Kỹ thuật phân tích lỗ hổng trong cổng thông tin điện tử
Kỹ thuật phân tích tĩnh
Đây là kỹ thuật phân tích mã nguồn câu lệnh truy vấn SQL được tạo ra từ thông tin đầu vào của người dùng mà không cần thực thi chương trình. Việc này sẽ giúp lập trình viên hiểu sâu hơn về mã nguồn ứng dụng, kiểm soát được luồng dữ liệu, đồng thời phát hiện và xác định được các lỗ hổng có thể tiềm ẩn trong ứng dụng. Ví dụ, kỹ thuật phân tích tĩnh phát hiện lỗ hổng XSS bao gồm 2 phần: Phần 1 là phân tích chuỗi thích hợp để theo dõi các chuỗi con không đáng tin cậy và Phần 2 là kiểm tra các script không đáng tin cậy sử dụng kỹ thuật ngôn ngữ hình thức.
Kỹ thuật phân tích động
Đây là kỹ thuật phân tích các thông tin nhận được trong quá trình thực thi ứng dụng để phát hiện các lỗ hổng. Các thông tin này có thể bao gồm các phản hồi nhận được từ ứng dụng Web, các thông báo lỗi….
Phân tích động có thể được thực hiện tại thời điểm kiểm thử ứng dụng, trong quá trình phát triển xây dựng, hoặc thời điểm sau đó. Phương pháp này có lợi thế hơn phương pháp phân tích tĩnh vì không phải lúc nào mã nguồn của ứng dụng web cũng được công bố. Tuy nhiên, những lỗ hổng này phải được vá hay sửa chữa bởi các lập trình viên, nhưng không phải tất cả các lập trình viên đều có thể sử dụng phương pháp này để tìm kiếm lỗ hổng trên ứng dụng web của họ. Ví dụ trong kỹ thuật phân tích động dựa trên hướng tiếp cận phỏng đoán, dựa trên cơ sở tri thức heuristics, đầu tiên người ta sẽ phân tích ứng dụng web với mục đích xác định các hình thức đầu vào của nó. Sau đó, sẽ sinh ra một loạt các cuộc tấn công SQL chuẩn với mục tiêu khiến cho các ứng dụng web gửi ra thông báo lỗi.
Cuộc tấn công chuẩn sẽ bao gồm một tập hợp các chuỗi truy vấn, không phụ thuộc vào các ứng dụng web. Sau đó, các thông báo trả về của ứng dụng web sẽ được so sánh với một thư viện chuẩn chứa các thông báo lỗi liên quan mà cơ sở dữ liệu có thể trả về. Từ đó, tấn công sử dụng các thông báo lỗi sẽ được thực hiện cho tới khi xác định được tên trường, bảng hoặc cấu trúc cơ sở dữ liệu. Kỹ thuật tiếp cận này bao gồm 4 bước gồm: Phục hồi cấu trúc ứng dụng Web; Xác định các Đầu vào ứng dụng web cũng được gọi là "điểm nóng"; Thực hiện các cuộc tấn công; Báo cáo kết quả thử nghiệm.
Thuật toán phát hiện lỗ hổng trong cổng thông tin điện tử
Để áp dụng hai kỹ thuật phân tích trên, có rất nhiều thuật toán được sử dụng. Kỹ thuật phân tích tĩnh sử dụng hai thuật toán là cây phân tích cú pháp và biểu đồ luồng điều khiển. Còn kỹ thuật phân tích động sử dụng thuật toán Học máy và Fuzzing.
Cây phân tích cú pháp truy vấn
Cây phân tích cú pháp truy vấn SQL là một cấu trúc dữ liệu được sử dụng để phân tích cú pháp của một câu lệnh truy vấn SQL. Người lập trình ứng dụng Web cung cấp phần mã nguồn của cây phân tích cú pháp, còn phần của người dùng cung cấp được biểu diễn như là nút lá trống trong cây phân tích cú pháp. Các nút này đại diện cho các chuỗi rỗng, chủ ý của lập trình viên là muốn người dùng gán các giá trị hợp lệ cho các nút lá này. Mỗi nút lá chỉ có thể đại diện cho một nút trong kết quả truy vấn và nó phải là giá trị của một chuỗi được đặt ở vị trí hợp lệ. Mục tiêu chính của kỹ thuật này là xác định các thông tin đầu vào do người dùng nhập xem có đúng với mong muốn của người lập trình hay không. Đầu tiên, người dùng truyền vào một câu lệnh truy vấn SQL, hoặc đưa vào các tham số để thực hiện câu truy vấn thông qua ứng dụng web sẽ được thu thập bởi “Collector Queries”. Các đầu vào này sẽ được sử dụng trong pha phân tích cú pháp cây truy vấn. Trong pha này, hệ thống sẽ đưa ra các câu truy vấn và gửi nó tới một công cụ phân tích cú pháp. Công cụ này sẽ so sánh cấu trúc của cây phân tích với cấu trúc được sinh ra theo mô hình. Nếu cấu trúc của câu truy vấn được so sánh là phù hợp thì truy vấn là hợp lý và được quyền truy xuất vào CSDL, ngược lại thì sẽ bị từ chối và chặn lại.
Biểu đồ luồng điều khiển
Kỹ thuật này với mục đích là sử dụng biểu đồ luồng điều khiển (CFG) để sinh ra các ca kiểm thử (test case), các ca kiểm thử này được sử dụng cho việc phát hiện lỗ hổng bảo mật. Lộ trình trong CFG với đường đi xuất phát từ đỉnh vào, đi qua các đỉnh và cung trong đồ thị, kết thúc ở đỉnh ra. Chu trình tạo dữ liệu đầu vào kiểm thử cho kiểm thử luồng điều khiển được mô tả trong lưu đồ.
Thuật toán Học máy
Thuật toán này sử dụng một trình thu thập web để tìm các lỗ hổng trong các ứng dụng web và tạo ra mã tấn công bằng cách sử dụng danh sách mẫu và kỹ thuật tấn công. Phương pháp này hiệu quả hơn so với kiểm thử thâm nhập truyền thống, tuy nhiên, nó không thể phát hiện tất cả các loại lỗ hổng.
Thuật toán Fuzzing
Fuzzing là thuật toán trong kiểm thử tiêu cực, trái ngược với kiểm tra chức năng, kiểm tra khả năng của hệ thống. Trong kiểm thử tiêu cực, thay vì gửi các dữ liệu hợp lý (được xử lý trong mã nguồn), hệ thống kiểm thử sẽ nhận được các đầu vào hoặc chuỗi đầu vào không hợp lệ hoặc bán hợp lệ thông qua giao diện tương tác.
Chương trình hoặc framework tạo ra các kiểm thử fuzz (fuzz test) hoặc thực thi các kiểm thử gọi là fuzzer. Fuzzer có thể được phân loại dựa trên 2 tiêu chí khác biệt nhau: Vector tiêm (injection) hoặc vector tấn công.
Một quy trình fuzzing đơn giản bao gồm một chuỗi các thông điệp được gửi tới SUT (hệ thống được kiểm tra). Các kết quả thay đổi và thông điệp gửi tới có thể được phân tích, trong một số trường hợp có thể bị bỏ qua. Kết quả trả về điển hình của một kiểm thử fuzz bao gồm: Đáp trả hợp lệ (Valid response), đáp trả lỗi (Error response), đáp trả bất thường (Anomalous response), sụp đổ hay thất bại (Crash or other failure).
Quá trình fuzzing không chỉ là việc gửi và nhận các thông điệp. Kiểm thử đầu tiên sẽ được tạo ra và gửi tới SUT. Việc giám sát mục tiêu cần được thực hiện liên tục, tất cả các thất bại đều được ghi lại để đánh giá trong các lần sau. Một phần quan trọng của quá trình fuzzing là giám sát mã lệnh, khi nó xử lý một đầu vào không hợp lệ.
Lựa chọn công cụ đánh giá cổng thông tin điện tử
Các công cụ phân tích, dò quét và đánh giá mức độ an toàn của cổng thông tin điện tử hiện đang được sử dụng rộng rãi như: Bkav Webscan, Acunetix Web Vulnerability Scanner, IBM Rational AppScan…
Bkav WebScan: là công cụ quét lỗ hổng bảo mật, sử dụng công nghệ điện toán đám mây và tiếp cận theo hướng phần mềm như một dịch vụ (Saas). Để thực hiện quét lỗ hổng trên website, người quản trị chỉ cần truy cập vào địa chỉ Webscan.bkav.com.vn và thực hiện quét. Webscan hỗ trợ quét đồng thời nhiều website một lúc, sau khi quét xong, kết quả sẽ được gửi tới địa chỉ email của người quét cùng những chỉ dẫn để khắc phục các lỗ hổng này. BKAV Web Vulns Scanner chia thành hai phần: Vulns Scanner Website (VSW) là website giới thiệu dịch vụ, quản lý thông tin, giao tiếp với người dùng và Vulns Scanner Application (VSA) là chương trình thực hiện quá trình quét các lỗ hổng an ninh của website. Hai thành phần này giao tiếp với nhau thông qua lời gọi chương trình và cơ sở dữ liệu. Webscan sử dụng kỹ thuật phân tích động và tiếp cận dựa trên phỏng đoán để thực hiện dò quét và phát hiện lỗ hổng. Thuật toán mà Webscan sử dụng là fuzzing.
Acunetix Web Vulnerability Scanner (WVS): Công cụ này kiểm tra tất cả các lỗ hổng web, bao gồm SQL Injection, Cross Site Scripting và nhiều lỗ hổng khác. Acunetix sử dụng kỹ thuật phân tích động với hướng tiếp cận dựa trên phỏng đoán, sử dụng thuật toán Fuzzing. Ban đầu Module Crawler phân tích toàn bộ trang web bằng cách làm theo tất cả các liên kết trên trang web. Sau đó, WVS sẽ vạch ra cấu trúc trang web và hiển thị thông tin chi tiết về mỗi tập tin. Sau quá trình thu thập thông tin, WVS tự động hiển thị một loạt các lỗ hổng có thể bị tấn công trên mỗi trang được tìm thấy. Khi các lỗ hổng được tìm thấy, Acunetix WVS báo cáo về lỗ hổng này.
Cả hai công cụ trên đều có thể thực hiện dò quét và phát hiện lỗ hổng của một website khi không được cung cấp mã nguồn của website đó. Do vậy, chúng đều sử dụng kỹ thuật phân tích động và tiếp cận dựa trên phỏng đoán sử dụng thuật toán Fuzzing.
Tuy nhiên, Acunetix được đánh giá là có giao diện trực quan, dễ sử dụng và thân thiện với người dùng. Giao diện trạng thái đồ họa Scan cho người dùng thấy chi tiết quét dạng nút. Ngoài ra, với Acunetix, chỉ tập trung vào một sản phẩm, làm việc trên một sản phẩm chuyên dụng duy nhất.
Dưới đây là một giao diện của phần mềm Acunetix được đánh giá thử nghiệm:
Kết luận
Trên cơ sở phân tích về một số kỹ thuật và một số thuật toán được sử dụng trong các công cụ phân tích, dò quét lỗ hổng trong cổng thông tin điện tử, các tác giả đã so sánh ưu, nhược điểm của các công cụ này. Bên cạnh đó, nhóm tác giả đã giới thiệu thử nghiệm chọn công cụ Acunetix để dò quét và đánh giá mức độ an toàn bảo mật của cổng thông tin điện tử trong thực tế.
|
TÀI LIỆU THAM KHẢO 1. Gary Michael Wassermann (2008), Techniques and Tools for Engineering Secure Web Applications, Master’s Thesis, Computer Science, University of California. 2. Ari Takanen, Jared DeMott, Charlie Miller (2008) “Fuzzing for Software Security Testing and Quality Assurance”, ARTECH HOUSE, INC. 3. Ogheneovo, E. E. and Asagba, P. O. “A Parse Tree Model for Analyzing And Detecting SQL Injection Vulnerabilities”. Department of Computer Science, University of Port Harcourt, Nigeria. 4. Debasish Das, Utpal Sharma & D.K. Bhattacharyya (2010), “An Approach to Detection of SQL Injection Attack Based on Dynamic Query Matching”, International Journal of Computer Applications, Volume 1, No. 25, pp. 28 – 33. |
10:00 | 10/04/2024
Hiện nay, số lượng các cuộc tấn công mạng nhắm đến hệ điều hành Linux đang ngày càng gia tăng cả về số lượng lẫn mức độ tinh vi, đặc biệt là các sự cố liên quan đến việc lộ lọt mật khẩu. Thông thường, khi tạo tài khoản mới trên Linux, người dùng có thể sử dụng những mật khẩu tùy ý, kể cả những mật khẩu yếu, điều này có thể gây ra nhiều rủi ro bảo mật tiềm ẩn trong hệ thống mạng, các tác nhân đe dọa sẽ dễ dàng tấn công và xâm phạm tài khoản hơn. Do đó, cần phải thực thi các chính sách sử dụng mật khẩu đủ mạnh để bảo vệ tài khoản người dùng tránh bị tấn công. Trong bài viết này sẽ gửi đến độc giả hướng dẫn thiết lập cấu hình mật khẩu an toàn trên Linux với nền tảng Centos 7.
08:00 | 10/02/2024
Hệ thống mật mã RSA là một trong các hệ mật mã khóa công khai đang được sử dụng rất phổ biến trong hệ thống mạng máy tính hiện nay. Việc lựa chọn tham số an toàn cho hệ mật RSA là vấn đề rất quan trọng trong cài đặt ứng dụng hệ mật này. Bài báo này trình bày chi tiết về khuyến nghị độ dài các tham số sử dụng cho hệ thống mật mã RSA như thừa số modulo, số mũ bí mật, số mũ công khai và các thừa số nguyên tố trong một số tiêu chuẩn mật mã của châu Âu, Đức và Mỹ.
10:00 | 25/04/2023
HTTP và HTTPS là những giao thức ứng dụng có lịch sử lâu đời của bộ giao thức TCP/IP, thực hiện truyền tải siêu văn bản, được sử dụng chính trên nền tảng mạng lưới toàn cầu (World Wide Web) của Internet. Những năm gần đây, Google đã nghiên cứu thử nghiệm một giao thức mạng mới trong giao thức HTTP phiên bản 3 đặt tên là QUIC, với mục tiêu sẽ dần thay thế TCP và TLS trên web. Bài báo này giới thiệu về giao thức QUIC với các cải tiến trong thiết kế để tăng tốc lưu lượng cũng như làm cho giao thức HTTP có độ bảo mật tốt hơn.
10:00 | 21/02/2023
Khi khối lượng và sự đa dạng của dữ liệu có thể được thu thập thì việc lưu trữ và phân tích đã tăng vọt trong hơn một thập kỷ qua. Cùng với đó, những vấn đề về bảo mật ngày càng trở nên quan trọng, đặc biệt là việc bảo vệ dữ liệu cá nhân của người dùng.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Lược đồ chữ ký số dựa trên hàm băm là một trong những lược đồ chữ ký số kháng lượng tử đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chuẩn hóa trong tiêu chuẩn đề cử FIPS 205 (Stateless Hash Based Digital Signature Standard) vào tháng 8/2023. Bài báo này sẽ trình bày tổng quan về sự phát triển của của lược đồ chữ ký số dựa trên hàm băm thông qua việc phân tích đặc trưng của các phiên bản điển hình của dòng lược đồ chữ ký số này.
09:00 | 01/04/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.
13:00 | 17/04/2024
