Báo cáo quản lý an toàn thông tin PTIT

Tất cả tài liệu: https://drive.google.com/drive/folders/1nBWniC3Q5ulu5cJZO2HIEufUtcEUC6k1?usp=sharing

BÁO CÁO QUẢN LÝ AN TOÀN THÔNG TIN

GIẢNG VIÊN HƯỚNG DẪN: T.S PHẠM HOÀNG DUY

NHÓM LỚP 1 – nhóm 5: NGUYỄN MINH ĐỨC

NGUYỄN ĐÌNH HOÀNG TỐNG ĐÌNH HOÀN

ĐỖ THỊ KIỀU LY

HÀ NỘI - THÁNG 11/2019

MỤC LỤC

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNG

KHOA CÔNG NGHỆ THÔNG TIN I

ĐỀ TÀI: ĐÁNH GIÁ RỦI RO HỆ THỐNG WEBSITE THƯƠNG MẠI

Danh mục bảng biểu 2

Danh mục từ viết tắt 2

Lời mở đầu 3

1 CÁC MỐI ĐE DỌA VÀ LỖ HỔNG TRONG WEBSITE TMĐT 4

1.1 Định nghĩa[1] 4

1.2 Các mối đe dọa thường gặp[2] 4

1.3 Các lỗ hổng thường có trên website TMĐT 5

2 ĐÁNH GIÁ VÀ PHÂN TÍCH RỦI RO TRONG WEBSITE TMĐT 6

2.1 Phương pháp đánh giá OCTAVE[3] 6

2.1.1 Giới thiệu 6

2.1.2 Cách hoạt động 6

2.1.3 Cấu trúc của OCTAVE 6

2.2 Phân tích và đánh giá rủi ro cho hệ thống Web thương mại điện tử 8

2.2.1 Thiết lập tiêu chuẩn đánh giá rủi ro 8

2.3 Xây dựng hồ sơ tài sản thông tin 9

2.4 Xác định đối tượng chứa tài sản 10

2.5 Xác định, phân tích các rủi ro theo các bước kết tiếp 10

2.5.1 Cấp quyền truy cập dữ liệu 10

2.5.2 Tấn công chèn mã như XSS, SQLInjection 11

2.5.3 Tính sẵn dùng của hệ thống 13

2.5.4 Sử dụng mật khẩu yếu trong việc quản lý hệ thống 14

2.5.5 Hệ thống bị tấn công tràn bộ đệm 15

2.5.6 Dữ liệu nhạy cảm bị đánh cắp 16

2.5.7 Dữ liệu thanh toán bị thay đổi 17

2.5.8 Các cuộc tấn công từ chối dịch vụ 18

2.5.9 Xác thực 19

2.5.10 Ảnh hưởng từ thiên tai tới hệ thống 20

2.5.11 Việc quá tải truy cập vào một số thời điểm 22

1

2.5.12 Chiếm phiên đăng nhập của người dùng 23

3 KẾT LUẬN 24

TÀI LIỆU THAM KHẢO 25

Danh mục bảng biểu Table 1 Thiết lập tiêu chuẩn đánh giá rủi ro 8

Table 2 Xây dụng hồ sơ tài sản 9

Table 3 Xác định đối tượng chứa tài sản 10

Table 4 Cấp quyền truy cập dữ liệu 11

Table 5 Tấn công chèn mã 13

Table 6 Tính sẵn dùng của hệ thống 14

Table 7 Sử dụng mật khẩu yếu 15

Table 8 Hệ thống bị tấn công chàn bộ đệm 16

Table 9 Dữ liệu nhạy cảm bị đánh cắp 17

Table 10 Dữ liệu thanh toán bị thay đổi 18

Table 11 Các cuộc tấn công từ chối dịch vụ 19

Table 12 Rủi ro xác thực 20

Table 13 Ảnh hưởng từ thiên tai 22

Table 14 Việc quá tải truy cập vào một số thời điểm 23

Table 15 Chiếm phiêm đăng nhập từ người dùng 24

Danh mục từ viết tắt

KEK Key encrypting key

Lời mở đầu

Hiện nay vấn đề quản lý rủi ro ở các website đang là một vấn đề cần thiết đối với mọi công ty, tổ chức có quản lý website Bởi lẽ khi quản lý và đưa ra danh sách,đánh giá rủi ro có thể giúp đưa ra các biện pháp giảm thiểu, phòng tránh hiệu quả vàphù hợp cũng như xử lý khi xảy ra rủi ro một cách tốt nhất Chúng em đưa ra tài liệu sau đây đưa ra một cách tổng quan về quản lý rủi ro một website thương mại điện tử, cách đánh giá dựa trên chuẩn Octave

1 CÁC MỐI ĐE DỌA VÀ LỖ HỔNG TRONG WEBSITE TMĐT

1.1 Định nghĩa[1]

Website thương mại điện tử là trang thông tin điện tử được thiết lập để phục vụ một phần hoặc toàn bộ quy trình của hoạt động mua bán hàng hóa hay cung ứng dịch

3

vụ, từ trưng bày giới thiệu hàng hóa, dịch vụ đến giao kết hợp đồng, cung ứng dịch vụ, thanh toán và dịch vụ sau bán hàng.

1.2 Các mối đe dọa thường gặp[2]

1 Các cuộc tấn công bằng cách chèn các xâu kí tự nguy hiểm trong câu truy vấn,biểu mẫu, cookies, HTTP Headers

2 Thông tin bí mật, tối mật, tuyệt mật bị rò rỉ và thay đổi dữ liệu

3 Từ chối dịch vụ và rò rỉ thông tin nhạy cảm từ cấp bậc hệ thống

4 Kẻ tấn công có thể sử dụng tài khoản của người dùng hợp pháp trong ứng dụng.Kết quả dẫn đến việc đánh mất các thông tin mật của khách hàng

5 Các lỗi về an toàn từ người phát triển có thể dẫn đến việc truy nhập trái phép từ

kẻ tấn công bên ngoài Kết quả có thể dẫn đến trang web của công ty khôngchứa dữ liệu bí mật nhưng việc thay giao diện trang chủ hủy hoại danh tiếng củacông ty và khách hàng tiềm năng đặt dấu hỏi về tính an toàn của toàn hệ thống

6 Kẻ tấn công có thể dò tìm thông tin trên kênh truyền khi quản trị từ xa được hỗtrợ Kết quả là hacker có thể chạy trang web với quyền quản trị và truy cập trựctiếp đến toàn bộ trang

7 Thêm sửa, xóa dữ liệu

8 Lộ thông tin nhạy cảm, hoặc định danh tài khoản

9 Lỗ hổng logic- đánh lừa tính năng đổi mật khẩu cho phép kẻ tấn công đổi mậtkhẩu người dùng, lạm dụng tài khoản của họ

10 Kẻ tấn công có thể chiếm phiên làm việc và sử dụng tài khoản của người dùnghợp pháp khác của ứng dụng

11 Kẻ tấn công chỉnh sửa các dữ liệu không được mã hóa chuyển từ người dùngđến ứng Dữ liệu được giửi có thể là các câu truy vấn, cookies, hoặc HTTPheader

12 Các trang web đều có 1 hàm phân quyền cho người dùng Nhưng nếu hàm đókhông được đồng bộ thực hiện đúng đắn như phía người dùng thì kẻ tấn công cóthể được lợi dụng lỗ hổng này để tấn công vào trang web với những đặc quyềncao hơn

1.3 Các lỗ hổng thường có trên website TMĐT

1 SQL Injection

2 Cross Site Scripting (XSS)

3 Phá vỡ xác thực và quản lý phiên

4 Tham chiếu đối tượng không an toàn ( Insecure Direct Object References)

5 Cross Site Request Forgery

6 Cấu hình bảo mật không chính xác (Security Misconfiguration)

7 Lưu trữ bí mật không an toàn (Insecure Cryptographic Storage)

8 Lỗi trong việc hạn chế quyền truy cập URL (Failure to restrict URL Access)

9 Bảo mật tầng vận chuyển không đủ (Insufficient Transport Layer Protection)

10 Chuyển hướng không được phê duyệt (Unvalidated Redirects and Forwards)

5

2 ĐÁNH GIÁ VÀ PHÂN TÍCH RỦI RO TRONG WEBSITE TMĐT

2.1 Phương pháp đánh giá OCTAVE[3]

2.1.1 Giới thiệu

Hiện nay, các cơ quan bảo maạt trên thế giới sử dụng một phương pháp để quản lý các rủi ro an ninh thông tin dựa trên phương pháp "Đánh giá nguy cơ, đánh giá tài sản và tổn thương hoạt động" (OCTAVE) Phương pháp OCTAVE được phát triển bởi Viện Kỹ thuật phần mềm (SEI) tại Đại học Carnegie Mellon

2.1.2 Cách hoạt động

OCTAVE là phương pháp đánh giá rủi ro linh hoạt và tự định hướng Một nhóm nhỏ những người của các đơn vị hoạt động (hoặc doanh nghiệp) và bộ phận CNTT làm việc cùng nhau để giải quyết các nhu cầu bảo mật của tổ chức Nhóm nghiên cứu rút ra kiến thức về nhiều nhân viên để xác định tình trạng an ninh hiện tại, xác định rủi ro đối với các tài sản quan trọng và thiết lập một chiếnlược bảo mật Nó có thể được điều chỉnh cho hầu hết các tổ chức

Không giống như hầu hết các phương pháp đánh giá rủi ro khác, phương pháp OCTAVE được thúc đẩy bởi rủi ro hoạt động và thực tiễn bảo mật chứ không phải công nghệ Nó được thiết kế để cho phép một tổ chức:

 Trực tiếp và quản lý đánh giá rủi ro an ninh thông tin cho chính họ

 Đưa ra quyết định tốt nhất dựa trên những rủi ro duy nhất của họ

 Tập trung vào việc bảo vệ tài sản thông tin quan trọng

 Giao tiếp hiệu quả thông tin bảo mật quan trọng

2.1.3 Cấu trúc của OCTAVE

Phương pháp OCTAVE dựa trên tám quy trình được chia thành ba giai đoạn Trong các tổ chức giáo dục đại học, nó thường được bắt đầu bởi một giai đoạn thăm

dò (được gọi là Giai đoạn Zero) để xác định các tiêu chí sẽ được sử dụng trong quá trình áp dụng phương pháp Octave

Các bước trong phương pháp OCTAVE[4]:

1 Thiết lập tiêu chuẩn đánh giá rủi ro

Danh tiếng, tài chính, năng suất, sức khỏe an toàn, pháp luật, tiêu chuẩn riêng

2 Xây dựng hồ sơ tài sản thông tin

Chủ sở hữu, mô tả về tài sản quan trọng, xác định các yêu cầu CIA (bí mật, toàn vẹn, sẵn dùng), tìm CIA quan trọng, lý do về tình quan trọng đó.

3 Xác định đối tượng chứa tài sản

Kỹ thuật, vật lý, con người

4 Xác định lĩnh vựa quan tâm

Các tình huống có thể tác động lên tài sản, xác định các điểm yếu hay lỗ hổng

5 Xác định các tình huống đe dọa

Mô tả theo 5 tiêu chí: Tài sản, phương tiện, người tiến hành, động cơ, kết quả

6 Xác định rủi ro

Lập danh sách rủi ro dưới dạng: đe dọa + tác động

7 Phân tích rủi ro

Xác định mức độ ảnh hưởng theo phân loại và giá trị, sau đó tình ra điểm

8 Lựa chọn các tiếp cận giảm thiểu

Từ kết quả bước 7 kết hợp với xác suất xảy ra ta chia thành 4 nhóm:

Giảm thiểu, giảm thiểu hay loại trừ, loại trừ hay chấp nhận, chấp nhận

7

2.2 Phân tích và đánh giá rủi ro cho hệ thống Web thương mại điện tử

2.2.1 Thiết lập tiêu chuẩn đánh giá rủi ro

Việc ghé thăm webmua sắm giảmtrong mức 2% -

Làm tăng chi phíhoạt động hàngnăm trong 2% -

5%

Làm tăng chi phíhoạt động hàng năm

trên 5%

Năng suất

Tỷ lệ hàng đượcbán trung bìnhtrong ngày giảmdưới 2%

Tỷ lệ hàng đượcbán trung bìnhtrong ngày giảmtrong 2% - 5%

Tỷ lệ hàng được bántrung bình trongngày giảm trên 5%

Sức khỏe và an

toàn

Vấn đề về an toàn

đã được đề cậpnhưng không cóphản hồi và ảnhhưởng ít dưới1000$ tài chính

Đã có ảnh hưởngcủa vấn đề an toàn,

đã có phản hồi ởmức phổ thông vàchi phí trongkhoảng 1000$ -10.000$

Vấn đề an toàn đã bịxâm phạm, cần tiếnhành điều tra và chiphí khắc phục vượttrên 10.000$

Hình phạt và phạt

phạm luật

Hình phạt dưới1000$

Hình phạt trongkhoảng 1000$ -5000$

Hình phạt trên5000$

Tiêu chuẩn tác

Table 1 Thiết lập tiêu chuẩn đánh giá rủi ro

2.3 Xây dựng hồ sơ tài sản thông tin

Thông tin thu thập từ

khách hàng

Việc để lộ thông tin củakhách hàng sẽ khiến chowebsite mất uy tín Nhữngthông tin về thói quenmua sắm của khách hàng

để lộ sẽ dẫn việc sụt giảm

doanh số

Chứa toàn bộ thông tin củamột khách hàng (tên, địachỉ, số cmt, …) Các thôngtin quan trọng để xác nhậndanh tính 1 người

Chủ sở hữu của tài sản quan trọngGiám đốc quản lý kinh doanh

Table 2Xây dụng hồ sơ tài sản

Yêu cầu:

 Tính bảo mật: quyền được đọc với tài sản trên theo quy tắc:

Nhân viên bán hàng chỉ được quyền xem các thông tin của khách hàng, không

có quyền thay đổi Việc truy xuất thông tin khách hàng cần được ghi vào log

 Tính toàn vẹn: Các quản lý có quyền thay đổi thông tin của khách hàng Việcthay đổi, truy xuất cần được ghi vào log

nhiệm vụ của họ

Tính quan trọng nhất của tài sản: Sẵn dùng

9

2.4 Xác định đối tượng chứa tài sản

Thông tin Khách hàng

- Con người: Quản lý bộ phận khách hàng

- Kỹ thuật: Oracle database

- Vật lý: Trung tâm dữ liệu, Gia đình

Thông tin Sản phẩm

- Giám đốc kinh doanh

- Kỹ thuật: Oracle database

- Vật lý: Trung tâm dữ liệu

Nhân viên

- Giám đốc nhân sự

- Kỹ thuật: Oracle database

- Vật lý: Trung tâm dữ liệu

Table 3 Xác định đối tượng chứa tài sản

2.5 Xác định, phân tích các rủi ro theo các bước kết tiếp

2.5.1 Cấp quyền truy cập dữ liệu

Mối quan tâm

Các bản copy của thông tin khách hàng sau khi thực hiệnmua sắm có thể xem bởi những người không có thẩmquyền (các bản copy có thể được tạo ra bởi nhân viên hoặcquản lý)

Thấy trên bàn làm việc sau khi dọn dẹp vănphòng vào cuối ngày làm việc

Động cơ Yêu cầu của công việc phải dọn dẹp

Hậu quả của thông tin

Tiết lộ thông tin chỉ người có thẩm quyền mới xem được

Tác động Phân tích rủi ro

Việc để lộ thông tin cá nhân

của khách hàng mà không có

sự chấp thuận của khách

hàng sẽ khiến website phải

đối mặt với pháp luật

Lĩnh vực

Phân loại

Giá trị tác động Mức điểm Danh

Loại trừ hay chấp

Phương pháp giảm thiểu

tránh việc còn tồn đọng các giấy tờ thừa

Table 4 Cấp quyền truy cập dữ liệu

2.5.2 Tấn công chèn mã như XSS, SQLInjection

Mối quan tâm

Các sản phẩm có ô đánh giá để khách hàng có thể xemphản hồi của những người khác Việc chưa lọc kỹ đầu vàocủa khung này dẫn đến các lỗi như XSS, SQLInjection

Cần ngăn chặn các hành vi tác động đến cơ sở dữ liệu củanhững người không có thẩm quyền

Tình

huống đe

Tài sản Cơ sở dữ liệu

Người tiến hành Hacker

Phương tiện/Truy Sử dụng tấn công XSS và SQL Injection để

11

Mức điểm Danh

tiếng/ Uy tín

2

Trungbình(2)

Loại trừ hay chấp

Phương pháp loại bỏ

Nhân viên kỹ thuật

- Thêm các bộ lọc giá trị đầu vào khinhập đánh giá sản phẩm

- Tránh truy vấn trực tiếp đến cơ sở dữliệu, sử dụng thủ tục để thay thế

Mối quan tâm

Thời tiết nóng đỉnh điểm khiến cho việc tiêu thụ điệnnăng quá tải Trung tâm dữ liệu bị cắt điện khiến chowebsite hoạt động không như bình thường Cần phải cóthêm 1 server để duy trì hoạt động

Tình

huống

đe dọa

Tài sản Trung tâm cơ sở dữ liệu

Người tiến hành Thời tiết, môi trường

Phương tiện/Truy

nhập

Số lượng thiết bị sử dụng điện tăng lên nhanhchóng trong giờ cao điểm do thời tiết nóngdẫn đến mất điện

Động cơ Kết quả Gián đoạn công việc

Cơ sở dữ liệu không sẵn sàng

dẫn đến việc sụt giảm doanh

thu, và website không thể hoạt

động

Lĩnh vực Phân

loại

Giá trị tác động

Mức điểm

Danh tiếng/ Uy tín

Phương pháp loại bỏ

Nhân viên kỹ thuật

- Có khả năng duy trì 2 trung tâm cơ sở dữliệu cùng lúc

- Khả năng thay thế của database dự phòng

là 100%

13

Table 6 Tính sẵn dùng của hệ thống

2.5.4 Sử dụng mật khẩu yếu trong việc quản lý hệ thống

Mối quan tâm Tài khoản admin cơ sở dữ liệu sử dụng mật khẩu yếu

hoặc mặc định

Tình

huống

đe dọa

Tài sản Cơ sở dữ liệu

Người thực hiện Hacker Phương

tiện/truy nhập Dùng bruce force để tìm mật khẩuĐộng cơ Thâm nhập vào cơ sở dữ liệu

Kết quả Cở sở dữ liệu bị phá hoại

Việc account quản trị cơ sở

dữ liệu bị đánh cắp khiến

thông tin của khách hàng bị

chiếm, hoặc sửa đổi mất uy

tín của công ty

Lĩnh vực Phân loại Giá trị

tác động

Mức điểm Danh

tiếng/ Uy tín

Lựa chọn giảm thiểu

loại trừX

Loại trừ hay chấp

Phương pháp giảm thiểu:

Nhân viên quản trị cơ sở dữ

liệu

Yêu cầu các tài khoản quản trị csdl không được

sử dụng mặc định, password phải đủ mạnh

Table 7 Sử dụng mật khẩu yếu

2.5.5 Hệ thống bị tấn công tràn bộ đệm

Mối quan tâm Cơ sở dữ liệu bị tràn bộ đệm

Tình

huống đe

dọa

Tài sản Cơ sở dữ liệu

Người thực hiện Hacker Phương tiện/

Truy nhập Khai thác lỗi hệ thống để tấn công tràn bộ đệmĐộng cơ Làm gián đoạn công việc của công ty

Kết quả Hệ thống csdl không thể hoạt động trong một

khỏang thời gian

Cơ sở dữ liệu sẽ bị ngừng

hoạt động, làm cho hệ thống

web cũng ảnh hưởng theo

Lĩnh vực Phân loại Giá trị

tác động

Mức điểm Danh

tiếng/ Uy tín

Lựa chọn giảm thiểu

loại trừX

Loại trừ hay chấp

Phương pháp giảm thiểu:

Nhân viên quản trị cơ sở dữ

15

Table 8 Hệ thống bị tấn công chàn bộ đệm

2.5.6 Dữ liệu nhạy cảm bị đánh cắp

Mối quan tâm Các dữ liệu nhạy cảm của khách hàng không được mã hóa

Tình

huống đe

dọa

Tài sản Dữ liệu nhạy cảm

Người thực hiện Hacker, Người quản trị Phương

tiện/truy nhập Có thể đọc và lấy dữ liệu nhạy cảm dễ dàngĐộng cơ Đánh cắp thông tin khách hàng

Kết quả Thông tin nhạy cảm bị lộ

Thông tin của khách hàng sẽ

bị lộ cho người quản trị cơ sở

tiếng/ Uy tín

Hacker khi chiếm được cơ sở

dữ liệu sẽ có quyền kiểm soát

tài khoản của khách hàng

Luật

Lựa chọn giảm thiểu:

loại trừX

Loại trừ hay chấp

Phương pháp giảm thiểu:

cơ sở dữ liệu

Table 9 Dữ liệu nhạy cảm bị đánh cắp

2.5.7 Dữ liệu thanh toán bị thay đổi

Thông tin tài sản Cơ sở dữ liệu, các tài nguyên hệ thống

Mối quan tâm

Dữ liệu thanh toán của khách hàng bị thay đổi khi cánhân không được phép truy cập vào hệ thống PBMS

(Một lỗ hổng trong hệ điều hành Windows 2003 Serverđược sử dụng để đạt được quyền truy cập quản trị vào

hệ thống PBMS.)

Tình

huống đe

dọa

Tài sản Dữ liệu thanh toán

Người thực hiện Hacker, khách hàng Phương

tiện/Truy nhập

Lỗ hổng trong hệ điều hành Windows 2003Server

Động cơ Muốn thực hiện chiếm đoạt tài khoản khách

hàng, gây tổn hại về danh thu cho Web điện tử

Kết quả Dữ liệu thanh toán bị thay đổi

Ảnh hưởng lớn đến lợi ích bán

hàng của Web điện tử cũng như

thông tin cá nhân cơ bản của

người dùng có thể bị lộ

Lĩnh vực Tác

động

Giá trị tác động Mức điểm Danh

tiếng/ Uy tín

17