Bảng 3-1 Nội dung quy trình STT Đầu vào Ngƣời thực hiện Hoạt động Kết quả đầu ra
Bƣớc 1: Xác định cổng điện tử cần đánh giá
1 Yêu cầu đánh giá cổng thông tin điện tử Đơn vị thực hiện đánh giá; Đơn vị yêu cầu đánh giá
Căn cứ vào yêu cầu đánh giá cổng thông tin điện tử của một số tổ chức, cá nhân hoặc doanh nghiệp. Đơn vị chịu trách nhiệm đánh giá cần xác định rõ các thông tin về cổng thông tin điện tử:
- Địa chỉ Website.
- Địa chỉ webservices nếu có - Phiên bản.
- Tài khoản để thực hiện kiểm tra. - Ip sử dụng để đánh giá. Thông tin về cổng thông tin điện tử cần đánh giá
Bƣớc 2: Lập kịch bản kiểm tra, dò quét cổng thông tin điện tử
1 Thông tin về cổng thông tin điện tử Ngƣời chịu trách nhiệm lập kịch bản của đơn vị đánh giá
Kịch bản kiểm tra, đánh giá sẽ gồm các hoạt động:
- Lập kịch bản để dò quét các lỗ hổng sẽ thực hiện dò quét và phát hiện.
-
Kịch bản kiểm tra, đánh giá cổng thông tin điện tử
Bƣớc 3: Xem xét và phê duyệt kịch bản
1 Kịch bản chƣa đƣợc duyệt , thông tin về cổng thông tin điện tử Cán bộ phê duyệt kịch bản - Xem xét kịch bản đã đúng các thông tin đã xác định đƣợc ở bƣớc 1
- Kịch bản đáp ứng đủ yêu cầu để đánh giá an ninh an toàn website.
Kịch bản đã đƣợc duyệt
66 STT Đầu vào Ngƣời thực hiện Hoạt động Kết quả đầu ra
Bƣớc 4: Thực hiện kiểm tra, dò quét cổng thông tin điện tử
1 Kịch bản đã đƣợc phê duyệt Đơn vị thực hiện đánh giá
- Thực hiện kiểm tra, dò quét website
- Thực hiện kiểm tra, dò quét webservices theo kịch bản đã đƣợc duyệt Thông tin trong quá trình kiểm tra, dò quét theo nội dung kiểm tra theo kịch bản
Bƣớc 5: Xuất báo cáo kết quả kiểm tra, dò quét
1 Hoàn thành việc kiểm tra, dò quét Đơn vị thực hiện đánh giá
- Thực hiện xuất các báo cáo theo yêu cầu
- Xuất báo cáo theo định dạng yêu cầu
Báo cáo kết quả kiểm tra, dò quét website, webservices
Bƣớc 6: Phân tích kết quả, đánh giá nguy cơ có thể xảy ra
1 Báo cáo kết quả kiểm tra
Đơn vị thực hiện đánh giá
- Thống kê các nguy cơ có thể dẫn tới mất an ninh an toàn website, webservices theo các mức: Rất nguy hiểm, nguy hiểm, trung bình, thấp
- Thống kê các nguy cơ
- Phân tích, đánh giá số lƣợng lỗi, lổ hổng phát hiện đƣợc - Mức độ nghiêm trọng của các
lỗ hổng: Cao, trung bình, thấp - Phân loại các lỗ hổng phát hiện đƣợc: Lỗi server, lỗi do lập trình....
67 STT Đầu vào Ngƣời thực hiện Hoạt động Kết quả đầu ra
2 Báo cáo kết quả kiểm tra.
Đơn vị thực hiện đánh giá
- Các nguy cơ đánh sập hệ thống
- Nguy cơ đánh cắp thông tin , CSDL..
Bƣớc 7: Thẩm định, đánh giá an ninh bảo mật cổng thông tin điện tử
1 Kết quả phân tích, đánh giá các nguy cơ
Đơn vị đánh giá, đơn vị yêu cầu đánh giá
- Liệt kê chi tiết các mục kiểm tra và tình trạng
- Kiểm định đánh giá website, webservie đang ở mức độ an toàn nào: Mất an toàn ở mức nghiêm trọng, mức bình thƣờng, mức thấp Tài liệu thẩm tra, kiểm định an ninh an toàn cổng thông tin điện tử
3.2.5. Đánh giá quy trình Ƣu điểm
- Là quy trình đầu tiên đƣợc đề xuất để áp dụng vào quá trình triển khai, thẩm định, đánh giá cổng thông tin điện tử tại Việt Nam.
- Quy trình đƣợc đề xuất có tính thời sự và thực tiễn cao vì đánh giá cổng thông tin điện tử đang là vấn đề nóng và đƣợc nhiều đơn vị, cá nhân quan tâm.
- Tính thống nhất của quy trình đƣợc thể hiện rõ ở mục đích đề xuất.
- Nội dung quy trình nêu rõ trách nhiệm của từng đơn vị tham gia trong quá trình, bao gồm: Đơn vị cung cấp dịch vụ đánh giá cổng thông tin điện tử và đơn vị có nhu cầu thẩm tra, đánh giá cổng thông tin điện tử.
- Quy trình bao gồm đầy đủ các bƣớc cơ bản để có thể thẩm định, đánh giá cổng thông tin điện tử.
- Đã đƣợc áp dụng trong thực tế việc test bảo mật trong dự án phục vụ công việc của tác giá luận văn.
Nhƣợc điểm:
- So với các quy trình triển khai, đánh giá sản phẩm an toàn bảo mật thông tin nhƣ đã đề cập thì quy trình đề xuất còn khá đơn giản.
68
3.3. Áp dụng quy trình triển khai đánh giá cổng thông tin điện tử Công ty NEO sử dụng công cụ Acunetix sử dụng công cụ Acunetix
3.3.1. Xây dựng kịch bản đánh giá
Bảng 3-2 Kịch bản đánh giá
STT Trƣờng hợp test Kết quả mong muốn Đánh
giá
1. Cross-Site Scripting (XSS) – over 40 different XSS variations are tested
Không bị lỗi XSS
2. SQL Injection Không bị lỗi SQL Injection
3. Blind SQL/XPath injection Không bị lỗi
4. Buffer overflows Không bị lỗi tràn bộ nhớ
5. Input Validation Có validate dữ liệu truyền vào
6. SSL Không bị lỗi SSL
7. Security and configuration checks for badly configured proxy servers
Không bị lỗi bảo mật do cấu hình Proxy trên Server
8. Port scans the web server and obtains a list of open ports with banners
Không truy cập đƣợc hệ thống ngoài các port hệ thống đã cung cấp (443, 80, 8080)
9. Apache httpOnly Cookie
Disclosure Không bị lỗi
10. Application error message Không bị lỗi
11. Session Cookie without Secure
flag set Không bị lỗi
12. Broken links Không bị lỗi
13. Weak Passwords Không chứa các password dễ nhận biết nhƣ 123456, abcde
14. Error page Web Server version disclosure
Không bị lỗi
15. URL redirection Không tự động redirect sang các trang web khác
16. CSRF Không bị lỗi CSRF
17. Arbitrary File creation Không tạo đƣợc file trên Server mà không sử dụng các chức năng của hệ thống
69
STT Trƣờng hợp test Kết quả mong muốn Đánh
giá
19. Arbitrary File deletion Không xóa đƣợc file mà không sử dụng các chức năng của hệ thống cung cấp
20. Cookie Manipulation Mã hóa dữ liệu đƣợc lƣu trên Cookie
21. Full Path Disclosure Không hiển thị đƣờng dẫn tuyệt đối của file
3.3.2. Thực hiện đánh giá
Để thực hiện đánh giá một cổng thông tin điện tử, ta cần tạo một phiên đánh giá. Phiên đánh giá này có các phần chính
- Thu thập dữ liệu và cấu trúc của website (Crawler site)
- Thực hiện phân tích dò quét lỗ hổng website dựa trên cấu trúc đã thu thập đƣợc Công cụ Acunetix cho phép ngƣời dùng có thể thu thập cấu trúc của website trƣớc, và sử dụng cho các lần quét khác nhau để giảm thiểu thời gian dò quét.
a) Tuỳ chọn Thu thập dữ liệu website (Crawler site)
Tùy chọn Site Crawler sẽ phân tích website và xây dựng cấu trúc của site đó dựa trên các thông tin thu thập đƣợc bao gồm các file thƣ mục hoặc các dối tƣợng trong website. Do đó, bạn có thể sử dụng tùy chọn này để phân tích cấu trúc của website
Các bƣớc Crawler site (thu thập dữ liệu)
- Vào Menu File>New>Website crawl
70
- Nhập địa chỉ website sẽ thực hiện crawl
- Chọn Login đã đƣợc tạo sẵn hoặc không
- Nhấn nút Start để bắt đầu Crawl
Màn hình chính khi crawl
Hình 3.2: Cấu trúc website
- Màn hình gồm 2 cửa số chính: Cửa sổ hiển thị cấu trúc site ở bên trái và cửa sổ hiển thị chi tiết ở bên phải.
- Cửa sổ bên trái hiển thị thông tin về website nhƣ: file, thƣ mục, cookies.
71
b) Thực hiện quét
Giao diện chính của Acunetix:
Hình 3.3: Giao diện chính của Acunetix
Bước 1:Nhấn nút New Scan Hoặc vào menu File >New> Web site Scan
Hình 3.4: Nhập địa chỉ và tuỳ chọn quét
72
- Nhấn Next
Chú ý:Tùy chọn “Scan using saved crawling results ” nếu đã có sẵn file crawler như đã thực hiện trong phần a
Bƣớc 2:
Hình 3.5: Chọn Scaning Profile
- Chọn loại lỗi muốn quét trong website trong trƣờng Scanning profile(Nếu chọn default hệ thống sẽ quét tất cả các lỗi của website)
- Chọn tùy chọn khi quét bằng cách nhấn nút Customize trong trƣờng Scan settings
- Nhấn vào checks box “Save scan results to databse for report generation” nếu muốn lƣu kết quả test vào cơ sở dữ liệu để báo cáo sau này
- Nhấn vào checks box “After crawling let me choose the files to scan” nếu muốn chọn các file đẻ quét sau khi chƣơng trình crawling xong
73 Bƣớc 3:
Hình 3.6: Thông tin về server
- Hệ thống hiển thị thông tin cơ bản về sever cài đặt website.
- Chọn công cụ phát triển website trong phần Opimize for following technologies.
- Nhấn Next Bƣớc 4:
74
- Chọn Login sequence để hệ thống tự động đăng nhập khi quét. Nhấn nút New Loging sequence để tạo Login mới (chi tiết xem trong phần VIII)
- Nhấn Next
Bƣớc 5: Nhấn Finish để bắt đầu quét
Hình 3.8: Kết thúc quá trình tuỳ chọn
Màn hình khi đang thực hiện quét website
75 3.3.3. Kết quả đánh giá
Màn hình sau khi quét xong sẽ nhƣ sau:
Hình 3.10: Màn hình sau khi thực hiện quét xong
a) Phân tích kết quả thực hiện đánh giá
- Danh sách các loại lỗi sẽ đƣợc hiển thị trong phần Scan results. Số lỗi của mỗi loại sẽ đƣợc hiển thị bằng con số cuối mỗi loại
- Nhấn vào dấu cộng trong mỗi loại để xem chi tiết
Hình 3.11: Giao diện chi tiết từng lỗi Mức độ cảnh báo lỗi:
76
Hình 3.12: Mức độ cảnh báo
Hệ thống hiển thị 4 mức độ cảnh báo an ninh với các màu tƣơng ứng:
- Màu đỏ(level 3): Cảnh báo cho những lỗi nguy hiểm, đƣa website và tình trạng rủi do cao nhất, dễ bị hack và trộm cắp dữ liệu. Ở đây có 20 lỗi có mức độ nguy hiểm
- Màu vàng (level 2)(20 lỗi): Cảnh báo cho những lỗi nhƣ thiếu cấu hình máy chủ, mã hóa trang web site dẫn đến tạo điều kiện cho sự gián đoạn và xâm nhập vào máy chủ.
- Màu xanh da trời(5 lỗi): Cảnh báo cho những lỗi thiếu mã hóa trên đƣờng truyền dữ liệu hoặc bị lộ đƣờng dẫn thƣ mục.
- Màu xanh lá cây(7 lỗi): Thông tin cảnh báo cho những trang web dễ bị tiết lộ thông tin qua tìm kiếm trên google hoặc dễ bị tiết lộ địa chỉ email.
Hiển thị thông tin chi tiết về một lỗi đƣợc tìm thấy:
Khi nhấn vào một lỗi trong danh sách các lỗi ở phần kết quả, cửa số bên phải sẽ hiểu thị chi tiết về lỗi đó bao gồm:
- Mô tả về lỗi.
- Đƣờng dẫn/ nơi chứa file gây ra lỗi đó.
- Mức độ nguy hiểm mà lỗi này có thể mang lại.
- Chi tiết về các tham số, biến đƣợc đùng để test ra lỗi này.
- Cách để fix lỗi này.
- Thông tin chi tiết về lỗi.
77
Bảng 3-3 Kết quả theo kịch bản
STT Trƣờng hợp test Kết quả mong muốn Đánh
giá
1. Cross-Site Scripting (XSS) – over 40 different XSS variations are tested
Không bị lỗi XSS Không đạt
2. SQL Injection Không bị lỗi SQL Injection Đạt
3. Blind SQL/XPath injection Không bị lỗi Không đạt
4. Buffer overflows Không bị lỗi tràn bộ nhớ Đạt 5. Input Validation Có validate dữ liệu truyền
vào
Đạt
6. SSL Không bị lỗi SSL Không
Đạt
7. Security and configuration checks
for badly configured proxy servers Không bị lỗi bảo mật do cấu hình Proxy trên Server Không đạt
8. Port scans the web server and obtains a list of open ports with banners
Không truy cập đƣợc hệ thống ngoài các port hệ thống đã cung cấp (443, 80, 8080)
Đạt
9. Apache httpOnly Cookie
Disclosure Không bị lỗi Không đạt
10. Application error message Không bị lỗi Không đạt
11. Session Cookie without Secure flag set
Không bị lỗi Không
đạt
12. Broken links Không bị lỗi Không
đạt
13. Weak Passwords Không chứa các password dễ nhận biết nhƣ 123456, abcde Đạt 14. Error page Web Server version
disclosure Không bị lỗi Không đạt
15. URL redirection Không tự động redirect sang các trang web khác Đạt
16. CSRF Không bị lỗi CSRF Không
đạt
17. Arbitrary File creation Không tạo đƣợc file trên Server mà không sử dụng các chức năng của hệ thống
Đạt
78
STT Trƣờng hợp test Kết quả mong muốn Đánh
giá đạt
19. Arbitrary File deletion Không xóa đƣợc file mà không sử dụng các chức năng của hệ thống cung cấp
Đạt
20. Cookie Manipulation Mã hóa dữ liệu đƣợc lƣu trên
Cookie Đạt
21. Full Path Disclosure Không hiển thị đƣờng dẫn tuyệt đối của file Đạt
b) Xuất báo cáo đánh giá
Để mở màn hình báo cáo, nhấn nút Report trên thanh toolbar
Hình 3.13: Giao diện xuất báo cáo
79
Hình 3.14 : Báo cáo Danh sách các loại báo cáo
- Affected Items: Báo cáo này đƣợc tổ chức theo từng Item bị lỗi trên web site cùng với chi tiết về lỗi đƣợc tìm thấy.
- Developer Report: Đƣợc dùng cho các dev để dễ dàng cho việc fix các bug đƣợc tìm thấy.
- Executive Summary: Dùng cho các quản lý nhóm để xem xét đƣợc tình hình bảo mật của một website.
- Quick Report: Báo cáo nhanh danh sách các lỗ hổng trên các file hoặc các tham số bị lỗi.
- Compliance: Báo cáo theo một số chuẩn nhƣ PCI DSS, OWASP và WASC.
- Scan Comparison: Cho phép so sánh với các lần quét trƣớc để dễ dàng xác định các lỗi đã đƣợc fix và các lỗi chƣa đƣợc fix.
- Monthly Vulnerabilities: Thống kê các lỗi đƣợc tìm thấy theo từng tháng.
Cách tạo report
80
Hình 3.15: Tuỳ chọn xuất báo cáo
- Nếu chọn Display all scan: Hệ thống sẽ hiển thị danh sách tất cả các lần quét để bạn chọn sẽ báo cáo cho lần quét nào.
- Nếu chọn Filter displayed scans: Hệ thống cho phép bạn lọc các lần quét để báo cáo.
- Nhấn Next
Chọn lần quét, các lỗi sẽ đƣợc báo cáo trong mỗi lần
Hình 3.16: Chọn lần quét để xuất báo cáo
- Tích chọn vào lần quét sẽ báo cáo.
- Nhấn để mở các lỗi đã đƣợc tìm thấy, chọn lỗi sẽ báo cáo.
81
Tạo báo cáo
- Nhấn nút Generate để tạo báo cáo
Xuất báo cáo
- Sau khi tạo báo cáo, hệ thống sẽ hiển thị màn hình chứa báo cáo đó và cho phép ngƣời dùng lƣu lại hoặc xuất báo cáo với nhiều định dạng khác nhau
Hình 3.17: Giao diện xuất báo cáo ra các định dạng
- Nhấn nút xuất báo cáo phía trên
- Chọn định dạng sẽ xuất báo cáo: PDF, HTML, text, Word, BMP
- Chọn các thông tin: các trang, cách hiển thị…. Cho báo cáo sẽ xuất Nhấn OK để hoàn thành thao tác xuất báo cáo
c) Đưa ra khuyến cáo hoặc giải pháp để khắc phục lỗ hổng, hoàn thiện hệ thống
website
Tuỳ thuộc vào từng loại báo cáo, hệ thống sẽ chỉ rõ file nguồn phát sinh lỗi, chẳng hạn nhƣ trong hình sau:
Hình 3.18: Chi tiết về file nguồn phát sinh lỗi
82
Ngoài ra, khi mô tả về từng lỗi trong màn hình thực hiện test. hệ thống cũng đƣa ra các khuyến các để thực hiện vá các lỗ hổng này.
Hình 3.19: Khuyến cáo để thực hiện vá lỗi
Với lỗi trên, khi đăng nhập vào hệ thống, ngƣời dùng sẽ đƣợc gọi tới địa chỉ sau