Công văn 2132/BTTTT-VNCERT của Bộ Thông tin và Truyền thông hướng dẫn đảm bảo an toàn thông tin cho các Cổng/Trang thông tin điện tử

HƯỚNG DẪN

MỘT SỐ BIỆN PHÁP KỸ THUẬT CƠ BẢN ĐẢM BẢO AN TOÀN CHO CỔNG/TRANG THÔNG TIN ĐIỆN TỬ
(Kèm theo công văn số 2132/BTTTT-VNCERT ngày 18/7/2011 của Bộ Thông tin và Truyền thông)

2. TỔNG QUAN VỀ CÁC BIỆN PHÁP KỸ THUẬT CƠ BẢN ĐẢM BẢO ATTT CHO CỔNG/TRANG TTĐT

Một ứng dụng web nói chung hay cổng/trang TTĐT nói riêng khi triển khai được trên mạng Internet ngoài yếu tố mã nguồn ứng dụng web, còn có những thành phần khác như: máy chủ phục vụ web, hệ quản trị cơ sở dữ liệu,... Do vậy, một cổng/trang TTĐT an toàn đòi hỏi bản thân mã nguồn của cổng phải được lập trình an toàn, tránh các lỗi bảo mật xảy ra trên ứng dụng web và các thành phần bổ trợ như máy chủ phục vụ web và hệ quản trị cơ sở dữ liệu cho ứng dụng đó cũng phải đảm bảo an toàn.

Các biện pháp đảm bảo ATTT cho cổng/trang TTĐT cần được triển khai cho toàn bộ các thành phần của cổng/trang TTĐT, bao gồm các nội dung sau (xem hình 1)

Hình 1. Nội dung đảm bảo ATTT cho cổng/trang TTĐT

- Xác định cấu trúc web: giúp người quản trị xác định được mô hình thiết kế web của đơn vị, qua đó có biện pháp tổ chức mô hình web hợp lý, tránh được các khả năng tấn công leo thang đặc quyền.

- Triển khai hệ thống phòng thủ: gồm hai nội dung chính là tổ chức mô hình mạng hợp lý và tổ chức các hệ thống phòng thủ, giúp người quản trị có cách nhìn tổng quan về toàn bộ mô hình mạng của cổng/trang TTĐT của mình, qua đó tổ chức mô hình mạng hợp lý cũng như thiết đặt các hệ thống phòng thủ quan trọng như tường lửa (firewall), thiết bị phát hiện/phòng, chống xâm nhập (IDS/IPS), tường lửa mức ứng dụng web (WAF-web application firewall).

- Thiết đặt và cấu hình hệ thống máy chủ an toàn: đây là một phần rất quan trọng trong việc đảm bảo vận hành một cổng/trang TTĐT an toàn. Nội dung này giúp người quản trị cấu hình hệ thống máy chủ một cách hợp lý, giảm thiểu khả năng bị tin tặc tấn công vào máy chủ làm ảnh hưởng đến hoạt động của cổng/trang TTĐT.

- Vận hành ứng dụng web an toàn: trình bày các nội dung cơ bản cần thực hiện để vận hành một ứng dụng web an toàn. Người quản trị có thể tham khảo phần Phụ lục I “Mười lỗi ATTT phổ biến trên cổng/trang TTĐT” để qua đó nhận diện nguy cơ mắc lỗi của cổng/trang TTĐT tại đơn vị, có biện pháp khắc phục hợp lý hoặc sửa đổi mã nguồn web để loại bỏ các nguy cơ nói trên.

- Thiết đặt và cấu hình cơ sở dữ liệu an toàn: đây cũng là một phần rất quan trọng trong việc vận hành một cổng/trang TTĐT. Cơ sở dữ liệu là nơi lưu trữ toàn bộ dữ liệu quan trọng của cổng/trang TTĐT, vì vậy thường bị tin tặc tìm cách tấn công và khai thác. Nội dung này giúp người quản trị hiểu yêu cầu thiết đặt hợp lý cho cơ sở dữ liệu, tránh các lỗi có thể dẫn đến khả năng bị tấn công.

- Cài đặt các ứng dụng bảo vệ: ngoài việc khắc phục lỗi cho các thành phần của một cổng/trang TTĐT, nội dung này sẽ trình bày việc cài đặt các ứng dụng bảo vệ như hệ thống chống virus (Anti-Virus) hay hệ thống phát hiện xâm nhập máy tính (Host Based IDS) nhằm bảo vệ cổng/trang TTĐT một cách chủ động và tổng quát.

- Thiết lập cơ chế sao lưu và phục hồi: Việc thiết lập cơ chế sao lưu thường xuyên cho hệ thống nhằm giúp lưu lại các tình trạng khi hệ thống hoạt động ổn định. Các bản sao lưu này sẽ được sử dụng trong trường hợp kiểm tra lỗi hệ thống hoặc phục hồi hệ thống ở trạng thái trước khi bị tấn công trong trường hợp lỗi không thể khắc phục hay sửa chữa.

- Một số biện pháp kỹ thuật chống tấn công từ chối dịch vụ: đây là nội dung cuối cùng trong tài liệu này nhằm cung cấp định hướng nâng cao năng lực chống tấn công từ chối dịch vụ DoS và DDoS cho các cổng/trang TTĐT.

3.1. Xác định cấu trúc của web

Một ứng dụng web khi triển khai, về cơ bản sẽ có 3 lớp như sau: lớp trình diễn, lớp ứng dụng và lớp cơ sở dữ liệu.

Lớp trình diễn (Web Server) là nơi mà máy chủ cài đặt có tác dụng phục vụ các yêu cầu về Web hay nói cách khác, lớp trình diễn là máy chủ phục vụ web (có thể là: IIS Server, Apache HTTP Server, Apache Tomcat Server,...).

Lớp ứng dụng (Web Application) là nơi các kịch bản hay mã nguồn phát triển ra ứng dụng web thực thi (có thể là: ASP.NET, PHP, JSP, Perl, Python,...).

Lớp cơ sở dữ liệu (Database Server) là nơi mà ứng dụng web lưu trữ và thao tác với dữ liệu (thường dựa trên nền các hệ quản trị cơ sở dữ liệu (CSDL) như: Oracle, SQL Server, MySQL,...).

Việc hoạch định tốt các lớp trong cấu trúc web không những giúp người quản trị dễ vận hành mà còn chủ động trong phòng, chống các nguy cơ tấn công từ tin tặc. Một số cách bố trí lớp thường gặp trong thực tế như trên hình vẽ 2.

Mỗi lớp nên khởi tạo một cơ chế phòng thủ riêng cho mình để chống lại những hành động không được phép và không nên “tin tưởng” những lớp khác để tránh tình trạng tấn công leo thang. Một số kịch bản thông dụng:

- Lớp trình diễn có thể áp đặt cơ chế điều khiển truy cập trên một tài nguyên. Ví dụ khi lập chính sách truy cập một tài nguyên nào đó trên hệ thống, chẳng hạn như thư mục /admin, có thể cài đặt cấu hình lớp trình diễn yêu cầu xác thực với quyền quản trị (administrator). Điều này sẽ hạn chế ảnh hưởng từ lớp ứng dụng có thể sử dụng nhiều kịch bản để truy cập đến tài nguyên trên.

- Lớp cơ sở dữ liệu có thể cung cấp các tài khoản khác nhau với những quyền hành động khác nhau. Ví dụ như với nhóm người sử dụng có tên tài khoản chưa được chứng thực thì thiết đặt quyền thấp nhất là chỉ có thể đọc, còn các thao tác ghi, thay đổi, thực thi là không được phép. Nếu tài khoản được chứng thực thì cũng chỉ được ghi, thay đổi, thực thi trên CSDL đã được chỉ định và chỉ có tác dụng trong phạm vi CSDL đã được cấu hình từ trước.

- Các lớp khác nhau không nên cho phép truy cập đọc hoặc ghi bởi lớp khác. Ví dụ: lớp trình diễn không có khả năng truy cập đến tập tin vật lý được sử dụng lưu trữ dữ liệu tại lớp CSDL mà chỉ có khả năng truy cập dữ liệu này thông qua các truy vấn với các tài khoản phù hợp (truy cập ở cấp độ ứng dụng). Các dịch vụ giao tiếp giữa các lớp trên cấp độ mạng cũng nên được lọc để chỉ cho phép các dịch vụ cần thiết được thực thi. Ví dụ: chỉ cho phép kết nối đến hệ quản trị cơ sở dữ liệu SQL Server trên cổng TCP 1433, còn các cổng khác thì phải được lọc hoặc không cho phép.

Hình 2. Các mô hình triển khai cổng/trang TTĐT

Việc phân tích các mô hình trên cho thấy, nếu giữa các lớp không có sự tách biệt rõ ràng thì khi một lớp bị tin tặc tấn công và chiếm quyền kiểm soát có thể dẫn đến các lớp khác cũng bị ảnh hưởng theo. Ví dụ trường hợp tất cả ứng dụng web, cơ sở dữ liệu đều được đặt trên máy chủ phục vụ web thì khi tin tặc tấn công vào máy chủ phục vụ web có thể dẫn đến mã nguồn và cơ sở dữ liệu của ứng dụng đó bị xâm phạm. Do vậy, khi triển khai thực tiễn nên thiết kế tách biệt độc lập theo mô hình 3 lớp để tránh tình trạng một lớp bị tấn công và chiếm quyền kiểm soát dẫn đến các lớp khác bị ảnh hưởng. Việc phân loại độc lập 3 lớp như trên sẽ tạo điều kiện thuận lợi cho việc vận hành, bảo trì hệ thống cũng như dễ dàng áp dụng các biện pháp bảo vệ đối với mỗi lớp riêng biệt.

Trong trường hợp có khó khăn, hạn chế về nguồn lực xây dựng cổng/trang -TTĐT thì vẫn nên áp dụng tối thiểu mô hình hai lớp với lớp cơ sở dữ liệu được tách biệt độc lập.

3.2.1. Tổ chức mô hình mạng hợp lý

Việc tổ chức mô hình mạng hợp lý có ảnh hưởng lớn đến sự an toàn cho các cổng/trang TTĐT. Đây là cơ sở đầu tiên cho việc xây dựng các hệ thống phòng thủ và bảo vệ. Ngoài ra, việc tổ chức mô hình mạng hợp lý có thể hạn chế được các tấn công từ bên trong và bên ngoài một cách hiệu quả.

Hình 3. Mô hình mạng tổng quan

Trong một mô hình mạng hợp lý cần phải phân biệt rõ ràng giữa các vùng mạng theo chức năng và thiết lập các chính sách an toàn thông tin riêng cho từng vùng mạng theo yêu cầu thực tế:

- Vùng mạng Internet (hay Untrusted Network): còn gọi là mạng ngoài.

- Vùng mạng DMZ Network: Đặt các máy chủ cung cấp dịch vụ trực tiếp ra mạng Internet như web server, mail server, FTP Server, v.v...

- Vùng mạng Server Network (hay Server Farm): Đặt các máy chủ không trực tiếp cung cấp dịch vụ cho mạng Internet.

- Vùng mạng Private Network: Đặt các thiết bị mạng, máy trạm và máy chủ thuộc mạng nội bộ của đơn vị.

Một số khuyến cáo khi tổ chức mô hình mạng:

- Nên đặt các máy chủ web, máy chủ thư điện tử (mail server), v.v... cung cấp dịch vụ ra mạng Internet trong vùng mạng DMZ, nhằm tránh các tấn công mạng nội bộ hoặc gây ảnh hưởng tới an toàn mạng nội bộ nếu các máy chủ này bị cướp quyền điều khiển. Chú ý không đặt máy chủ web, mail server hoặc các máy chủ chỉ cung cấp dịch vụ cho nội bộ cơ quan trong vùng mạng này.

- Các máy chủ không trực tiếp cung cấp dịch vụ ra mạng ngoài như máy chủ ứng dụng, máy chủ cơ sở dữ liệu, máy chủ xác thực v.v... nên đặt trong vùng mạng server network để tránh các tấn công trực diện từ Internet và từ mạng nội bộ. Đối với các hệ thống thông tin yêu cầu có mức bảo mật cao, hoặc có nhiều cụm máy chủ khác nhau có thể chia vùng server network thành các vùng nhỏ hơn độc lập để nâng cao tính bảo mật.

- Nên thiết lập các hệ thống phòng thủ như tường lửa (firewall) và thiết bị phát hiện/phòng chống xâm nhập (IDS/IPS) để bảo vệ hệ thống, chống tấn công và xâm nhập trái phép. Khuyến cáo đặt firewall và IDS/IPS ở các vị trí như sau: đặt firewall giữa đường nối mạng Internet với các vùng mạng khác nhằm hạn chế các tấn công từ mạng từ bên ngoài vào; đặt firewall giữa các vùng mạng nội bộ và mạng DMZ nhằm hạn chế các tấn công giữa các vùng đó; đặt IDS/IPS tại vùng cần theo dõi và bảo vệ.

- Nên đặt một Router ngoài cùng (Router biên) trước khi kết nối đến nhà cung cấp dịch vụ internet (ISP) để lọc một số lưu lượng không mong muốn và chặn những gói tin đến từ những địa chỉ IP không hợp lệ.

3.3.3.2. Apache HTTP:

Một số biện pháp cần thực hiện nhằm bảo vệ máy chủ Apache HTTP một cách an toàn:

- Tối ưu hóa việc sử dụng các thành phần (module) bằng việc gỡ bỏ những thành phần không cần thiết. Một số thành phần khuyến cáo nên gỡ bỏ ra khỏi Apache là: mod_userid, mod_info, mod_status, mod_include.

- Giới hạn các quyền truy cập: Tạo các tài khoản, nhóm người dùng riêng (khác root) để thực thi apache. Không cho phép sử dụng các tài khoản này để đăng nhập bằng cách chỉnh sửa nội dung trong tập tin passwd.

- Điều khiển truy cập: Sử dụng các chỉ mục (Directory) để điều khiển quá trình truy cập đến các thư mục hệ thống cần hạn chế quyền thâm nhập (ví dụ như các thư mục: root, admin, administrator). Không cho phép duyệt qua thư mục gốc (root). Cấu hình được thiết lập trong tập tin cấu hình httpd.conf:

- Hạn chế tối đa việc sử dụng các lựa chọn (option) sau: MultiViews, ExecCGI, FollowSymLinks, SymLinksIfOwnerMatch. Gỡ bỏ tất cả các trang html mặc định, hướng dẫn sử dụng, thông tin liên quan về web server, điều khiển Server Status, Server Information. Tắt chức năng HTTP TRACE. Bảo vệ các tập tin cấu hình .htaccess.

- Tổ chức quá trình ghi nhật ký: Cấu hình Error Log, cấu hình Access Log theo một số gợi ý sau:

- Đối với một số trang thông tin cần mã hóa truy cập có thể sử dụng qua SSL/TLS nhờ module mod_ssl.

- Hạn chế các thông tin về Web Server:

- Điều chỉnh các thông số tối ưu: một số thiết lập tham khảo:

+ Thông số timeout:

+ Thông số KeepAlive:

+ Thông số MaxKeepAIiveRequests:

+ Thông số KeepAliveTimeout:

+ Thêm các thông số sau:

3.3.3.3. Apache Tomcat:

Một số biện pháp cần thực hiện nhằm bảo vệ máy chủ Apache Tomcat một cách an toàn:

- Gỡ bỏ các tài nguyên không liên quan: Trong quá trình cài đặt có thể xuất hiện các ứng dụng mẫu, tài liệu hướng dẫn và một số các thư mục không cần thiết khác. Vì vậy cần gỡ bỏ các tập tin, thư mục này nhằm hạn chế thấp nhất nguy cơ bị khai thác thông tin liên quan đến ứng dụng đang sử dụng:

- Giới hạn các thông tin về hệ thống:

+ Thay đổi thông tin server.info.

+ Tiến hành đóng gói lại tập tin CATALINA_HOME/server/lib/cataIina.jar sau khi đã sửa đổi nội dung file ServerInfo.properties. Ví dụ:

+ Trong tập tin Serverlnfo.properties thay đổi giá trị server.info thành giá trị server.info=Apache Tomcat, sau đó đóng gói lại catalina.jar:

+ Thay đổi thông tin trong server.number. Thuộc tính thay đổi cũng tương tự như thông số server.info. Ví dụ:

+ Trong tập tin ServerInfo.properties thêm thuộc tính server.number=<Version>, sau đó đóng gói lại catalina.jar:

+ Thay đổi thông tin trong server.built. Thuộc tính này cung cấp thông tin về thời gian mà Tomcat được biên dịch và đóng gói. Ví dụ:

+ Trong tập tin Serverlnfo.properties thêm thuộc tính server.built=< BuildDate>, sau đó đóng gói lại catalina.jar:

- Bảo vệ cổng shutdown:

+ Apache Tomcat sử dụng cổng 8005 để tiếp nhận các yêu cầu shutdown. Cập nhật thuộc tính shutdown trong tập tin server.xml ở $CATALINA_HOME/conf/server.xml:

+ Hoặc bỏ chức năng shutdown trên cổng này:

- Bảo vệ cấu hình Apache Tomcat:

+ Giới hạn truy cập đến $CATALINA_HOME: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến $CATALINA_BASE: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến thư mục cấu hình Tomcat: Gán quyền sở hữu cho tài khoản tomcat_admin.tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới, hạn truy cập đến thư mục chứa các tập tin nhật ký (log): Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi:

+ Giới hạn truy cập đến thư mục chứa các tập tin thực thi: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi:

+ Giới hạn truy cập đến thư mục chứa ứng dụng web: Gán quyền sở hữu: cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi:

+ Giới hạn truy cập đến tập tin context.xml: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến tập tin logging.properties: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến tập tin server.xml: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến tập tin tomcat-users.xml: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

+ Giới hạn truy cập đến tập tin web.xml: Gán quyền sở hữu cho tài khoản tomcat_admin:tomcat; gỡ bỏ các quyền đọc, ghi, thực thi; gỡ bỏ quyền ghi đối với nhóm:

3.4.2. Khắc phục các lỗi phổ biến trên web

Trong trang web thường có các điểm cho người dùng nhập dữ liệu vào như mục “đăng nhập”, mục “tìm kiếm”, mục ID bài viết trên URL, V.V... Ngoài việc giúp cho người dùng dễ dàng tương tác với ứng dụng web, các mục này nêu không được quản lý chặt chẽ sẽ trở thành một nguy cơ lớn để thực hiện các cuộc tấn công vào ứng dụng web. Các dữ liệu bất hợp pháp nên được lọc trước để bỏ qua không đưa vào truy vấn trong cơ sở dữ liệu như các siêu ký tự, các biểu thức chính quy, các ký tự được mã hóa,... nhằm tránh cho ứng dụng trước những nguy cơ tấn công.

Có thể sử dụng biểu thức chính quy (áp dụng cho tất cả các ngôn ngữ lập trình) để thực hiện các công việc này. Ví dụ, sử dụng biểu thức chính quy để lọc các siêu ký tự:

Hoặc để quy định giá trị mật khẩu nhập vào, ví dụ: cho phép mật khẩu từ 4 đến 8 ký tự gồm chữ thường và chữ hoa:

Cũng có thể sử dụng biểu thức chính quy để lọc tấn công Path Traversal:

Hoặc lọc tấn công chia nhỏ hồi đáp HTTP (HTTP Response Splitting):

Trong số mười lỗi ATTT phổ biến trên cổng/trang TTĐT, mỗi lỗi sẽ có những biện pháp riêng để khắc phục như sau:

- Tấn công Injection (bao gồm các kiểu tấn công như SQL Injection, OS Injection, LDAP Injection):

+ Giới hạn quyền truy cập CSDL và phân quyền giữa các tài khoản người dùng, điều này giúp giảm khả năng khai thác CSDL của tin tặc ngay cả khi đã thực hiện thành công lệnh Injection.

+ Sử dụng thủ tục lưu trữ để đảm bảo các câu lệnh SQL từ ứng dụng được lưu trữ và triển khai ở máy chủ CSDL, điều này giúp cho dữ liệu do người dùng nhập vào không thể được tùy chỉnh dưới dạng một câu lệnh SQL. Để làm được điều này, ứng dụng phải được định dạng để sử dụng những thủ tục lưu trữ với giao diện an toàn như câu lệnh Callable của JDBC hay lệnh Object của ADO.

+ Sử dụng biểu thức chính quy để phát hiện tấn công SQL Injection:

Đối với các siêu ký tự:

Với tấn công sử dụng từ khóa UNION:

Với tấn công vào máy chủ MS SQL:

+ Sử dụng biểu thức chính quy để lọc tấn công LDAP Injection:

- Cross Site Scripting (XSS):

+ Lọc tất cả các dữ liệu chưa tin tưởng một cách phù hợp dựa trên nội dung HTML.

+ Tạo một “danh sách trắng” để kiểm tra dữ liệu đầu vào một cách phù hợp.

+ Sử dụng biểu thức chính quy trong việc kiểm tra dữ liệu đầu vào để phát hiện tấn công XSS:

- Insecure Direct Object References (Tham chiếu trực tiếp đối tượng không an toàn): Kiểm tra quá trình tham chiếu trực tiếp đến các tài nguyên hạn chế trên hệ thống để đảm bảo rằng người dùng bình thường không thể truy cập được các nguồn tài nguyên mà họ không có quyền truy cập. Nên sử dụng một cơ chế truy cập gián tiếp thay vì trực tiếp.

- Cross Site Request Forgery (CSRF): Việc ngăn chặn CSRF yêu cầu phải gộp những token không có khả năng đoán trước trong mỗi phiên giao dịch. Những token không những là duy nhất cho mỗi phiên người sử dụng mà còn duy nhất cho mỗi yêu cầu gửi đến ứng dụng.

- Failure to Restrict URL Access (Thất bại trong việc hạn chế truy cập các URL quản trị): Việc truy cập vào các URL có chức năng quản trị cần phải được kiểm tra thông qua quá trình xác thực và kiểm tra quyền của người dùng trước khi cho phép họ truy cập.

- Bẻ gãy sự chứng thực và quản lý phiên: Thiết đặt một phương pháp chứng thực và điều khiển phiên người sử dụng đủ mạnh để tránh khỏi bị những lỗi XSS mà có thể bị đánh cắp phiên sử dụng hoặc có thể giải mã phiên một cách dễ dàng.

- Cấu hình bảo mật không an toàn: Bảo mật một hệ thống nói chung phụ thuộc vào việc cấu hình bảo mật cho các thành phần riêng lẻ trong hệ thống như ứng dụng web, máy chủ web, hệ điều hành máy chủ, các thiết bị vật lý,... Tất cả các thiết đặt bảo mật này cần được xác định, thực hiện, bảo trì và tuyệt đối không nên sử dụng các cấu hình bảo mật mặc định có sẵn.

- Chuyển hướng và chuyển tiếp không được kiểm tra: Hạn chế sử dụng chuyển tiếp và chuyển hướng, nếu sử dụng thì phải có cơ chế chứng thực.

- Lưu trữ mã hóa không an toàn: Nhận biết nguy cơ và lên phương án bảo về đối với dữ liệu từ những tấn công bên trong hay bên ngoài, dữ liệu nhạy cảm phải luôn luôn mã hóa.

- Thiếu sự bảo vệ lớp vận chuyển: Cung cấp một cơ chế bảo vệ cho lớp vận chuyển bằng việc cấu hình SSL/TLS phù hợp.

PHỤ LỤC 1

MƯỜI LỖI ATTT PHỔ BIẾN TRÊN CỔNG/TRANG TTĐT

1. Tấn công Injection: bao gồm các lỗi cho phép thực hiện thành công các kiểu tấn công như SQL Injection, OS Injection, LDAP Injection. Kiểu tấn công này xảy ra khi người dùng gửi các dữ liệu không tin cậy đến ứng dụng web, những dữ liệu này có tác dụng như các câu lệnh với hệ điều hành hoặc các câu truy vấn với cơ sở dữ liệu nhằm phục vụ cho mục đích xấu.

2. Cross Site Scripting (XSS): Lỗi XSS xảy ra khi ứng dụng web nhận các dữ liệu độc hại và chuyển nó đến trình duyệt cho người dùng mà không xác nhận lại dữ liệu đó có hợp lệ hay không. Kiểu tấn công này cho phép kẻ tấn công thực thi các đoạn mã độc trong trình duyệt của nạn nhân và có thể cướp phiên người dùng hoặc chuyển hướng người dùng đến các trang độc hại khác.

3. Insecure Direct Object References (Tham chiếu trực tiếp đối tượng không an toàn): Việc tham chiếu xảy ra khi nhà phát triển ứng dụng web đưa ra tham chiếu đến một đối tượng bên trong ứng dụng như là một tập tin, một thư mục hay một khóa cơ sở dữ liệu. Nếu việc kiểm tra quá trình tham chiếu này không an toàn, kẻ tấn công có thể dựa theo để tham chiếu đến các dữ liệu mà họ không có quyền truy cập.

4. Cross Site Request Forgery (CSRF): là kiểu tấn công mà người dùng bị lợi dụng để thực thi những hành động không mong muốn ngay trên phiên đăng nhập của họ. Thông qua việc gửi người dùng một liên kết qua email hay chat, tin tặc có thể hướng người dùng thực thi một số hành động ngay trên trình duyệt của người dùng (như gửi bài viết, xóa bài viết, v.v..

5. Failure to Restrict URL Access (Thất bại trong việc hạn chế truy cập các URL quản trị): Thông thường để vào được các đường dẫn quản trị thì ứng dụng phải kiểm tra người dùng có đủ quyền để truy cập vào đó hay không rồi mới hiển thị URL và các giao diện quản trị tương ứng khác. Để tránh tình trạng người dùng bình thường cũng truy cập vào các URL quản trị, mỗi lần truy cập vào các URL này cần được kiểm tra quyền kỹ càng, nếu không tin tặc có thể truy cập vào các URL này nhằm thực hiện các hành vi độc hại.

6. Bẻ gãy sự chứng thực và quản lý phiên: Những chức năng của ứng dụng liên quan đến sự chứng thực và sự quản lý phiên làm việc thường không khởi tạo đúng, cho phép tin tặc tấn công mật khẩu, khóa và token của phiên làm việc hoặc khai thác lỗ hổng từ những sự khởi tạo này để gán định danh một người sử dụng khác.

7. Cấu hình bảo mật không an toàn: là lỗi liên quan đến việc đặt cấu hình cho ứng dụng, framework, máy chủ web, ứng dụng máy chủ và platform sử dụng những giá trị thiết đặt mặc định hoặc khởi tạo và duy trì những giá trị không an toàn.

8. Chuyển hướng và chuyển tiếp không được kiểm tra: Nhiều ứng dụng thường xuyên chuyển tiếp hoặc chuyển hướng người sử dụng đến những trang hoặc những website và sử dụng những dữ liệu chưa tin tưởng để xác định những trang đích. Không có sự kiểm tra phù hợp, tin tặc có thể chuyển hướng nạn nhân đến các trang giả mạo hoặc các trang có chứa mã độc, hoặc chuyển tiếp đến các trang web đòi làm thủ tục xác thực nhằm đánh cắp thông tin cá nhân.

9. Lưu trữ mã hóa không an toàn: Ứng dụng web không có cơ chế bảo vệ hoặc tuy có cơ chế mã hóa và hashing (băm) dữ liệu để lưu trữ nhưng sử dụng không đúng cách đối với những dữ liệu quan trọng, như là thông tin thẻ tín dụng, thông tin cá nhân và những thông tin chứng thực. Do đó tin tặc có thể lợi dụng những kẽ hở này để đánh cắp những dữ liệu cần được bảo vệ.

10. Thiếu sự bảo vệ lớp vận chuyển: Các ứng dụng không mã hóa dữ liệu khi truyền những thông tin quan trọng, hoặc nếu có mã hóa thì lại chỉ có thể sử dụng các chứng thực hết hạn hoặc không hợp lệ.

PHỤ LỤC 2

THÔNG TIN THAM KHẢO VỀ CÁC TƯỜNG LỬA

1. Firewall cứng

+ Checkpoint (http://www.checkpoint.com)

+ Juniper (http://www.juniper.net)

+ Cisco (http://www.cisco.com)

+ Endian (http://www.endian.com)

+ Astaro (http://www.astaro.com)

2. Firewall mềm

- Bản thương mại:

+ Microsoft Internet Security and Acceleration (ISA) Server (http://www.microsoft.com)

- Bản miễn phí (mã nguồn mở):

+ netfilter/iptables (http://www.netfilter.org)

+ pfSense (http://www.pfsense.org)

+ IPCop (http://www.ipcop.ors)

+ ShorewalI (http://shorewall.net)

+ SmoothWall (http://www.smoothwall.org)

+ Vyatta (http://www.vyatta.org)

3. Web Application Firewall (WAF)

- Các phiên bản mã nguồn mở WAF phổ biến:

+ WebKnight (http://www:aqtronix.com/?PageID=99)

+ ModSecurity (http://www.modsecurity.org)

+ URLScan (http://www.iis.net/download/urlscan)

Ngoài ra còn các bản WAF thương mại nổi tiếng sau:

+ Hyperguard (http://www.artofdefence.com/en/products/hyperguard.html)

+ WebDefend (http://www.breach.com/products/webdefend.html)

+ DotDefender (http://www.applicure.com/)

+ NetScaler application fìrewalls (http://www.citrix.com)

+ Eeye’s SecurelIS (http://www.eeye.com/Products/SecurelIS-Web-Server-Security.aspx)

+ Appwall (http://www.radware.com)

ModSecurity: là phần mềm nguồn mở có thể hoạt động như một module trong máy chủ Apache hoặc là một thành phần độc lập. ModSecurity sử dụng biểu thức chính quy trong việc bảo vệ máy chủ web từ các cuộc tấn công được xác định trước dựa theo các dấu hiệu hoặc các cuộc tấn công bất thường khác. Bên cạnh đó, ModSecurity cũng có khả năng lọc các siêu ký tự do người dùng chèn vào ứng dụng web. Toàn bộ quá trình cài đặt và cấu hình có thể tham khảo thêm tại: http://www.modsecurity.org/documentation

URLScan: là một sản phẩm của Microsoft dành riêng cho các máy chủ web IIS. URL scan không chỉ bảo vệ máy chủ IIS 6 khỏi các điểm yếu từ các phiên bản cũ hơn mà còn cung cấp thêm các biện pháp bảo vệ khác như lọc dữ liệu mã hóa trên URL hoặc lọc các siêu ký tự do người dùng chèn vào để chống lại các loại tấn công như XSS, SQL Injection, v.v... Tham khảo cách cài đặt và sử dụng URLScan tại: http://www.iis.net/download/urlscan

PHỤ LỤC 3

THÔNG TIN THAM KHẢO VỀ CÁC PHẦN MỀM CHỐNG VIRUS VÀ BẢO VỆ AN TOÀN MÁY TÍNH CÁ NHÂN

1. Bản sản xuất trong nước:

+ BKAV (http://www.bkav.com.vn)

+ CMC AntiVirus (http://www3.cmcinfosec.com)

2. Bản thương mại nước ngoài:

+ AirScanner (www.airscanner.com)

+ BitDefender (www.bitdefender.com)

+ Computer Associates (www.ca.com)

+ F-Secure (www.f-secure.com)

+ Kaspersky (www.kaspersky.com)

+ McAfee (www.mcafee.com)

+ Symantec (www.symantec.com)

+ Trend Micro (trendmicro.com)

+ Avast (www.avast.com)

+ Avira (www.avira.com)

3. Bản miễn phí:

+ Avast Free AntiVirus (http://www.avast.com)

+ Avira AntiVir Personal Free (http://www.avira.com)

+ Microsoft Security Essentials (http://www.microsoft.com)

+ Panda Cloud AntiVirus (http://www.pandasecurity.com)

+ Comodo Internet Security (http://comodo.com)

+ AVG AntiVirus (http://www.free.avg.com)