Nỗ lực bảo mật một hệ thống là một tiến trình thay đổi, kiểm thử và cải tiến. Bởi vì không thể có một hệ thống bảo mật hoàn hảo, mục đích là xác định mức bảo vệ mà đáp ứng đƣợc yêu cầu của tổ chức, công ty. Kiểm thử bảo mật Web, là kiểm thử hiệu quả sự bảo vệ toàn bộ hệ thống Web. Nó yêu cầu kết hợp nhiều kiến thức về các
Khoa Công Nghệ Thông Tin Đại Học Công Nghệ - Đại Học Quốc Gia Hà Nội
Học viên: Nguyễn Thị Ngọc Hƣơng
công nghệ bảo mật, công nghệ mạng, lập trình và kinh nghiệm thực tế về thâm nhập hệ thống mạng
Kiểm thử bảo mật: Trong kiểm thử bảo mật ứng dụng Web, giả sử những kẻ
tấn công có kỹ năng, cơ hội và thời gian, cũng có thể kẻ tấn công chỉ là một đứa trẻ hoặc là một tổ chức tình báo quốc tế. Một mặt khác của kiểm thử các rủi ro về quản lý là xác định giá trị sẽ bị mất nếu ứng dụng bị tấn công.[17]
3.9.1.Kiểm thử yêu cầu và thiết kế
Yêu cầu là chìa khóa
Khu vực tính toán tin cậy
Kiểm soát truy cập
Những nguồn tài nguyên nào nên được bảo vệ
Các vấn đề riêng tư của khách hàng:Thông tin nào là bí mật?
3.9.2.Kiểm thử mã nguồn ứng dụng[9]
Cửa sau (backdoor)
Xử lý lỗi và thông báo lỗi
Kiểm thử tên tài khoản và mật khẩu
Kiểm thử sự rò rỉ thông tin
Số ngẫu nhiên và số duy nhất
Kiểm thử việc sử dụng GET và POST
Các tấn công giả mạo tham số
Các tấn công chèn vào lệnh SQL
Các tấn công cookie
Kiểm thử lỗi tràn vùng đệm
Kiểm thử dữ liệu xấu
Sự tin cậy vào các script phía trình khách
Khi đầu vào trở nên đầu ra
3.9.3.Kiểm thử mã nguồn của hãng thứ ba
Các lỗ hổng đã được nhận biết
Các điều kiện cạnh tranh
Kiểm thử triển khai
Các thiết lập mặc định của cài đặt
Mật khẩu mặc định
Quốc tế hóa
Tính pháp lý của chương trình
Làm việc với những người hỗ trợ khách hàng
Khoa Công Nghệ Thông Tin Đại Học Công Nghệ - Đại Học Quốc Gia Hà Nội
Học viên: Nguyễn Thị Ngọc Hƣơng
3.9.4.Kiểm thử xâm nhập (Penetration testing)
Đánh giá sự hiệu quả của bảo vệ hệ thống mạng. Bao gồm một chuỗi các kiểm
thử mà yêu cầu sự kết hợp các công cụ tấn công, các chuyên gia bảo mật và kiếm thức về công nghệ thông tin. Kiểm thử xâm nhập là một tiến trình kỹ thuật thƣờng vƣợt quá khả năng và nguồn tài nguyên của nhiều tổ chức. Do vậy, loại kiểm thử này bình thƣờng không đƣợc thực hiện bởi các kiểm thử viên phần mềm, thông thƣờng cần có các chuyên gia từ bên ngoài hỗ trợ loại kiểm thử này. Một số vấn đề cần xem xét trong quá trình kiểm thử xâm nhập:[18]
Kiểm thử xâm nhập nên đƣợc thực hiện trƣớc khi hệ thống đi vào hoạt động Kiểm thử xâm nhập cần tiếp tục trên một hệ thống đang hoạt động, đặc biệt
khi có những phần của hệ thống thay đổi
Các hoạt động kiểm thử xâm nhập thƣờng tƣơng tự nhƣ các hành động của những kẻ tấn công thực sự.
Kiểm thử xâm nhập nên xem xét các lỗ hổng của dữ liệu đƣợc phát hành và tài sản trí tuệ.
Các yêu cầu kiểm thử xâm nhập có đƣợc xây dựng?
Cho trƣớc một phạm vi và kiến thức cần thiết cho kiểm thử xâm nhập một hệ thống, kiểm thử xâm nhập hiệu quả đƣợc cài đặt nhƣ thế nào?
Có một kế hoạch kiểm thử xâm nhập với các nguồn tài nguyên đƣợc xác định không?
Nhân viên kiểm thử có đủ năng lực và thời gian để thực hiện hiệu quả kiểm thử xâm nhập? Các nhân viên khác trong công ty có thể hỗ trợ không?Ai là ngƣời chịu trách nhiệm?Kiểm thử có thể đƣợc gia công?
Mức độ hiệu quả của việc bảo vệ tƣờng lửa và thiết bị định tuyến của hệ thống?
Mức độ dễ dàng mà những kẻ xâm nhập có thể truy cập trình chủ hay trình khách trên mạng?
Những cổng nào là mở và đóng trên một trình chủ? Nếu một kẻ xâm nhập kết nối đến các cổng mở, kẻ xâm nhập có thể truy cập hệ thống mạng ở mức độ nào? Với các lỗ hổng biết trƣớc, hệ thống phải đối mặt với các rủi ro xấu nhất có thể nào?
Kiểm thử nên thực hiện từ bên ngoài vành đai mạng cũng nhƣ từ bên trong vành đai mạng (qua các tài khaonr đƣợc cấp quyền hạn chế trong mạng) Hãy định nghĩa mục tiêu, phạm vi, vai trò và trách nhiệm đối với kiểm thử
xâm nhập
Hãy phát triển một tiến trình lập kế hoạch kiểm thử chiến lƣợc.
Hãy định nghĩa các độ đo kiểm thử đơn giản để đánh giá sự rủi ro (ví dụ:
một cơ sở có thể bị phá hoại qua một tấn công)
Hãy đánh giá và tìm kiếm các công cụ kiểm thử đóng gói để hỗ trợ tổ chức của bạn trong kiểm thử xâm nhập.
Khoa Công Nghệ Thông Tin Đại Học Công Nghệ - Đại Học Quốc Gia Hà Nội
Học viên: Nguyễn Thị Ngọc Hƣơng
3.9.5.Kiểm thử sự bảo vệ ngƣời sử dụng qua các thiết lập của trình
duyệt[14]
Các thiết lập của trình duyệt có thể đƣợc cài đặt trong các trình duyệt nhƣ Mozilla FireFox và Microsoft Internet Explorer cho phép giới hạn truy cập đến các nội dung internet có thể gây hại.
Các thiết lập bảo mật vùng internet trên Internet Explorer nhƣ sau:
High: Nội dung động mà có thể phá hủy máy tính của ngƣời sử dụng bị hạn chế
Medium: Ngƣời sử dụng đƣợc khuyến cáo trƣớc khi nội dung động có thể phá hủy đƣợc thực thi.
Low: Ngƣời sử dụng không đƣợc khuyến cáo trƣớc khi nội dung động có thể phá hủy đƣợc thực thi.
Customer security settings for active content: Cho phép ngƣời sử dụng định nghĩa các tùy chọn hỗ trợ cho các loại nội dung động cụ thể
Các thiết lập bảo mật khác:
o Do not save encrypted pages to dísk
o Warn if submitted forms are being redirected
o Warn if changing between secure and nonsecure model
o Check for certificate revocation
o Warn about invalid site certificates
o Accepting cookie: |Always|Prompt|Disable|
Kiểm thử tƣờng lửa