Trong chương 1 luận văn đã nêu lên một số các khái niệm cơ bản về web, các dịch vụ và ứng dụng của Website. Đánh giá tổng quan tình hình mất an ninh, an tồn trên nền web, nêu vai trị và mục đích của việc theo dõi sự thay đổi nội dung Website phân tích đánh giá một số kiểu tấn cơng phổ biến trên website hiện nay và cách phịng chống các kiểu tấn cơng này. Trong chương tiếp theo tác giả tiếp tục tìm hiểu một số phương pháp đảm bảo an ninh Website và các thuật toán giám sát.
CHƯƠNG 2
CÁC THUẬT TOÁN GIÁM SÁT VÀ MỘT SỐ PHƯƠNG PHÁP ĐẢM BẢO AN NINH WEBSITE 2.1. Một số phương pháp đảm bảo an ninh Website
2.1.1. Đảm bảo an ninh hệ điều hành Webserver
Tất cả các Webserver phổ biến hiện nay đều hoạt động trên một hệ điều hành (HĐH) có mục đích chung. Nhiều vấn đề bảo mật có thể tránh được nếu các HĐH của những Webserver đó được cấu hình thích hợp. Bởi vì các nhà sản xuất khơng biết hết các nhu cầu an ninh của mỗi cơ quan, nên mỗi quản trị viên Webserver phải cấu hình các máy chủ mới để phản ánh các yêu cầu an ninh của cơ quan mình và cấu hình lại chúng theo sự thay đổi những yêu cầu đó.
5 bước cơ bản cần thiết để duy trì an ninh HĐH cơ bản:
Lập kế hoạch cài đặt và triển khai của HĐH máy chủ và các thành phần khác cho Webserver đó.
Vá và cập nhật HĐH máy chủ theo yêu cầu.
Hardening (cứng hóa) và cấu hình HĐH máy chủ để giải quyết tương xứng vấn đề an ninh.
Cài đặt và cấu hình các kiểm sốt bảo mật bổ sung (additional security controls), nếu cần thiết.
Kiểm tra HĐH máy chủ để đảm bảo rằng bốn bước trước đó giải quyết đầy đủ tất cả các vấn đề an ninh.
2.1.1.1. Cài đặt và cấu hình hệ điều hành
- Gỡ bỏ (remove) hoặc vơ hiệu hóa (disable) các dịch vụ (services) và ứng dụng (applications) khơng cần thiết.
- Cấu hình xác thực người dùng HĐH.
- Cấu hình kiểm sốt tài ngun (Resource Controls) thích hợp.
- Cài đặt và cấu hình kiểm sốt anh ninh bổ sung (Additional Security Controls).
2.1.1.2. Kiểm tra an ninh hệ điều hành
Kiểm tra an ninh định kỳ HĐH là cách quan trọng để nhận biết các lỗ hổng và để đảm bảo rằng các biện pháp phòng ngừa an ninh đang tồn tại là hiệu quả. Các phương pháp phổ biến để kiểm tra các HĐH bao gồm quét (scanning) lỗ hổng và thử nghiệm thâm nhập. Quét lỗ hổng thường đòi hỏi sử dụng một máy quét (scanner) lỗ hổng tự động để quét một host hoặc một nhóm các host trên một mạng máy tính nhằm phát hiện các lỗ hổng ứng dụng, các lỗ hổng mạng, và các lỗ hổng hệ điều hành. Thử nghiệm thâm nhập là một quá trình thử nghiệm được thiết kế nhằm làm tổn thương một mạng (network) sử dụng các công cụ và các phương pháp học của một kẻ tấn cơng. Nó can dự một cách lặp đi lặp lại nhận biết và khai thác những khu vực yếu nhất của mạng này nhằm để đạt được quyền truy cập vào các phần còn lại của mạng, cuối cùng làm hại an ninh tổng thể của mạng đó.
Việc kiểm tra an ninh HĐH của Webserver nên được thực hiện trên một hệ thống riêng biệt.
2.1.2. Đảm bảo an ninh Webserver
Một khi HĐH được cài đặt và đảm bảo an ninh thì việc cài đặt phần mềm webserver (đã được chọn lựa) có thể bắt đầu. Trước khi bắt đầu q trình này hãy
đọc tài liệu webserver của nhà sản xuất một cách cẩn thận và hiểu rõ các tùy chọn khác nhau sẵn có suốt trong q trình cài đặt.
Một server được cấu hình và/hoặc được vá lỗi một phần thì khơng nên để tiếp xúc trực tiếp với các mạng ngồi (ví dụ: Internet) hoặc người sử dụng bên ngoài. Ngoài ra, việc truy cập mạng nội bộ nên được giới hạn tối đa có thể cho tới khi tất cả các phần mềm được cài đặt, vá lỗi, và cấu hình một cách an tồn.
2.1.2.1. Cài đặt Webserver an toàn
Trong quá trình cài đặt webserver, các bước sau đây cần được thực hiện:
Cài đặt phần mềm webserver hoặc trên HĐH máy chủ chuyên dụng hoặc HĐH máy khách chuyên dụng nếu ảo hóa đang được sử dụng.
Áp dụng bất kỳ bản vá lỗi hay nâng cấp nào để sửa chữa các lỗ hổng đã biết.
Tạo một đĩa vật lý dành riêng hoặc phân vùng logic (tách biệt khỏi HĐH và ứng dụng webserver) cho nội dung Web.
Hủy bỏ hoặc vơ hiệu hóa tất cả các dịch vụ được cài đặt bởi ứng dụng webserver mà khơng được u cầu (ví dụ: gopher, FTP, quản trị từ xa).
Hủy bỏ hoặc vơ hiệu hóa tất cả các tài khoản đăng nhập mặc định không cần thiết được tạo ra khi cài đặt Webserver.
Hủy bỏ tất cả tài liệu của nhà sản xuất khỏi máy chủ Web.
Hủy bỏ tất cả ví dụ hoặc các file thử nghiệm khỏi server đó, bao gồm các script và mã thực thi.
Áp dụng mẫu bảo mật thích hợp hoặc script cứng hóa (hardening script) cho server.
Cấu hình lại biểu ngữ (banner) dịch vụ HTTP (và những thứ khác như yêu cầu), không thông báo loại và phiên bản của Webserver và HĐH.
2.1.2.2. Cấu hình kiểm sốt truy cập (Access Controls)
Hầu hết các HĐH máy chủ Webserver cung cấp khả năng định rõ các quyền truy cập riêng biệt cho các tập tin, các thiết bị, và các tài ngun tính tốn khác trên máy chủ đó. Bất kỳ thơng tin nào mà Webserver có thể truy cập sử dụng thì những điều khiển này đều có thể tiềm ẩn nguy cơ được phân phối cho tất cả các người dùng truy cập Website công khai này. Thiết lập quyền truy cập đúng cho cả HĐH và ứng dụng Webserver là vô cùng quan trọng; nếu không sẽ xảy ra trường hợp quá nhiều hoặc quá ít truy cập có thể được cấp cho người dùng. Những nhà quản trị Webserver nên cân nhắc làm thế nào tốt nhất để cấu hình kiểm sốt truy cập nhằm bảo vệ thông tin được lưu trữ trên các Webserver công khai từ hai quan điểm:
Hạn chế truy cập các ứng dụng Webserver đến một tập con các tài nguyên tính tốn.
Hạn chế truy cập của người dùng thông qua các kiểm soát truy cập bổ sung được thực thi bởi Webserver, nơi mà các mức chi tiết hơn của kiểm soát truy cập được yêu cầu.
Việc cài đặt phù hợp các kiểm soát truy cập có thể giúp ngăn chặn tiết lộ thông tin nhạy cảm hoặc thông tin bị hạn chế mà khơng có ý định phổ biến cơng khai. Ngồi ra, kiểm sốt truy cập có thể được sử dụng để giới hạn việc sử dụng tài nguyên trong trường hợp một cuộc tấn công DoS vào Webserver xảy ra. Tương tự như vậy, kiểm soát điều khiển sẽ thực thi việc không cho các quản trị viên Webserver sửa đổi log, mà chỉ có duy nhất tiến trình của máy chủ Web được phép thêm vào các tập tin log.
Các tập tin điển hình mà việc truy cập nên được kiểm soát như sau:
Các tập tin phần mềm ứng dụng và cấu hình.
Các tập tin liên quan trực tiếp tới cơ chế bảo mật: Tập tin băm password và các tập tin khác được sử dụng trong xác thực; Tập tin chứa thông tin cho phép sử dụng trong việc kiểm soát truy cập; Tài liệu key mật mã được sử dụng trong các dịch vụ bảo mật, tồn vẹn, khơng từ chối.
Các tập tin log của server và các tập tin kiểm tra hệ thống.
Các tập tin phần mềm hệ thống và các tập tin cấu hình.
Các tập tin nội dung Web.
2.1.2.3. Cấu hình thư mục nội dung Web an tồn
Dành riêng một ổ cứng hoặc phân vùng logic cho nội dung Web và thiết lập các thư mục con có liên quan một cách riêng biệt cho các tập tin nội dung Webserver, bao gổm cả đồ họa nhưng khơng bao gồm các script và chương trình khác.
Xác định một thư mục duy nhất dành riêng cho tất cả các script hoặc chương trình bên ngồi được thực hiện như là một phần của nội dung Webserver (ví dụ như CGI, ASP).
Vơ hiệu hóa việc thực thi các script mà không riêng biệt dưới sự kiểm soát của các tài khoản quản trị (admin account).
Vơ hiệu hóa việc sử dụng các link cứng (hard link) hoặc link biểu tượng (symbolic link) (ví dụ như là các shortcut cho Windows).
Xác định một ma trận truy cập nội dung web hoàn chỉnh. Định rõ những thư mục và tập tin nào trong tài liệu webserver nên bị hạn chế và cái nào có thể truy cập (và bởi ai).
Kiểm tra chính sách password của cơ quan và thiết lập mật khẩu tài khoản thích hợp (ví dụ: độ dài, độ phức tạp).
Sử dụng tập tin robots.txt, nếu thích hợp.
Cấu hình bảo vệ anti-spambot, nếu thích hợp (ví dụ: CAPTCHAs, nofollow, hoặc lọc từ khóa).
2.1.3. Quản trị Webserver
2.1.3.1. Logging
Nắm bắt được dữ liệu chính xác trong các bản ghi nhật kí (log) và sau đó theo dõi chặt chẽ những bản ghi đó là điều sống cịn. Log mạng (nhật kí mạng) và log hệ thống (nhật kí hệ thống) rất quan trọng, đặc biệt là log hệ thống trong trường hợp giao tiếp HTTPS, trong đó giám sát mạng là ít hiệu quả hơn. Phần mềm Webserver có thể cung cấp dữ liệu log bổ sung liên quan tới các sự kiện Web cụ thể. Tương tự như vậy, các ứng dụng Web cũng có thể duy trì log riêng về các hoạt động của chúng.
Log của Webserver cung cấp:
Cảnh báo các hoạt động đáng ngờ mà yêu cầu điều tra kỹ hơn.
Theo dõi các hoạt động của kẻ tấn công.
Hỗ trợ khôi phục hệ thống.
Hỗ trợ điều tra sau sự kiện.
Yêu cầu các thông tin cho việc tố tụng pháp lý.
2.1.3.2. Thủ tục sao lưu Webserver
Một trong những chức năng quan trọng nhất của quản trị viên Webserver là duy trì tính tồn vẹn dữ liệu trên Webserver. Điều này là quan trọng bởi vì
Webserver thường là một số trong những server bị phơi bày ra nhất và quan trọng nhất trong mạng của một tổ chức cơ quan. Có hai thành phần chính để sao chép dữ liệu trên Webserver: sao chép thường lệ dữ liệu và HĐH trên Webserver, và duy trì một bản sao có thẩm quyền được bảo vệ tách biệt của nội dung Web cơ quan.
2.1.3.3. Phục hồi từ một sự làm hại an ninh
Hầu hết các tổ chức đều có thể gặp phải một sự làm hại (thỏa hiệp) thành công của một hay nhiều host trên mạng của họ. Bước đầu tiên trong việc khôi phục từ một sự thỏa hiệp là tạo ra và ghi thành tài liệu các chính sách và thủ tục được yêu cầu để ứng phó với sự xâm nhập thành cơng.
Một quản trị viên Webserver nên theo sát các chính sách và thủ tục của cơ quan trong việc xử lý sự cố, và đội ứng phó sự cố nên tiếp xúc với sự chỉ đạo trước khi cơ quan thực hiện bất kì một hành động nào sau một sự làm hại an ninh bị nghi ngờ hoặc đã xác định.
2.1.3.4. Kiểm tra bảo mật Webserver
Kiểm tra an ninh định kỳ Webserver công cộng là rất quan trọng. Nếu khơng có kiểm tra định kỳ, khơng có đảm bảo rằng các biện pháp bảo vệ hiện tại đang làm việc hoặc bản vá an ninh được áp dụng bởi quản trị viên Webserver là hoạt động như đã được báo trước.
Mặc dù đang tồn tại rất nhiều kỹ thuật kiểm tra an ninh, nhưng quét lỗ hổng là phổ biến nhất. Quét lỗ hổng giúp một quản trị viên Webserver xác định các lỗ hổng xác minh liệu rằng các biện pháp an ninh hiện có có hiệu quả hay khơng. Thử nghiệm thâm nhập cũng được sử dụng, nhưng nó thường ít được sử dụng thường xuyên hơn và thường chỉ như là một phần của một thử nghiệm thâm nhập tồng thể của mạng cơ quan.
2.1.4. Bảo đảm an ninh nội dung Web
Hai thành phần chính của đảm bảo an ninh Web là đảm bảo an ninh ứng dụng máy chủ bên dưới và HĐH, và đảm bảo an ninh nội dung thật sự của Web. Trong số này, bảo đảm an ninh nội dung Web thường bị bỏ qua.
2.1.4.1. Công bố thông tin trên Website công khai
Nhiều tổ chức khơng có một quy trình hoặc chính sách cơng khai nội dung web nhằm xác định loại thông tin nào công bố công khai, thông tin nào công bố với truy cập bị giới hạn, và thông tin nào nên được bỏ đi từ bất kỳ kho lưu trữ nào có thể truy cập cơng khai. Đây là rắc rối bởi vì các website là một trong những nơi đầu tiên mà các thực thể độc hại tìm kiếm thơng tin có giá trị.
Một Website cơng khai khơng nên chứa các thông tin sau:
Các bản ghi phân loại (classified records).
Các luật và thủ tục cá nhân nội bộ.
Thông tin nhạy cảm và riêng tư (có sở hữu).
Thơng tin cá nhân về nhân sự hoặc người dùng của một cơ quan tổ chức.
Số điện thoại, địa chỉ e-mail, hoặc các danh sách chung của nhân viên trừ khi cần thiết để hoàn thành yêu cầu cơ quan.
Và các thông tin riêng của tổ chức và cá nhân.
2.1.4.2. Theo dõi các quy định về thu thập thông tin cá nhân
Nhiều cơ quan chính phủ đã ban hành các luật và quy định về việc thu thập thông tin về người dùng truy cập vào các Website cơng khai. Các tổ chức chính phủ và cơ quan nên nhận thức các luật, các quy định, và các hướng dẫn thích hợp
có thể áp dụng này cũng như nắm bắt được sự thay đổi các yêu cầu pháp lý, quy định, và hợp đồng.
2.1.4.3. Giảm nhẹ các cuộc tấn công gián tiếp trên nội dung
Các tấn công nội dung gián tiếp là không trực tiếp tấn công vào Webserver hoặc nội dung của nó. Chúng can dự qua các phương tiện trung gian nhằm có được thơng tin người dùng, đó là những người thường hay truy cập vào trang Web mà được bảo vệ và duy trì trên webserver đó. Các đề tài phổ biến của các tấn công này là ép buộc người dùng truy cập vào một website độc hại do kẻ tấn công thiết lập và tiết lộ thông tin cá nhân trong niềm tin rằng họ đã truy cập vào trang web hợp pháp. Hai loại tấn công gián tiếp phổ biến được mô tả là phishing và pharming.
+ Phishing:
Kẻ tấn công phishing sử dụng công nghệ kỹ năng xã hội để đánh lừa người dùng truy cập vào một website giả mạo và tiết lộ thông tin cá nhân. Trong một số cuộc tấn công phishing, những kẻ tấn cơng gửi một e-mail trơng có vẻ hợp pháp yêu cần người dùng cập nhật thơng tin của mình trên Website cơng ty, nhưng thực ra các URL trong e-mail này lại trỏ tới một website giả.
+ Pharming:
Kẻ tấn pharming sử dụng phương tiện kỹ thuật, thay vì kỹ năng xã hội, nhằm để chuyển hướng người dùng truy cập vào một website giả mạo như là một trang web hợp pháp và tiết lộ thông tin cá nhân. Pharming thường được hoàn thành hoặc bằng cách khai thác lỗ hổng trong phần mềm DNS (phân giải tên miền Internet vào trong địa chỉ IP), hoặc bằng cách thay đổi các tập tin host được lưu trữ trên máy khách (client) để phân giải tên miền Internet một cách cục bộ.
Trong cả hai trường hợp, hệ thống bị tác động phân giải khơng chính xác các tên miền hợp pháp hướng đến địa chỉ của website độc hại.
2.1.5. Sử dụng kỹ thuật xác thực và mã hóa
Các Webserver cơng khai thường hỗ trợ một loạt các kỹ thuật nhận dạng và xác thực người dùng với các đặc quyền khác nhau cho các thông tin truy cập. Một số kỹ thuật này dựa trên các hàm mật mã có thể cung cấp một kênh mã hóa giữa client trình duyệt và webserver.
Khơng có xác thực người dùng, các tổ chức sẽ không thể hạn chế truy cập đến các thông tin rõ ràng cho các người dùng đã được phân quyền. Tất cả các thông tin cư trú trên Webserver công khai sẽ có thể truy cập bởi bất kỳ ai có quyền truy cập vào server đó. Ngồi ra, khơng có một số quy trình xác thực server, người dùng sẽ khơng thể xác định liệu máy chủ đó là webserver “đích thực” hay là một