cho các cuộc tấn công bảo mật. Để bảo mật các ứng dụng web tránh khỏi các sự tấn công của tin tặc vào người dùng cần được giải quyết bằng cách thiết kế cẩn thận, chú trọng vấn đề an toàn trong từng khâu phát triển. Nhưng biện pháp này thường khó có thể thực hiện. Vì lý do này, các phương pháp phát triển có ý thức về vấn đề bảo mật nên được bổ sung bằng cơ sở hạ tầng phát hiện xâm nhập có khả năng phát hiện các cuộc cuộc tấn công và đưa ra cảnh báo sớm về hoạt động đáng ngờ có nguy cơ tiềm ẩn xảy ra cuộc tấn công ứng dụng web.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 12</span><div class="page_container" data-page="12">

<b>CHƯƠNG 1. TỔNG QUAN TẤN CÔNG ỨNG DỤNG WEB VÀ PHƯƠNG PHÁP PHÁT HIỆN </b>

<i>Chương 1 trình bày về các khái niệm tổng quan về ứng dụng web, các phương pháp tấn công ứng dụng web phổ biến từ trước đến nay. Phân tích một số nguyên nhân dẫn đến một cuộc tấn cơng ứng dụng web, trình bày một số phương pháp phát hiện tấn công ứng dụng web hiện nay. </i>

Ứng dụng web là một chương trình ứng dụng mà được lưu trữ trên một máy chủ từ xa và được gửi qua internet thơng qua trình duyệt. Các ứng dụng web có thể được thiết kế cho nhiều mục đích sử dụng khác nhau và có thể được sử dụng bởi bất kỳ ai, từ một tổ chức đến một cá nhân vì nhiều lý do. Các ứng dụng web thường được sử dụng có thể bao gồm webmail, máy tính trực tuyến hoặc cửa hàng thương mại điện tử. Một số ứng dụng web chỉ có thể được truy cập bằng một trình duyệt cụ thể, tuy nhiên, hầu hết đều có sẵn bất kể trình duyệt.

Các ứng dụng web khơng cần tải xuống vì chúng được truy cập qua mạng. Người dùng có thể truy cập ứng dụng Web thơng qua trình duyệt web như Google Chrome, Mozilla Firefox hoặc Safari.

Để một ứng dụng web hoạt động, nó cần có máy chủ web, máy chủ ứng dụng và cơ sở dữ liệu. Máy chủ web quản lý các yêu cầu đến từ máy khách, trong khi máy chủ ứng dụng hoàn thành tác vụ được yêu cầu. Một cơ sở dữ liệu có thể được sử dụng để lưu trữ bất kỳ thông tin cần thiết nào.

Các ứng dụng web thường có chu kỳ phát triển ngắn và có thể được thực hiện với các nhóm phát triển nhỏ. Hầu hết các ứng dụng web được viết bằng JavaScript, HTML5, CSS. Lập trình phía máy khách thường sử dụng các ngôn ngữ này, giúp xây dựng giao diện người dùng của ứng dụng. Lập trình phía máy chủ được thực hiện để tạo các tập lệnh mà một ứng dụng Web sẽ sử dụng. Các ngôn ngữ như Python, Java và Ruby thường được sử dụng trong lập trình phía máy chủ.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 13</span><div class="page_container" data-page="13">

<i>Hình 1.1 Các thành phần ứng dụng web </i>

Để biết điểm yếu của môi trường web, chúng ta cũng nên biết các thành phần của ứng dụng web. Các ứng dụng web bao gồm ba phần chính như trong hình 1.1 ngơn ngữ lập trình được sử dụng để thiết kế phía máy khách và thiết lập các truy vấn của cơ sở dữ liệu. Giao thức truyền siêu văn bản (http), được sử dụng để liên kết phía máy khách với phía máy chủ. Ngồi ra, quy trình nghiệp vụ là phần phân biệt của bất kỳ ứng dụng web nào [1]. Một mối đe dọa chính khác trong bảo mật internet và các ứng dụng web mà người dùng duyệt qua cổng mặc định số 80 bằng giao thức http và cổng 443 bằng giao thức lớp bảo mật https. Kẻ tấn công bắt đầu sử dụng web như một khách hàng hoặc người dùng bình thường của trang web, sau đó các cổng này được sử dụng để tấn công trang web và truy cập vào dữ liệu và tệp của khách hàng. Quy mô cuộc tấn công phụ thuộc vào tầm quan trọng của dữ liệu và hoạt động kinh doanh của các công ty sở hữu các trang web này.

Nhiều nghiên cứu cho thấy có nhiều vấn đề về quản lý hoặc lỗi quản trị dẫn đến các mối đe dọa về bảo mật như:

1. Các mối đe dọa bảo mật không được hiển thị rõ ràng trong các trang web. 2. Các vấn đề bảo mật thường được giải quyết thông qua khôi phục ngắn hạn nên

các vấn đề sẽ xuất hiện lại rất nhanh.

3. Bỏ qua thực tế rằng thông tin trên các trang web là tốn kém tiền bạc, ngồi việc mất khả năng ước tính chi phí thông tin.

4. Họ không hiểu rằng các mối đe dọa bảo mật thường xuyên đang làm giảm uy tín của tổ chức.

5. Chúng phụ thuộc vào công cụ bảo vệ sẵn sàng như tường lửa hoặc hệ thống phát hiện xâm nhập mà không giám sát chúng thường xuyên.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 14</span><div class="page_container" data-page="14">

6. Mối quan hệ giữa vấn đề nghiệp vụ và an tồn thơng tin khơng được hiểu tồn bộ từ những người kỹ thuật.

7. Thông thường, các nhiệm vụ an toàn thông tin được yêu cầu từ những người không phải là chuyên gia bảo mật mà không cho họ đào tạo bài bản và đủ thời gian để thực hiện nhiệm vụ và khắc phục các vấn đề có thể xảy ra. Điều này chủ yếu xảy ra vì hầu hết các tổ chức cần các giải pháp nhanh chóng để khởi chạy lại trang web của họ một lần nữa hoặc để sửa các lỗi ứng dụng của nó.

Cách thức thực hiện các cuộc tấn công được gọi là phương pháp luận tấn cơng. Thơng thường, chúng ta có hai phương pháp luận tấn cơng ứng dụng chính, đó là tấn cơng tĩnh và tấn công động. Kẻ tấn công thường sử dụng các phương pháp tấn công phổ biến đã biết để thực hiện cuộc tấn cơng của mình trong phương pháp luận tấn công tĩnh. Trong khi, việc sử dụng các phương pháp tấn cơng phức tạp và khó mà khó có thể ngăn chặn hoặc thậm chí phát hiện được gọi là phương pháp luận tấn công động [2].

2. Directory Enumeration: những kẻ tấn công cố gắng theo phương pháp này để lấy bản đồ của ứng dụng web và cấu trúc của các thư mục web để hiểu hệ thống phân cấp của ứng dụng web. Trong phương pháp này, kẻ tấn công cố gắng sử dụng một tệp và thư mục ẩn phổ biến được sử dụng trong cấu trúc web tương tự để truy cập thông tin quan trọng của trang web.

3. Debugging the Web Application: Khám phá các cửa hậu và các lỗi mã được sử dụng để lấy thông tin hữu ích nhằm tấn cơng các ứng dụng web. Hầu hết các nhà phát triển ứng dụng web đều để lại lỗi mã và cửa hậu trong ứng dụng của họ.

2. Path truncation: nó khác với phương thức truyền liên kết vì nó chỉ quan tâm đến các thư mục của ứng dụng web và nội dung của các thư mục này. Hầu hết các trang lỗi của trang web đều dẫn đến việc kẻ tấn công biết cấu trúc của các thư mục trong ứng dụng web đó.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 15</span><div class="page_container" data-page="15">

3. Session hijacking: kẻ tấn công nắm bắt thông tin và các tham số về giá trị của phiên trong phương pháp này. Sử dụng phương pháp này, những kẻ tấn cơng có được quyền truy cập vào dữ liệu trái phép.

4. Hidden Web Tracks: trong phương pháp động này, những kẻ tấn công kiểm tra mã nguồn của mã html của một số trang web nhất định để biết một số đường dẫn ẩn trong ứng dụng web hoặc các đường dẫn thư mục được chú thích cũ.

5. Java Applet Reverses Engineer: một số kẻ tấn công dịch ngược mã Java Applet khi đăng nhập trang web khách hàng. Kỹ thuật dịch ngược này lấy thông tin trái phép từ trang web cho phép kẻ tấn công truy cập trang web.

6. Passing Parameters: hầu hết các ứng dụng Web đều cho phép khách hàng của mình gửi các tham số đến hệ thống của họ thông qua các biểu mẫu web. Những kẻ tấn công gửi các thông số không hợp lệ qua các biểu mẫu này để sử dụng sai ứng dụng web.

7. Executing Scripts: kẻ tấn công buộc một máy chủ web nào đó thực thi một tập lệnh, tập lệnh này không được thực thi trong ứng dụng web của nó. Mục đích của việc thực thi các tập lệnh ngoại lai này là để lấy cắp một số thông tin và cookie của người dùng.

8. SQL injection: phương thức động quan trọng nhất là SQL Injection, nơi kẻ tấn công đưa vào máy chủ web các câu lệnh và lệnh SQL để tấn công cơ sở dữ liệu và lấy thông tin hữu ích.

<i><b>1.1.4. Các phương thức tấn cơng ứng dụng web phổ biến </b></i>

<i>1.1.4.1. Tấn công SQL injection </i>

SQL Injection (SQLi) là một kiểu tấn cơng tiêm giúp nó có thể thực thi các câu lệnh SQL độc hại. Các câu lệnh này kiểm soát một máy chủ cơ sở dữ liệu đằng sau một ứng dụng web. Những kẻ tấn cơng có thể sử dụng lỗ hổng SQL Injection để vượt qua các biện pháp bảo mật ứng dụng. Họ có thể tiến hành xác thực và ủy quyền một trang web hoặc ứng dụng web và truy xuất nội dung của toàn bộ cơ sở dữ liệu SQL. Kẻ tấn cơng cũng có thể sử dụng SQL Injection để thêm, sửa đổi và xóa các bản ghi trong cơ sở dữ liệu. Lỗ hổng SQL Injection có thể ảnh hưởng đến bất kỳ trang web hoặc ứng dụng web nào sử dụng cơ sở dữ liệu SQL như MySQL, Oracle, SQL Server hoặc các trang web khác.

Kẻ tấn cơng có thể sử dụng nó để truy cập trái phép vào dữ liệu nhạy cảm như: thơng tin khách hàng, dữ liệu cá nhân, bí mật thương mại, sở hữu trí tuệ. Các cuộc tấn cơng SQL Injection là một trong những lỗ hổng ứng dụng web lâu đời nhất, phổ biến nhất và nguy hiểm nhất. Tổ chức OWASP liệt kê các tiêm trong tài liệu OWASP Top 10 của họ là mối đe dọa số một đối với bảo mật ứng dụng web [3].

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 16</span><div class="page_container" data-page="16">

SQL Injection có thể được sử dụng theo nhiều cách để gây ra các vấn đề nghiêm trọng. Bằng cách sử dụng SQL Injection, kẻ tấn cơng có thể bỏ qua xác thực, truy cập, sửa đổi và xóa dữ liệu trong cơ sở dữ liệu. Trong một số trường hợp, SQL Injection thậm chí có thể được sử dụng để thực thi các lệnh trên hệ điều hành, có khả năng cho phép kẻ tấn công leo thang thành các cuộc tấn công gây hại hơn bên trong mạng nằm sau tường lửa. SQL Injection có thể được phân loại thành ba loại chính: In-band SQLi, Inferential SQLi và Out-of-band SQLi.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 17</span><div class="page_container" data-page="17">

Để thực hiện một cuộc tấn công SQL Injection, trước tiên kẻ tấn cơng phải tìm thấy các đầu vào dễ bị tấn công của người dùng trong trang web hoặc ứng dụng web. Trang web hoặc ứng dụng web có lỗ hổng SQL Injection sử dụng đầu vào của người dùng trực tiếp trong một truy vấn SQL. Kẻ tấn cơng có thể tạo nội dung đầu vào. Nội dung như vậy thường được gọi là payload độc hại và là phần quan trọng của cuộc tấn công. Sau khi kẻ tấn công gửi nội dung này, các lệnh SQL độc hại được thực thi trong cơ sở dữ liệu. SQL là một ngôn ngữ truy vấn được thiết kế để quản lý dữ liệu được lưu trữ trong cơ sở dữ liệu quan hệ. Ta có thể sử dụng nó để truy cập, sửa đổi và xóa dữ liệu. Nhiều ứng dụng web và trang web lưu trữ tất cả dữ liệu trong cơ sở dữ liệu SQL. Trong một số trường hợp, chúng ta cũng có thể sử dụng các lệnh SQL để chạy các lệnh của hệ điều hành. Do đó, một cuộc tấn cơng SQL Injection thành cơng có thể gây ra những hậu quả rất nghiêm trọng.

<i>1.1.4.2. Tấn công Broken Authentication </i>

Khai thác xác thực bị hỏng, một cuộc tấn công thường được bắt đầu bằng cách lợi dụng thông tin đăng nhập và phiên đăng nhập được quản lý kém để giả dạng người dùng đã được xác thực. Điều này thường liên quan đến một tình huống như sau:

Session là một chuỗi các sự kiện và giao dịch được liên kết với cùng một người dùng trong một khung thời gian nhất định. Khi người dùng đã đăng nhập vào hệ thống, họ sẽ được cấp một ID phiên duy nhất (Cookie, Tham số URL, Mã xác thực,...) cho phép giao tiếp giữa người dùng và ứng dụng web cho một phiên hợp lệ. Nhiều nhà phát triển không phát triển được các thông số phù hợp cho các phiên, khiến hacker dễ dàng chiếm đoạt ID phiên và truy cập trái phép hệ thống. Ngoài ra, một số nhà phát triển không đặt được giới hạn thời gian và kế hoạch xoay vòng cho các phiên, cho phép những kẻ tấn công mạo danh người dùng đã đăng nhập vào hệ thống.

Với việc các công ty chuyển nhiều dữ liệu nhạy cảm và có giá trị lên cloud, tin tặc đang ngày càng nhắm mục tiêu vào các ứng dụng web để tấn cơng. Do đó, các lỗ hổng xác thực và quản lý phiên bị hỏng được coi là hai lỗ hổng hàng đầu trong danh sách OWASP vì sử dụng thơng tin đăng nhập của người dùng hợp lệ là cách dễ nhất để kẻ tấn cơng truy cập vào các hệ thống có giới hạn.

Những tác nhân độc hại này dựa vào một số kỹ thuật để lấy cắp thông tin đăng nhập, dự đốn thơng tin hoặc lừa người dùng tiết lộ chúng, bao gồm:

• Phishing

• Credential stuffing • Password spraying

<i>1.1.4.3. Tấn công Cross Site Scripting (XSS) </i>

Các cuộc tấn công XSS xảy ra khi kẻ tấn công sử dụng ứng dụng web để gửi mã độc hại, thường ở dạng tập lệnh phía trình duyệt, tới một người dùng cuối khác. Flaws

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 18</span><div class="page_container" data-page="18">

cho phép các cuộc tấn công này thành công khá phổ biến và xảy ra ở bất kỳ đâu mà một ứng dụng web sử dụng đầu vào từ người dùng trong đầu ra mà nó tạo ra mà khơng xác nhận hoặc mã hóa nó. Kẻ tấn cơng có thể sử dụng XSS để gửi một tập lệnh độc hại đến một người dùng khơng nghi ngờ. Trình duyệt của người dùng cuối khơng có cách nào để biết rằng tập lệnh không được tin cậy và sẽ thực thi tập lệnh. Bởi vì nó cho rằng tập lệnh đến từ một nguồn đáng tin cậy, tập lệnh độc hại có thể truy cập vào bất kỳ cookie, mã thông báo phiên hoặc thông tin nhạy cảm nào khác được trình duyệt lưu giữ và sử dụng với trang web đó. Các đoạn mã này thậm chí có thể viết lại nội dung của trang HTML.

Kỹ thuật XSS được thực hiện dựa trên việc chèn các đoạn script nguy hiểm vào trong source code ứng dụng web. Nhằm thực thi các đoạn mã độc Javascript để chiếm phiên đăng nhập của người dùng.

Tấn cơng XSS có ba loại chính: Reflected XSS, Stored XSS, DOM-based XSS.

<i>Reflected XSS: là một dạng cross-site script đơn giản nhất. Nó phát sinh khi một </i>

ứng dụng nhận dữ liệu trong một yêu cầu HTTP và bao gồm dữ liệu đó trong phản hồi tức thì theo cách khơng an tồn. XSS cho phép kẻ tấn công đưa tập lệnh vào nội dung của trang web hoặc ứng dụng. Khi người dùng truy cập trang bị nhiễm, tập lệnh sẽ thực thi trong trình duyệt của nạn nhân. Điều này cho phép những kẻ tấn công lấy cắp thông

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 19</span><div class="page_container" data-page="19">

tin cá nhân như cookie, thông tin tài khoản hoặc thực hiện các hoạt động tùy chỉnh trong khi mạo danh danh tính của nạn nhân.

<i>Stored XSS: được xem là nguy hiểm hơn Reflected XSS, đó là Stored XSS. Khác </i>

với Reflected tấn công trực tiếp vào một số nạn nhân mà hacker nhắm đến, Stored XSS hướng đến nhiều nạn nhân hơn. Lỗi này xảy ra khi ứng dụng web không kiểm tra kỹ các dữ liệu đầu vào trước khi lưu vào cơ sở dữ liệu (ở đây tôi dùng khái niệm này để chỉ database, file hay những khu vực khác nhằm lưu trữ dữ liệu của ứng dụng web). Ví dụ như các form góp ý, các comment … trên các trang web. Với kỹ thuật Stored XSS , hacker không khai thác trực tiếp mà phải thực hiện tối thiểu qua 2 bước. Đầu tiên hacker sẽ thông qua các điểm đầu vào (form, input, textarea…) không được kiểm tra kỹ để chèn vào CSDL các đoạn mã nguy hiểm.

<i>Hình 1.5. Stored XSS </i>

<i>DOM-base XSS: là một biến thể của reflected XSS. Trong DOM-based XSS </i>

attack, chuỗi độc hại không thực sự được xử lý bởi trình duyệt nạn nhân cho đến khi JavaScript hợp pháp của website được thực thi. Trong các persistent và reflected XSS attack, máy chủ sẽ chèn tập lệnh độc hại vào trang để gửi phản hồi cho nạn nhân. Khi trình duyệt nạn nhân nhận được phản hồi, nó nhận tập lệnh độc hại là một phần của nội dung của trang và tự động thực thi như với bất kỳ tập lệnh nào khác.

Tuy nhiên, trong DOM-based XSS attack, khơng có tập lệnh độc hại nào được chèn vào trang; tập lệnh duy nhất được tự động thực thi trong khi tải trang là một phần hợp pháp của trang. Vấn đề là tập lệnh hợp pháp này sử dụng dữ liệu của người dùng để thêm HTML vào trang. Vì chuỗi độc hại được chèn vào trang bằng cách sử dụng innerHTML, nên nó được phân tích cú pháp dưới dạng HTML, khiến tập lệnh độc hại được thực thi. Thường phát sinh khi JavaScript lấy dữ liệu từ một nguồn có thể kiểm sốt được của kẻ tấn cơng, chẳng hạn như URL và chuyển nó đến một phần mềm hỗ trợ thực thi mã động, chẳng hạn như eval () hoặc innerHTML. Điều này cho phép những kẻ tấn công thực thi JavaScript độc hại, thường cho phép chúng chiếm đoạt tài khoản của người dùng khác.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 20</span><div class="page_container" data-page="20">

<i>1.1.4.4. Tấn công Cross-Site Request Forgery (CSRF) </i>

Tấn công CSRF (Cross Site Request Forgery) là kỹ thuật tấn công bằng cách sử dụng quyền chứng thực của người dùng đối với một Website. CSRF là kỹ thuật tấn công vào người dùng, dựa vào đó hacker có thể thực thi những thao tác phải yêu cầu sự chứng thực.

Các ứng dụng Web hoạt động theo cơ chế nhận các câu lệnh HTTP Request từ người sử dụng, sau đó thực thi các câu lệnh này. Hacker sử dụng phương pháp CSRF để lừa trình duyệt của người dùng gửi đi các câu lệnh HTTP đến các ứng dụng Web. Điều đó có thể thực hiện bằng cách chèn mã độc hay link đến trang web mà người dùng đã được chứng thực. Trong trường hợp phiên làm việc của người dùng chưa hết hiệu lực thì các câu lệnh trên sẽ được thực hiện với quyền chứng thực của người sử dụng. Hình dưới mơ tả kịch bản tấn công CSRF được thực hiện qua các bước.

Dựa trên nguyên tắc của CSRF "lừa trình duyệt của người dùng (hoặc người dùng) gửi các câu lệnh HTTP", các kĩ thuật phịng tránh sẽ tập trung vào việc tìm cách phân biệt và hạn chế các câu lệnh giả mạo.

Đối với phía Server có thể sử dụng những kỹ thuật như sử dụng Captcha, các thông báo xác nhận, sử dụng token cho riêng từng form.

Đối với người dùng, người dùng cần nâng cao kiến thức về an toàn Web. Tránh việc click vào các link lạ được gửi qua thư điện tử hay tin nhắn. Bên cạnh đó người dùng cũng khơng nên lưu các thơng tin về mật khẩu tại trình duyệt của mình (khơng nên chọn các phương thức "đăng nhập lần sau", "lưu mật khẩu" … để tránh hacker có thể dễ dàng khai thác và tấn công.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 21</span><div class="page_container" data-page="21">

Các cuộc tấn công ứng dụng web là một lĩnh vực ngày càng quan trọng trong bảo mật thông tin và điều tra số. Có thể thấy rằng những kẻ tấn cơng đang phát triển khả năng vượt qua các kiểm soát an ninh và thực hiện một số lượng lớn các cuộc tấn công tinh vi. Một số nỗ lực đã được thực hiện để giải quyết các cuộc tấn công này bằng cách sử dụng nhiều loại công nghệ và một trong những thách thức lớn nhất là ứng phó với các cuộc tấn công mới và chưa biết một cách hiệu quả. Có nhiều giải pháp được sử dụng để phát hiện các cuộc tấn công, chẳng hạn như tường lửa, hệ thống phát hiện xâm nhập, honeypots và kỹ thuật điều tra số. Các kỹ thuật khai thác dữ liệu và học máy, cố gắng giải quyết các thiếu sót của cơng nghệ truyền thống và tạo ra các giải pháp hiệu quả hơn, cũng được nghiên cứu. Nó nhằm mục đích đóng góp vào lĩnh vực nghiên cứu đang phát triển này bằng cách khám phá các kỹ thuật thông minh và thuận tiện hơn để phát hiện tấn công ứng dụng web.

Các ứng dụng web rất cần thiết cho một loạt các ứng dụng, bao gồm chính phủ điện tử, thương mại điện tử, các trang mạng xã hội, blog, hệ thống quản lý nội dung và web email. Được truy cập bởi hàng triệu người dùng internet hàng ngày. Sự phong phú của các ứng dụng web và nâng cao chức năng cũng như tính dễ truy cập và tính khả dụng đã dẫn đến hầu hết các doanh nghiệp phụ thuộc nhiều hơn vào chúng. Thật không may, cho những lý do tương tự, các ứng dụng web đã trở thành mục tiêu của những kẻ tấn cơng. Các điểm yếu bảo mật chính đã làm cho web các ứng dụng dễ bị tấn cơng và nghiêm trọng các cuộc tấn cơng và có một số nghiên cứu trong tài liệu.

Quá trình theo dõi và phát hiện các cuộc tấn công web đã trở nên phức tạp và các phương pháp truyền thống không hiệu quả [4]. Hơn nữa, pháp y tấn công web phải đối mặt với những thách thức do lượng dữ liệu khổng lồ được tạo ra bởi các mạng. Các điều tra số rất khó dành thời gian để phân tích lượng dữ liệu khổng lồ trong hệ thống phát hiện xâm nhập và nhật ký tường lửa, cũng như nhật ký được tạo bởi các ứng dụng và dịch vụ mạng.

Thuật ngữ “tấn công ứng dụng web” dùng để chỉ một cuộc tấn công mà điểm yếu của mã ứng dụng web bị lợi dụng và đó như một lợi thế để xâm phạm tính bảo mật của hệ thống back-end. Do đó, nhiều phân loại được sử dụng để phân loại các cuộc tấn công ứng dụng web, và các phân loại phổ biến nhất là OWASP top 10 và Sans top 25. Sự phân loại các cuộc tấn công web đa dạng khác nhau gần như chắc chắn sẽ phát triển hơn trong tương lai. Do đó, có các khung chính xác sẽ đóng góp và hỗ trợ trong việc phát triển các ứng dụng phát hiện. Trong những năm gần đây, ngày càng có nhiều sự quan tâm đến bảo mật ứng dụng web, nhưng các điểm yếu về bảo mật cũng ngày càng gia tăng. Các cơng nghệ tích hợp trong ứng dụng web, chẳng hạn như phía máy khách, mã phía máy chủ, logic ứng dụng và lưu trữ cơ sở dữ liệu, có thể là một yếu tố quan trọng dẫn đến điểm yếu bảo mật. Hình 1.6 cho thấy có một điểm yếu rõ rệt trong máy chủ web, kiểm soát bảo mật và máy chủ cơ sở dữ liệu.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 22</span><div class="page_container" data-page="22">

<i>Hình 1.6. Điểm yếu bảo mật và mối đe dọa trong kiến trúc ứng dụng web nhiều lớp </i>

Các nguyên nhân có thể xảy ra nhất của điểm yếu này là: • Code kém và cấu hình sai.

• Thiết kế giao thức truyền siêu văn bản (HTTP), không theo kịp với cấu trúc phức tạp ngày nay của các ứng dụng web.

Các phương pháp bảo mật hiện tại đã được chứng minh là không đáng tin cậy và một ứng dụng web có thể truy cập ở giao diện người dùng có thể bị khai thác bởi nhiều kiểu tấn công khác nhau.

<i>1.2.1.2. Data mining </i>

Khai phá dữ liệu đã được sử dụng để chỉ các phương pháp trong mơ hình từ dữ liệu quy mơ lớn được trích xuất để giúp đưa ra quyết định. Do sự sẵn có của dữ liệu khổng lồ với nhu cầu cấp thiết để phân tích và trích xuất thơng tin hữu ích, các kỹ thuật phân tích dữ liệu cổ điển là khơng đủ và cần phải tìm ra các giải pháp tốt hơn. Do đó, khai thác dữ liệu tích hợp các lĩnh vực khác nhau như thống kê, học máy, cơ sở dữ liệu và trí tuệ nhân tạo. Mục tiêu cụ thể của các kỹ thuật khai phá dữ liệu là tạo ra một mơ hình mơ tả hoặc một mơ hình dự đốn. Mơ hình mơ tả thường được xây dựng để mơ tả các thuộc tính mơ tả chung của tập dữ liệu với sự trợ giúp của các kỹ thuật thống kê. Ngược lại, mơ hình dự đốn phân tích tập dữ liệu để xây dựng mơ hình nhằm dự đoán các hành động trong tương lai của dữ liệu mới sắp xuất hiện.

Khai phá dữ liệu dự đoán bao gồm: quy tắc kết hợp, phân loại, phân tích hồi quy và phân tích xu hướng. Khai thác dữ liệu được chứng minh là hiệu quả và có giá trị trong nhiều ứng dụng vì nó chứa các kỹ thuật xử lý tìm kiếm trên máy tính và trích xuất một mẫu từ quy mơ lớn, đồng thời phân tích một lượng lớn dữ liệu để tìm ra mối quan hệ logic và chuyển đổi dữ liệu theo một cách mới để được hiểu để sử dụng thêm.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 23</span><div class="page_container" data-page="23">

<i>1.2.1.3. Machine learning </i>

Học máy là lập trình ngầm hiểu cho máy tính bằng cách áp dụng lý thuyết về các mơ hình thống kê và tốn học để tối ưu hóa tốt hơn bằng cách sử dụng dữ liệu mẫu hoặc kinh nghiệm trong quá khứ. Một khía cạnh quan trọng của học máy là khả năng tự động hóa việc giải quyết các vấn đề và nhiệm vụ. Để đạt được mục tiêu mong muốn này, hai phương pháp học được sử dụng: học có giám sát bao gồm (phân loại, máy vectơ hỗ trợ, mạng nơ-ron) và học không giám sát bao gồm (clustering, dimensionality reduction, recommender systems, distance and normalization). Mặc dù có sự giống nhau giữa các phương pháp học trong thực tế, mặc dù sự khác biệt nằm ở lý do sử dụng. Ví dụ, trong trường hợp khơng có kiến thức trước về tập dữ liệu, học tập không giám sát được sử dụng trong khi học tập có giám sát được sử dụng nếu kiến thức trước đó tồn tại.

<i><b>1.2.2. Các kỹ thuật phát hiện tấn công ứng dụng web phổ biến </b></i>

Nhiều nhà nghiên cứu đang nỗ lực phát hiện và ngăn chặn các cuộc tấn công ứng dụng web. Cho đến nay, nhiều kỹ thuật đã được phát triển để giải quyết vấn đề mới nổi này. Có hai phương pháp phát hiện cơ bản hiện đang được áp dụng trong nghiên cứu:

• Dựa trên bất thường: Các kỹ thuật dựa trên dị thường có thể phát hiện các cuộc tấn công chưa biết do khả năng học hỏi. Đáng tiếc, dựa trên bất thường hy sinh hiệu suất và độ chính xác với tính giả cao.

• Dựa trên chữ ký: Các kỹ thuật dựa trên chữ ký dựa trên các quy tắc xác định trước về chữ ký tấn cơng cho phép nó đạt được độ chính xác rất cao trong việc phát hiện các cuộc tấn công đã biết và ít bị dương tính giả. Tuy nhiên, nó khơng thành cơng trong việc phát hiện các cuộc tấn công mới và chưa biết. Cả dựa trên sự bất thường và dựa trên chữ ký đều được áp dụng trên nhiều giải pháp bảo mật. Nói chung, chúng diễn ra trong phân tích cuộc tấn công trong lưu lượng HTTP từ hành vi bên ngoài của quan điểm ứng dụng. Những kỹ thuật đó có thể được chia thành ba cơng nghệ chính:

• Tường lửa ứng dụng web

• Hệ thống phát hiện xâm nhập ứng dụng • Honeypots ứng dụng web

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 24</span><div class="page_container" data-page="24">

<i>1.2.2.1. Tường lửa ứng dụng web </i>

<i>Hình 1.7. Ngăn chặn request nguy hiểm sử dụng WAF </i>

Tường lửa ứng dụng web (WAF) là một trong những giải pháp được sử dụng rộng rãi nhất để phát hiện và ngăn chặn các cuộc tấn công ứng dụng web. Bên cạnh đó, khả năng làm việc ở lớp cấp ứng dụng có thể là một yếu tố quan trọng trong việc kiểm soát lưu lượng truy cập trên máy chủ web và phát hiện một máy chủ độc hại [5]. Nhiều ý kiến cho rằng WAF hiệu quả trong việc ngăn chặn vi phạm và giảm thiểu các cuộc tấn cơng. Mặc dù vậy, nó vẫn mắc phải một số điểm yếu nghiêm trọng. Trong nhiều năm qua, đã có nhiều lời chỉ trích về tường lửa ứng dụng web. Những chỉ trích này chống lại cả việc thực hiện cụ thể và các sản phẩm thương mại, cũng như khả năng né tránh WAF bằng một số cuộc tấn công. Thập kỷ vừa qua đã chứng kiến sự phát triển và nâng cao nhanh chóng của WAF dưới dạng phần mềm và phần cứng. Mặc dù vậy, vẫn cịn những thiếu sót do kỹ thuật quy tắc được xác định trước và khơng có khả năng nhận ra logic ứng dụng cấp cao.

Có nhiều hạn chế của tường lửa ứng dụng web khiến nó trở thành một giải pháp khơng hiệu quả. Độ chính xác thấp và khơng có khả năng phát hiện cuộc tấn cơng khơng xác định, ngồi ra cịn làm tăng chi phí vận hành và nỗ lực thủ cơng. Gần đây, những hạn chế của tường lửa ứng dụng web này đã được các nhà nghiên cứu giải quyết theo nhiều cách. Ví dụ, áp dụng các kỹ thuật tự động hóa, chẳng hạn như học máy và các thuật toán khai thác dữ liệu như trong. Tuy nhiên, nó sẽ đặt ra câu hỏi về hiệu suất vì các ứng dụng web hoạt động trong thời gian thực với lưu lượng truy cập cao. Nghịch lý thay, việc áp dụng các kỹ thuật để nâng cao hiệu suất của các thuật toán khai thác dữ liệu và học máy cũng sẽ làm giảm độ chính xác. Tương tự như vậy, việc triển khai tường lửa ứng dụng web phần cứng để chịu áp lực của hiệu suất có thể dẫn đến chi phí cao.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 25</span><div class="page_container" data-page="25">

tế, AIDS đã khắc phục được các vấn đề về IDS dựa trên mạng [6]. Hơn nữa, AIDS có thể hoạt động song song với các bức tường lửa để tăng cường khả năng bảo vệ và thêm một lớp bảo mật mới để ngăn chặn các cuộc tấn công web.

Nói chung, IDS sử dụng các kỹ thuật phát hiện dựa trên chữ ký hoặc dựa trên điểm bất thường, đơi khi kết hợp giữa hai phương pháp đó. Việc phân biệt "dựa trên chữ ký" với các phương pháp phát hiện "dựa trên điểm bất thường" đã trở nên phổ biến. Tương tự như vậy, có một quan điểm rộng rãi rằng dựa trên chữ ký tốt hơn dựa trên bất thường trong các cuộc tấn cơng đã biết. Do đó, dựa trên chữ ký đã được áp dụng trong các sản phẩm thương mại trong khi việc sử dụng dựa trên bất thường ít hơn trong thương mại. Dựa trên bất thường tập trung nhiều hơn vào nghiên cứu, vì khả năng chống lại các cuộc tấn công không xác định.

AIDS được xây dựng và cải tiến bằng một số kỹ thuật khác. Mặt khác, phần lớn các tài liệu về AIDS bị chỉ trích bởi một số hạn chế nghiêm trọng. Ví dụ, tấn cơng mã hóa đa cấp và lưu lượng được mã hóa có thể trốn tránh và vượt qua hệ thống phát hiện xâm nhập, cùng với hiệu suất thấp, chi phí cao và độ chính xác phát hiện thấp. Gần đây hơn, việc sử dụng khai thác dữ liệu và học máy để giải quyết những thiếu sót của AIDS. Các thuật tốn như cây quyết định, SVM, hồi quy logistic, trích xuất đặc trưng và nhận dạng mẫu đã chứng minh tiềm năng của chúng trong việc đạt được độ chính xác phát hiện tấn công cao với hiệu suất tốt và tỷ lệ sai thấp.

<i>1.2.2.3. Honeypot </i>

WAF và IDS gần giống nhau và sử dụng các kỹ thuật tương tự như có thể thấy trong Bảng 1. Ngược lại, honeypot sử dụng các kỹ thuật khác nhau về cơ bản. Giá trị của nó trở nên rõ ràng trong các cuộc tấn cơng hoặc thăm dị. Nó đóng vai trị mồi nhử và bẫy đối với lưu lượng độc hại nhằm cung cấp thông tin duy nhất mà các kỹ thuật khác không thể lấy được. Honeypot được phân thành hai loại là nghiên cứu và sản phẩm honeypot. Mục tiêu của sản phẩm honeypot là bảo mật trực tiếp cho các công ty hoặc tổ chức. Honeypot nghiên cứu nhằm mục đích thu thập thơng tin về những kẻ tấn công và các cuộc tấn công để cung cấp bảo mật gián tiếp. Trong khi đó, honeypot có thể được phân loại theo mức độ tương tác, tùy thuộc vào các dịch vụ mà nó mơ phỏng và tài nguyên, đến honeypot tương tác cao và honeypots tương tác thấp.

Honeypot giải quyết vấn đề dương tính giả, vốn gặp phải với WAF và IDS, bằng cách giảm dương tính giả do thu thập lượng thơng tin nhỏ nhưng có giá trị cao. Tuy nhiên, yếu tố rủi ro của những vết mật ong này khiến chúng khơng cịn là giải pháp phát hiện tấn công trực tiếp. Thập kỷ qua đã chứng kiến một số lượng đáng kể các dự án được phát triển trên honeypots của ứng dụng web, tập trung vào việc tăng cường che giấu và lừa dối. Trong những năm gần đây, các nhà nghiên cứu đã tìm hiểu honeypot như một chất xúc tác trong việc phát hiện cuộc tấn công thông qua việc tạo tự động chữ ký cho IDS, quan sát và phân tích các cuộc tấn cơng web, tìm hiểu về chiến thuật và động cơ của kẻ tấn công. Kết hợp với nhau, honeypot sẽ giúp chống tội phạm mạng, phát hiện

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 26</span><div class="page_container" data-page="26">

các cuộc tấn công và theo dõi tội phạm, điều này sẽ cải thiện các kỹ thuật phát hiện tấn công ứng dụng web.

<b>Đặc điểm<sup>Các kỹ thuật phát hiện tấn công ứng dụng web </sup></b>

Phương pháp

Dựa trên chữ ký, phát hiện bất

Các loại tấn công

Các cuộc tấn công ứng dụng web đã

biết

Các cuộc tấn công lớp ứng dụng và mạng đã

biết và không xác định

các cuộc tấn công lớp ứng dụng và mạng đã

biết và không xác định

Thách thức <sup>Dễ dàng bypass, </sup>chi phí, bảo trì

Cảnh báo sai cao, lưu lượng được mã hóa

Rủi ro lớn nếu bị phát hiện

<i>Bảng 1.1.So sánh các đặc điểm kỹ thuật phát hiện tấn công ứng dụng web </i>

<b>1.3. Kết chương </b>

Chương 1 đã giới thiệu tổng quan về khái niệm, kiến trúc của ứng dụng web. Cách thức hoạt động của ứng dụng web, phân tích các điểm yếu trong kiến trúc ứng dụng web. Nêu một số cách thức tấn công phổ biến vào ứng dụng web. Tổng quan cơ sở phát hiện xâm nhập ứng dụng web cũng như các cách thức phát hiện xâm nhập phổ biến.

Trong chương 2 của đồ án sẽ đi vào tìm hiểu cách thức phát hiện tấn công ứng dụng web sử dụng công cụ Snort IDS.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 27</span><div class="page_container" data-page="27">

<b>CHƯƠNG 2. PHÁT HIỆN TẤN CÔNG ỨNG DỤNG WEB SỬ DỤNG SNORT IDS </b>

<i>Chương 2 trình bày chi tiết về cách thức phát hiện tấn công sử dụng công cụ snort dựa vào vào tập luật của công cụ snort. </i>

<b>2.1. Tổng quan hệ thống phát hiện xâm nhập </b>

<i><b>2.1.1. Giới thiệu </b></i>

Phát hiện xâm nhập là q trình theo dõi các sự kiện trong máy tính hoặc hệ thống mạng và phân tích chúng để xác định bất kỳ dấu hiệu nào về vi phạm tiềm ẩn, các mối đe dọa hoặc các mối đe dọa sắp xảy ra đối với các chính sách bảo mật máy tính, các chính sách sử dụng được chấp nhận hoặc các phương pháp bảo mật. Phần mềm độc hại, kẻ gian truy cập trái phép vào hệ thống thông qua internet, hoặc người dùng khơng được cơ quan có thẩm quyền cho phép hoặc tác giả cố gắng đạt được các đặc quyền không thuộc quyền của họ. Mặc dù tất cả các sự cố này đều có hại, nhưng một số sự cố khác có thể dẫn đến sự trùng hợp ngẫu nhiên, fi gure-1 cho thấy khái niệm về IDS

<i>Hình 2.1. Mơ hình hệ thống phát hiện xâm nhập </i>

Hệ thống phát hiện xâm nhập (IDS) là một chương trình thực hiện hoạt động giám sát. Quá trình này là quét dữ liệu và so sánh nó với một cơ sở dữ liệu lớn chứa các quy tắc logic hoặc các dấu vết cho các cuộc tấn cơng trước đó. Nó kiểm tra traffi c độc hại, và nếu kết quả trùng khớp, sẽ gửi cảnh báo đến quản trị viên mạng. Hệ thống không ngăn chặn hoặc ngăn chặn các cuộc tấn cơng, nhưng chức năng duy nhất của nó là phát hiện, ghi lại và cảnh báo khi nó xảy ra

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 28</span><div class="page_container" data-page="28">

Hệ thống phát hiện xâm nhập (IDS) là một hệ thống giám sát lưu lượng mạng để tìm hoạt động đáng ngờ và đưa ra cảnh báo khi hoạt động đó được phát hiện. Đây là một ứng dụng phần mềm quét mạng hoặc hệ thống để tìm hoạt động có hại hoặc vi phạm chính sách. Bất kỳ vi phạm độc hại nào thường được báo cáo cho quản trị viên hoặc được thu thập tập trung bằng cách sử dụng hệ thống quản lý sự kiện và thông tin bảo mật (SIEM). Hệ thống SIEM tích hợp đầu ra từ nhiều nguồn và sử dụng kỹ thuật lọc cảnh báo để phân biệt hoạt động độc hại với cảnh báo giả.

Phương pháp phát hiện xâm nhập vẫn còn mới trong lĩnh vực bảo mật ứng dụng web. IDS chủ yếu được thiết kế để quan sát và phát hiện các hoạt động xâm nhập trên mạng. Tuy nhiên, đặc điểm của các cuộc tấn cơng dựa trên mạng có sự khác biệt đáng kể so với các cuộc tấn công trên nền web. Cái trước nhắm vào lớp mạng trong khi cái sau tập trung vào lớp ứng dụng. Thứ hai, các ứng dụng web hiện tại rất phức tạp, dựa trên cơ sở dữ liệu và thường được tạo bởi các nhà phát triển có kỹ năng bảo mật hạn chế. Các ứng dụng này được tùy chỉnh cao, cung cấp nội dung động, tạo điều kiện cho các phiên người dùng tương tác và tiến hành các hoạt động nghiệp vụ phức tạp. Bề mặt tấn công thay đổi theo logic nghiệp vụ và bộ kỹ năng tương ứng được sử dụng để thiết kế các ứng dụng này. Do đó, việc tạo IDS để nhận biết các hoạt động đáng ngờ trên một trang web yêu cầu một cách tiếp cận khác đáng kể so với IDS được thiết kế để giám sát lưu lượng mạng.

Hệ thống Ngăn chặn Xâm nhập (IPS) là một chương trình có tất cả các tính năng của Hệ thống Phát hiện Xâm nhập; nó cũng có khả năng ngăn chặn sự xâm nhập. Nó có khả năng dừng hoặc chặn traffic mạng dựa trên logic hoặc dấu vết. Tất cả trong thời gian thực và có thể được kết hợp với các thiết bị và hồ sơ báo cáo và phân tích hiệu suất khác.

<i><b>2.1.2. Các phương pháp phát hiện </b></i>

Các phương pháp luận phát hiện xâm nhập được phân thành ba loại chính: Phát hiện dựa trên chữ ký (SD), Phát hiện dựa trên điểm bất thường (AD) và phân tích giao thức trạng thái (SPA). Bảng 2.1 cho thấy ưu và nhược điểm của ba phương pháp phát. Mô tả khái niệm của chúng như sau:

- Phát hiện dựa trên chữ ký (SD) là một mẫu hoặc chuỗi tương ứng với một cuộc tấn công hoặc mối đe dọa đã biết. SD là quá trình so sánh các mẫu với các sự kiện đã bắt được để nhận ra các hành vi xâm nhập có thể xảy ra. Do sử dụng kiến thức tích lũy được từ các cuộc tấn công cụ thể và lỗ hổng hệ thống, SD còn được gọi là Phát hiện dựa trên kiến thức.

- Phát hiện dựa trên sự bất thường (AD) là sự sai lệch đối với một hành vi đã biết và các cấu hình đại diện cho các hành vi bình thường hoặc được mong đợi bắt nguồn từ giám sát các hoạt động thường xuyên, kết nối mạng, máy chủ hoặc người dùng trong một khoảng thời gian. Hồ sơ có thể là tĩnh hoặc động và được phát triển cho nhiều thuộc

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 29</span><div class="page_container" data-page="29">

tính, ví dụ: các lần đăng nhập không thành công, số lượng e-mail đã gửi, … .Sau đó, AD so sánh các hồ sơ bình thường với các sự kiện được quan sát để nhận ra các cuộc tấn công đáng kể. AD cũng được gọi là phát hiện dựa trên hành vi. Một số ví dụ của AD, ví dụ: cố gắng đột nhập, giả mạo, thâm nhập bởi người dùng hợp pháp, từ chối dịch vụ (DOS).

- Phân tích giao thức trạng thái (SPA) chỉ ra rằng IDS có thể biết và theo dõi các trạng thái giao thức (ví dụ: ghép nối các yêu cầu với các trả lời). Tưởng rằng quy trình SPA trông giống như quảng cáo, nhưng về cơ bản chúng khác nhau. AD sử dụng mạng được tải trước hoặc cấu hình máy chủ lưu trữ cụ thể, trong khi SPA phụ thuộc vào cấu hình chung do nhà cung cấp phát triển cho các giao thức cụ thể. Nói chung, các mơ hình giao thức mạng trong SPA ban đầu dựa trên các tiêu chuẩn giao thức từ các tổ chức tiêu chuẩn quốc tế, ví dụ: IETF. SPA cịn được gọi là phát hiện dựa trên đặc điểm kỹ thuật. Hầu hết các IDS kết hợp sử dụng nhiều phương pháp để cung cấp khả năng phát hiện rộng rãi và chính xác hơn. Ví dụ: SD và AD là các phương pháp bổ sung, vì phương pháp trước đây liên quan đến các cuộc tấn công nhất định.

<b>Phương pháp Signature-based </b>

(knowledge-based)

Anomaly-based (behavior-based)

Stateful protocol analysis (specification-based)

Ưu điểm - Phương pháp đơn giản và hiệu quả nhất để phát hiện các cuộc tấn công đã biết.

- Phân tích ngữ cảnh chi tiết.

- Hiệu quả để phát hiện các lỗ hổng mới và khơng lường trước được. - Ít phụ thuộc vào hệ điều hành. - Tạo điều kiện thuận lợi cho việc phát hiện lạm dụng đặc quyền.

- Biết và theo dõi các trạng thái giao thức. - Phân biệt các chuỗi lệnh không mong muốn.

Nhược điểm - Không hiệu quả để phát hiện các cuộc tấn công không xác định, các cuộc tấn công trốn tránh và các biến thể của các

- Độ chính xác của cấu hình yếu do các sự kiện quan sát được thay đổi liên tục.

- Khơng khả dụng trong q trình xây

- Tiêu tốn tài nguyên để theo dõi và kiểm tra trạng thái giao thức. - Không thể kiểm tra các cuộc tấn công trông giống như các hành vi giao thức bình thường.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 30</span><div class="page_container" data-page="30">

cuộc tấn cơng đã biết.

- Hiểu biết ít về các trạng thái và giao thức.

- Khó giữ các chữ ký, mẫu được cập nhật.

- Tốn thời gian để duy trì hiểu biết về các cách tấn cơng.

dựng lại hồ sơ hành vi.

- Khó kích hoạt cảnh báo đúng lúc

Bảng 2.1. Ưu và nhược điểm của các phương thức phát hiện xâm nhập

<i><b>2.1.3. Phân loại hệ thống phát hiện xâm nhập </b></i>

Ngày nay, có rất nhiều loại cơng nghệ IDS. Có thể phân loại các công nghệ thành bốn loại tùy theo nơi chúng được triển khai để kiểm tra các hoạt động đáng ngờ và các loại sự kiện nào mà chúng có thể nhận ra.

HIDS là loại phát hiện xâm nhập được phát triển đầu tiên. HIDS giám sát và phân tích hệ thống máy tính nội bộ hoặc các hoạt động cấp hệ thống của một máy chủ như: cấu hình hệ thống, hoạt động ứng dụng, lưu lượng mạng không dây (chỉ dành cho máy chủ đó) hoặc giao diện mạng, nhật ký hệ thống hoặc nhật ký kiểm tra, chạy các quy trình người dùng hoặc ứng dụng. Hình 2.2 đại diện cho HIDS. Các khả năng của HIDS bao gồm kiểm tra tính tồn vẹn, tương quan sự kiện, phân tích nhật ký, thực thi chính sách, phát hiện rootkit, bộ xử lý, bộ nhớ, đĩa cứng và sử dụng pin và cảnh báo. HIDS có xu hướng chính xác hơn và ít dương tính giả hơn IDS dựa trên mạng bởi vì nó phân tích các tệp log và do đó, nó có thể xác định liệu một cuộc tấn cơng có xảy ra thành công hay không. Hệ thống phát hiện xâm nhập dựa trên máy chủ yêu cầu các chương trình hoặc agent được cài đặt trên hệ thống để tạo báo cáo cho biết nếu có bất kỳ hoạt động độc hại nào xảy ra. Sự cố với hệ thống dựa trên máy chủ là họ có xu hướng sử dụng nhiều tài nguyên vì họ sử dụng cùng một tài ngun máy tính được cài đặt trên đó và khơng có hệ điều hành độc lập như các loại IDS khác.

Không giống như NIDS, kiểm tra tất cả lưu lượng mạng, HIDS kiểm tra và phát hiện các hành vi bất thường bên trong một máy chủ. Nguyên tắc trung tâm đằng sau tính hiệu quả của HIDS là những kẻ tấn công thường để lại dấu vết hoạt động của chúng. Ví dụ, họ có thể cài đặt phần mềm trên máy tính mà họ đã tiếp quản. Nói chung, HIDS sẽ duy trì cơ sở dữ liệu của các đối tượng hệ thống mà nó cần giám sát. Cơ sở dữ liệu chứa

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div><span class="text_page_counter">Trang 31</span><div class="page_container" data-page="31">

thông tin quan trọng về các đối tượng hệ thống này bao gồm các thuộc tính, thời gian sửa đổi, kích thước. Ngồi ra, cơ sở dữ liệu có thể chứa tổng kiểm tra hoặc băm của các đối tượng hệ thống. Các đối tượng này sau này có thể được sử dụng để so sánh với các đối tượng hệ thống hiện tại. Nếu tại một thời điểm nào đó, một đối tượng trở nên không nhất quán, hệ thống có thể tạo ra một cảnh báo. Tuy nhiên, bằng cách nào đó kẻ tấn cơng có thể giành được quyền truy cập vào cơ sở dữ liệu. Do đó, chỉ cần khớp một hàm băm không đảm bảo rằng kẻ xâm nhập đã không can thiệp vào tệp được đề cập. Đối với các tệp rất động, kỹ thuật tổng kiểm tra này sẽ không hiệu quả.

IDS là các sản phẩm được thiết kế để phát hiện các truy cập hoặc thao tác không mong muốn của hệ thống. Tuy nhiên, chúng thường không ngăn chặn hoặc bảo vệ khỏi các cuộc tấn công. Hệ thống IDS cũng là hệ thống lâu đời nhất hiện có. Ngược lại, mục đích của hệ thống ngăn chặn xâm nhập (IPS) không chỉ là phát hiện một cuộc tấn công đang xảy ra mà cịn để ngăn chặn nó. Để làm được như vậy, nó có thể được coi là sự kết hợp nâng cao giữa tường lửa và IDS. Để minh họa điều này, trước tiên chúng ta xem xét tường lửa hoạt động như thế nào. Ý tưởng đằng sau tường lửa xuất phát từ việc sử dụng chúng trong việc xây dựng tòa nhà để ngăn chặn sự lây lan của đám cháy. Theo nghĩa mạng, chúng thực hiện một chức năng tương tự. Thay vì ngăn lửa lan từ tòa nhà này sang tòa nhà khác, chúng ngăn chặn một số lưu lượng mạng nhất định đi từ phần mạng này sang phần mạng khác. Nó thường thực hiện điều này bằng cách kiểm tra các phần của gói IP và quyết định có cho phép gói đó đi qua hay khơng. Tường lửa có thể hoạt động theo cả hai hướng, ngăn chặn lưu lượng truy cập vào và ra khỏi mạng. Tường lửa có thể được coi là một loại IPS rất đơn giản trong đó nó hoạt động bằng cách sử dụng địa chỉ IP và các cổng và thông tin tiêu đề khác, nhưng nó khơng xem xét nội dung của gói tin. IPS tiên tiến hơn ở chỗ nó có thể sử dụng thông tin lớp ứng dụng để cố gắng xác định mục đích của gói tin. Như đã đề cập, nó kết hợp sức mạnh lọc của tường lửa, với sức mạnh phát hiện như IDS có, cùng với khả năng ngăn chặn các cuộc tấn cơng. Vì những lý do này IPS được coi là một trong những công nghệ mạng đầy hứa hẹn. Tương tự như IDS, IPS có thể được chia thành nhiều loại. Cũng giống như IDS, chúng bao gồm IPS dựa trên mạng (NIPS) và IPS dựa trên máy chủ (HIPS).

Xu hướng gần đây trong ngành cho thấy ngày càng có nhiều cơng ty lựa chọn các giải pháp dựa trên IPS thay vì các giải pháp dựa trên IDS, chủ yếu do nhu cầu chủ động ngăn chặn các cuộc tấn công của hacker, thay vì giám sát chúng một cách thụ động như một hệ thống IDS vẫn làm. Mặc dù lưu lượng truy cập hợp pháp thường bị chặn cũng giống như lưu lượng truy cập độc hại, hầu hết các quản trị viên hệ thống tin rằng lợi ích chắc chắn lớn hơn nhược điểm, đặc biệt là khi xem xét thiệt hại đáng kể mà một con sâu thành cơng hoặc hacker có thể có trên một tổ chức. Nó nên được lưu ý rằng việc chặn lưu lượng truy cập hợp pháp không phải là duy nhất vấn đề trong hệ thống IPS. Sự cố này xảy ra ở bất kỳ loại nào của hệ thống chặn lưu lượng truy cập, bao gồm cả tường lửa. Các khả năng xác định bản chất độc hại của một gói tin với chỉ đơn giản là độ chính xác 100% là khơng thể. Vì lý do này, bất kỳ triển khai bảo mật tương tự đều không tránh khỏi dương tính giả.

62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM62Thursday, June 13, 20249:32:23 PM9:32:23 PM

62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM62Thursday, June 13, 20249:32:24 PM9:32:24 PM

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

</div>

nghiên cứu hệ thống phát hiện và đưa ra cảnh báo một số loại tấn công sử dụng snort

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

62hghieh euu thue trahg eohg tae giam hgheo treh dic bah xa thahh yeh huyeh thaeh thahh tihh thchh hocThursday, June 13, 2024

Tài liệu liên quan

Tài liệu bạn tìm kiếm đã sẵn sàng tải về