Phát triển kỹ thuật trực quan hóa bảo mật ứng dụng Web: luận văn thạc sĩ

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC LẠC HỒNG *** SOK DARAVUTHY PHÁT TRIỂN KỸ THUẬT TRỰC QUAN HÓA BẢO MẬT ỨNG DỤNG WEB LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN Đồng Nai – Năm 2019 BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC LẠC HỒNG *** SOK DARAVUTHY PHÁT TRIỂN KỸ THUẬT TRỰC QUAN HÓA BẢO MẬT ỨNG DỤNG WEB Chuyên ngành: Công nghệ thông tin Mã số: 8480201 LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS.TS ĐẶNG TRẦN KHÁNH Đồng Nai – Năm 2019 i LỜI CẢM ƠN Đầu tiên, em xin chân thành cảm ơn thầy PGS.TS Đặng Trần Khánh tận tình hướng dẫn, bảo suốt thời gian thực luận văn Xin chân thành cám ơn thầy cô khoa sau đại học Trường Đại Học Lạc Hồng cung cấp kiến thức q báu suốt q trình học tập, thầy văn phịng khoa hết lịng giúp đỡ, tạo điều kiện thuận lợi để tơi hoàn thành luận văn Xin gửi lời cảm ơn đến người thân gia đình, anh chị, bạn lớp quan tâm giúp đỡ suốt thời gian học tập làm luận văn Do thời gian làm luận văn hạn chế, kiến thức có hạn, nên luận văn khơng tránh khỏi thiếu sót Rất mong nhận ý kiến đóng góp q thầy bạn để luận văn hoàn chỉnh Xin chân thành cảm ơn! Đồng Nai, ngày 12 tháng 12 năm 2019 HỌC VIÊN SOK DARAVUTHY ii LỜI CAM ĐOAN Tôi xin cam đoan kết đạt luận văn sản phẩm riêng cá nhân, kết đạt trình học tập nghiên cứu khoa học độc lập Trong toàn nội dung luận văn, điều trình bày cá nhân tổng hợp từ nhiều nguồn tài liệu Tất tài liệu tham khảo có xuất xứ rõ ràng trích dẫn hợp pháp Khơng có sản phẩm hay nghiên cứu người khác sử dụng luận văn mà khơng có trích dẫn theo quy định Tơi xin hồn tồn chịu trách nhiệm chịu hình thức kỹ luật theo quy định cho lời cam đoan Đồng Nai, ngày 12 tháng 12 năm 2019 HỌC VIÊN SOK DARAVUTHY iii TĨM TẮT LUẬN VĂN Những cơng cụ phát cơng vào ứng dụng web hỗ trợ nhà quản trị việc bảo mật Tuy nhiên, công cụ hầu hết tập trung vào việc phát công ghi nhận lại kết dạng văn Kết công dạng văn lại không phù hợp cho việc theo dõi theo thời gian thực, công xảy Trong luận văn này, trực quan hóa thơng tin sử dụng để thị công vào ứng dụng web dạng đồ họa Mặc dù thử nghiệm môi trường giả lập, giải pháp luận văn cho thấy hỗ trợ nhà quản trị Trong tương lai, kết luận văn thử nghiệm mơi trường thực để có đánh giá đầy đủ khách quan iv MỤC LỤC LỜI CAM ĐOAN ii TÓM TẮT LUẬN VĂN iii MỤC LỤC .iv DANH MỤC HÌNH vi PHẦN MỞ ĐẦU Tầm quan trọng ứng dụng web Tình hình bảo mật ứng dụng web Theo dõi kiện bảo mật Mục tiêu luận văn Chương Kiến thức tảng 1.1 Trực quan hóa thơng tin 1.1.1 Giới thiệu trực quan hóa thơng tin 1.1.2 Phát triển ứng dụng trực quan hóa thơng tin 11 1.2 Phát công 14 1.2.1 Giới thiệu phát công 14 1.2.2 Phương pháp phát công 16 1.2.3 Phát công vào ứng dụng web 17 1.3 Trực quan hóa thơng tin cho bảo mật 18 1.3.1 Live Cyber Threat Map Check Point 21 1.3.2 Digital Attack Map (Google Ideas Arbor Networks) 23 1.3.3 CyberThreat Real – Time Map Kaspersky 24 Chương Phân tích thiết kế hệ thống 26 2.1 Mục tiêu hệ thống 26 v 2.2 Thiết kế ánh xạ trực quan 27 2.2.1 Ý tưởng thiết kế sơ 27 2.2.1 Trực quan hóa nguồn cơng 28 2.2.2 Trực quan hóa đích cơng 30 2.2.3 Trực quan hóa cơng 31 Chương Hiện thực giải pháp 33 3.1 Kiến trúc giải pháp 33 3.2 Xử lý liệu 35 3.3 Xác định tọa độ x, y 37 3.4 Thư viện p5js 39 3.4.1 Tải hình ảnh đồ từ Google Maps 39 3.4.2 Đọc liệu công 40 3.4.3 Vẽ đối tượng 41 Chương Thử nghiệm đánh giá kết 42 4.1 Xây dựng môi trường thử nghiệm 42 4.2 Ngữ cảnh ứng dụng 44 4.3 Tấn công giả lập 44 4.4 Thử nghiệm nhiều công 45 Kết luận 48 vi DANH MỤC HÌNH Hình 0.1 Tấn cơng vào web theo ngày Hình 0.2 Tấn cơng vào web theo tháng Hình 0.3 Thống kê lỗi bảo mật ứng dụng web Hình 0.4 Dữ liệu thô kiện bảo mật Hình 1.1 Biển báo giao thơng ví dụ cụ thể trực quan hóa thơng tin Hình 1.2 Bản đồ tương tác Google Maps Hình 1.3 Dữ liệu dạng bảng (trái) đồ thị phân tán (phải) 10 Hình 1.4 Quy trình xây dựng giải pháp trực quan hóa thơng tin 12 Hình 1.5 Thuộc tính đồ họa với độ xác tăng dần từ lên 13 Hình 1.6 Phân loại hệ thống phát công 15 Hình 1.7 Tấn công theo kiểu SQL injection 18 Hình 1.8 Tấn cơng theo kiểu Cross – site scripting 19 Hình 1.9 Live Cyber Threat Map Check Point 21 Hình 1.10 Xem chi tiết khu vực Live Cyber Threat Map 22 Hình 1.11 Giao diện Digital Attack Map 23 Hình 1.12 Giao diện CyberThreat Real – Time Map 24 Hình 1.13 Hiển thị thống kê CyberThreat Real – Time Map 25 Hình 2.1 Các đối tượng 28 Hình 2.2 Thiết kế sơ 28 Hình 2.3 Cấu trúc công 29 Hình 2.4 Thơng tin cơng với địa ip (cột thứ nhì) 29 Hình 2.5 Ý nghĩa kinh độ (Longitude) vĩ độ (Latitude) 30 Hình 2.6 Dùng phân cấp để thể địa URL 31 Hình 2.7 Biểu diễn cơng kết nối 32 Hình 3.1 Biểu diễn cơng kết nối 33 Hình 3.2 Phép chiếu Mercator 38 Hình 3.3 Chuyển đổi từ kinh, vĩ độ sang tọa độ x, y 38 Hình 3.4 Tải vẽ đồ 40 vii Hình 3.5 Vẽ biểu diễn ứng dụng web 41 Hình 4.1 Bảng điều khiển XAMPP 43 Hình 4.2 Trực quan hóa số cơng thực thủ cơng 45 Hình 4.3 Kết có cơng xảy lúc 46 Hình 4.4 Kết có 10 cơng xảy lúc 47 PHẦN MỞ ĐẦU Tầm quan trọng ứng dụng web Ngày nay, ứng dụng web sử dụng phổ biến đời sống người với nhiều mục tiêu khác Trên giới, có trang web tiếng mà biết đến Google để tìm kiếm thơng tin, Facebook để kết nối bạn bè xây dựng mối quan hệ, Amazon để mua sách sản phẩm khác, hay Ebay để mua bán trực tiếp đến người khác, v.v… Ở Việt Nam, số lượng trang web tiếng khơng Chẳng hạn trang tin tức VNExpress, TuoiTre, ThanhNien, v.v… hay trang bán hàng thương mại điện tử Lazada, Tiki, Shopee, v.v… Không xây dựng triển khai tổ chức lớn, ứng dụng web sử dụng cá nhân, công ty, tổ chức vừa nhỏ để giới thiệu sản phẩm, dịch vụ mà cung cấp bên ngồi Có thể nói, nay, tổ chức trang bị website cho riêng Chẳng hạn trường Đại Học Lạc Hồng có trang web riêng cho từ lâu Việc sở hữu trang web riêng ngày khơng cịn tùy chọn mà trở thành bắt buộc Với triển khai rộng rãi vậy, để ứng dụng web hoạt động an tồn địi hỏi cấp thiết Đảm bảo ứng dụng web hoạt động an toàn không vấn đề liên quan đến công nghệ thơng tin, mà cịn vấn đề mặt uy tín tổ chức sở hữu ứng dụng web người bên ngồi Tình hình bảo mật ứng dụng web Ứng dụng web mục tiêu công hàng đầu hacker Theo báo cáo cơng ty Symantec [1], vào năm 2018 10 địa URL phân tích có địa khơng an tồn Trong đó, số vào năm 2017 1/16 Hình 0.1 Hình 0.2 biểu đồ số lượng công web theo ngày theo tháng, trích từ báo cáo Symantec 37 trường hợp tập tin lưu với tên khác phải sửa lại tương ứng câu lệnh Load data Địa ip mà công cụ phát cơng thu thập có dạng a.b.c.d Trong đó, a, b, c, d số có độ dài byte Định dạng khác với định dạng lưu trữ sở liệu IP2Location, với địa số Do đó, địa ip cần chuyển sang dạng phù hợp trước dùng để truy vấn sở liệu IP2Location Công thức để chuyển địa ip nguồn sang dạng số sau: n = a*256*256*256 + b*256*256 + c*256 + d Sau có kết dùng để truy vấn đến sở liệu IP2Location thông qua câu lệnh SQL sau: SELECT `ip_from`, `ip_to`, `country_name`, `region_name`, `latitude`, `longitude` `country_code`, `city_name`, FROM `ip2location_demo` WHERE ip_from