PHẦN I: TÓM TẮT VỀ GIẢI PHÁP KỸ THUẬT 1.1 Tên giải pháp kỹ thuật: XÂY DỰNG CÔNG CỤ QUÉT LỖ HỔNG BẢO MẬT WEBSITE 1.2 Yếu tố sáng tạo: Giải pháp hoàn toàn mới, áp dụng lần Ngày nay, mạng Internet mở rộng toàn cầu, phần lớn công ty, xí nghiệp, tổ chức chí cá nhân có website riêng để quảng bá hình ảnh chia sẻ thông tin qua mạng Internet Thông qua website này, chia sẻ thông tin, liệu với dù đâu Nhưng bên cạnh tiềm ẩn nhiều nguy hiểm mà hệ thống website mang lại, bị xâm nhập bị đánh cắp thông tin quan trọng Đối với sinh viên chuyên ngành công nghệ thông tin trường tỉnh, thời lượng môn học “Lập trình Web” có hạn học môn “Bảo mật Website” nên kiến thức bảo mật có giới hạn Chính xây dựng Website khó tránh khỏi lỗ hổng bảo mật bị hacker xâm nhập lúc Hiện có số công cụ quét lỗ hổng bảo mật, tích hợp nhiều tùy chọn quét khác vào chương trình chưa có công cụ thực hầu hết loại quét tìm hầu hết lỗ hổng bảo mật Nên việc tích hợp nhiều công cụ lại với tìm nhiều lỗi so với công cụ nhất, đồng thời xây dựng giao diện thân thiện cho người dùng (đa phần công cụ chạy chế dòng lệnh) Sau tiến hành cài đặt, kiểm thử, thu thập số liệu để so sánh, cuối chọn hai công cụ để tích hợp lại với W3af Nikto Vì hai công cụ mã nguồn mở bổ trợ cho tốt so với phần mềm khác 1.3 Phạm vi áp dụng: Giải pháp áp dụng quan, đơn vị nhân rộng số đơn vị tỉnh (áp dụng với sinh viên yêu thích lập trình web trường, tất quan, đơn vị xây dựng website tỉnh…) Hiệu giải pháp: Nâng cao kiến thức ý thức sinh viên công nghệ thông tin trường bảo mật website, thêm niềm đam mê nghề nghiệp chọn Giúp quan, đơn vị tỉnh dò tìm lỗi bảo mật website nhằm ngăn chặn hacker công Trang PHẦN II: NỘI DUNG 2.1 DẪN NHẬP An ninh mạng dần trở thành lĩnh vực quan trọng ngành công nghiệp bao gồm quân sự, an ninh, ngân hàng, lượng lĩnh vực tự động Khi khoa học máy tính Internet ngày phát triển, vấn đề an ninh mạng bảo mật ngày trọng Do hacker tìm cách đột nhập vào hệ thống máy nhằm phá hoại hay trộm cắp thông tin quan trọng hệ thống máy tính Sau tiến hành nghiên cứu lý thuyết: mô hình hoạt động ứng dụng web, kỹ thuật công web, công trình khoa học, công cụ dò tìm lỗ hổng bảo mật liên quan… Chúng nhận thấy có nhiều chương trình hỗ trợ cho việc quét lổ hổng bảo mật chương trình có chức ưu, nhược điểm riêng Mỗi nhà quản trị website hay sinh viên chuyên ngành công nghệ thông tin muốn tìm kiếm lỗ hổng bảo mật, họ cần tìm chương trình phù hợp với mục đích quét thử nghiệm xem chương trình có hoạt động hiệu hay không Dẫn đến điều phiền toái thời gian công sức người sử dụng Điều đặt nhu cầu cần phải có công cụ tích hợp nhiều công cụ có sẵn thực hầu hết tùy chọn quét cách hiệu quả, phạm vi dò tìm lỗ hổng phải tốt hơn, sau gợi ý cho người dùng cách khắc phục 2.2 NHỮNG KHÓ KHĂN Dưới bảng thống kê theo quý Top kỹ thuật công năm 2015 vào hệ thống thông tin nước ta: STT TÊN KỸ THUẬT TẤN CÔNG QUÝ I Tấn công dò quét điểm yếu dịch vụ UPNP Tấn công gây từ chối dịch vụ phân giải tên miền DNS Lạm dụng dịch vụ Google để tiến hành công hệ thống trang thông tin điện tử gây tình trạng từ chối dịch vụ Tấn công dò mật dịch vụ FTP phương pháp vét cạn (brut force login attempt) Tấn công máy chủ website sử dụng phần mềm APACHE QUÝ II Trang SỐ LƯỢNG 1165518 950146 219061 204926 154862 5 Tấn công dò quét điểm yếu dịch vụ UPNP Tấn công dò mật dịch vụ FTP phương pháp vét cạn (brut force login attempt) Tấn công chuyển hướng tên miền nhằm vào người dùng thông qua dịch vụ DNS kỹ thuật dns cache poisoning Tấn công vét cạn mật thông qua dịch vụ SSH Tấn công điểm yếu ứng dụng Web thông qua giao thức HTTP POST request tính file_uploads kích hoạt QUÝ III Tấn công khai thác điểm yếu bảo mật ứng dụng Web Lây nhiễm mã độc, kết nối đến mạng lưới mã độc qua dịch vụ DNS Lạm dụng dịch vụ calendar access hệ thống trang thông tin điện tử để thu thập thông tin Tấn công chuyển hướng tên miền nhằm vào người dùng thông qua dịch vụ DNS kỹ thuật dns cache poisoning Tấn công vét cạn mật thông qua dịch vụ SSH QUÝ IV Tấn công gây từ chối dịch vụ phân giải tên miền DNS phương pháp truy vấn random DNS domain nhằm vào dịch vụ DNS Tấn công dò quét điểm yếu dịch vụ UPNP Lạm dụng dịch vụ calendar access hệ thống trang thông tin điện tử để thu thập thông tin Tấn công gây từ chối dịch vụ phân giải tên miền DNS Tấn công chuyển hướng tên miền nhằm vào người dùng thông qua dịch vụ DNS kỹ thuật dns cache poisoning 293015 240912 217938 174910 96052 2352175 944694 327714 283958 248713 741184 234865 196255 179827 173814 Thống kê cho thấy kỹ thuật công phổ biến vào hệ thống thông tin nước ta đa dạng thay đổi liên tục Do đó, xây dựng website cần đề cao cảnh giác, nâng cao lực để đối phó với tội phạm mạng ngày phức tạp phát triển Có nhiều sản phẩm thương mại miễn phí để hỗ trợ nhà quản trị việc thử nghiệm bảo mật website, công cụ có ưu, nhược điểm riêng lỗi bảo mật tìm khác Do đa phần chương trình chạy chế dòng lệnh có cấu trúc câu lệnh khác dẫn đến việc muốn sử dụng chương trình người dùng phải hiểu rõ câu lệnh tùy chọn cho chương trình Điều gây thời gian khó khăn cho người dùng 2.3 GIẢI PHÁP KHẮC PHỤC Trang Xây dựng công cụ tích hợp gồm hai chương trình có sẵn thực đầy đủ loại quét thông dụng Điểm bật công cụ không trực tiếp can thiệp vào mã nguồn công cụ Bởi công cụ viết ngôn ngữ khác tiếp cận loại ngôn ngữ để chỉnh sửa nhiều thời gian không hiệu Do việc sử dụng ngôn ngữ C# để thực thi tiến trình, xử lý kết hiển thị điều khiển công cụ lựa chọn phù hợp, vừa tiết kiệm thời gian vừa mở rộng thêm tính sau Bảng ma trận so sánh thông số, plug-in công cụ dò tìm lỗ hổng (V tính sẵn có, X tính không sẵn có) W3af Nikto Mã nguồn mở/Phần mềm miễn phí V V Hỗ trợ TLS/SSL V V Hỗ trợ Proxy HTTP V V Chia sẻ host V X Kiểm tra thành phần server hạn X V Lỗi cấu hình bảo mật V V Trích xuất tài khoản người dùng V V Thông số Các công cụ Chúng ta quan sát chúng bổ xung tính cho để kiểm tra đầy đủ khía cạnh bảo mật dạng máy chủ web từ đưa thông báo đầy đủ lỗ hổng tìm thấy 2.4 KẾT QUẢ ĐẠT ĐƯỢC Trong phần này, kết đạt công cụ tích hợp từ hai công cụ có sẵn W3AF Nikto, phạm vi lỗ hổng mở rộng, số lỗi bảo mật tìm thấy nhiều hơn, kết dò tìm giả lập ứng dụng web có nhiều lỗ hổng gọi Multillidae Hình bên phần mềm chạy chế dòng lệnh, gặp khó khăn cho người sử dụng, đặc biệt sinh viên bắt đầu làm quen với lập trình web Trang Và bên giao diện đồ họa công cụ tích hợp, người dùng cần nhập địa website nhấn nút “QUÉT” Nhấn “QUÉT ” Nhập địa website *Ưu điểm: Bộ công cụ có số đặc điểm riêng biệt có lợi cho người dùng là: Giao diện tiếng Việt đơn giản, dễ dàng sử dụng Thông báo nhiều lỗi cho người dùng Bộ công cụ tích hợp sẵn công cụ khác cho mục đích quét khác Trang Giao diện điều khiển cho chương trình gọn nhẹ thực thi xử lý kết lấy từ tiến trình *Nhược điểm: Giao diện cho chương trình đơn giản, chưa thể thực hết tùy chọn giao diện Thời gian để chương trình xử lý, tổng hợp kết dài, lượng thông tin thu thập qua trình quét chưa nhiều Bộ công cụ tích hợp chương trình chưa đầy đủ hết tính cần cho việc quét hệ thống lớn, chưa tận dụng hết tùy chọn chương trình 2.5 KẾT LUẬN Trên sáng kiến kinh nghiệm trình công tác nghiên cứu ứng dụng nhằm đáp ứng nhu cầu học tập sinh viên chuyên ngành công nghệ thông tin nói chung môn học Lập trình web nói riêng, góp phần giúp sinh viên yêu thích ngành nghề chọn, đáp ứng nhu cầu bảo mật website quan, đơn vị hay nhà quản trị Mặc dù công cụ đơn giản thích hợp với sinh viên người bắt đầu tiếp cận với lĩnh vực bảo mật web, giúp người dễ dàng tìm lỗi bảo mật website mình, ý thức xây dựng website bảo mật Qua mong nhận nhiều ý kiến từ đồng nghiệp, hội đồng khoa học để tiếp tục hoàn thiện áp dụng đưa vào giảng dạy, nhân rộng toàn trường không sinh viên công nghệ thông tin, bước giới thiệu đến đơn vị có ứng dụng bảo mật website bên trường Rạch Giá, ngày 10 tháng 05 năm 2016 Trang ... ứng dụng web, kỹ thuật công web, công trình khoa học, công cụ dò tìm lỗ hổng bảo mật liên quan… Chúng nhận thấy có nhiều chương trình hỗ trợ cho việc quét lổ hổng bảo mật chương trình có chức... KHẮC PHỤC Trang Xây dựng công cụ tích hợp gồm hai chương trình có sẵn thực đầy đủ loại quét thông dụng Điểm bật công cụ không trực tiếp can thiệp vào mã nguồn công cụ Bởi công cụ viết ngôn ngữ... đưa thông báo đầy đủ lỗ hổng tìm thấy 2.4 KẾT QUẢ ĐẠT ĐƯỢC Trong phần này, kết đạt công cụ tích hợp từ hai công cụ có sẵn W3AF Nikto, phạm vi lỗ hổng mở rộng, số lỗi bảo mật tìm thấy nhiều hơn,