Chương 2. NHỮNG PHƯƠNG PHÁP PHÁT HIỆN THAY ĐỔI NỘI DUNG
2.2. Một số phương pháp đảm bảo an ninh Web
Tất cả các Webserver phổ biến hiện nay đều hoạt động trên một hệ điều hành (HĐH) có mục đích chung. Nhiều vấn đề bảo mật có thể tránh được nếu các HĐH của những Webserver đó được cấu hình thích hợp. Bởi vì các nhà sản xuất không biết hết các nhu cầu an ninh của mỗi cơ quan, nên mỗi quản trị viên Webserver phải cấu hình các máy chủ mới để phản ánh các yêu cầu an ninh của cơ quan mình và cấu hình lại chúng theo sự thay đổi những yêu cầu đó.
5 bước cơ bản cần thiết để duy trì an ninh HĐH cơ bản:
Lập kế hoạch cài đặt và triển khai của HĐH máy chủ và các thành phần khác cho Webserver đó.
Vá và cập nhật HĐH máy chủ theo yêu cầu.
Hardening (cứng hóa) và cấu hình HĐH máy chủ để giải quyết tương xứng vấn đề an ninh.
Cài đặt và cấu hình các kiểm soát bảo mật bổ sung (additional security controls), nếu cần thiết.
Kiểm tra HĐH máy chủ để đảm bảo rằng bốn bước trước đó giải quyết đầy đủ tất cả các vấn đề an ninh.
2.2.2. Bảo đảm an ninh nội dung Web
Hai thành phần chính của đảm bảo an ninh Web là đảm bảo an ninh ứng dụng máy chủ bên dưới và HĐH, và đảm bảo an ninh nội dung thật sự của Web.
Trong số này, bảo đảm an ninh nội dung Web thường bị bỏ qua.
2.2.2.1. Công bố thông tin trên Website công khai
Nhiều tổ chức không có một quy trình hoặc chính sách công khai nội dung web nhằm xác định loại thông tin nào công bố công khai, thông tin nào công bố với truy cập bị giới hạn, và thông tin nào nên được bỏ đi từ bất kỳ kho lưu trữ nào có thể truy cập công khai. Đây là rắc rối bởi vì các website là một trong những nơi đầu tiên mà các thực thể độc hại tìm kiếm thông tin có giá trị.
Một Website công khai không nên chứa các thông tin sau:
Các bản ghi phân loại (classified records).
Các luật và thủ tục cá nhân nội bộ.
Thông tin nhạy cảm và riêng tư (có sở hữu).
Thông tin cá nhân về nhân sự hoặc người dùng của một cơ quan tổ chức.
Số điện thoại, địa chỉ e-mail, hoặc các danh sách chung của nhân viên trừ khi cần thiết để hoàn thành yêu cầu cơ quan.
Và các thông tin riêng của tổ chức và cá nhân.
2.2.2.2. Theo dõi các quy định về thu thập thông tin cá nhân
Nhiều cơ quan chính phủ đã ban hành các luật và quy định về việc thu thập thông tin về người dùng truy cập vào các Website công khai. Các tổ chức chính phủ và cơ quan nên nhận thức các luật, các quy định, và các hướng dẫn thích hợp có thể áp dụng này cũng như nắm bắt được sự thay đổi các yêu cầu pháp lý, quy định, và hợp đồng.
2.2.2.3. Giảm nhẹ các cuộc tấn công gián tiếp trên nội dung
Các tấn công nội dung gián tiếp là không trực tiếp tấn công vào Webserver hoặc nội dung của nó. Chúng can dự qua các phương tiện trung gian nhằm có được thông tin người dùng, đó là những người thường hay truy cập vào trang Web mà được bảo vệ và duy trì trên webserver đó. Các đề tài phổ biến của các tấn công này là ép buộc người dùng truy cập vào một website độc hại do kẻ tấn công thiết lập và tiết lộ thông tin cá nhân trong niềm tin rằng họ đã truy cập vào trang web hợp pháp. Hai loại tấn công gián tiếp phổ biến được mô tả là phishing và pharming.
2.2.3. Sử dụng kỹ thuật xác thực và mã hóa
Các Webserver công khai thường hỗ trợ một loạt các kỹ thuật nhận dạng và xác thực người dùng với các đặc quyền khác nhau cho các thông tin truy cập. Một số kỹ thuật này dựa trên các hàm mật mã có thể cung cấp một kênh mã hóa giữa client trình duyệt và webserver.
Không có xác thực người dùng, các tổ chức sẽ không thể hạn chế truy cập đến các thông tin rõ ràng cho các người dùng đã được phân quyền. Tất cả các thông tin cư trú trên Webserver công khai sẽ có thể truy cập bởi bất kỳ ai có quyền truy cập vào server đó. Ngoài ra, không có một số quy trình xác thực server, người dùng sẽ không thể xác định liệu máy chủ đó là webserver “đích thực” hay là một phiên bản giả mạo được điều hành bởi đối tượng độc hại.
Mã hóa có thể được sử dụng để bảo vệ thông tin đi qua kết nối giữa client trình duyệt web và webserver công khai. Không có mã hóa, bất kì ai có quyền truy cập vào giao thông mạng đều có thể định rõ (và có thể thay đổi) nội dung thông tin nhạy cảm, ngay cả khi người dùng truy cập vào các thông tin đã được xác thực một cách cẩn thận. Điều này có thể vi phạm tính bảo mật và tính toàn vẹn của thông tin quan trọng.
2.2.3.1. Xác định các yêu cầu xác thực và mã hóa
Các cơ quan tổ chức nên định kỳ kiểm tra tất cả các thông tin có thể truy cập vào Webserver công khai và xác định các yêu cầu an ninh cần thiết. Trong khi làm vậy, cơ quan nên định rõ các thông tin mà chia sẻ các yêu cầu anh ninh và bảo vệ tương đương. Đối với các thông tin nhạy cảm, cơ quan nên xác định người dùng và nhóm người dùng có quyền truy cập tới mỗi tập tài nguyên 2.2.3.2. Xác thực dựa trên địa chỉ
Kỹ thuật xác thực đơn giản nhất được hỗ trợ bởi hầu hết các Webserver là xác thực dựa trên địa chỉ. Kiểm soát truy cập dựa trên địa chỉ IP và/hoặc tên máy chủ (hostname) của thông tin yêu cầu. Mặc dù dễ dàng triển khai cho một nhóm nhỏ người dùng, xác thực địa chỉ có thể khó sử dụng cho các webserver mà có lượng người dùng tiềm năng lớn (tức là, hầu hết webserver công khai).
Nó dễ nhiễm một vài loại tấn công, bao gồm giả mạo IP và đầu độc DNS.
2.2.3.3. Xác thực cơ bản
Kỹ thuật xác thực cơ bản sử dụng cấu trúc thư mục của nội dung webserver. Tất cả các tập tin trong cùng thư mục được cấu hình với cùng các đặc quyền truy cập. Một người dùng có yêu cầu sẽ được cung cấp một ID (nhận dạng) và password đã được chấp nhận để truy cập vào những tập tin trong một thư mục đã cho. Kiểm soát truy cập hạn chế nhiều hơn có thể được thực thi ở mức một tập tin đơn trong một thư mục nếu phần mềm webserver cung cấp khả năng này.
Từ góc độ an ninh, nhược điểm chính của kỹ thuật này là tất cả thông tin password được truyền đi dưới dạng encode (lập mã) chứ không phải dạng encrypt (mã hóa). Bất kì ai biết nguyên tắc lập mã đã được tiêu chuẩn hóa này đều có thể giải mã (decode) password sau khi sao chụp nó bằng một chương trình nghe lén mạng. Hơn nữa, bất cứ nội dung web nào đều được truyền đi như là bản rõ, do đó nội dung này cũng bị sao chụp, xâm phạm tính bảo mật. Những
hạn chế này có thể được khắc phục bằng cách sử dụng xác thực cơ bản kết hợp với SSL/TLS.
2.2.4. Triển khai cơ sở hạ tầng mạng an ninh
Cơ sở hạ tầng mạng (hỗ trợ Webserver) đóng một vai trò quan trọng trong vấn đề đảm bảo an ninh Webserver. Trong hầu hết các cấu hình, cơ sở hạ tầng mạng là tuyến phòng vệ đầu tiên giữa Internet và một Webserver công cộng.
2.2.4.1. Thành phần và cấu trúc mạng
Các firewall và router là những thiết bị hay hệ thống kiểm soát luồng giao thông (traffic) mạng giữa các mạng với nhau. Chúng có thể bảo vệ Webserver từ các lỗ hổng cố hữu trong bộ giao thức TCP/IP và giúp giảm vấn đề an ninh liên quan tới sự mất an toàn của các ứng dụng và các HĐH.
Thành phần và cấu trúc mạng là khía cạnh đầu tiên trong nhiều khía cạnh có quyết định quan trọng nhất tác động tới vấn đề đảm bào an ninh Webserver bởi vì chúng xác định những yếu tố hạ tầng mạng nào bảo vệ Webserver. Ví dụ, nếu Webserver đặt trước firewall chính của cơ quan, thì sau đó firewall không thể được sử dụng để điều khiển traffic đến và đi khỏi Webserver. Thành phần và cấu trúc mạng cũng định rõ các phần khác nào của mạng là dễ bị tổn thương nếu Webserver bị thỏa hiệp.
2.2.4.2. Cấu hình phần tử mạng
Một khi Webserver đã được đặt vào mạng thì các phần tử cơ sở hạ tầng mạng nên được cấu hình để hỗ trợ và bảo vệ nó. Các phần tử chính của một cơ sở hạ tầng mạng mà có ảnh hưởng tới việc đảm bảo an ninh Webserver là firewall, router, IDS, IPS, switch, load-balancer, và proxy ngược. Mỗi một phần tử cá một vai trò quan trọng và là then chốt trong chiến lược tổng quan bảo vệ Webserver theo phòng vệ chiều sâu. Một mình firewall hoặc IPS đơn lẻ không thể bảo vệ đầy đủ một Webserver từ các mối đe dọa hoặc các cuộc tấn công.
2.2.5. Quản trị Webserver 2.2.5.1. Logging
Nắm bắt được dữ liệu chính xác trong các bản ghi nhật kí (log) và sau đó theo dõi chặt chẽ những bản ghi đó là điều sống còn. Log mạng (nhật kí mạng) và log hệ thống (nhật kí hệ thống) rất quan trọng, đặc biệt là log hệ thống trong trường hợp giao tiếp HTTPS, trong đó giám sát mạng là ít hiệu quả hơn. Phần mềm Webserver có thể cung cấp dữ liệu log bổ sung liên quan tới các sự kiện Web cụ thể. Tương tự như vậy, các ứng dụng Web cũng có thể duy trì log riêng về các hoạt động của chúng.
Log của Webserver cung cấp:
Cảnh báo các hoạt động đáng ngờ mà yêu cầu điều tra kỹ hơn.
Theo dõi các hoạt động của kẻ tấn công.
Hỗ trợ khôi phục hệ thống.
Hỗ trợ điều tra sau sự kiện.
Yêu cầu các thông tin cho việc tố tụng pháp lý.
2.2.5.2. Thủ tục sao lưu Webserver
Một trong những chức năng quan trọng nhất của quản trị viên Webserver là duy trì tính toàn vẹn dữ liệu trên Webserver. Điều này là quan trọng bởi vì Webserver thường là một số trong những server bị phơi bày ra nhất và quan trọng nhất trong mạng của một tổ chức cơ quan. Có hai thành phần chính để sao chép dữ liệu trên Webserver: sao chép thường lệ dữ liệu và HĐH trên Webserver, và duy trì một bản sao có thẩm quyền được bảo vệ tách biệt của nội dung Web cơ quan.
2.2.5.3. Kiểm tra bảo mật Webserver
Kiểm tra an ninh định kỳ Webserver công cộng là rất quan trọng. Nếu không có kiểm tra định kỳ, không có đảm bảo rằng các biện pháp bảo vệ hiện
tại đang làm việc hoặc bản vá an ninh được áp dụng bởi quản trị viên Webserver là hoạt động như đã được báo trước.
Mặc dù đang tồn tại rất nhiều kỹ thuật kiểm tra an ninh, nhưng quét lỗ hổng là phổ biến nhất. Quét lỗ hổng giúp một quản trị viên Webserver xác định các lỗ hổng xác minh liệu rằng các biện pháp an ninh hiện có có hiệu quả hay không. Thử nghiệm thâm nhập cũng được sử dụng, nhưng nó thường ít được sử dụng thường xuyên hơn và thường chỉ như là một phần của một thử nghiệm thâm nhập tồng thể của mạng cơ quan.