Trong quá trình thiết kế, cài đặt và vận hành hệ thống Website, thường xuyên dò quét phát hiện các lỗ hổng bảo mật để kịp thời xử lý là sự lựa chọn thông minh giúp cho các doanh ngiệp, cá nhân, tổ chức bảo vệ được hệ thống của mình. Để thực hiện dò quét phát hiện các lỗ hổng bảo mật, người dùng có thể tự cài đặt các phần mềm hoặc sử dụng các phần mềm sẵn có của các nhà cung cấp.
Một số tiêu chuẩn kiểm thử lỗ hổng bảo mật website điển hình: – OWASP (Open Web Application Security Project).
– OSSTMM (Open Source Security Testing Methodology Manual) – Kiểm thử theo phương thức mã nguồn mở.
– PTF (Penetration Testing Framework) – Dò quét lỗ hổng bảo mật hệ thống. – ISSAF (Information Systems Security Assessment Framework) – Đánh giá bảo mật Hệ thống thông tin.
Để xây dựng các phần mềm phát hiện lỗ hổng bảo mật, trước hết cần nghiên cứu kỹ các đặc điểm lỗ hổng bảo mật dựa trên các tiêu chuẩn nêu trên. Tiếp theo là sử dụng các ngôn ngữ lập trình (chẳng hạn như Python) để cài đặt phần mềm mô phỏng quá trình tấn công lỗ hổng bảo mật nhằm phát hiện chúng. Cuối cùng là sử dụng phần mềm để dò quét phát hiện lỗ hổng bảo mật.
Quá trình tự cài đặt các phần mềm phát hiện lỗ hổng bảo mật giúp cho các nhà phát triển Website nắm rõ bản chất của lỗ hổng và sớm có các giải pháp khắc phục.
Trong hình 2.2 mô tả sơ đồ tấn công lỗ hổng cơ sở dữ liệu SQL của website được viết bằng ngôn ngữ lập trình PHP và cơ sở dữ liệu SQL server .
Hình 2.2: Sơ đồ thực hiện tấn công lỗ hổng cơ sở dữ liệu SQL trên web [2,3]
Trên cơ sở đó, thực hiên cài đặt phần mềm theo sơ đồ trên để phát hiện lỗ hổng bảo mật webiste tương ứng.