TRƯỜNG ĐẠI HỌC KIẾN TRÚC

KHOA CÔNG NGHỆ THÔNG TIN

-----🙞🙜🕮🙞🙜-----

BÁO CÁO MÔN HỌC AN TOÀN VÀ BẢO MẬT

HỆ THỐNG THÔNG TIN

ĐỀ TÀI: NGHIÊN CỨU MÔ HÌNH VÀ MỐI ĐE DỌA

ĐỐI VỚI KIỂM SOÁT TRUY CẬP

Nhóm sinh viên thực hiện: Lê Quang Huy

Nguyễn Đức Tuấn
Phạm Thế Tài
Nghiêm Minh Quân
Nguyễn Văn Tùng Dương

Giảng viên hướng dẫn: Thầy Trần Văn Thắng

Hà Nội, tháng 3 năm 2024

 MỤC LỤC
PHẦN 1: NHỮNG MÔ HÌNH KIỂM SOÁT TRUY CẬP CHÍNH THỨC.........................
1. Mô hình điều khiển truy xuất tự do (Discretionary Access Control_DAC).......................
1.1. Khái niệm....................................................................................................................
1.2. Nguyên lý....................................................................................................................
1.3. Đặc điểm phân biệt của mô hình điều khiển truy xuất tự do:.....................................
1.4. Ưu, nhược điểm của mô hình điều khiển truy xuất tự do..........................................
2. Mô hình điều khiển truy xuất bắt buộc (Mandatory Access Control_
MAC)......................................................................................................................................
2.1. Khái niệm....................................................................................................................
2.2. Nguyên lý....................................................................................................................
2.3. Đặc điểm:....................................................................................................................
3. Mô hình điều khiển truy xuất theo chức năng (Role Based Access
Control_RBAC)......................................................................................................................
3.1. Khái niệm....................................................................................................................
3.2. Nguyên lý....................................................................................................................
3.3. Đặc điểm mô hình điều khiển truy xuất theo chức năng.............................................
3.4. Mô hình RBAC có những ưu/nhược điểm sau...........................................................
PHẦN 2: CÁC MỐI ĐE DỌA ĐỐI VỚI KIỂM SOÁT TRUY CẬP...................................
1. Tấn công từ bên ngoài........................................................................................................
1.1. DDoS..........................................................................................................................
1.1.1. Khái niệm...........................................................................................................
1.1.2. Cách thức hoạt động...........................................................................................
1.1.3. Các loại hình tấn công........................................................................................
1.2. Tấn công đoạn mã (Code injection)............................................................................
1.2.1. Khái niệm...........................................................................................................
1.2.2. Phân loại của tấn công đoạn mã.........................................................................
1.2.3. Cách hoạt động...................................................................................................
1.3. Tấn công dò quét cổng (Port scanning)......................................................................
1.3.1. Khái niệm của tấn công dò quét cổng................................................................
1.3.2. Cách hoạt động của tấn công dò quét cổng........................................................
2. Xâm nhập nội bộ.................................................................................................................
2.1. Đánh cắp thông tin đăng nhập....................................................................................
2.1.1. Khái niệm...........................................................................................................
2.1.2. Phân loại.............................................................................................................
2.1.3. Cách hoạt động...................................................................................................
 2.2. Lợi dụng lỗ hổng bảo mật...........................................................................................
2.2.1. Khái niệm...........................................................................................................
2.2.2. Phân loại.............................................................................................................
2.2.3. Cách hoạt động...................................................................................................
2.3. Kỹ thuật xâm nhập......................................................................................................
2.3.1. Khái niệm...........................................................................................................
2.3.2. Phân loại.............................................................................................................
3. Lỗ hổng bảo mật.................................................................................................................
4. Quản lý không hiệu quả......................................................................................................
4.1. Khái niệm....................................................................................................................
4.2. Khắc phục...................................................................................................................
5. Tấn công từ bên trong.........................................................................................................
5.1. Lỗi nhân viên (employee error)..................................................................................
5.1.1. Khái niệm...........................................................................................................
5.1.2. Biện pháp............................................................................................................
PHẦN 1: NHỮNG MÔ HÌNH KIỂM SOÁT TRUY CẬP CHÍNH
THỨC

1. Mô hình điều khiển truy xuất tự do (Discretionary Access Control_DAC)

1.1. Khái niệm

- Discretionary access control (DAC) là một loại mô hình kiểm soát truy cập
bảo mật cho phép cấp hoặc hạn chế quyền truy cập đối tượng thông qua chính
sách truy cập được xác định bởi nhóm chủ sở hữu hoặc chủ thể của đối tượng.
Nói cách khác, chủ sở hữu xác định các đặc quyền truy cập đối tượng.
- Đây là mô hình được sử dụng phổ biến nhất, xuất hiện trong hầu hết các
hệ điều hành máy tính.
Ví dụ: trong hệ thống quản lý tập tin NTFS trên Windows XP, chủ sở hữu của
một thư mục có toàn quyền truy xuất đối với thư mục, có quyền cho phép hoặc
không cho phép người dùng khác truy xuất đến thư mục, có thể cho phép người
dùng khác thay đổi các xác lập về quyền truy xuất đối với thư mục.
1.2. Nguyên lý
DAC được xây dựng và triển khai dựa trên một nguyên lý:
Chủ sở hữu sẽ quyết định quyền truy cập đối với tài nguyên.
Nguyên lý này có thể được hiểu như sau:
- Trong hệ thống thì quản trị viên là người có quyền hạn cao nhất => Quản trị
viên có thể truy cập không giới hạn, toàn bộ tài nguyên hệ thống, có thể
thêm/sửa/xoá các chủ thể và đối tượng.
- Tài nguyên do chủ thể tạo ra thì sẽ thuộc quyền sở hữu của chủ thể đó.
Chủ thể có thể cấp quyền truy cập tới tài nguyên mà mình sở hữu cho một chủ
thể khác.
- Hệ thống DAC dễ dàng quản lý các quyền truy cập và gắn kết chúng với người
dùng cụ thể.
Để hình dung rõ hơn chúng ta sẽ xem và phân tích hình minh hoạ sau đây:

- Admin có thể đi vào được cả 2 cổng kiểm soát.

- User chỉ đi vào được cổng kiểm soát bên dưới.
- Visitors do được User cấp quyền cho nên cũng chỉ có thể vào được cổng kiểm
soát bên dưới.
1.3. Đặc điểm phân biệt của mô hình DAC
- Không được áp dụng mặc định trên hệ thống
- Người chủ sở hữu của tài nguyên (owner), thường là người tạo ra tài nguyên
đó hoặc người được gán quyền sở hữu, có toàn quyền điều khiển việc truy xuất
đến tài nguyên.
- Quyền điều khiển truy xuất trên một tài nguyên có thể được chuyển từ đối
tượng (user) này sang đối tượng (user) khác.
1.4. Ưu, nhược điểm của mô hình điều khiển truy xuất tự do
Ưu điểm:
- Thân thiện với người dùng.
- Chủ sở hữu đối với tài nguyên có thể linh hoạt thu hồi, hoặc cung cấp một
phần quyền hạn của mình.
- Đơn giản, dễ cài đặt.
Nhược điểm:
- Khó quản lý: quản trị viên khó có thể theo dõi được những ai có thể truy cập
một tài nguyên cụ thể.
- Không đảm bảo được tính bí mật: một dữ liệu bí mật có thể được xem bởi
những chủ thể đáng ra không đủ quyền xem.
- Quyền kiểm soát truy cập dễ bị chuyển giao, đồng thời, khi số lượng chủ thể
và đối tượng lớn, nó sẽ mang lại chi phí lớn cho hệ thống, dẫn đến hiệu quả thấp
và không thể thích ứng tốt với quy mô lớn, môi trường mạng quy mô.

2. Mô hình điều khiển truy xuất bắt buộc (Mandatory Access Control_
MAC)
2.1. Khái niệm
- Mô hình điều khiển truy xuất bắt buộc là mô hình điều khiển truy xuất được áp
dụng bắt buộc đối với toàn hệ thống. Trong môi trường máy tính, cơ chế điều
khiển truy xuất bắt buộc được tích hợp sẵn trong hệ điều hành, và có tác dụng
đối với tất cả các tài nguyên và đối tượng trong hệ thống, người sử dụng không
thể thay đổi được.
Ví dụ: trong hệ thống an toàn nhiều cấp (multilevel security), mỗi đối tượng
(subject) hoặc tài nguyên (object) được gán một mức bảo mật xác định. Trong
hệ thống này, các đối tượng có mức bảo mật thấp không được đọc thông tin từ
các tài nguyên có mức bảo mật cao, ngược lại các đối tượng ở mức bảo mật cao
thì không được ghi thông tin vào các tài nguyên có mức bảo mật thấp. Mô hình
này đặc biệt hữu dụng trong các hệ thống bảo vệ bí mật quân sự (mô hình
BellLaPadula, 1973).
2.2. Nguyên lý
- MAC được xây dựng và triển khai dựa trên nguyên lý:
Các chủ thể và đối tượng đều được đánh nhãn bảo mật. Mỗi nhãn bảo mật gồm
hai thuộc tính: phân loại và danh mục. Chủ thể có nhãn bảo mật đáp ứng đủ yêu
cầu mới có thể truy cập tài nguyên hệ thống.
Một nhãn bảo mật có thể trông như sau:
Phần màu đỏ: phân loại. Hệ thống sẽ sắp xếp phân loại theo mức độ, ví dụ trong
quân đội có thể chia thành: Top Secret > Secret > Confidential > Unclassified.
Phần màu xanh: danh mục. Xác định các thông tin thêm, ví dụ như: tài liệu này
thuộc dự án nào? tài liệu này liên quan đến những nội dung gì?...
2.3. Đặc điểm:
- Được thiết lập cố định ở mức hệ thống, người sử dụng (bao gồm cả người tạo
ra tài nguyên) không thay đổi được.
- Người dùng và tài nguyên trong hệ thống được chia thành nhiều mức bảo mật
khác nhau, phản ánh mức độ quan trọng của tài nguyên và người dùng.
- Khi mô hình điều khiển bắt buộc đã được thiết lập, nó có tác dụng đối với tất
cả người dùng và tài nguyên trên hệ thống
Mô hình MAC có những ưu/nhược điểm sau:
Ưu điểm:
- Đảm bảo tối đa tính bí mật của tài nguyên.
- Chỉ quản trị viên mới có thể gán và thay đổi nhãn bảo mật của chủ thể/đối
tượng.
Nhược điểm:
- Người dùng cần gửi yêu cầu cho quản trị viên mỗi khi nhãn bảo mật thiếu dù
chỉ một chút.
3. Mô hình điều khiển truy xuất theo chức năng (Role Based Access
Control_RBAC)

3.1. Khái niệm

Mô hình điều khiển truy xuất theo chức năng là mô hình điều khiển truy
xuất dựa trên vai trò của từng người dùng trong hệ thống (user’ roles).
Ví dụ: một người quản lý tài chính cho công ty (financial manager) thì có
quyền truy xuất đến tất cả các dữ liệu liên quan đến tài chính của công ty, được
thực hiện các thao tác sửa, xóa, cập nhật trên cơ sở sữ liệu. Trong khi đó, một
nhân viên kế toán bình thường thì chỉ được truy xuất đến một bộ phận nào đó
của cơ sở dữ liệu tài chính và chỉ được thực hiện các thao tác có giới hạn đối
với cơ sở dữ liệu.
3.2. Nguyên lý
- RBAC được xây dựng và triển khai dựa trên nguyên lý:
Các chủ thể sẽ được phân chia và quản lý theo các nhóm/vai trò. Một chủ thể
chỉ có thể truy cập những tài nguyên mà các nhóm/vai trò của chủ thể đó được
quyền truy cập.
Như vậy với RBAC thì quyền truy cập tài nguyên sẽ không được gán trực tiếp
cho chủ thể nữa. Bản thân mỗi chủ thể cũng không có quyền thay đổi nhóm/vai
trò của mình, mà chỉ có quản trị viên được quyền làm điều này. Thường thì các
công ty, tổ chức sẽ quản lý tài nguyên theo mô hình này, Active Directory trên
Windows cũng sử dụng mô hình RBAC.

3.3. Đặc điểm mô hình điều khiển truy xuất theo chức năng
- Quyền truy xuất được cấp dựa trên công việc của người dùng trong hệ thống
(user’s role)
- Linh động hơn mô hình điều khiển truy xuất bắt buộc, người quản trị hệ thống
có thể cấu hình lại quyền truy xuất cho từng nhóm chức năng hoặc thay đổi
thành viên trong các nhóm.
- Thực hiện đơn giản hơn mô hình điều khiển truy xuất tự do, không cần phải
gán quyền truy xuất trực tiếp cho từng người dùng.
3.4. Mô hình RBAC có những ưu/nhược điểm sau
● Ưu điểm:
- Quản lý dễ dàng.
- Các thực thể không thể thay đổi nhóm/vai trò của mình, cũng không thể thay
đổi quyền truy cập của các nhóm/vai trò.
- Thuận tiện cho việc tuân thủ nguyên tắc đặc quyền tối thiểu.
● Nhược điểm:
- Việc cài đặt và quản lý phức tạp khi có quá nhiều nhóm/vai trò trong hệ thống.
- Các nhóm/vai trò chưa có sự phân cấp rõ ràng.
 PHẦN 2: CÁC MỐI ĐE DỌA ĐỐI VỚI KIỂM SOÁT TRUY
CẬP

1. Tấn công từ bên ngoài

1.1. DDoS
1.1.1. Khái niệm
- Cuộc tấn công DDoS nhắm mục tiêu đến các trang web và máy chủ bằng cách
làm gián đoạn dịch vụ mạng nhằm tìm cách làm cạn kiệt tài nguyên của ứng
dụng.
- Thủ phạm đứng đằng sau các cuộc tấn công này sẽ gây tràn site bằng lưu
lượng truy nhập lỗi, làm trang web hoạt động kém đi hoặc khiến trang web bị
ngoại tuyến hoàn toàn.
1.1.2. Cách thức hoạt động
- Trong cuộc tấn công DDoS, một chuỗi bot hoặc botnet sẽ gây tràn một website
hoặc dịch vụ bằng các yêu cầu HTTP và lưu lượng truy nhập.
- Về cơ bản, trong một cuộc tấn công, nhiều máy tính sẽ tấn công một máy tính,
khiến người dùng hợp pháp bị đẩy ra. Kết quả là dịch vụ có thể bị trì hoãn hay
nói cách khác là bị gián đoạn trong một khoảng thời gian.
- Cuộc tấn công có thể gây hậu quả trong nhiều giờ, thậm chí nhiều ngày.
1.1.3. Các loại hình tấn công
- Cuộc tấn công băng thông sẽ dùng lưu lượng truy nhập để gây tràn lớp mạng.
Loại hình tấn công này là hình thức phổ biến nhất của cuộc tấn công DDoS.
- Cuộc tấn công giao thức gây gián đoạn dịch vụ bằng cách khai thác một điểm
yếu trong ngăn xếp giao thức tầng 3 và tầng 4.
- Cuộc tấn công tầng của tài nguyên (hoặc ứng dụng) nhắm mục tiêu vào các
gói ứng dụng web và gây gián đoạn hoạt động truyền dữ liệu giữa các máy chủ.

1.2. Tấn công đoạn mã (Code injection)

1.2.1. Khái niệm
Tấn công đoạn mã là một phương pháp tấn công mà kẻ tấn công chèn
đoạn mã độc hại vào ứng dụng hoặc hệ thống để thực hiện các hành động trái
phép. Kẻ tấn công tận dụng các lỗ hổng bảo mật trong ứng dụng và chèn mã độc
vào để thực thi mã đó.
1.2.2. Phân loại của tấn công đoạn mã
● SQL Injection: Kẻ tấn công chèn các câu lệnh SQL độc hại vào các
trường dữ liệu nhập của ứng dụng web để thực thi các câu lệnh SQL không
được phép hoặc truy xuất, thay đổi, xóa hoặc thêm dữ liệu trong cơ sở dữ liệu.
● Command Injection: Kẻ tấn công chèn các lệnh hệ thống độc hại vào các
tham số điều khiển của ứng dụng để thực thi các lệnh hệ thống không được
phép hoặc kiểm soát hệ thống máy chủ.
● Shell Injection: Kẻ tấn công chèn các lệnh shell độc hại vào các trường
dữ liệu nhập của ứng dụng để thực thi các lệnh shell không được phép hoặc
kiểm soát hệ thống máy chủ.
● LDAP Injection: Kẻ tấn công chèn các chuỗi LDAP độc hại vào các
trường dữ liệu nhập của ứng dụng để thực hiện các truy vấn LDAP không được
phép hoặc kiểm soát máy chủ LDAP.
● XPath Injection: Kẻ tấn công chèn các chuỗi XPath độc hại vào các
trường dữ liệu nhập của ứng dụng web để thực thi các truy vấn XPath không
được phép hoặc kiểm soát quá trình xác định đường dẫn trong tài liệu XML.
1.2.3. Cách hoạt động
● Bước 1: Xác định lỗ hổng bảo mật: Kẻ tấn công tìm các lỗ hổng bảo mật
trong ứng dụng hoặc hệ thống để có thể chèn đoạn mã độc hại. Điều này có thể
bao gồm việc kiểm tra các trường dữ liệu nhập không được xử lý đúng cách
hoặc không được kiểm tra đủ.
● Bước 2: Chèn đoạn mã độc hại: Kẻ tấn công chèn đoạn mã độc hại vào
các trường dữ liệu nhập của ứng dụng. Đoạn mã này có thể được chèn vào các
trường nhập liệu, tham số URL, cookie hoặc các phần khác của yêu cầu gửi đến
ứng dụng.
● Bước 3: Thực thi đoạn mã độc hại: Ứng dụng không biết rằng đoạn mã
chèn vào là độc hại và thực thi nó. Điều này có thể dẫn đến thực thi các câu lệnh
SQL, lệnh hệ thống hoặc các hoạt động khác mà kẻ tấn công mong muốn.
● Bước 4: Kẻ tấn công kiểm soát: Khi đoạn mã độc hại được thực thi, kẻ
tấn công có thể kiểm soát ứng dụng hoặc hệ thống và thực hiện các hành động
trái phép, bao gồm truy cập thông tin nhạy cảm, thay đổi dữ liệu, tạo tấn công
đoạn mã (Code injection) là một phương pháp tấn công mà kẻ tấn công chèn
đoạn mã độc hại vào ứng dụng hoặc hệ thống để thực hiện các hành động trái
phép. Tấn công này thường tận dụng những lỗ hổng bảo mật trong ứng dụng để
chèn và thực thi mã độc.

1.3. Tấn công dò quét cổng (Port scanning)

1.3.1. Khái niệm của tấn công dò quét cổng
Tấn công dò quét cổng là quá trình kiểm tra các cổng mạng của một hệ
thống hoặc mạng để xác định cổng nào đang mở và lắng nghe kết nối từ các
máy khác. Bằng cách xác định các cổng mở, kẻ tấn công có thể tìm ra các lỗ
hổng bảo mật và tiến hành các cuộc tấn công tiếp theo như xâm nhập hoặc quét
lỗ hổng.
1.3.2. Cách hoạt động của tấn công dò quét cổng
- Bước 1: Xác định dải địa chỉ IP mục tiêu: Kẻ tấn công xác định dải địa chỉ
IP mà họ muốn dò quét cổng.
- Bước 2: Lựa chọn công cụ dò quét cổng: Kẻ tấn công sử dụng các công cụ
dò quét cổng như Nmap để thực hiện quá trình dò quét cổng.
- Bước 3: Quét các cổng mạng: Công cụ dò quét cổng sẽ gửi các gói tin đến
các cổng mạng trên địa chỉ IP mục tiêu và xem xét các phản hồi từ cổng đó. Nếu
một cổng đáp ứng, nghĩa là nó đang mở và lắng nghe kết nối.
- Bước 4: Phân tích kết quả: Kẻ tấn công thu thập thông tin về các cổng mở,
bao gồm cả giao thức và dịch vụ đang chạy trên các cổng đó. Thông tin này sẽ
giúp kẻ tấn công xác định các lỗ hổng bảo mật có thể được tận dụng để thực
hiện các cuộc tấn công tiếp theo.

2. Xâm nhập nội bộ

2.1. Đánh cắp thông tin đăng nhập
2.1.1. Khái niệm
Đánh cắp thông tin đăng nhập là quá trình xâm nhập vào hệ thống hoặc
tài khoản người dùng nhằm lấy trộm thông tin đăng nhập như tên người dùng và
mật khẩu. Kẻ tấn công thực hiện hành vi này để có thể truy cập trái phép vào tài
khoản người dùng và tiếp tục thực hiện các hoạt động độc hại hoặc chiếm đoạt
thông tin cá nhân.
2.1.2. Phân loại
Đánh cắp thông tin đăng nhập có thể được phân loại thành các hình thức sau:
 a. Keylogging (gian lận bàn phím): Kẻ tấn công sử dụng phần mềm độc hại để
ghi lại các thao tác nhập liệu trên bàn phím, bao gồm cả thông tin đăng nhập.
Dữ liệu sau đó được gửi về cho kẻ tấn công.
b. Phishing (giả mạo): Kẻ tấn công tạo ra các trang web giả mạo, giống hệt
các trang web chính thức của các dịch vụ như ngân hàng, mạng xã hội, hoặc
email. Họ gửi email hoặc tin nhắn đánh lừa người dùng để nhập thông tin đăng
nhập vào các trang web giả mạo này.
c. Brute forcing (tấn công dò mật khẩu): Kẻ tấn công sử dụng phương pháp
thử từng khả năng mật khẩu cho tài khoản người dùng. Bằng cách thử hàng loạt
các mật khẩu khác nhau, kẻ tấn công hy vọng tìm ra mật khẩu chính xác để truy
cập vào tài khoản.
2.1.3. Cách hoạt động
a. Keylogging: Kẻ tấn công cài đặt phần mềm độc hại trên máy tính của người
dùng hoặc sử dụng các phương pháp khác như kết nối từ xa để ghi lại mọi thao
tác nhập liệu trên bàn phím. Dữ liệu được gửi về cho kẻ tấn công, bao gồm cả
thông tin đăng nhập.
b. Phishing: Kẻ tấn công tạo ra các trang web giả mạo và gửi email hoặc tin
nhắn giả mạo đến người dùng, yêu cầu họ nhập thông tin đăng nhập. Người
dùng bị đánh lừa và khi nhập thông tin, nó được gửi về cho kẻ tấn công thay vì
vào trang web chính thức.
c. Brute forcing: Kẻ tấn công sử dụng phần mềm hoặc công cụ để thử tất cả
các khả năng mật khẩu cho tài khoản người dùng. Họ liên tục thử các mật khẩu
khác nhau cho đến khi tìm ra mật khẩu chính xác hoặc thành công trong việc
truy cập vào tài khoản.
2.2. Lợi dụng lỗ hổng bảo mật
2.2.1. Khái niệm
Lợi dụng lỗ hổng bảo mật là quá trình sử dụng các lỗ hổng, lỗi trong hệ
thống hoặc ứng dụng đã được phát hiện để tiến hành các cuộc tấn công, xâm
nhập hoặc truy cập trái phép vào hệ thống. Kẻ tấn công tận dụng các điểm yếu
này để đạt được mục tiêu xâm nhập hoặc gây hại cho hệ thống.
2.2.2. Phân loại
a. Lợi dụng lỗ hổng phần mềm: Kẻ tấn công tìm ra các lỗ hổng bảo mật trong
các phần mềm, hệ điều hành, ứng dụng hoặc các thành phần khác của hệ thống
và tận dụng chúng để thực hiện các cuộc tấn công như xâm nhập, chiếm quyền
kiểm soát hoặc truy cập trái phép vào hệ thống.
b. Lợi dụng lỗ hổng mạng: Kẻ tấn công tìm ra các lỗ hổng bảo mật trong cơ sở
hạ tầng mạng như thiết bị mạng, tường lửa, cấu hình mạng hoặc các giao thức
kết nối. Họ tận dụng các lỗ hổng này để thực hiện các cuộc tấn công như quét lỗ
hổng, từ chối dịch vụ (DoS) hoặc xâm nhập vào hệ thống.
c. Lợi dụng lỗ hổng xã hội: Kẻ tấn công tận dụng các lỗ hổng trong hành vi,
thói quen hoặc sự thiếu ý thức bảo mật của con người. Điều này có thể bao gồm
kỹ thuật xã hội hoá (social engineering) để lừa đảo, gian lận hoặc thu thập thông
tin đăng nhập từ người dùng.
2.2.3. Cách hoạt động
Kẻ tấn công tìm ra các lỗ hổng bảo mật đã được phát hiện trong hệ thống
hoặc ứng dụng. Sau đó, họ tận dụng các lỗ hổng đó bằng cách sử dụng các công
cụ, kỹ thuật và phương pháp tấn công phù hợp. Ví dụ, nếu một ứng dụng web
có một lỗ hổng bảo mật đã được công bố, kẻ tấn công có thể sử dụng công cụ
tấn công tự động để tìm và khai thác lỗ hổng đó. Khi lợi dụng thành công, kẻ
tấn công có thể xâm nhập vào hệ thống, thực hiện các hoạt động độc hại, chiếm
quyền kiểm soát hoặc truy cập trái phép vào thông tin quan trọng.
2.3. Kỹ thuật xâm nhập
2.3.1. Khái niệm
Kỹ thuật xâm nhập là quá trình sử dụng các phương pháp, công cụ và kỹ
năng để xâm nhập vào hệ thống, mạng hoặc ứng dụng mà không có quyền truy
cập hợp lệ. Mục đích của kỹ thuật xâm nhập là tiếp cận, khai thác và kiểm tra
tính bảo mật của một hệ thống hoặc mạng để phát hiện và nêu lên các lỗ hổng
bảo mật.
2.3.2. Phân loại
1. Quét lỗ hổng (Vulnerability Scanning): Kỹ thuật này sử dụng các công cụ tự
động để tìm kiếm các lỗ hổng bảo mật trong hệ thống, mạng hoặc ứng dụng.
Các công cụ này thường kiểm tra các cổng mạng, dịch vụ chạy trên hệ thống và
kiểm tra phiên bản phần mềm để xác định xem có các lỗ hổng đã biết hoặc các
cấu hình không an toàn.
2. Tấn công từ chối dịch vụ (Denial of Service - DoS): Kỹ thuật này nhằm làm
cho dịch vụ hoặc hệ thống trở nên không khả dụng cho người dùng bằng cách
tạo ra lưu lượng truy cập lớn hoặc tác động đến các tài nguyên quan trọng. Điều
này gây ra quá tải cho hệ thống và làm cho nó không thể hoạt động bình thường.
3. Tấn công từ chối dịch vụ phân tán (Distributed Denial of Service - DDoS):
Tương tự như tấn công từ chối dịch vụ, nhưng trong trường hợp này, kẻ tấn
công sử dụng một mạng lưới các thiết bị đã bị xâm nhập (botnet) để tạo ra lưu
lượng truy cập lớn và tấn công hệ thống mục tiêu từ nhiều nguồn khác nhau.
4. Tấn công Brute Force: Kỹ thuật này liên quan đến việc thử tất cả các khả
năng mật khẩu có thể để tìm ra mật khẩu đúng. Kẻ tấn công sử dụng các công
cụ tự động để liên tục thử các mật khẩu khác nhau cho đến khi tìm ra mật khẩu
chính xác để truy cập vào hệ thống hoặc tài khoản người dùng.
5. Khai thác lỗ hổng (Exploitation): Kỹ thuật này liên quan đến việc tận dụng
các lỗ hổng bảo mật đã biết trong hệ thống, ứng dụng hoặc phần mềm để kiểm
soát hoặc xâm nhập vào hệ thống mục tiêu. Kẻ tấn công sử dụng các công cụ,
mã độc hoặc phương pháp khác để khai thác lỗ hổng và tiến hành các hoạt động
độc hại.
3. Lỗ hổng bảo mật
Lỗ hổng phần mềm (software vulnerability) là các điểm yếu, lỗi hoặc
khuyết điểm trong phần mềm, cho phép kẻ tấn công tận dụng và xâm nhập vào
hệ thống. Những lỗ hổng phần mềm có thể cho phép kẻ tấn công thực hiện các
hành động không được ủy quyền, như kiểm soát hệ thống, truy cập dữ liệu nhạy
cảm hoặc tạo ra sự cố hệ thống.
Các lỗ hổng phần mềm có thể xuất hiện do các lỗi lập trình, cấu hình
không an toàn, quản lý mã nguồn không tốt hoặc sử dụng các phiên bản phần
mềm cũ không được vá lỗi. Các lỗ hổng phổ biến bao gồm lỗ hổng xâm nhập
SQL, lỗ hổng Cross-Site Scripting (XSS), lỗ hổng Remote Code Execution
(RCE) và lỗ hổng Buffer Overflow.
Để giảm thiểu rủi ro từ lỗ hổng phần mềm, các nhà phát triển phần mềm,
nhà cung cấp và người dùng cuối cùng cần thực hiện các biện pháp bảo mật
như:
1. Cập nhật phần mềm: Đảm bảo rằng phần mềm được cài đặt và sử dụng phiên
bản mới nhất, bao gồm các bản vá lỗi được phát hành bởi nhà cung cấp.
2. Kiểm tra lỗ hổng: Thực hiện quá trình kiểm tra lỗ hổng bảo mật định kỳ để
phát hiện và vá lỗi trong phần mềm.
3. Mã hóa dữ liệu: Sử dụng các phương pháp mã hóa để bảo vệ dữ liệu quan
trọng khỏi việc truy cập trái phép.
4. Xác thực và phân quyền: Áp dụng các biện pháp xác thực mạnh mẽ và phân
quyền chính xác để chỉ cho người dùng có quyền truy cập vào các tài nguyên và
chức năng cần thiết.
5. Kiểm soát đầu vào: Xử lý và kiểm tra đầu vào người dùng để ngăn chặn các
cuộc tấn công như XSS và SQL injection.
6. Kiểm tra mã nguồn: Kiểm tra mã nguồn phần mềm để phát hiện và vá lỗi lập
trình hoặc các khuyết điểm bảo mật.

4. Quản lý không hiệu quả

4.1. Khái niệm
Cấp quyền truy cập không hợp lý (improper access control) là một lỗ
hổng bảo mật trong hệ thống hoặc ứng dụng, cho phép người dùng có quyền
truy cập không được ủy quyền vào các tài nguyên, chức năng hoặc thông tin
nhạy cảm. Điều này có thể dẫn đến xâm nhập, lợi dụng hoặc vi phạm quyền
riêng tư của người dùng.
Một số ví dụ về cấp quyền truy cập không hợp lý bao gồm:
1. Quyền truy cập quá rộng: Người dùng được cấp quyền truy cập vào các tài
nguyên hoặc chức năng mà không cần thiết cho công việc của họ. Điều này có
thể cho phép họ thực hiện các hành động không được ủy quyền hoặc truy cập
vào thông tin nhạy cảm.
2. Thiếu kiểm soát quyền truy cập: Thiếu các biện pháp kiểm soát quyền truy
cập chính xác có thể dẫn đến việc người dùng có thể truy cập vào dữ liệu hoặc
chức năng mà không có quyền. Ví dụ, một ứng dụng web không kiểm tra xem
người dùng có quyền truy cập vào trang hoặc tài nguyên nào và cho phép truy
cập mà không kiểm soát.
3. Ghi đè quyền truy cập: Trong một số trường hợp, người dùng có thể ghi đè
lên các quyền truy cập được xác định ban đầu và lấy được quyền truy cập không
hợp lý vào các tài nguyên hoặc chức năng. Điều này có thể xảy ra nếu không có
các kiểm tra và xác thực thích hợp để ngăn chặn việc ghi đè quyền truy cập.
Cấp quyền truy cập không hợp lý có thể gây ra nhiều vấn đề bảo mật, bao gồm
việc lộ thông tin quan trọng, mất quyền riêng tư của người dùng, sự tổn hại cho
hệ thống và rủi ro về an ninh.
 4.2. Khắc phục
Để giảm thiểu lỗ hổng này, cần thiết:
- Thiết lập chính sách quản lý quyền truy cập chặt chẽ và xác định rõ ràng
quyền truy cập cho từng người dùng hoặc nhóm người dùng.
- Sử dụng các phương pháp xác thực và phân quyền để kiểm soát quyền truy
cập vào các tài nguyên.
- Kiểm tra và xác thực đầu vào của người dùng để ngăn chặn các cuộc tấn công
như tấn công kiểm soát quyền truy cập hoặc tấn công ghi đè quyền truy cập.
- Đảm bảo các biện pháp kiểm tra quyền truy cập được triển khai và kiểm tra
định kỳ để phát hiện và khắc phục các lỗ hổng quyền truy cập không hợp lý.
5. Tấn công từ bên trong
5.1. Lỗi nhân viên (employee error)
5.1.1. Khái niệm
Là các hành vi hoặc hành động không chính xác, không cẩn thận hoặc
không tuân thủ quy tắc bảo mật từ phía nhân viên trong một tổ chức. Đây là một
nguyên nhân phổ biến gây ra các sự cố bảo mật và vi phạm quyền riêng tư trong
môi trường công nghệ thông tin.
Một số ví dụ về lỗi nhân viên bao gồm:
1. Phương tiện lưu trữ không an toàn: Nhân viên sử dụng phương tiện lưu trữ
không an toàn như USB, ổ cứng di động hoặc đám mây công cộng để lưu trữ
hoặc chuyển dữ liệu nhạy cảm. Điều này có thể dẫn đến rủi ro mất mát hoặc rò
rỉ thông tin.
2. Sai sót trong quản lý mật khẩu: Nhân viên sử dụng mật khẩu yếu, chia sẻ mật
khẩu với người khác hoặc không thực hiện việc thay đổi mật khẩu định kỳ. Điều
này có thể làm giảm tính bảo mật của hệ thống và tạo điều kiện thuận lợi cho
các cuộc tấn công từ bên ngoài.
3. Mất mát hoặc lạm dụng thông tin: Nhân viên vô tình mất mát hoặc lạm dụng
thông tin quan trọng của khách hàng, nhân viên hoặc công ty. Ví dụ, họ có thể
gửi email chứa thông tin nhạy cảm cho người sai hoặc để lộ thông tin trong quá
trình làm việc.
4. Không tuân thủ quy tắc bảo mật: Nhân viên không tuân thủ các quy tắc bảo
mật được thiết lập trong tổ chức, bao gồm việc truy cập vào các tài nguyên
không được ủy quyền, cài đặt phần mềm không an toàn hoặc không thực hiện
các biện pháp bảo mật cần thiết.
5. Sử dụng thiết bị cá nhân không an toàn: Nhân viên sử dụng thiết bị cá nhân
không an toàn hoặc không được quản lý để truy cập vào hệ thống công ty. Điều
này có thể tạo ra lỗ hổng bảo mật và rủi ro cho tổ chức.
5.1.2. Biện pháp
Để giảm thiểu lỗi nhân viên, các tổ chức cần thực hiện các biện pháp sau:
- Đào tạo nhân viên về quy tắc bảo mật và chính sách của tổ chức.
- Thiết lập quy trình an toàn để xác minh và kiểm tra các hoạt động của nhân
viên.
- Giám sát và kiểm tra các hành vi của nhân viên để phát hiện và khắc phục lỗi
trong quá trình.
- Thực hiện các biện pháp kiểm soát truy cập và quản lý quyền hạn để đảm bảo
rằng nhân viên chỉ có quyền truy cập vào các tài nguyên và chức năng cần thiết.
- Thúc đẩy việc sử dụng các phương tiện lưu trữ an toàn và thiết bị công nghệ
thông tin được quản lý.
- Xác định và áp dụng các biện pháp kỷ luật hoặc phòng ngừa khi vi phạm quy
tắc bảo mật.
Bằng cách tập trung vào việc giáo dục, quản lý và kiểm soát, tổ chức có thể
giảm thiểu rủi ro từ lỗi nhân viên và tăng cường bảo mật tổ chức.
 Phân công công việc

Sinh viên Công việc

Lê Quang Huy Phần 1 mục 1, 2
Nghiêm Minh Quân Phần 1 mục 3
Nguyễn Văn Tùng Dương Phần 2 mục 1, 2
Nguyễn Đức Tuấn Phần 2 mục 3, 4
Phạm Thế Tài Phần 2 mục 5, thiết kế slide