Một số phương pháp đảm bảo an ninh và ràng buộc thời gian thực thi cho các ứng dụng Web

Tóm tắt

Các hệ thống phần mềm trên nền web đang phổ biến rộng rãi trong nhiều
 lĩnh vực và mang lại nhiều lợi ích cho con người. Mặc dù có nhiều lợi ích như
 khả năng truy cập từ xa, khả năng tương thích đa nền tảng, phát triển nhanh,
 v.v. Tuy nhiên, các phần mềm trên nền Web luôn tiềm ẩn các nguy cơ bị tấn
 công an ninh và khai thác tài nguyên trái phép bao gồm cả các hệ thống xây
 dựng trên các mô hình truyền thống như MVC, MVVC, v.v. cũng như các hệ
 thống xây dựng theo các mô hình hướng sự kiện như EDA. Các cuộc tấn công
 như DoS, DDOS, XSS và nhiều loại tấn công khác thường xuyên xảy ra trên các
 hệ thống web, mục đích của các cuộc tấn công này là ăn cắp thông tin cá nhân
 của người dùng, chiếm quyền kiểm soát máy tính của người dùng. Ngoài ra các
 vi phạm về thời gian trong các hệ thống web hướng sự kiện cũng gây nên các
 hậu quả về an ninh nghiệm trọng. Để đảm bảo an toàn cho các hệ thống phần
 mềm trên nền web, cần phát hiện sớm các nguy cơ tấn công, các vi phạm về thời
 gian trong hệ thống trước khi hệ thống đi vào hoạt động. Việc phát hiện các
 vấn đề này càng muộn thì chi phí sửa chữa hệ thống càng lớn và hậu quả càng
 phức tạp. Do đó, cộng đồng phát triển phần mềm luôn quan tâm đến việc kiểm
 chứng, kiểm thử ứng dụng để đảm bảo các vi phạm về an ninh của hệ thống
 phần mềm được phát hiện sớm. Điều này giúp tối ưu hóa hiệu quả kinh tế và
 nâng cao chất lượng của phần mềm. Các đóng góp chính của luận án bao gồm: Thứ nhất, luận án đề xuất phương pháp phân tích nhật ký truy cập của một
 hệ thống web nhằm phát hiện các dấu hiệu bất thường của người dùng, giúp
 phát hiện sớm các cuộc tấn công từ chối dịch vụ theo thời gian thực. Cuộc tấn
 công từ chối dịch vụ (DoS, DDoS) là một trong những dạng tấn công phổ biến
 nhất trên mạng, khi các yêu cầu không cần thiết được gửi hàng ngàn hoặc hàng
 triệu lần, gây quá tải máy và các tài nguyên hỗ trợ của hệ thống, gây hậu quả
 nguy hại nặng nề cho hệ thống. Phương pháp này tập trung vào việc phát hiện
 các dấu hiệu bất thường của người dùng, nhằm giúp phát hiện sớm các cuộc tấn
 công DDoS. Cụ thể, nó phát hiện và cảnh báo các địa chỉ IP có số lượng truy
 cập vào hệ thống cao trong khung xử lý thời gian thực. Ngoài ra, phương pháp
 này cũng đã được triển khai trong hệ thống web của Shopbase bằng công nghệ
 Apache Spark và Kubernetes, đồng thời được giới thiệu hiệu quả tích cực trong thực tế. Thứ hai, luận án đề xuất một phương pháp kiểm thử phát hiện xâm nhập
 XSS cho ứng dụng web. Phương pháp được giới thiệu đề xuất một khung kiểm
 thử tự động cho các ứng dụng web bằng Java, tích hợp với Selenium và TestNG,
 cung cấp các tính năng để thực hiện kiểm thử tự động. Đồng thời, đề xuất một
 phương pháp sử dụng Q−learning để tự động tạo ra các đường dẫn kiểm thử
 cho kiểm thử thâm nhập trên các ứng dụng web. Các đường dẫn kiểm thử được
 tạo ra nhanh chóng bằng cách cải thiện ma trận phần thưởng để nhanh chóng
 theo dõi trạng thái tiếp theo, tiết kiệm thời gian tạo đường dẫn thử nghiệm.
 Ngoài ra, một công cụ cũng được phát triển để tạo ra các đường dẫn thử nghiệm
 có khả năng chứa các cuộc tấn công XSS trên các ứng dụng web và công cụ để
 thực hiện kiểm thử tự động theo khung làm việc đã đề xuất.