Trực quan hóa trong bảo mật ứng dụng web tt

ĐẠI HỌC QUỐC GIA TP HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC BÁCH KHOA ĐẶNG TRẦN TRÍ TRỰC QUAN HĨA TRONG BẢO MẬT ỨNG DỤNG WEB Chuyên ngành: Khoa học Máy tính Mã số chun ngành: 62480101 TĨM TẮT LUẬN ÁN TIẾN SĨ TP HỒ CHÍ MINH - NĂM 2019 Cơng trình hồn thành Trường Đại học Bách Khoa – ĐHQG-HCM DANH MỤC CƠNG TRÌNH ĐÃ CƠNG BỐ Người hướng dẫn khoa học 1: PGS TS Đặng Trần Khánh Người hướng dẫn khoa học 2: GS TS Josef Küng Phản biện độc lập 1: Phản biện độc lập 2: Phản biện 1: Phản biện 2: Phản biện 3: Luận án bảo vệ trước Hội đồng chấm luận án họp vào lúc ngày tháng năm Có thể tìm hiểu luận án thư viện: - Thư viện Trường Đại học Bách Khoa – ĐHQG-HCM - Thư viện Đại học Quốc gia Tp.HCM - Thư viện Khoa học Tổng hợp Tp.HCM Tạp chí quốc tế Tran Tri Dang, Tran Khanh Dang, and Truong-Giang Nguyen Le “Interactive Visual Decision Tree for Developing Detection Rules of Attacks on Web Applications.” International Journal of Advanced Computer Science and Applications, pp 30 – 37, vol 9, 2018 Tran Tri Dang, and Tran Khanh Dang “Visualizing Web Attack Scenarios in Space and Time Coordinate Systems.” Transactions on Large-Scale Data- and Knowledge-Centered Systems, pp – 14, vol 16, 2014 Tran Tri Dang, and Tran Khanh Dang “Visualization of Web Form Submissions for Security Analysis.” International Journal of Web Information Systems, pp 165 – 180, vol 9, no 2, 2013 Tran Khanh Dang, and Tran Tri Dang “A Survey on Security Visualization Techniques for Web Information Systems.” International Journal of Web Information Systems, pp – 31, vol 9, no 1, 2013 Kỷ yếu hội nghị quốc tế Tran Tri Dang, and Tran Khanh Dang “Extending Web Application IDS Interface: Visualizing Intrusions in Geographic and Web Space.” In Proceedings of the 2015 International Conference on Advanced Computing and Applications, pp 28 – 34, IEEE, 2015 Tran Tri Dang, and Tran Khanh Dang “An Extensible Framework for Web Application Vulnerabilities Visualization and Analysis.” In Proceedings of the Future Data and Security Engineering, pp 86 – 96 Springer International Publishing, 2014 Tran Tri Dang, Tran Khanh Dang, and Josef Küng “Understanding Web Attack Scenarios by Information Visualization.” In Proceedings of the 2013 International Conference on Advanced Computing and Applications, pp 82 – 91, Journal of Science and Technology, 2013 Tran Tri Dang, and Tran Khanh Dang “A Visual Model for Web Applications Security Monitoring.” In Proceedings of the 2011 International Conference on Information Security and Intelligence Control, pp 158 – 162 IEEE Computer Society, 2011 thể mời người dùng thực (nhà quản trị bảo mật ứng dụng web) tham gia thí nghiệm dễ dàng • • GIỚI THIỆU Về mặt liệu dùng cho thí nghiệm, cách để 1.1 thu thập liệu thực tế dùng cho thí nghiệm cài đặt Với ưu điểm mà ứng dụng web mang lại, nhiều tổ chức, công ty lớn honeypot để thu hút quan tâm hacker Một phương pháp khác để nhỏ sử dụng ứng dụng web để làm kênh giao tiếp với khách hàng thu thập liệu công tổ chức thi tập Thông qua web, tổ chức công ty có phương tiện cần thiết để giới cơng vào ứng dụng web cho sinh viên thiệu thân sản phẩm, dịch vụ đơng đảo người dùng Về mặt lý thuyết, luận án cần làm rõ số vấn đề việc áp dụng toàn giới lý thuyết phạm trù cho tốn bảo mật dựa trực quan hóa Chẳng hạn đưa ràng buộc cụ thể cấu xạ đồng để xác định cách đối tượng liên quan quy trình bảo mật ứng dụng web, liệu nhập, nhà quản trị, v.v… Một hướng phát triển khác xác định cách thức xây dựng, tổ chức kết luận, • CHƯƠNG Bảo mật ứng dụng web Do tầm quan trọng đó, bảo mật ứng dụng web nhu cầu cần thiết cấp bách Việc đảm bảo hoạt động an toàn, đắn ứng dụng web khơng tạo nên hình ảnh, danh hiệu, độ tin cậy công ty sở hữu ứng dụng web, mà giúp hệ thống họ vận hành trơn tru, tạo lợi cạnh tranh câu hỏi cho đánh giá đầy đủ hiệu trực quan hóa Nhìn chung, giải pháp bảo mật cho ứng dụng web nói riêng, cho hệ thông tin so với việc xác định thủ công thống thơng tin nói chung, phân vào hai hướng tiếp cận sau: Một hướng nghiên cứu khác tích hợp kỹ thuật, giải pháp • Tự động hóa bảo mật: định bảo mật, chẳng hạn kết thực thành hệ thống chung Mặc dù toán luận xem có cơng hay khơng, có lỗ hổng bảo mật hay giải pháp mà luận án đưa có mục tiêu chung bảo mật không, chủ yếu định cách tự động ứng dụng web dựa trực quan hóa thơng tin, chúng • Bảo mật dựa người: định bảo mật chủ yếu rời rạc việc hoạt động chung với Việc tích hợp đưa nhà quản trị, thơng thường sau q trình theo dõi phân mang lại nhiều lợi ích mà hệ thống riêng lẻ khơng thể tích hoạt động hệ thống khoảng thời gian dài có Hai hướng tiếp cận khơng mang tính loại trừ lẫn Một giải pháp kết hợp hai hướng tiếp cận để tăng cường bảo mật, chẳng hạn cách tự động định cho tình bảo mật rõ ràng để nhà quản trị định cho trường hợp cịn lại Mặc dù có nhiều nghiên cứu bảo mật ứng dụng web thông qua hướng tiếp cận tự động hóa bảo mật, nghiên cứu theo hướng bảo mật dựa người Một số nguyên nhân chủ yếu cách tiếp cận địi hỏi nhiều cơng sức thời gian nhà quản trị 24 1.2 Trực quan hóa thơng tin bảo mật • Bài tốn thứ nhì, tốn cuối cấp độ trực quan hóa Trực quan hóa thơng tin kỹ thuật sử dụng hình ảnh trực quan kết hợp với trang web liên quan đến việc hỗ trợ nhà quản trị phát triển tập luật để công cụ tương tác người dùng phù hợp để biểu diễn liệu trừu tượng phân loại nhận dạng công thông qua định trực quan nhằm mục đích hỗ trợ, tăng cường nhận thức người xem Những đối tượng tương tác biểu diễn trực quan hóa thơng tin đối tượng trừu tượng, Về mặt phương pháp, luận án đề xuất hệ thống phân loại kỹ thuật hay nói cách khác đối tượng khơng có vị trí kích thước trực quan hóa thơng tin tốn bảo mật ứng dụng web Thơng qua hệ cụ thể không gian vật lý Một ví dụ đối tượng trừu tượng để trực quan thống phân loại này, định vị kỹ thuật trực quan hóa thơng tin cụ thể hóa thơng tin ứng dụng web Một ứng dụng web bao gồm tập hợp Hơn nữa, hệ thống phân loại giúp xác định vấn đề chưa trang web với địa URL xác định cho trang, không chứa thêm khảo sát nghiên cứu đầy đủ thông tin liên quan đến vị trí hay kích thước vật lý Nhưng ứng dụng web trực quan hóa trang web hiển thị vị trí xác định khơng gian hình, mối liên kết trang biểu diễn liên kết khơng gian 5.2 Những hạn chế Có hai hạn chế đáng kể người dùng tham gia thí nghiệm, liệu dùng cho thí nghiệm • Mặc dù trực quan hóa thơng tin khơng phải cơng cụ hoàn hảo để giải số lượng người tham gia thí nghiệm cịn chưa đủ tốt Do hạn chế tất vấn đề liên quan đến vai trò định người, việc sử mặt tiếp cận người dùng thực tế, nên luận án tiến hành thí dụng trực quan hóa thơng tin nói chung có ích lợi sau: • Hỗ trợ người xem nhận thức nhanh chóng thơng tin cần diễn đạt • Thể nhiều thơng tin khơng gian hình • Cho thấy mối liên hệ đối tượng trừu tượng nhanh chóng • Hỗ trợ tương tác để phục vụ nhu cầu phân tích Đối với hạn chế thứ người dùng tham gia thí nghiệm, tính chất nghiệm thơng qua thành viên nhóm nghiên cứu Ngồi ra, thí nghiệm tiến hành với số người tham gia, nên kết khơng mang tính đại diện mặt thống kê • Hạn chế đáng kể thứ hai luận án liên quan đến liệu dùng thí nghiệm Dữ liệu dùng để tiến hành thí nghiệm liệu giả Với ích lợi kể trên, trực quan hóa thơng tin ứng dụng lập Nguyên nhân liệu mà luận án yêu cầu để thí nghiệm nhiều lĩnh vực khác nhau, có bảo mật hệ thống Mặc dù trực quan hóa đa dạng tồn nhiều cấp độ khác nên việc có thông tin sử dụng nhiều để giải vấn đề liên quan đến bảo tập liệu chuẩn đầy đủ cho nhiều toán khó mật, thời điểm gần đây, chưa có nhiều nghiên cứu ứng dụng trực quan hóa thơng tin bảo mật ứng dụng web 1.3 1.3.1 Mục tiêu phạm vi luận án 5.3 Hướng phát triển tương lai Để kết luận án hoàn thiện hơn, việc làm sau tiếp tục tương lai: Mục tiêu luận án • Về mặt người tham gia thí nghiệm, xét khía cạnh kỹ thuật, việc Mục tiêu luận án đề xuất nguyên lý giải pháp để hỗ trợ nhà chuyển toàn phần mềm xây dựng sang dạng ứng dụng web quản trị việc bảo mật ứng dụng web mà họ quản lý Kỹ thuật tảng làm cho việc tiến hành thí nghiệm thuận tiện hơn, từ có 23 CHƯƠNG 5.1 TỔNG KẾT sử dụng luận án để đạt mục tiêu trực quan hóa thơng tin Để gắn kết mục tiêu kỹ thuật tảng lại với nhau, lý thuyết phạm trù Kết đạt Đóng góp luận án bao gồm nội dung chính: đóng góp mặt lý thuyết, đóng góp mặt kỹ thuật, đóng góp mặt phương pháp Về mặt lý thuyết, luận án vận dụng lý thuyết phạm trù cải tiến sơ đồ phạm trù có sẵn cho trực quan hóa thơng tin để áp dụng vào tốn bảo mật ứng dụng web Dựa sơ đồ này, luận án đề xuất phương pháp đánh giá tính hiệu kỹ thuật trực quan hóa thơng tin đề xuất mặt định lượng Về mặt kỹ thuật, luận án đề xuất, thực đánh giá số kỹ thuật trực sử dụng Cả phương pháp định tính định lượng sử dụng để đánh giá kỹ thuật trực quan hóa luận án Do số lượng kỹ thuật phát triển lớn, luận án xây dựng hệ thống phân loại kỹ thuật để việc tiếp cận có tổ chức Những tiêu chí phân loại bao gồm: • Phân loại dựa mức độ liệu nguồn trực quan hóa • Phân loại dựa loại tác vụ mà nhà quản trị hỗ trợ • Phân loại dựa vị trí đối tượng bảo mật trực quan hóa • Phân loại dựa mức độ chi tiết ứng dụng web trực quan hóa Bảng 1.1 Mục tiêu luận án quan hóa thơng tin cụ thể việc hỗ trợ bảo mật ứng dụng web sau: • Đề xuất quy trình tiếp cận tốn bảo mật ứng dụng web thơng qua trực quan hóa thơng tin từ tổng qt tới chi tiết Qua đó, luận án xác định hai cấp độ trực quan hóa thơng tin phục vụ cho việc bảo mật ứng dụng web Cấp độ thứ với mức độ tổng qt cao, có mục tiêu cung cấp nhìn toàn cục ứng dụng web Cấp độ thứ hai, với mức độ chi tiết cao, có mục tiêu cung cấp thơng tin đầy đủ tình hình bảo mật trang web • Trong cấp độ trực quan hóa tồn ứng dụng, tốn luận án xác định giải liên quan đến việc hỗ trợ quan sát phân tích lỗi bảo mật ứng dụng web • Phạm vi luận án Đối với tốn bảo mật ứng dụng web thơng qua trực quan hóa thơng tin, luận đến việc hỗ trợ theo dõi công vào ứng dụng web thời gian án có giả định giới hạn sau: Bài toán thứ ba cấp độ trực quan hóa tồn ứng dụng web liên quan đến việc hỗ trợ quan sát phân tích phát triển kịch công theo không gian thời gian • 1.3.2 Bài toán thứ hai cấp độ trực quan hóa tồn ứng dụng liên quan thực • Mục tiêu tổng quát: Đề xuất phát triển nguyên lý giải pháp hỗ trợ nhà quản trị bảo mật ứng dụng web Mục tiêu cụ thể 1: Xây dựng mơ hình lý thuyết cho quy trình bảo mật ứng dụng web dựa trực quan hóa thơng tin tương tác người dùng Mục tiêu cụ thể 2: Phát triển hệ thống phân loại kỹ thuật bảo mật ứng dụng web dựa trực quan hóa thơng tin tương tác người dùng Mục tiêu cụ thể 3: Thiết kế, thực, đánh giá số kỹ thuật trực quan hóa thơng tin để bảo mật ứng dụng web, dựa mơ hình lý thuyết đề xuất Mục tiêu cụ thể hệ thống phân loại đề xuất Mục tiêu cụ thể • Về đối tượng bảo mật, luận án tập trung vào ứng dụng web, không quan tâm đến thành phần có liên quan khác • Về vị trí truy cập, luận án tập trung vào việc bảo mật ứng dụng web truy xuất từ xa, thông qua mạng cục Internet Trong cấp độ trực quan hóa trang web, tốn luận • Về cách thức bảo mật, luận án tập trung vào việc hỗ trợ người dùng án giải liên quan đến việc hỗ trợ quan sát phân tích liệu tác vụ bảo mật, không định bảo mật cách tự nhập với số lượng lớn khơng gian hình giới hạn động 22 CHƯƠNG 2.1 HƯỚNG TIẾP CẬN tương ứng với việc tất thuộc tính sử dụng vào q trình phân loại Đối tượng bảo mật ứng dụng web Tất xây dựng lệch phía phân lớp bình thường minh họa Bài tốn bảo mật ứng dụng web luận án bao gồm đối tượng bảo mật có liên quan trực tiếp đến ứng dụng web Có nhiều tiêu chí khác Hình 4.3 Kết trung bình phân loại liệu kiểm tra với định kết để phân loại đối tượng Tuy vậy, đối tượng có đặc • Tỉ lệ nhận dạng bất thường đúng: 95% (92/97) điểm chung sau: • Tỉ lệ nhận dạng bình thường đúng: 100% (403/403) • Có vị trí xác định: đối tượng phải gắn với nhiều trang web cụ thể • Có cấu trúc xác định: tùy theo đối tượng xét mà chúng có cấu trúc riêng định Hai đặc điểm dẫn đến hai mối liên hệ sau đối tượng bảo mật: • Sự liên quan vị trí: đối tượng có chung khác vị trí Nếu khác vị trí, khoảng cách lớn nhỏ Biểu diễn phân bố vị trí đối tượng hỗ trợ nhận thức cho người xem • Sự liên quan mặt cấu trúc: đối tượng có cấu trúc giống 4.2.3.3 gom lại để xử lý chung Hoặc đối tượng có cấu trúc khác Khi vấn trực tiếp, người tham gia thí nghiệm hài lòng lẽ phải giống trường hợp cần quan tâm nghĩ giải pháp giúp ích cho nhà quản trị việc xây dựng luật đặc biệt nhận dạng công ứng dụng web Hai người tham gia cho phần mềm Tóm lại, trực quan hóa đối tượng bảo mật ứng dụng web, luận án tập trung làm rõ vị trí cấu trúc đối tượng (chức cung cấp thông tin chi tiết đối tượng), liên quan mặt vị trí cấu trúc đối tượng với (chức cung cấp thông tin tổng quan toàn đối tượng ứng dụng web) 2.2 Sự hữu ích/thuận tiện mang lại nên có thêm chức tạo định cách tự động, người sử dụng tham gia điều chỉnh kết cần Một người đề nghị nên hỗ trợ thêm chức sinh định từ mẫu nhận dạng cơng có sẵn Và ba người tin giải pháp nên sử dụng song song với công cụ phát công tự động để bổ sung cho Về mặt định lượng, kỹ thuật trực quan hóa đề xuất đánh giá hiệu đối Phân loại kỹ thuật Trong luận án, kỹ thuật trực quan hóa thông tin đề xuất thực để bảo mật ứng dụng web phân loại theo cách thức sau: • Hình 4.2 Hình dạng chung định kết với việc hỗ trợ người dùng tách nút quan sát toàn cây, trình xây dựng định cho quy tắc phát công Dựa mức độ trừu tượng liệu nguồn trực quan hóa Dữ liệu nguồn cho trực quan hóa liệu thô liệu qua xử lý, tổng hợp công cụ 21 (hoặc đủ lớn) nút Tại thời điểm dừng, giá trị phân lớp nút • giá trị phân lớp chiếm đa số đối tượng liệu bên nút 4.2.2.2 Thiết kế trực quan hóa tương tác Dựa loại tác vụ mà nhà quản trị hỗ trợ Việc hỗ trợ tập trung vào tác vụ quan sát, phân tích, tập trung vào loại • Dựa vị trí đối tượng bảo mật trực quan hóa Đối tượng bảo mật tồn bên ứng dụng đối tượng bảo mật Trực quan hóa nút xét xuất phát từ bên ngồi ứng dụng Trực quan hóa nút xét để hỗ trợ xác định biểu thức tách nút cho nút • Dựa mức độ tổng quát chi tiết ứng dụng web Mỗi biểu thức nhập vào có histogram tương ứng vẽ với chiều trực quan hóa Ứng dụng web trực quan hóa cách tồn cao màu sắc biểu diễn số lượng phân lớp đối tượng liệu ứng dụng, mức độ chi tiết trang Trực quan hóa hình thành Quy trình bảo mật ứng dụng web dựa trực quan hóa thứ tự mà kỹ Sau biểu thức tách nút tạo nút lá, thuật trực quan hóa thơng tin nên áp dụng để tiếp cận ứng dụng web cho hình thành Do có thay đổi mặt cấu trúc, nên định vẽ mục tiêu bảo mật Đây bước cứng nhắc cần phải tuyệt đối lại Mỗi nút vẽ dạng biểu đồ tròn biểu diễn tỉ lệ đối tuân theo, mà linh hoạt sử dụng tùy theo nhu cầu thực tế Tuy nhiên, tượng liệu bình thường bất thường Mỗi nút cịn có kích thước khác nhau, bắt đầu làm việc với hệ thống mới, việc tiếp cận theo quy trình đề xuất xác định dựa số lượng đối tượng liệu chứa nút giúp tiết kiệm công sức thử sai, vào chi tiết sớm 4.2.3 Quy trình mà luận án đề xuất thứ tự áp dụng trực quan hóa thơng tin Thí nghiệm kết Một số thí nghiệm tiến hành để đánh giá giải pháp đề xuất hai khía theo hướng từ tổng quát tới chi tiết Cơ sở việc lựa chọn không cạnh: mức độ hiệu mà giải pháp mang lại việc phân loại liệu nhập phải ngẫu nhiên mà tuân theo quy trình cung cấp thông tin trực quan phổ biến vào ứng dụng web, hữu ích/thuận tiện giải pháp trình sử đề xuất Shneiderman “Overview first, zoom and filter, then details-on- dụng demand” Ưu điểm lớn mà quy trình bảo mật có khơng phải 4.2.3.1 làm việc với hệ thống mà người sử dụng có am hiểu trước, mà Kết quan sát Mặc dù người tham gia thí nghiệm tạo định khác nhau, có số điểm chung q trình xây dựng định sau: • Thời gian phân tích nút giảm độ sâu nút xét tăng • Những thuộc tính gần với người sử dụng trước để tách nút • Những biểu thức đơn giản ưu tiên dùng để tách nút 4.2.3.2 Kết xây dựng luật tìm hiểu hệ thống mới, với mục tiêu chưa rõ ràng, cụ thể, người sử dụng phải làm quen dần với hệ thống liệu thông qua trình khám phá liệu trực quan Đối với ứng dụng web, kỹ thuật trực quan hóa mức độ toàn ứng dụng tổng quát so với kỹ thuật trực quan hóa mức độ trang Trong kỹ thuật cụ thể đề xuất luận án, việc xem xét tương tác trực quan người dùng theo trình tự từ tổng qt tới chi tiết Do đó, quy trình bảo mật ứng dụng web đề xuất quy Thời gian trung bình để người tham gia thí nghiệm xây dựng hồn chỉnh trình tương tác người dùng kỹ thuật cụ thể có quán định 15 phút, người làm nhanh tốn 11 phút, với người làm chậm 18 phút Độ sâu toàn xây dựng 5, 20 2.3 Mô hình trực quan hóa lý thuyết phạm trù Về mặt định lượng, kỹ thuật trực quan hóa đề xuất đánh giá hiệu đối Trong luận án, quy trình trực quan hóa xem xét dạng phạm trù với việc hỗ trợ người dùng duyệt xem xét phân bố liệu nhập, tốn học Phạm trù hồn chỉnh mơ tả Hình 2.1 đáng kể lượng liệu lớn cần phân tích liên quan liệu nhập trường với 4.2 Trực quan hóa luật nhận dạng cơng ứng dụng web 4.2.1 Giới thiệu Bài toán phát triển luật nhận dạng cơng tốn phân loại, liệu đầu vào liệu nhập ứng dụng web, kết đầu việc gán nhãn “bình thường” “bất thường” đối tượng liệu Trong số kỹ thuật học máy để phân loại đối tượng, học theo phương pháp định kỹ thuật phổ biến Ngoài ưu điểm khả xử lý tốt liệu nhiều chiều, phương pháp học theo định cịn ưu Hình 2.1 Phạm trù hồn chỉnh quy trình đề xuất điểm đáng kể khác cách thức trình bày kết học đơn giản dễ hiểu Trong phần này, định trực quan dùng để hỗ trợ phát triển luật nhận Dựa phạm trù Hình 2.1, phương pháp sau dùng để đánh giá dạng công ứng dụng web mô tả định lượng kỹ thuật trực quan hóa đề xuất 4.2.2 • Người tham gia thí nghiệm sử dụng kỹ thuật trực quan hóa thơng tin 4.2.2.1 để Duyệt & Xem xét liệu • Một tập {ci} kết luận đáng kể rút Chi phí để có tập {ci} CostDuyệt & Xem xét • Từ tập {ci}, tập câu hỏi {qi} tổng quát xác định • Người tham gia thí nghiệm tiếp tục trả lời tập câu hỏi {qi} cách Tìm hiểu trực tiếp liệu với chi phí trường hợp CostTìm hiểu • Nếu CostDuyệt & Xem xét ≤ CostTìm hiểu kết luận kỹ thuật trực quan hóa hiệu tập kết luận {ci} tập câu hỏi {qi} Thiết kế trực quan hóa tương tác Đặc tả liệu quy trình xây dựng định Xét chức xử lý liệu với đối tượng liệu có N thuộc tính Tên N thuộc tính xác định a1, a2, …, aN Mỗi thuộc tính có kiểu liệu định Ngồi N thuộc tính liệu, đối tượng cịn có thêm thuộc tính phân lớp ac với hai giá trị “bình thường” “bất thường” Tại thời điểm bắt đầu, toàn đối tượng liệu huấn luyện đặt nút gốc Sau đó, nhà quản trị xây dựng biểu thức tách nút có kiểu Boolean cho nút Biểu thức phân chia đối tượng liệu có nút xét vào hai nút mới: nút với giá trị biểu thức tách nút đúng, nút với giá trị biểu thức tách nút sai Quá trình tách nút tiếp tục diễn nút dừng lại nút chứa đối tượng thuộc phân lớp, tỉ lệ đối tượng bình thường/bất thường đủ nhỏ 19 công cụ GenerateData.com Để sinh liệu công, công cụ CHƯƠNG HackBar sử dụng 3.1 4.1.3.2 3.1.1 Một số kịch sử dụng TRỰC QUAN HĨA Ở MỨC TỒN ỨNG DỤNG Trực quan hóa lỗi bảo mật Giới thiệu Phát đối tượng liệu sai cấu trúc: Những đối tượng liệu có cấu Để có thơng tin lỗi bảo mật có ứng dụng web, trúc khác biệt so với số đơng cịn lại hiển thị bật khu vực (2) phương pháp thường dùng sử dụng công cụ kiểm tra lỗi bảo mật Hình 4.1 tự động Tuy nhiên, công cụ kiểm tra lỗi bảo mật ứng dụng web lại có hạn chế sau đây: • Hạn chế thứ cách thức trình bày kết cơng cụ kiểm tra lỗi bảo mật đơn giản • Hạn chế thứ hai khó khăn việc kết hợp công cụ kiểm tra lỗi lại với Để khắc phục hai hạn chế nêu công cụ quét lỗi tự động, giải pháp kỹ thuật dựa trực quan hóa thơng tin đề xuất xây dựng để hỗ trợ nhà quản trị việc quan sát, phân tích lỗi bảo mật ứng dụng web Một phần mềm thử nghiệm phát triển dựa đề xuất để tiến hành thí nghiệm đánh giá 3.1.2 3.1.2.1 Thiết kế trực quan hóa tương tác Trực quan hóa khơng gian ứng dụng web Ứng dụng web mơ hình hóa dạng cấu trúc liệu phân cấp dạng Hình 4.1 Giao diện phần mềm thử nghiệm với khu vực riêng biệt Phát giá trị bất thường dựa xếp: Phương pháp trực quan hóa đề xuất cho phép hiển thị vài nghìn đối tượng lần, làm giảm số lần lật trang góp phần giải hạn chế nhớ ngắn hạn người Ưu điểm thứ cấu trúc so với đồ thị đơn giản biểu diễn quan sát người dùng Ưu điểm thứ hai cấu trúc thể phân cấp tương tự cách thức trang web tổ chức website Sau xây dựng cây, bước trực quan hóa hình máy tính Phương pháp sơ đồ nút – liên kết sử dụng để trực quan hóa Bố cục Phát giá trị bất thường dựa tìm kiếm: Những đối tượng liệu chọn bố cục hướng tâm So với bố cục từ xuống, bố cục hướng tâm thỏa mãn điều kiện tìm kiếm đánh dấu trực tiếp hình, cho phép cho phép sử dụng khơng gian hiệu Kích thước nút vẽ giữ nguyên ngữ cảnh trước sau tìm kiếm, kết hợp chức tương ứng với số lượng lỗi bảo mật tồn trang web tương ứng với nút tìm kiếm và chức xếp với cách tự nhiên 18 3.1.2.2 Trực quan hóa lỗi bảo mật Đối với đặc điểm thứ hai, đoạn thẳng biểu diễn đối tượng liệu chia Lỗi bảo mật hiển thị theo trang web chứa lỗi Các lỗi gom nhóm thành nhiều phân đoạn, phân đoạn ứng với thuộc tính có màu sắc theo công cụ quét lỗi dùng để phát chúng Mỗi công cụ quét lỗi khác Phương pháp làm cho đối tượng liệu có cấu trúc khác gán màu nhất, xác định trước nhà quản trị Số lượng lỗi biệt so với phần lại dễ dàng nhận người xem công cụ quét định chiều cao cột màu ứng với cơng cụ Đối với đặc điểm thứ ba, ứng với thuộc tính namei, tồn giá trị valuei Trong cột màu công cụ quét lỗi, mức độ suốt sử dụng để thể chi tiết mức độ nghiêm trọng lỗi Hình 3.1 minh họa cách thức lỗi bảo mật trực quan hóa nút toàn biểu diễn ứng dụng web xếp Vị trí giá trị valuei so với phần cịn lại dùng để tính tốn “bình thường” Kết tính tốn dùng để xác định vị trí pixel đánh dấu phân đoạn tương ứng với giá trị nhập 4.1.2.3 Tương tác người dùng Các chức tương tác người dùng bao gồm: xếp, tìm kiếm, xem chi tiết theo nhu cầu Chức xếp thực thuộc tính Sau việc xếp hoàn thành, thao tác xem xét giá trị lớn nhất, giá trị nhỏ nhất, tìm kiếm theo khoảng, v.v… dễ dàng thực Chức tìm kiếm hữu ích nhà quản trị có thơng tin phần, khơng đầy đủ, giá trị họ nghĩ bất thường Thơng qua tương tác tìm kiếm, nhà quản trị xác nhận phủ nhận giả thuyết đưa Chức xem chi tiết theo nhu cầu thực quy trình quan sát liệu trực quan từ tổng quát tới chi tiết Khi dòng đồ họa biểu diễn đối tượng liệu Hình 3.1 Trực quan hóa lỗi bảo mật nút tồn ứng dụng web 3.1.2.3 chọn, dịng dòng xung quanh đưa lên khu vực phóng to Khi dịng phóng to chọn, thông tin đối tượng liệu Tương tác người dùng Để hỗ trợ q trình phân tích lỗi, số kỹ thuật tương tác người dùng cung cấp Những kỹ thuật tương tác người dùng bao gồm nhóm: mở rộng thu gọn nút, lọc liệu, xem chi tiết theo nhu cầu Tương tác mở rộng thu gọn nút cho phép xem thống kê lỗi bảo mật mức độ tổng quát chi tiết Tùy theo nhu cầu mình, nhà quản trị mở rộng thu gọn nút cho phù hợp tương ứng bảng chi tiết dạng văn Giao diện mô tả phần mềm thử nghiệm minh họa Hình 4.1 4.1.3 4.1.3.1 Thí nghiệm kết Thiết lập thí nghiệm Dữ liệu nhập giả sử đến từ chức đăng đăng ký tài khoản ứng dụng web mã nguồn mở WordPress Dữ liệu nhập sinh tự động bao gồm liệu bình thường liệu bất thường Dữ liệu bình thường sinh 17 CHƯƠNG 4.1 TRỰC QUAN HĨA Ở MỨC TỪNG TRANG Trực quan hóa phân tích liệu nhập 4.1.1 Tương tác người dùng lọc liệu Có điều kiện lọc: lọc theo công cụ lọc theo số lượng lỗi quét Chỉ nút thỏa mãn điều kiện lọc hiển thị giao diện kết Giới thiệu Mặc dù việc phân tích liệu nhập có vai trị quan trọng việc bảo mật ứng dụng web, công cụ hỗ trợ cho tác vụ cịn hạn chế Vì vậy, việc phát triển kỹ thuật trực quan hóa để hỗ trợ phân tích liệu nhập cơng Tương tác người dùng cuối hỗ trợ xem chi tiết theo nhu cầu Khi nút chọn để xem chi tiết, giải pháp hiển thị thông tin toàn lỗi bảo mật trang web ứng với nút đó, chi tiết truy vấn việc cần thiết Ngoài chức mà hệ thống phân tích liệu cần HTTP phát sinh lỗi phải có, giải pháp đề xuất cịn phải có chức dành riêng cho mục 3.1.3 tiêu bảo mật ứng dụng web Một số thí nghiệm với số người tham gia tiến hành Có phần mềm 4.1.2 quét lỗi ứng dụng web sử dụng Phần mềm thử nghiệm xây dựng 4.1.2.1 Thiết kế trực quan hóa tương tác Thí nghiệm kết dạng ứng dụng web Những người tham gia thí nghiệm u cầu trình Đặc tả liệu nhập Cấu trúc đối tượng liệu gửi đến xử lý chức ứng dụng web Một cách tổng quát, cấu trúc đối tượng liệu bao gồm tập hợp cặp (namei, valuei), namei bày cảm nhận họ công cụ sau sử dụng Dưới hỗ trợ cụ thể mà kỹ thuật trực quan hóa đạt dựa số đông kết phản hồi: hỗ trợ khám phá liệu hỗ trợ định giá trị người phát triển ứng dụng web gán cố định cho trường nhập Trong thí nghiệm, bước bổ sung thực xác định giới hạn liệu thứ i chức xét, valuei giá trị người duyệt web nhập hiển thị tương tác công cụ việc hỗ trợ người dùng Giới hạn vào trường thứ i thứ nhất, tạm gọi giới hạn kỹ thuật, phụ thuộc vào yếu tố thư viện 4.1.2.2 trực quan hóa sử dụng, cấu hình phần cứng, mơi trường thực thi, v.v… giới Trực quan hóa liệu nhập Để hỗ trợ nhà quản trị việc quan sát tổng quan phát bất thường đối tượng liệu nhập, giao diện trực quan cần có ba đặc điểm sau: • Có thể hiển thị nhiều đối tượng liệu lúc • Hỗ trợ so sánh đối tượng liệu với • Hỗ trợ so giá trị nhập thuộc tính Đối với đặc điểm thứ nhất, đối tượng liệu nhập trực quan hóa thành đoạn thẳng nằm ngang, có chiều cao pixel Việc biểu diễn đối tượng thành dịng đồ họa, thay dịng văn bản, giúp tiết kiệm không gian hiển thị đáng kể 16 hạn thứ hai, tạm gọi giới hạn nhận thức, phụ thuộc vào người dùng cụ thể Trong thí nghiệm tiến hành, giới hạn kỹ thuật lớn so với giới hạn nhận thức: 200 nút so với 70 nút Kết cho thấy lúc việc cải tiến kỹ thuật trực quan hóa để hiển thị số lượng nút nhiều mang lại kết tốt Thay vào đó, việc cải tiến cách thức hiển thị tương tác lại hữu ích để nâng cao hỗ trợ đến người dùng Về mặt định lượng, kỹ thuật trực quan hóa đề xuất đánh giá hiệu việc hỗ trợ so sánh tình trạng bảo mật trang web có mối quan hệ cha – con,cũng trang web ngang hàng với 3.2 Trực quan hóa cơng không gian địa lý – web 3.2.1 Giới thiệu 3.3.3 Thí nghiệm kết Dữ liệu cần thu thập bao gồm cảnh báo công truy xuất thơng thường Một số cơng cụ hữu ích để theo dõi công xảy Trong đó, cảnh báo cơng trích từ cơng cụ PHPIDS Cịn truy xuất hệ thống phát xâm nhập Trong nghiên cứu này, giải pháp thông thường đọc từ file log máy chủ web Apache dựa trực quan hóa thơng tin đề xuất thực để biểu diễn kết Những công cụ quét lỗi bảo mật tự động sử dụng để giả lập việc truy xuất công cụ phát xâm nhập ứng dụng web Điểm mà giải công, bao gồm Subgraph Vega, OWASP Zed Attack Proxy, Acunetix pháp mang lại cách thức biểu diễn cảnh báo công thu thập Web Application Vulnerability Scanner Nhiều công cụ sử dụng để kiểm không gian địa lý – ứng dụng web Các công vào ứng dụng web chứng liệu việc trực quan hóa kịch cơng giúp nhận khác tổ chức dạng đồ thị lưỡng phân, tập nút ứng với chiến thuật duyệt web quét lỗi công cụ hay không nguồn công, tập nút cịn lại ứng với trang web đích cơng Ngồi ra, thí nghiệm cịn bao gồm cơng thực thủ công người 3.2.2 3.2.2.1 Thiết kế trực quan hóa tương tác Thiết kế trực quan hóa Sự khác chiến thuật duyệt web công công cụ thể rõ kết trực quan hóa Những điểm khác bao gồm: tốc độ Mỗi cảnh báo chứa thuộc tính tối thiểu sau: duyệt web, tốc độ cơng, tập trung hay phân tán công mặt thời • Nguồn xuất phát cơng, dạng địa IP gian khơng gian Ngồi ra, kết dự đốn trước kịch • Đích đến cơng, dạng địa URL trang web công thực thủ cơng người có khác biệt đáng kể so với kịch • Thời điểm cơng ghi nhận công sinh công cụ tự động, điều xác nhận • Chi tiết công, chuỗi giá trị cơng, trình duyệt, v.v… thơng qua hình ảnh trực quan hóa Trong số thuộc tính trên, thuộc tính đầu đóng vai trị quan trọng Đối với kết vấn mức độ hỗ trợ người dùng, giải pháp nhà quản trị cần thơng tin mức độ tổng qt Cịn thuộc tính thứ tư thơng hỗ trợ tốt khám phá liệu hỗ trợ phát tri thức thường truy xuất trường hợp nhà quản trị quan tâm đến cơng cụ thể Do đó, thuộc tính quan trọng hiển thị trực tiếp giao diện Thuộc tính cịn lại truy xuất theo nhu cầu Về mặt định lượng, kỹ thuật trực quan hóa đề xuất đánh giá hiệu việc hỗ trợ người dùng nhận định phân bố công/truy xuất theo thời gian theo không gian, hỗ trợ so sánh phân bố công/truy xuất cơng cụ cơng với Hình 3.2 Trực quan hóa cơng vào ứng dụng web 10 15 bước nhấp chuột tối thiểu để từ trang đến trang khác thơng qua Trong Hình 3.2, đồ thị lưỡng phân sử dụng để mơ hình hóa công hyperlink Đi theo hyperlink cách thức phổ biến để duyệt qua ứng dụng Trong đó, tập nút ứng với nguồn công tập nút lại ứng với web mà người công cụ duyệt web tự động thực đích cơng Tập nút nguồn cơng biểu diễn không gian địa Hệ tọa độ không gian chia thành hai khu vực để biểu diễn kiện trước sau cơng Mỗi khu vực ứng với hình chữ nhật, hình chữ nhật bên biểu diễn cho kiện trước cơng ngược lại Mỗi hình chữ nhật lại chia thành hàng ngang Các trang web có giá trị khoảng cách distance đến đích cơng phân vào hàng Nếu xem đích cơng đoạn thẳng nằm lý chất nguồn cơng có vị trí vật lý xác định Cịn tập nút đích cơng, trang web, biểu diễn dạng nút phân cấp dựa giá trị URL trang Mỗi cảnh báo công tương ứng với cạnh nối từ nút không gian nguồn đến nút không gian đích Sau cạnh biểu diễn cơng vẽ ra, độ suốt cạnh tăng dần đến hoàn toàn biến giữa, khoảng cách đồ họa từ/đến đoạn thẳng hàng tương 3.2.2.2 Tương tác người dùng ứng với khoảng cách distance từ/đến trang web đích trang tương ứng Những chức tương tác bao gồm phóng to/thu nhỏ khu vực quan tâm, Trong hàng có tương ứng với trang web hàng Kích thước lọc liệu để làm bật, quan sát liệu mức chi tiết tương ứng với số lần trang truy xuất Màu sắc sử Phóng to/thu nhỏ: Tương tác phóng to/thu nhỏ thực dụng để thể mức độ nghiêm trọng trang web không gian địa lý lẫn khơng gian ứng dụng web Phóng to/thu nhỏ khơng Hình 3.3 giao diện phần mềm thử nghiệm Phần (1) khu vực thiết lập tham gian địa lý đơn phóng to/thu nhỏ mặt hình ảnh đồ họa Trong số để xây dựng kịch cơng, phần (2) thích ý nghĩa dãy màu đó, phóng to/thu nhỏ khơng gian ứng dụng web tương đương với việc mở sắc biểu diễn mức độ nghiêm trọng, phần (3) trực quan hóa kịch cơng rộng/thu gọn nút phân cấp hệ tọa độ thời gian, phần (4) trực quan hóa kịch cơng Lọc liệu: Khác với tương tác lọc truyền thống, tương tác lọc giải pháp hệ tọa độ không gian làm bật số phần tử chọn (bằng cách đổi màu), không che dấu phần tử cịn lại, cung cấp thông tin ngữ cảnh xung quanh Xem chi tiết theo nhu cầu: Tương tác xem chi tiết theo nhu cầu thể thơng tin tồn cảnh báo công thu thập công cụ phát xâm nhập Khi đối tượng liệu chọn để xem chi tiết thơng tin đầy đủ đối tượng hiển thị dạng văn khu vực riêng giao diện 3.2.3 Thí nghiệm kết Hai công cụ công giả lập chọn để thí nghiệm Subgraph Vega OWASP Zed Attack Proxy Phần mềm phát xâm nhập sử dụng PHPIDS Để thu thập liệu trường hợp cơng xuất phát từ nhiều Hình 3.3 Giao diện phần mềm xây dựng trực quan hóa kịch công 14 nguồn khác nhau, phần mềm Tor Browser sử dụng 11 Kết trực quan hóa cho thấy cách thức công hai công cụ 3.3.2 giống nhau: hai công trang web nhiều phương 3.3.2.1 pháp công khác Chỉ sau công xong trang cơng Mỗi kịch cơng định nghĩa tập hợp truy xuất, cụ tiếp tục cơng trang Một điểm khác thể có truy xuất bình thường, truy xuất bất thường (tấn công) Mỗi rõ kết trực quan hóa tốc độ cơng Subgraph Vega cao truy xuất chứa thuộc tính quan trọng thời điểm truy xuất địa URL so với OWASP Zed Attack Proxy Những đặc điểm hỗ trợ trang web đích Thơng tin thời điểm truy xuất thể phát triển kịch phần cho nhà quản trị việc nhận dạng trực quan công xảy công theo thời gian, cịn thơng tin URL trang web đích thể phát ra, đặc biệt công tiến hành thông qua công cụ triển kịch công không gian ứng dụng web Ứng với công tự động phổ biến kiện công chọn làm kiện chính, truy xuất cịn lại chia Về mặt hỗ trợ người dùng, kết vấn trực tiếp người tham gia thành hai nhóm: truy xuất trước công truy xuất sau cho thấy giải pháp đề xuất hỗ trợ tốt khía cạnh sau: khám phá liệu, cơng Việc chia truy xuất thành hai nhóm giúp nhà quản trị biết phát tri thức, định rõ cách thức hacker chuẩn bị nào, khai thác sau Về mặt định lượng, kỹ thuật trực quan hóa đề xuất đánh giá hiệu đối Thiết kế trực quan hóa tương tác Đặc tả liệu cơng diễn Trực quan hóa hệ tọa độ thời gian với việc hỗ trợ người dùng nhận định chiến thuật xác định đích cơng 3.3.2.2 công cụ, tốc độ công theo thời gian chúng Trong hệ tọa độ thời gian, ứng với không gian chiều, hai đoạn thẳng sử 3.3 dụng để định vị truy xuất Đoạn thẳng bên trái dành cho kiện diễn 3.3.1 Trực quan hóa kịch cơng khơng – thời gian trước cơng chính, cịn đoạn thẳng bên phải dành cho kiện diễn Giới thiệu Việc nhận biết trường hợp công riêng lẻ thường không cung cấp đủ thơng tin để có nhìn tồn cảnh cơng xảy Vì ngồi bước cơng, cơng cịn bao gồm bước chuẩn bị trước công, bước khai thác, xóa dấu vết sau cơng Những thơng tin giúp nhà quản trị phần biết kỹ mục tiêu hacker thực cơng, từ lên kế hoạch phịng thủ hiệu Để hỗ trợ mục tiêu cung cấp thông tin đầy đủ cơng vào ứng dụng web, có hai tốn đề cập giải phần Bài toán thứ kết hợp công truy xuất liên quan lại với (được gọi sau cơng Chiều dương hai đoạn thẳng từ xuống Mỗi kiện trực quan thành hình trịn với bán kính đơn vị, tọa độ tâm hình trịn xác định thời điểm kiện xảy Khi có nhiều kiện gần nhau, để tránh che phủ lẫn nhau, kiện đơn vị kết hợp thành kiện tổng hợp Hình trịn biểu diễn kiện tổng hợp có tọa độ tâm trung bình tâm hình trịn đơn vị, cịn diện tích tổng diện tích đơn vị Ngồi ra, hình trịn cịn có màu sắc biểu diễn mức độ nghiêm trọng kiện (sự kiện đơn vị kiện tổng hợp) tương ứng 3.3.2.3 Trực quan hóa hệ tọa độ khơng gian tốn Xây dựng kịch cơng) Bài tốn thứ hai hiển thị thông tin Trong hệ tọa độ không gian, số đo khoảng cách distance hai trang cho người xem cách hiệu (được gọi tốn Trực quan hóa kịch định nghĩa Số đo dùng sử dụng để định vị trang so với công) trang ứng với đích cơng Số đo khoảng cách distance có ý nghĩa số 12 13 ... trang Trực quan hóa hình thành Quy trình bảo mật ứng dụng web dựa trực quan hóa thứ tự mà kỹ Sau biểu thức tách nút tạo nút lá, thuật trực quan hóa thơng tin nên áp dụng để tiếp cận ứng dụng web. .. hình bảo mật trang web • Trong cấp độ trực quan hóa tồn ứng dụng, tốn luận án xác định giải liên quan đến việc hỗ trợ quan sát phân tích lỗi bảo mật ứng dụng web • Phạm vi luận án Đối với tốn bảo. .. loại kỹ thuật bảo mật ứng dụng web dựa trực quan hóa thơng tin tương tác người dùng Mục tiêu cụ thể 3: Thiết kế, thực, đánh giá số kỹ thuật trực quan hóa thơng tin để bảo mật ứng dụng web, dựa mơ