Giao diện của chƣơng trình gồm có 2 phần chính:
- Phần nhập thông tin đầu vào: Bao gồm một ô nhập địa chỉ website cần đánh giá, phần chọn phạm vi đánh giá và một ô cho phép nhập đƣờng dẫn source code của trang web (nếu đƣợc ngƣời dùng cung cấp).
- Phần hiển thị kết quả: Hiển thị danh sách lỗ hổng phát hiện đƣợc, bao gồm những thông tin chi tiết sau: Tên lỗ hổng, mức độ nguy hiểm, lời khuyên để sửa chữa lỗi và vị trí của file bị lỗi.
5.3.2. Cách sử dụng
Chƣơng trình đƣợc xây dựng với tính đơn giản và dễ sử dụng nhất. Ngƣời dùng chỉ cần nhập địa chỉ website cần đánh giá và nhấn nút “Đánh giá”. Một thanh trạng thái đƣợc hiển thị để báo hiệu chƣơng trình đang thực hiện đánh giá website. Khi chƣơng trình chạy xong sẽ hiện thị danh sách các lỗ hổng ở mục kết quả.
Ngƣời dùng có thể nhấn vào tên lỗ hổng để xem chi tiết thông tin của lỗ hổng bảo mật. Nếu đƣợc cung cấp source code của website thì hãy nhập vào đƣờng dẫn nơi lƣu source code để có thể nhấn vào ơ vị trí lỗi, chƣơng trình sẽ tìm kiếm trong đƣờng dẫn đƣợc cung cấp và mở ra file bị lỗi, giúp ngƣời dùng có thể sửa lỗi trực tiếp.
CHƢƠNG V: KẾT QUẢ ĐẠT ĐƢỢC VÀ ĐÁNH GIÁ
1. KẾT QUẢ ĐẠT ĐƢỢC
Theo yêu cầu đặt ra ban đầu là “Xây dựng công cụ đánh giá an toàn website”, cho tới thời điểm hiện tại, luận văn đã đạt đƣợc những kết quả sau:
- Tác giả đã tự tìm hiểu, sử dụng và đánh giá các cơng trình liên quan tới đề tài mình thực hiện.
- Tác giả đã tạo đƣợc cơ sở lý thuyết vững chắc, làm nền tảng cho việc xây dựng công cụ đánh giá an toàn website.
- Tác giả đã xây dựng đƣợc một cơ sở dữ liệu về các lỗ hổng bảo mật để làm cơ sở xây dựng chƣơng trình đánh giá an toàn website.
- Tác giả đã nghiên cứu, tìm tịi và đã đƣa ra đƣợc các giải pháp cho từng loại lỗ hổng bảo mật, hỗ trợ ngƣời quản lý website sửa chữa lỗ hổng của mình.
- Quan trọng nhất, tác giả đã xây dựng đƣợc một cơng cụ đánh giá an tồn website, có thể đánh giá bất kỳ trang web nào, viết bằng bất cứ ngơn ngữ gì và cài đặt trên bất kỳ nền tảng nào.
2. ĐÁNH GIÁ CHƢƠNG TRÌNH
Sau khi xây dựng xong chƣơng trình, tác giả đã tiến hành thử nghiệm trên nhiều website khác nhau, và dùng nhiều công cụ khác nhau để so sánh và đánh giá.
2.1. So sánh với các công cụ liên quan
Với các công cụ khảo sát ở chƣơng II, tác giả thực hiện quét một số website bằng 3 công cụ là: Paros Proxy, Google Ratproxy và công cụ luận văn đã xây dựng (gọi là My Web Scan). Riêng chỉ có cơng cụ Bkav là không thực hiện đƣợc do phải là chủ sở hữu của website mới sử dụng đƣợc công cụ này.
Bảng 5.1: Kết quả quét bằng Paros Proxy
Webstie vnexpress.net longxuyen.com.vn tnmtdongnai.gov.vn
Số lỗ hổng 1 0 3
Thời gian quét (phút) 15 10 15
Bảng 5.2: Kết quả quét bằng Google Ratproxy
Webstie vnexpress.net longxuyen.com.vn tnmtdongnai.gov.vn
Số lỗ hổng 1 0 3
Thời gian quét (phút) 20 10 17
Bảng 5.3: Kết quả quét bằng My Web Scan
Webstie vnexpress.net longxuyen.com.vn tnmtdongnai.gov.vn
Số lỗ hổng 2 1 3
Thời gian quét (phút) 3 6 45
Nhận xét: Công cụ mà luận văn xây dựng (My Web Scan) đã phát hiện đƣợc hầu hết các lỗ hổng thông dụng của website, nhƣng thời gian quét một số trang web có cấu trúc phức tạp cịn chậm. So với các cơng cụ khác thì có những trang quét nhanh hơn, có những trang quét chậm hơn, tùy thuộc vào cấu trúc của từng trang. Cịn về phần lỗ hổng thì hầu hết đều phát hiện đƣợc, thậm chí có trang cịn phát hiện tốt hơn các phần mềm đã khảo sát.
2.2. Những vấn đề đạt đƣợc
- Chƣơng trình có khả năng tự động qt tồn bộ nội dung website.
Tiêu chí
Tiêu chí Tiêu chí
- Phát hiện đƣợc hầu hết các lỗ hổng thông dụng và nhiều lỗ hổng nghiêm trọng khác.
- Kết quả đƣợc hiển thị trực quan, cho phép xem thông tin chi tiết của lỗ hổng phát hiện đƣợc.
- Các lỗ hổng đƣợc phân loại theo mức độ nguy hiểm, bao gồm: Nhẹ, trung bình và trầm trọng, giúp cho ngƣời quản trị có cái nhìn tổng quan về mức độ an tồn của website mình quản lý.
- Đƣa ra các phƣơng pháp khắc phục lỗ hổng để ngƣời quản trị có thể sửa lỗi trang web của mình.
- Chƣơng trình cho phép chỉ ra vị trí của file bị lỗi, nếu đƣợc cung cấp source code thì chƣơng trình có thể tìm kiếm và mở ra file bị lỗi để ngƣời quản trị có thể sửa lỗi.
2.3. Những vấn đề hạn chế
- Chƣơng trình chƣa phát hiện đƣợc những lỗ hổng các plugins của hãng thứ ba mà website sử dụng, nhƣ: Adobe Flash, Silverlight, …
- Chƣơng trình chƣa phát hiện đƣợc các lỗ hổng liên quan đến DDoS.
- Do phải đánh giá tất cả các thành phần trên website nên thời gian quét một số trang web có cấu trúc phức tạp cịn chậm.
3. HƢỚNG PHÁT TRIỂN
Bƣớc đầu, luận văn cơ bản đã đạt đƣợc các yêu cầu đặt ra. Tuy nhiên, các kết quả còn khá khiêm tốn do hạn chế về mặt thời gian và tài liệu. Trong thời gian tới, nếu có điều kiện, tác giả sẽ cố gắng phát triển thêm những nội dung sau:
- Tìm hiểu thêm các lỗ hổng bảo mật mới đƣợc cơng bố, và tìm ra phƣơng pháp dị tìm chúng.
- Tìm hiểu về vấn đề bảo mật sâu hơn để đƣa ra những lời khuyên hiệu quả hơn.
- Tìm hiểu vấn đề bảo mật không chỉ dừng lại ở mức độ ứng dụng web, mà còn phát triển sâu hơn để bảo mật ở các hệ thống mạng và dịch vụ.
- Cải thiện các thuật tốn dị tìm lỗ hổng để giảm thời gian quét hệ thống. - Phát triển chƣơng trình để có thể phát hiện đƣợc các lỗ hổng liên quan đến DDoS và các lỗ hổng của các plubins mà trang web sử dụng.
TÀI LIỆU THAM KHẢO
[1] Cenzic, Application Security Trends Report, Cenzic Inc Canada (2009). [2] VnMedia, Google biếu không công cụ bảo mật web,
http://www.quantrimang.com.vn/baomat/bao-mat/tin-bao-mat/46864_Google- bieu-khong-cong-cu-bao-mat-web.aspx, (2012).
[3] OWASP, “The Ten Most Critical Wep Application Security Risks”, OWASP
Top 10 (2010).