Giải pháp bảo mật dựa trên trí thông minh doanh nghiệp cho thương mại hóa công nghệ

NGUYỄN MẠNH TUẤN

BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
---------------------------------------

NGUYỄN MẠNH TUẤN

CÔNG NGHỆ THÔNG TIN

GIẢI PHÁP BẢO MẬT DỰA TRÊN TRÍ THƠNG MINH
DOANH NGHIỆP CHO THƯƠNG MẠI HỐ CƠNG NGHỆ

LUẬN VĂN THẠC SĨ KHOA HỌC
CƠNG NGHỆ THÔNG TIN

2013B
Hà Nội - Năm 2016


BỘ GIÁO DỤC VÀ ĐÀO TẠO
TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI
--------------------------------------NGUYỄN MẠNH TUẤN

GIẢI PHÁP BẢO MẬT DỰA TRÊN TRÍ THƠNG MINH
DOANH NGHIỆP CHO THƯƠNG MẠI HỐ CƠNG NGHỆ

Chun ngành : CÔNG NGHỆ THÔNG TIN

LUẬN VĂN THẠC SĨ KHOA HỌC
CÔNG NGHỆ THÔNG TIN

NGƯỜI HƯỚNG DẪN:
TS. VŨ THỊ HƯƠNG GIANG

Hà Nội - Năm 2016


LỜI CAM ĐOAN
Tôi xin cam đoan: Luận văn thạc sỹ Cơng nghệ thơng tin “Giải pháp bảo
mật dựa trên trí thơng minh doanh nghiệp cho thương mại hố cơng nghệ” là
cơng trình nghiên cứu thực sự của cá nhân, được thực hiện trên cơ sở tìm hiểu lý
thuyết để đề xuất ứng dụng giải pháp trí thơng minh doanh nghiệp trong bài toán
bảo mật cho các ứng dụng web thương mại hố cơng nghệ, dưới sự hướng dẫn khoa
học của TS. Vũ Thị Hương Giang.
Tôi xin chịu trách nhiệm về lời cam đoan này./.
Hà Nội, ngày 20 tháng 10 năm 2016
Tác giả

Nguyễn Mạnh Tuấn

1


LỜI CẢM ƠN
Để hồn thành chương trình cao học và viết luận văn này, tôi xin chân thành
cảm ơn đến q Thầy, Cơ trong Viện Cơng nghệ thơng tin và Truyền thông, trường
Đại học Bách khoa Hà Nội đã nhiệt tình dạy bảo tơi trong thời gian học tập và
nghiên cứu.
Tôi xin gửi lời biết ơn sâu sắc đến TS. Vũ Thị Hương Giang đã dành rất
nhiều thời gian và nhiệt huyết để hướng dẫn tơi hồn thành luận văn.

Nhân đây tôi cũng xin cảm ơn các Thầy, Cô trong Bộ Môn Công nghệ phần
mềm, Viện Công nghệ thông tin và Truyền thông đã tạo điều kiện thuận lợi cho tơi
trong q trình học tập và cơng tác.
Cuối cùng tơi xin gửi lời cám ơn đến gia đình, vợ và con cùng các bạn đồng
nghiệp đã động viên kịp thời, tạo mọi điều kiện giúp đỡ tơi trong q trình thực hiện
luận văn. Tuy nhiên, dù bản thân đã có nhiều cố gắng để hồn thành luận văn,
nhưng khơng thể tránh khỏi những hạn chế và thiếu sót. Kính mong các Thầy, Cơ
tận tình chỉ bảo, đồng thời góp ý kiến q báu để tơi có thể hồn thiện luận văn của
mình thêm.
Xin trân trọng cảm ơn./.
Học viên
Nguyễn Mạnh Tuấn

2


MỤC LỤC
DANH MỤC CHỮ VIẾT TẮT...........................................................................................................6
DANH MỤC CÁC HÌNH ...................................................................................................................7
DANH MỤC CÁC BẢNG .................................................................................................................9
MỞ ĐẦU.......................................................................................................................................... 10
1. Lý do chọn đề tài ...................................................................................................................... 10
2. Mục đích nghiên cứu của luận văn, đối tượng, phạm vi nghiên cứu. ...................................... 12
3. Tóm tắt các nội dung chính ...................................................................................................... 14
CHƯƠNG 1. TỔNG QUAN ........................................................................................................... 15
Mở chương ................................................................................................................................... 15
1.1. Hiện trạng an toàn các ứng dụng Web thương mại hố cơng nghệ....................................... 15
1.1.1. Giới thiệu chung về thương mại hố cơng nghệ và thương mại điện tử ........................ 15
1.1.2. Vấn đề đảm bảo an toàn cho ứng dụng Web thương mại hố cơng nghệ ...................... 19
1.2. Đặc điểm của truy vấn trong tấn công ứng dụng Web .......................................................... 22

1.2.1. Thay đổi giá trị tham số truyền trong truy vấn .............................................................. 23
1.2.2. Chèn mã lệnh thực thi trong truy vấn ............................................................................ 27
1.2.3. Tấn công từ chối dịch vụ (Denial of Service - DoS) ...................................................... 28
1.3. Các giải pháp phát hiện tấn công vào Web thương mại hố cơng nghệ................................ 29
1.3.1. Phát hiện tấn cơng dựa trên tệp nhật ký ........................................................................ 31
1.3.2. Phát hiện tấn công dựa trên dấu hiệu bất thường.......................................................... 34
1.3.3. Vấn đề lựa chọn đặc trưng của truy vấn ........................................................................ 34
1.4. Xây dựng ứng dụng Web minh hoạ phân tích đặc trưng truy vấn ........................................ 36
1.5. Mục tiêu của luận văn ........................................................................................................... 37
Kết chương ................................................................................................................................... 38
CHƯƠNG 2. CƠ SỞ LÝ THUYẾT VÀ CÔNG NGHỆ ................................................................ 40
Mở chương ................................................................................................................................... 40
2.1. Giới thiệu về trí thơng minh doanh nghiệp (Business Intelligence) ...................................... 40
2.1.1. Khái niệm cơ bản ........................................................................................................... 40
2.1.2. Kiến trúc kinh doanh thông minh ................................................................................... 41

3


2.2. Tổng quan về các phương pháp phát hiện bất thường .......................................................... 43
2.2.1. Phương pháp dựa trên thống kê .................................................................................... 43
2.2.2. Phương pháp dựa trên tri thức....................................................................................... 45
2.2.3. Phương pháp dựa trên học máy ..................................................................................... 47
2.3. Phát hiện truy vấn bất thường trong ứng dụng Web thương mại hố cơng nghệ .................. 49
2.3.1. Phát hiện bất thường một truy vấn đơn.......................................................................... 52
2.3.2. Phát hiện bất thường một chuỗi truy vấn ....................................................................... 55
2.3.3. Phát hiện bất thường trên dữ liệu phản hồi ................................................................... 56
2.4. Các kỹ thuật xây dựng giải pháp BI ...................................................................................... 59
2.4.1. Giới thiệu về OLAP (On-Line Analytical Processing) ................................................... 59
2.4.2. Khai phá dữ liệu ............................................................................................................. 63

CHƯƠNG 3. Đề xuất mơ hình phát hiện truy vấn bất thường cho ứng dụng thương mại hố cơng
nghệ sử dụng BI ............................................................................................................................... 69
Mở chương ................................................................................................................................... 69
3.1. Mơ hình các đặc trưng truy vấn Web thương mại hố cơng nghệ ........................................ 70
3.1.1. Định hướng giải pháp .................................................................................................... 70
3.1.2. Các mơ hình tính tốn đặc trưng ................................................................................... 72
3.2. Đề xuất mơ hình lưu trữ dữ liệu đa chiều truy vấn bất thường ............................................. 80
3.2.1. Các yêu cầu chung ......................................................................................................... 80
3.2.2. Khối thông tin truy vấn bất thường ................................................................................ 82
3.2.3. Khối thông tin cảnh báo ................................................................................................. 88
3.3. Xây dựng cây quyết định truy vấn bất thường và ra cảnh báo .............................................. 89
3.3.1. Xây dựng cây quyết định truy vấn bất thường ............................................................... 89
3.3.2. Xây dựng cây ra quyết định cảnh báo ............................................................................ 90
3.3.3. Trích rút bộ luật nhận dạng ........................................................................................... 91
3.3.4. Ví dụ xây dựng cây quyết định cho ứng dụng Web minh hoạ ........................................ 92
3.4. Xây dựng ứng dụng khai thác dữ liệu truy vấn bất thường ................................................... 94
3.4.1. Định hướng giải pháp .................................................................................................... 94
3.4.2. Mô tả các yêu cầu chức năng của ứng dụng .................................................................. 96
3.4.3. Thiết kế các truy vấn phân tích dữ liệu đa chiều............................................................ 97
Kết chương ................................................................................................................................... 98
CHƯƠNG 4. THỬ NGHIỆM VÀ ĐÁNH GIÁ ............................................................................... 99

4


Mở chương ................................................................................................................................... 99
4.1. Thử nghiệm mơ hình phát hiện truy vấn bất thường ............................................................. 99
4.1.1. Bộ dữ liệu thử nghiệm .................................................................................................... 99
4.1.2. Kết quả xây dựng cây quyết định truy vấn bất thường................................................. 103
4.1.3. Bộ luật nhận dạng cho truy vấn bất thường................................................................. 106

4.1.4. Đánh giá về hiệu năng ................................................................................................. 108
4.2. Kết quả xây dựng chương trình khai thác dữ liệu truy vấn ................................................. 109
4.2.1. Giao diện đăng nhập .................................................................................................... 110
4.2.2. Giao diện trang Dashboard ......................................................................................... 110
4.2.2. Giao diện thống kê danh sách truy vấn bất thường ..................................................... 111
Kết chương ................................................................................................................................. 112
KẾT LUẬN .................................................................................................................................... 113
TÀI LIỆU THAM KHẢO.............................................................................................................. 115

5


DANH MỤC CHỮ VIẾT TẮT
HTTP

Hyper Text Transfer Protocol

BI

Business Intelligence

WAF

Web Application Firewall

OWASP

Open Web Application Security Project

WEKA

Waikato Environment for Knowledge Analysis

CSIC

Spanish National Research Council

SQL

Structured Query Language

XSS

Cross-site Scripting

DDoS

Distributed Denial of Service

IDS

Intrusion Detection System

IPS

Intrusion Prevention System

SVM

Support Vector Machine

AIS

Artificial Immune System

URI

Uniform Resource Identifier

CSRF

Cross Site Request Forgery

HTML

Hyper Text Markup Language

6


DANH MỤC CÁC HÌNH
Hình 1: Website Chợ cơng nghệ và thiết bị Hà Nội......................................................................... 16
Hình 2: Mơ hình hoạt động tổng quan của ứng dụng Web thương mại ........................................... 18
Hình 3: Khả năng ghi nhận các hành vi tấn công vào website của các tổ chức, doanh nghiệp ....... 20
Hình 4: Các mục tiêu tấn công của ứng dụng Web .......................................................................... 21
Hình : Thay đổi giá trị User-Agent trong truy vấn HTTP .............................................................. 22
Hình : Top 10 phương pháp tấn cơng ứng dụng Web .................................................................... 23
Hình : Mơ hình client/server của ứng dụng Web ........................................................................... 24
Hình : Cấu trúc một thơng điệp truy vấn HTTP............................................................................. 24
Hình : Thống kê tần suất truy vấn đến máy chủ Web .................................................................... 29

Hình 10: Vị trí tường lửa ứng dụng Web ......................................................................................... 30
Hình 11: Các nguồn thu thập dữ liệu nhật ký .................................................................................. 31
Hình 12: Một mẩu tin nhật ký truy cập của máy chủ Apache .......................................................... 32
Hình 13: Phát hiện tấn cơng qua dữ liệu nhật ký ............................................................................. 33
Hình 14: Giao diện trang chủ ứng dụng Web minh hoạ .................................................................. 36
Hình 1 : Sơ đồ phân cấp của ứng dụng ........................................................................................... 37
Hình 1 : Kiến trúc kinh doanh thơng minh...................................................................................... 42
Hình 1 : Ví dụ sử dụng giá trị ngưỡng giới hạn số lần thử đăng nhập ............................................ 43
Hình 1 : Xác định bất thường theo chuỗi thời gian ......................................................................... 45
Hình 1 : Ví dụ về cây quyết định .................................................................................................... 46
Hình 20: Cấu trúc một truy vấn HTTP............................................................................................. 50
Hình 21: Cấu trúc một URI trong truy vấn HTTP ........................................................................... 51
Hình 22: Giá trị bất thường trong tiêu đề của truy vấn .................................................................... 53
Hình 23: Sự xuất hiện bất thường của tham số roll trong truy vấn .................................................. 55
Hình 24: Mơ hình các khối (cube) ................................................................................................... 59
Hình 2 : Các thành phần của OLAP ................................................................................................ 61
Hình 24: Phân tích dữ liệu đa chiều ................................................................................................. 62
Hình 2 : Minh hoạ cây quyết định................................................................................................... 64
Hình 2 : uy trình áp dụng BI phát hiện truy vấn bất thường ........................................................ 69
Hình 2 : Mơ hình đề xuất phát hiện truy vấn bất thường của ứng dụng Web ................................. 71
Hình 30: Xác định giá trị đặc trưng của truy vấn theo thống kê ...................................................... 73
Hình 31: Xác định giá trị đặc trưng tần suất truy vấn ...................................................................... 73
Hình 32: Xác định giá trị đặc trưng theo phân phối của các ký tự ................................................... 74
Hình 33: Xác định giá trị đặc trưng theo mơ hình dấu hiệu ............................................................. 75
Hình 31: Xác định giá trị đặc trưng theo mơ hình thứ tự ................................................................. 77
Hình 3 : Các nguồn dữ liệu giúp quyết định cảnh báo tấn cơng ..................................................... 80
Hình 3 : Mơ tả khối dữ liệu ............................................................................................................. 82
Hình 3 : Mơ tả chiều thời gian ........................................................................................................ 83
Hình 3 : Chiều thơng tin ứng dụng Web ......................................................................................... 84
Hình 3 : Chiều thông tin máy khách ............................................................................................... 85

7


Hình 40: Chiều thơng tin giao thức .................................................................................................. 86
Hình 41: Mô tả khối thông tin cảnh báo tấn công ............................................................................ 88
Hình 42: Mơ tả cây quyết định truy vấn bất thường ........................................................................ 90
Hình 43: Mơ tả cây quyết định cảnh báo tấn cơng ........................................................................... 91
Hình 44: Các pha trong q trình trích xuất luật phân lớp ............................................................... 92
Hình 4 : Cây quyết định của ứng dụng thử nghệm ......................................................................... 93
Hình 4 : Cây quyết định cảnh báo của ứng dụng thử nghiệm ......................................................... 94
Hình 4 : uy trình xử lý truy vấn của Mod Security ...................................................................... 95
Hình 4 : Sơ đồ Usecase tổng quát của ứng dụng khai thác dữ liệu truy vấn ................................... 96
Hình 4 : Sử dụng cơng cụ Weka tiền xử lý dữ liệu trước khi dựng cây ........................................ 101
Hình 0: Số truy vấn tương ứng với các phương thức gửi............................................................. 102
Hình 1: Số truy vấn tương ứng với mỗi trang Web...................................................................... 102
Hình 2: Biểu diễn trực quan các giá trị đặc trưng của truy vấn.................................................... 103
Hình 3: Kết quả xây dựng cây quyết định.................................................................................... 104
Hình 4: Hình cây quyết định phát hiện bất thường cho tập truy vấn CSIC 2010 ........................ 104
Hình : Kết quả đánh giá trên tập dữ liệu kiểm thử ..................................................................... 105
Hình : Biểu đồ kết quả phát hiện dựa trên đặc trưng số ký tự bất thường ................................. 105
Hình : Tổng quan về các luật nhận dạng .................................................................................... 106
Hình : Mức độ sử dụng RAM của Web server........................................................................... 108
Hình : Số byte yêu cầu gửi đến máy chủ Apache ...................................................................... 109
Hình 0: Sơ đồ phân cấp chức năng của ứng dụng khai thác dữ liệu truy vấn .............................. 109
Hình 1: Giao diện đăng nhập người quản trị ................................................................................ 110
Hình 2: Giao diện trang Dashboard ............................................................................................. 110
Hình 3: Giao diện liệt kê danh sách truy vấn phát hiện ............................................................... 111
Hình 4: Giao diện thống kê số truy vấn theo URL....................................................................... 111
Hình : Giao diện bộ lọc thông tin truy vấn................................................................................. 111

8


DANH MỤC CÁC BẢNG
Bảng 1: Mô tả các trường trong nhật ký truy nhập của máy chủ Web............................................. 32
Bảng 2: Bảng tổng hợp các phương pháp phát hiện bất thường ...................................................... 49
Bảng 3: Bảng ví dụ cấu trúc và dữ liệu trong một truy vấn HTTP .................................................. 51
Bảng 4: Bảng tổng hợp các đặc trưng phát hiện truy vấn bất thường của ứng dụng Web ............... 59
Bảng : Bảng các đặc trưng của truy vấn......................................................................................... 70
Bảng 6: Bảng các đặc trưng xác định truy vấn bất thường .............................................................. 79
Bảng : Các đặc trưng xác định cảnh báo tấn công ......................................................................... 80
Bảng : Mô tả các bảng dữ liệu trong Đánh giá truy vấn và Cảnh báo ........................................... 81
Bảng : Giải thích tên các bảng chiều .............................................................................................. 81
Bảng 10: Giải thích tên các bảng sự kiện ......................................................................................... 82
Bảng 11: Bảng dữ liệu thời gian ...................................................................................................... 83
Bảng 12: Bảng dữ liệu Năm ............................................................................................................. 83
Bảng 13: Bảng thông tin ứng dụng Web .......................................................................................... 84
Bảng 14: Bảng thông tin các module ............................................................................................... 84
Bảng 1 : Bảng thông tin các Webpages .......................................................................................... 85
Bảng 1 : Bảng thông tin máy khách ................................................................................................ 86
Bảng 1 : Bảng thơng tin trình duyệt ................................................................................................ 86
Bảng 1 : Bảng thơng tin hệ điều hành ............................................................................................. 86
Bảng 1 : Bảng thông tin giao thức .................................................................................................. 86
Bảng 20: Bảng thông tin phương thức truy vấn ............................................................................... 87
Bảng 21: Bảng sự kiện chứa thông tin truy vấn ............................................................................... 88
Bảng 22: Bảng phân loại cảnh báo................................................................................................... 88
Bảng 23: Bảng sự kiện chứa thông tin cảnh báo .............................................................................. 89
Bảng 24: Các thuộc tính đặc trưng cây quyết định cảnh báo ........................................................... 91
Bảng 2 : Một số truy vấn báo cáo thống kê..................................................................................... 98

Bảng 2 : minh hoạ các giá trị đặc trưng của truy vấn trong bộ dữ liệu CSIC 2010 ...................... 101
Bảng 2 : Bộ luật cho bộ dữ liệu CSIC 2010 .................................................................................. 107

9


MỞ ĐẦU
1. Lý do chọn đề tài
Trong những năm qua, sự phát triển mạnh mẽ hoạt động nghiên cứu, sáng
chế của các viện nghiên cứu, tổ chức doanh nghiệp hay cá nhân tạo ra hàng nghìn
sản phẩm mới mỗi năm. Nhiều kết quả trong nhóm này có khả năng ứng dụng rất
lớn vì nó xuất phát từ bài tốn thực tiễn sản xuất. Tuy vậy q trình thương mại hố
cơng nghệ, một khâu quan trọng để giới thiệu và đưa các kết quả và sản phẩm
nghiên cứu vào sản xuất, kinh doanh thực tế tại Việt Nam vẫn còn hạn chế. Một
trong những nguyên nhân là do sự thiếu hụt các kênh quảng bá thông tin sản phẩm
một cách hiệu quả đến người dùng quan tâm.
Sự phổ biến rộng rãi của công nghệ thông tin và internet đã phần nào giải
quyết được vấn đề này. Các tổ chức, doanh nghiệp và cá nhân có thể nhanh chóng
xây dựng website giới thiệu sản phẩm dịch vụ, các sàn giao dịch công nghệ, website
thương mại điện tử, trở thành cầu nối lan truyền thơng tin đến người dùng cuối và
những người có nhu cầu. Những ứng dụng Web như vậy đã trở thành một công cụ
quan trọng của các tổ chức, doanh nghiệp trong thời đại kỹ thuật số. Nó khơng chỉ
đơn thuần là quảng bá thông tin mà các chức năng ngày càng được mở rộng tạo ra
một kênh giao tiếp hai chiều giúp doanh nghiệp thực hiện các giao dịch với khách
hàng.
Phạm vi ứng dụng Web ngày càng mở rộng trong môi trường internet đa
người dùng làm gia tăng các nguy cơ đe dọa an tồn thơng tin. Số lượng các vụ tấn
cơng vào các hệ thống website nói chung và website thương mại hố cơng nghệ của
các tổ chức doanh nghiệp đều tăng theo cấp số nhân. Theo báo cáo của Cục An tồn
thơng tin (Bộ Thơng tin & truyền thơng) và VNISA (Hiệp hội An tồn thơng tin Việt

Nam) đã công bố kết quả khảo sát về an tồn thơng tin trong năm 2014 cho thấy
Việt Nam đã xuất hiện khoảng hơn 4.000 cuộc tấn công đã được ghi nhận là có xâm
phạm an tồn thơng tin đối với các hệ thống website có tên miền .vn. Cũng theo báo

10


cáo này trong năm 201 , số vụ tấn công thay đổi giao diện website tăng hơn gấp đôi
với trên 10.000 vụ. Theo đánh giá của BKAV có trên 40% các website của Việt
Nam tồn tại lỗ hổng bảo mật có thể dẫn đến nguy cơ bị tấn cơng. Điều này cho thấy
các ứng dụng web nói chung, một trong những nhân tố giúp hỗ trợ tăng hiệu suất
làm việc, hiệu quả kinh tế cho tổ chức, doanh nghiệp lại chưa nhận được sự quan
tâm đúng mức cho khía cạnh đảm bảo an tồn thơng tin. Nhiều tổ chức, doanh
nghiệp khi xây dựng hệ thống website thường “bỏ quên” hoặc chưa tích hợp các
giải pháp bảo mật ngay từ đầu. Bên cạnh đó sự phát triển của cơng nghệ cũng làm
xuất hiện nhiều kỹ thuật tấn công mới khiến cho việc tích hợp bảo mật cho những
hệ thống website đã triển khai hoạt động lâu dài gặp nhiều khó khăn và tốn kém chi
phí.
Theo nghiên cứu, trên 0% các kỹ thuật tấn công vào các hệ thống website
bắt đầu bằng việc dị tìm, tấn cơng thử qua các dữ liệu đầu vào được gửi đến máy
chủ web, từ đó phát hiện ra các lỗ hổng bảo mật trong các hệ thống này (OWASP
Top 10-2013). Ví dụ tấn cơng S L injection hay XSS kẻ tấn công thường đưa vào
các giá trị đặc biệt làm sai lệch hoạt động của truy vấn. Việc không nhận dạng và
ngăn chặn các truy vấn bất thường này có thể khiến cho các dữ liệu kinh doanh,
thông tin khách hàng của doanh nghiệp bị đánh cắp, sửa đổi hoặc thậm chí xố bỏ.
Một giải pháp là sử dụng các công cụ quét mã nguồn của hệ thống web, phát
hiện các điểm hở và tiến hành chuẩn hoá, xác nhận các dữ liệu đầu vào trước khi
chuyển đến ứng dụng. Cách tiếp cận này thường gặp khó khăn do ứng dụng web
đang vận hành, việc cập nhật mã nguồn có thể dẫn đến sự mất ổn định và chi phí
bảo trì lớn. Xây dựng một tường lửa chuyên dụng cho ứng dụng web (Web

Application Firewall (WAF)) cũng là một lựa chọn phổ biến. Thông qua phân tích
các bản ghi nhật ký và thơng tin trong các truy vấn để phát hiện các truy vấn bất
thường, thực hiện ngăn chặn và đưa ra cảnh báo cho người quản trị. Người quản trị
thiết lập các chính sách (các luật) để chọn lọc truy vấn cho máy chủ dịch vụ web.
Các luật xử lý truy vấn thường tổng quát dẫn đến đối với ứng dụng cụ thể xuất hiện
các tình huống bỏ sót hoặc phát hiện sai khiến cho ứng dụng mất an toàn hoặc ảnh

11


hưởng đến hoạt động của người dùng. Với mỗi ứng dụng ln cần có nhu cầu xây
dựng một bộ luật đặc thù đảm bảo an toàn và hiệu quả cho ứng dụng.
Đối với các tổ chức, doanh nghiệp, hệ thống website thương mại hố cơng
nghệ khơng chỉ là kênh giao tiếp giúp quảng bá kết quả nghiên cứu, thông tin sản
phẩm, nó cịn hỗ trợ thu thập các dữ liệu giao dịch, tương tác với khách hàng để
tổng hợp phân tích đưa ra các báo cáo thống kê giúp xây dựng các kế hoạch sản
xuất kinh doanh. Những thông tin này cùng với các dữ liệu bảo mật của ứng dụng
đòi hỏi một phương pháp khai phá hiệu quả. Một trong những giải pháp đó là trí
thơng minh doanh nghiệp (Business Intelligence), giải pháp giúp chuyển đổi dữ liệu
thô thành những thơng tin có ý nghĩa hỗ trợ cho người quản lý ra quyết định. Với
nhiều ứng dụng cùng đặt trên máy chủ web, các dữ liệu truy vấn thường đến từ
nhiều nguồn, với số lượng lớn và các trạng thái khác nhau theo thời gian. Điều này
khiến cho việc phân tích dữ liệu truy vấn, xây dựng các bộ luật đặc thù cho mỗi ứng
dụng, thường khơng dễ dàng.
Chính vì vậy tác giả lựa chọn đề tài “Giải pháp bảo mật dựa trên trí thơng
minh doanh nghiệp cho thương mại hố cơng nghệ” nhằm áp dụng các kỹ thuật
kinh doanh thơng minh BI phân tích dữ liệu truy vấn của ứng dụng web thương mại
hố cơng nghệ. Từ đó đề xuất mơ hình phát hiện các truy vấn bất thường qua tập
luật đặc thù đảm bảo an toàn cho ứng dụng.

2. Mục đích nghiên cứu của luận văn, đối tượng, phạm vi nghiên cứu.
Mục đích nghiên cứu:
Luận văn này nhằm đề xuất giải pháp phát hiện các truy vấn bất thường được
gửi đến một ứng dụng web thương mại hố cơng nghệ dựa trên việc phân tích các
dữ liệu truy vấn theo thời gian của ứng dụng đó. Cụ thể:
- Tìm hiểu về:
+ Lý thuyết về hoạt động của ứng dụng web qua giao thức HTTP
+ Các phương pháp phát hiện tấn công ứng dụng Web dựa trên các
truy vấn bất thường

12


+ Giải pháp và các kỹ thuật kinh doanh thông minh (BI) giúp tổ chức
lưu trữ và phân tích dữ liệu truy vấn
- Đề xuất bộ luật phát hiện truy vấn bất thường cho ứng dụng web thương
mại hố cơng nghệ có tính đến các tham số đặc trưng cho các webpage, webmodule
và các đặc trưng tham số (số lượng, kích thước, phân phối ký tự, ký tự đặc biệt) của
ứng dụng.
- Xây dựng ứng dụng cho phép quan sát trạng thái các truy vấn bất thường
được gửi đến ứng dụng, kết xuất các báo cáo thống kê truy vấn bất thường hỗ trợ
cho người quản trị cải thiện các chính sách bảo mật cho ứng dụng.
- Thử nghiệm dưới dạng một plugin (bộ luật cho ứng dụng) của công cụ
ModSecurity
Đối tượng và phạm vi nghiên cứu:
- Dữ liệu truy vấn của ứng dụng web thương mại hố cơng nghệ, cụ thể là
các truy vấn HTTP được gửi đến ứng dụng và tham số của nó.
- Các mơ hình phát hiện bất thường trong các hệ thống phát hiện xâm nhập
- Các chính sách luật của cơng cụ ModSecurity (thiết lập dựa trên các đặc
tính của truy vấn: request header, request body)

- Phát hiện các bất thường trong đặc trưng tham số của truy vấn: số lượng,
kích thước, phân phối ký tự, ký tự đặc biệt
Phương pháp nghiên cứu:
- Nghiên cứu lý thuyết về hoạt động của ứng dụng Web, cấu trúc của các truy
vấn (request) trong giao thức HTTP
- Sử dụng công cụ thu thập dữ liệu truy vấn gửi đến ứng dụng web và phân
tích bộ dữ liệu truy vấn mẫu CSIC 2010 (do Viện bảo mật thông tin thuộc Hội đồng
nghiên cứu quốc gia Tây Ban Nha xây dựng).
- Xây dựng ứng dụng chuẩn hố và trích xuất đặc trưng của truy vấn
- Sử dụng phần mềm WEKA (bộ phần mềm cho học máy và khai phá dữ
liệu) xây dựng cây quyết định phát hiện truy vấn bất thường và trích rút các luật
phát hiện

13


- Cài đặt bộ luật trên công cụ tường lửa ứng dụng Web ModSecurity để thử
nghiệm
- Nghiên cứu xây dựng kho dữ liệu chứa dữ liệu truy vấn bất thường hỗ trợ
cho người quản trị quan sát và kết xuất các báo cáo thống kê

3. Tóm tắt các nội dung chính
Luận văn gồm phần mở đầu, 4 chương chính và phần kết luận, cụ thể:
Chương 1 – Tổng Quan: Trình bày hiện trạng an toàn của các ứng dụng
web thương mại hố cơng nghệ và thương mại điện tử. Giới thiệu chung về các hình
thức tấn cơng ứng dụng web và các giải pháp phát hiện.
Chương 2 – Cơ sở lý thuyết và cơng nghệ: Tìm hiểu về các phương pháp
nhận dạng bất thường nói chung (gồm có phương pháp thống kê, phương pháp dựa
trên học máy). Tiếp theo trình bày các kỹ thuật phát hiện truy vấn bất thường (gồm
có ba nội dung: phát hiện bất thường trong 1 truy vấn, phát hiện bất thường trong

một dãy truy vấn, phát hiện bất thường trong kết quả xử lý truy vấn). Cuối chương
người viết giới thiệu về khái niệm BI và tổng hợp, so sánh và đưa ra đánh giá khả
năng ứng dụng kỹ thuật kinh doanh thông minh BI.
Chương 3 – Đề xuất mơ hình phát hiện truy vấn bất thường cho ứng
dụng thương mại hố cơng nghệ sử dụng BI: Dựa trên cơ sở nền tảng lý thuyết
và cơng nghệ đã tìm hiểu trong chương 2, chương 3 đề xuất mơ hình các đặc trưng
của truy vấn ứng dụng web thương mại hố cơng nghệ. Từ đó xây dựng cây quyết
định phát hiện truy vấn bất thường và cảnh báo tấn cơng theo thuật tốn C4. . Các
dữ liệu truy vấn bất thường được chuẩn hoá, tổ chức lưu trữ phục vụ cho người
quản trị quan sát, kết xuất các báo cáo thống kê. Phần tiếp theo người viết trình bày
đề xuất thiết kế kho dữ liệu lưu trữ truy vấn phục vụ cho mục đích khai thác này.
Chương 4 – Thử nghiệm và đánh giá: Giới thiệu về kết quả thử nghiệm
được thực hiện trên bộ dữ liệu truy vấn mẫu CSIC 2010. Trích xuất tập luật giúp
bảo vệ ứng dụng. Cuối chương là một số kết quả xây dựng phần mềm hỗ trợ người
quản trị khai thác các dữ liệu truy vấn bất thường trong kho dữ liệu.

14


CHƯƠNG 1. TỔNG QUAN
Mở chương
Chương mở đầu trình bày về hiện trạng an toàn của các ứng dụng web
thương mại hố cơng nghệ và thương mại điện tử. Tiếp đó giới thiệu chung về các
hình thức tấn cơng ứng dụng web và các giải pháp phát hiện. Cuối chương người
viết nêu rõ mục đích, nhiệm vụ của luận văn.

1.1. Hiện trạng an toàn các ứng dụng Web thương mại hoá cơng nghệ
1.1.1. Giới thiệu chung về thương mại hố cơng nghệ và thương mại điện tử
Hiện nay việc hỗ trợ thông tin khoa học công nghệ phục vụ doanh nghiêp là
một nhu cầu cấp thiết trong tiến trình đổi mới công nghệ quốc gia. Sự phát triển

mạnh mẽ hoạt động nghiên cứu, sáng chế của các viện nghiên cứu, tổ chức doanh
nghiệp hay cá nhân tạo ra hàng nghìn sản phẩm mới mỗi năm [1]. Nhiều kết quả
trong nhóm này có khả năng ứng dụng rất lớn vì nó xuất phát từ bài toán thực tiễn.
Đây là nguồn tài sản trí tuệ rất lớn đóng góp vào nguồn các kết quả nghiên cứu,
sáng chế phục vụ khai thác thương mại, phát triển sản xuất.
Tuy nhiên thương mại hố cơng nghệ, một khâu quan trọng trong việc đưa
kết quả hoạt động khoa học và công nghệ vào sản xuất, kinh doanh ở Việt Nam vẫn
cịn hạn chế. Những khó khăn trong ứng dụng, thương mại hoá các sản phẩm sáng
tạo là nguyên nhân khiến các tài sản trí tuệ chưa được phát triển và phát huy đúng
giá trị. Trước hết là các cơ chế chính sách chưa khuyến khích và tạo lợi ích thoả
đáng cho tác giả khi kết quả nghiên cứu được thương mại hố. Bên cạnh đó sự thiếu
hụt của các kênh giao tiếp giúp quảng bá thông tin sản phẩm hiệu quả và thu hút
nhà đầu tư cũng là một khó khăn mà các tổ chức nghiên cứu, doanh nghiệp và cá
nhân gặp phải.
Sự phát triển mạnh mẽ của công nghệ thông tin và internet trong những
năm gần đây đã phần nào giải quyết được vấn đề này. Các tổ chức doanh nghiệp và
cá nhân có thể nhanh chóng xây dựng các website giới thiệu sản phẩm dịch vụ, các

15


sàn giao dịch công nghệ, các website thương mại điện tử, trở thành cầu nối lan
truyền thông tin đến người dùng cuối và những người có nhu cầu tìm kiếm thông
tin. Tại Việt Nam được sự quan tâm của nhà nước qua các văn bản chính sách xây
dựng một mơi trường thuận lợi cho thị trường khoa học & công nghệ nên các sàn
giao dịch công nghệ trực tuyến và các website thương mại điện tử đã có những
bước phát triển mạnh mẽ, dần trở thành địa chỉ tin cậy cho các nhà đầu tư [2].
Có thể kể đến các sàn giao dịch công nghệ như: chợ công nghệ và thiết bị
Hà Nội (www.techmarthanoi.vn), sàn giao dịch công nghệ TP. Hồ Chí Minh
(), sàn giao dịch cơng nghệ và thiết bị trực tuyến

( Mỗi cá nhân, tổ chức nghiên cứu hay doanh nghiệp đều có thể
đăng ký mở tài khoản trên các website này. Sau đó đăng tải thơng tin sản phẩm,
dịch vụ hoặc các kết quả nghiên cứu công nghệ mới để thu hút các nhà đầu tư quan
tâm. Đây có thể xem như một dạng của thương mại điện tử với sản phẩm đặc thù
hơn. Hình 1 minh hoạ giao diện trang Chợ công nghệ và thiết bị Hà Nội.

Hình 1: Website Chợ cơng nghệ và thiết bị Hà Nội

Thương mại hố cơng nghệ giúp các bên tham gia thu được nhiều thông tin
về thị trường, đối tác, giảm chi phí tiếp thị và giao dịch, rút ngắn thời gian sản xuất,
tạo dựng và củng cố quan hệ bạn hàng [3]. Những hoạt động của các hệ thống
website thương mại hố cơng nghệ có vai trị hỗ trợ một cách thiết thực:

16


 Đối với bên cung công nghệ: tạo cơ hội để hiểu rõ hơn nhu cầu của bên
mua và những khách hàng tiềm năng để hoạch định chiến lược, định
hướng sản phẩm công nghệ phù hợp với nhu cầu thực tiễn.
 Đối với bên cầu công nghệ và nhà đầu tư: giúp tìm kiếm các sản phẩm và
giải pháp giải quyết các vấn đề công nghệ cụ thể, thiết lập quan hệ hợp
tác, thực hiện các giao dịch mua bán.
 Đối với cơ quan quản lý nhà nước: có thêm kênh thông tin nhận biết tốt
hơn nhu cầu thực tiễn, phát hiện những khó khăn vướng mắc trong giao
dịch cơng nghệ giúp thúc đẩy q trình thương mại hố các sản phẩm
công nghệ.
So với các hoạt động truyền thống, thương mại hố cơng nghệ và thương
mại điện tử nói chung có những điểm khác biệt cơ bản. Mơ hình hoạt động tương tự
một siêu thị hay cửa hàng truyền thống, cho phép người mua chọn lựa hàng hoá,
thay đổi số lượng món hàng, tính tiền, thanh tốn và nhận hàng sau đó. Điểm khác

biệt là các hoạt động trên người dùng có thể thực hiện tại bất kỳ đâu qua việc truy
cập vào hệ thống website của doanh nghiệp hoặc nhà cung cấp. Các bên tiến hành
giao dịch thường không tiếp xúc trực tiếp và khơng địi hỏi phải biết nhau từ trước.
Do các giao dịch được thực hiện qua mạng Internet nên cho phép tất cả mọi người
đều có thể tham gia từ các vùng xa xôi cho đến các đơ thị rộng lớn. Điều này địi
hỏi phải đảm bảo sự tin cậy và bảo mật thông tin khi tiến hành giao dịch. Bên cạnh
đó hệ thống website của các nhà cung cấp và doanh nghiệp cũng phải đảm bảo tính
sẵn sàng cho người dùng có thể truy cập bất kỳ thời điểm nào.
Các ứng dụng Web như vậy đã trở thành một công cụ quan trọng của các tổ
chức, doanh nghiệp trong thời đại kỹ thuật số. Nó không chỉ đơn thuần là quảng bá
thông tin mà các chức năng ngày càng được mở rộng tạo ra một kênh giao tiếp hai
chiều giúp doanh nghiệp thực hiện các giao dịch với khách hàng.
Đặc điểm của thương mại hoá công nghệ là sự đa dạng về số lượng nhà cung
cấp và thị trường, bất cứ cá nhân hay tổ chức nào cũng có thể mở ra một trang web
hoặc một kênh giao dịch và đưa những thông tin về kết quả nghiên cứu, sản phẩm,

17


dịch vụ của mình lên mạng để giới thiệu, kinh doanh hoặc tìm kiếm nhà đầu tư. Tuy
nhiên, sự đa dạng cũng làm cho việc cạnh tranh trở nên gay gắt hơn, và đồng thời
cũng làm nổi lên nhiều vấn đề xung quanh việc quản lý, đặc biệt là các vấn đề về
bảo mật cho các thông tin khách hàng và giao dịch.
Các doanh nghiệp muốn cung cấp những kết quả và sản phẩm mới nhằm thu
hút khách hàng và duy trì lịng tin của các nhà đầu tư thì trước hết các hệ thống
website sử dụng phải đảm bảo tính sẵn sàng cao, đủ năng lực và hiệu quả làm việc.
Những vấn đề bảo mật như phá huỷ, tiết lộ và sửa đổi dữ liệu, từ chối dịch vụ, gian
lận, lãng phí hoặc lạm dụng các nguồn tài nguyên mạng cần phải được giải quyết
[4]. Thương mại hố cơng nghệ qua môi trường web phổ biến ngày nay thường bao
gồm: các trang web front-end cung cấp thông tin cho người dùng truy cập, phần

back-end và cơ sở dữ liệu cho người quản trị thực hiện các chức năng quản lý, máy
chủ Web và cơ sở hạ tầng mạng, mô hình được minh hoạ trong hình 2:

Hình 2: Mơ hình hoạt động tổng quan của ứng dụng Web thương mại

Những khu vực dễ bị tổn thương của hệ thống phải được xác định và thiết
lập các giải pháp hoặc chính sách phù hợp để giảm thiểu nguy cơ của các mối đe
doạ an ninh. Bên cạnh đó việc đảm bảo an tồn thơng tin khơng chỉ là vấn đề thiết
lập bảo mật ban đầu, sự phát triển mạnh mẽ của cơng nghệ cũng khiến cho nguy cơ
mất an tồn ngày càng phức tạp hơn. Sự giám sát và quản lý của người quản trị ln
đóng vai trị quan trọng song hành với quá trình vận hành hệ thống.

18


1.1.2. Vấn đề đảm bảo an toàn cho ứng dụng Web thương mại hố cơng nghệ
Các nguy cơ gây mất an ninh, an toàn trong các hệ thống Web thương mại
hố cơng nghệ có thể đến từ nhiều nguồn khách quan và chủ quan. Hình thức phổ
biến thường được các tin tặc sử dụng là mạo danh một người nào đó để thực hiện
các giao dịch lừa đảo hoặc đánh cắp thơng tin. Sự lừa đảo cũng có thể liên quan đến
việc thay đổi hay làm chệch hướng các liên kết Web đến một trang Web giả mạo.
Theo báo cáo an tồn thơng tin 201 , Việt Nam gặp phải khoảng 3 .1

cuộc tấn

công mạng, tăng gấp 2 lần so với năm 2014, trong đó có . 00 cuộc tấn công lừa
đảo (phishing) và 10.3

cuộc tấn công thay đổi giao diện [5].

Bên cạnh đó đặc điểm của thương mại trên nền tảng Web là cung cấp cho
người dùng khả năng giao dịch bất cứ lúc nào với thời gian nhanh chóng, và đây
cũng là điểm mà các kẻ tấn cơng thường nhắm vào gây tắc nghẽn hệ thống khiến
các giao dịch không thể thực hiện. Mặc dù những cuộc tấn công này không phá huỷ
thông tin hay truy cập vào những vùng cấm của máy chủ nhưng tạo ra nhiều phiền
toái, gây trở ngại cho hoạt động của nhiều doanh nghiệp. Năm 201 , Việt Nam nằm
trong danh sách các quốc gia ghi nhận có số lượt bị tấn cơng từ chối dịch vụ
(DDoS) lớn với tỉ lệ chiếm 3,

% tổng số lượt tấn công từ chối dịch vụ trên toàn thế

giới [5]. Sự gián đoạn hoạt động gây ra những tổn thất về mặt kinh tế đồng thời
cũng ảnh hưởng tới uy tín của doanh nghiệp.
Như vậy có thể thấy số lượng và các kỹ thuật tấn công đều tăng theo hàng
năm, vấn đề đảm bảo tồn thơng tin cho các tổ chức, doanh nghiệp luôn là vấn đề
cấp thiết. Tuy nhiên với quy mô doanh nghiệp ở Việt Nam hiện nay, chủ yếu là
doanh nghiệp vừa và nhỏ, các cá nhân, tổ chức nghiên cứu khi muốn giới thiệu về
kết quả nghiên cứu mới thường là các doanh nghiệp khởi nghiệp (start-up), tiềm lực
tài chính có hạn … việc bố trí lãnh đạo và có bộ phận chun trách về an tồn thơng
tin là hết sức khó khăn. Doanh nghiệp vẫn có thể có lựa chọn khác như th ngồi
các dịch vụ đảm bảo an tồn thơng tin. Theo khảo sát của Hiệp hội an tồn thơng tin
Việt Nam (VNISA) lại cho thấy 1% các tổ chức doanh nghiệp chưa có ý định th
ngồi dịch vụ này, chỉ có 2 % có dự định hoặc đã thuê.

19


Với câu hỏi hệ thống của tổ chức đã từng bị tấn cơng hay chưa (tính từ tháng
1/2015), kết quả khoảng 32% tổ chức, doanh nghiệp khơng biết có bị tấn công hay
không, 3 % cho rằng website không bị tấn cơng, 14% cho biết website của họ có bị

tấn công nhưng không xác định được tần suất và chỉ 1 % phát hiện và theo dõi đầy
đủ các cuộc tấn cơng website [6].

Hình 3: Khả năng ghi nhận các hành vi tấn công vào website của các tổ chức, doanh nghiệp

Điều này cho thấy các ứng dụng web thương mại hố cơng nghệ và thương
mại điện tử nói chung, một trong những nhân tố giúp hỗ trợ tăng hiệu suất làm việc,
hiệu quả kinh tế cho tổ chức, doanh nghiệp lại chưa nhận được sự quan tâm đúng
mức cho khía cạnh đảm bảo an tồn thơng tin. Vấn đề an ninh không chỉ đơn giản là
thiết lập rồi quên, sự hiệu quả của bảo mật liên quan đến việc phân tích kỹ lưỡng,
thực hiện, cập nhật và theo dõi liên tục.
Đảm bảo an ninh cho các giao dịch thực hiện trên mơi trường Web bao gồm
cả ba khía cạnh: bảo mật phía máy khách, phía máy chủ ứng dụng Web và đường
truyền thông tin [7]. Sự riêng tư và tồn vẹn thơng tin người dùng cần được bảo vệ
ngay từ ở phía máy khách. Kẻ tấn cơng có thể sử dụng nhiều cơng cụ phần mềm có
sẵn xâm nhập vào máy tính của người mua. Tất cả các biện pháp được thực hiện để
hạn chế số lượng thông tin cá nhân các trình duyệt có thể truyền tải mà khơng cần
sự đồng ý người sử dụng. Hình 4 mơ tả các đích nhắm đến của kẻ tấn cơng.

20


Hình 4: Các mục tiêu tấn cơng của ứng dụng Web

Trong quá trình giao dịch với các ứng dụng web thương mại, các dữ liệu trao
đổi có thể chứa những thơng tin cá nhân hay thơng tin thẻ thanh tốn nên bảo mật
kênh giao tiếp cũng là một khía cạnh cần chú ý. Điều này nhằm bảo vệ thông tin cá
nhân nhạy cảm hoặc quá cảnh từ bên thứ ba. Biện pháp chính là sử dụng các thuật
tốn mã hố để bảo vệ thông tin trong khi truyền [4].
Đối với máy chủ cơ chế chống tấn đơn giản nhất là xây dựng các hệ thống

tường lửa và cấu hình đúng hệ điều hành. Kẻ tấn công thu thập thông tin về phần
mềm đang sử dụng bằng cách phân tích các trang web và phát hiện sơ hở, thiếu sót
trong máy chủ. Dựa trên những thơng tin này có thể sẽ tìm thấy một điểm yếu trong
phần mềm đang sử dụng và khai thác để truy cập vào hệ thống.
Đối với các ứng dụng Web thương mại hố cơng nghệ và website thương
mại điện tử nói chung, vấn đề cốt lõi đảm bảo an tồn thơng tin liên quan đến việc
kiểm sốt các dữ liệu vào của người dùng thơng qua các truy vấn được gửi đến máy
chủ. Điểm căn bản và cần phải giải quyết tốt đó là các kết nối từ phía người dùng
thường ngồi tầm kiểm sốt của ứng dụng, người dùng có thể nhập hay tùy biến dữ
liệu đầu vào bất kỳ để chuyển về cho ứng dụng xử lý.
Ví dụ: người dùng có thể thay đổi thông tin tiêu đề HTTP trong truy vấn.
Các công cụ này rất đa dạng và có các chức năng gắn thêm ngay trong trình duyệt
như Modify Headers, Headertool,… Hình dưới đây minh hoạ sử dụng công cụ

21


Modify Headers thay đổi giá trị User-Agent của truy vấn HTTP thành thiết bị di
động iPad.

Hình 5: Thay đổi giá trị User-Agent trong truy vấn HTTP

Do đó, để đảm bảo an tồn thì phải giả định rằng các truy vấn chứa dữ liệu
đầu vào đều có thể có nguy cơ là mã độc. Đồng thời có các bước kiểm tra, phát hiện
các truy vấn bất thường nhằm ngăn chặn kẻ tấn cơng gây hại bằng cách can thiệp
vào tính logic, cách thức hoạt động, từ đó có thể truy cập trái phép vào chức năng
và dữ liệu. Tuy vậy số liệu đưa ra bởi VNISA với 32% tổ chức, doanh nghiệp
khơng biết có bị tấn cơng vào hệ thống website hay khơng cho thấy việc đảm bảo an
tồn ngay trên phía máy chủ cịn nhiều thiếu sót.
Với những đặc điểm đã trình bày ở trên, vấn đề an tồn cho các ứng dụng

web thương mại hố cơng nghệ và thương mại điện tử nói chung đang thành một
vấn đề thiết yếu nhằm đảm bảo tốt hơn cho quá trình hoạt động của doanh nghiệp
và đồng thời củng cố niềm tin của người dùng. Khi các công nghệ mới được phát
triển và ứng dụng mạnh mẽ, thì theo đi cùng với nó sẽ là hàng loạt các lỗ hổng bảo
mật mới ra đời. Việc phát hiện và ngăn chặn các cuộc tấn cơng vào phía máy chủ
ứng dụng từ sớm thơng qua phân tích các truy vấn được gửi đến nhằm tìm kiếm các
dấu hiệu bất thường, từ đó đưa ra những cảnh báo và biện pháp xử lý kịp thời sẽ
giúp hạn chế tối đa thiệt hại. Trong phần tiếp theo người viết trình bày khảo sát một
số kỹ thuật tấn công ứng dụng Web phổ biến và đặc điểm của các truy vấn trong các
hình thức tấn cơng này.

1.2. Đặc điểm của truy vấn trong tấn công ứng dụng Web
Các tấn công thường bắt đầu bằng việc thu thập càng nhiều thông tin càng
tốt. Các thông tin như hệ điều hành, cổng được mở, các lỗ hổng của hệ thống

22


đích,… sẽ giúp việc thực hiện trở nên dễ dàng hơn. Mọi chương trình đều có vài lỗ
hổng bảo mật làm cho nó dễ dàng bị tấn cơng [8]. Những điểm yếu này có thể đến
từ các lỗi khi lập trình hoặc “bỏ quên” các yêu cầu bảo mật khi xây dựng chức năng
của ứng dụng. Đối với các hệ thống website thương mại hố cơng nghệ, lỗ hổng bảo
mật đầu tiên đến từ các truy vấn gửi đến máy chủ.
Theo khảo sát các loại tấn công ứng dụng web phổ biến hiện nay của
OWASP (OWASP là dự án mở về bảo mật ứng dụng Web, giúp các tổ chức có thể
phát triển hoặc bảo trì ứng dụng an tồn) liệt kê danh sách Top 10 phương pháp tấn
công vào ứng dụng Web (năm 2013):

Hình 6: Top 10 phương pháp tấn công ứng dụng Web

Từ danh sách này cho thấy các tấn công chủ yếu sử dụng kỹ thuật liên quan
đến thay đổi, chèn thêm, xóa bớt các dữ liệu trong các truy vấn HTTP.
1.2.1. Thay đổi giá trị tham số truyền trong truy vấn
Giao thức HTTP được sử dụng trong giao tiếp giữa máy khách và ứng dụng
Web với cặp thông điệp request / response. Để bắt đầu trao đổi dữ liệu, phía máy
khách khởi tạo một phiên HTTP (session) bằng cách mở một kết nối TCP sau đó
gửi các truy vấn (request) đến máy chủ này.

23