Đánh giá lựa chọn công nghệ xây dựng công cụ dò quét

CHƯƠNG 2: GIẢI PHÁP DÒ QUÉT LỖ HỖNG BẢO MẬT

2.5. Đánh giá lựa chọn công nghệ xây dựng công cụ dò quét

Trong phạm vi của luận văn, chúng tôi tập trung xây dựng công cụ dò quét lỗ hổng bảo mật với các tính năng quan trọng như dò quét những lỗ hổng trong hệ thống đích của một tổ chức (Có thể là máy chủ, hệ thống mạng, …). Do khuôn khổ thời gian và nguồn lực còn hạn chế, cách tiếp cận chính của chúng tôi là sẽ xây dựng chức năng này dựa trên kế thừa một số giải pháp mã nguồn mở. Trong phần này, chúng tôi sẽ trình bày sơ lược một số giải pháp mã mở để phân tích và lựa chọn giải pháp tích hợp.

2.5.1. OpenVAS

a. Giới thiệu tính năng OpenVAS

OpenVAS là một trình quét lỗ hổng mã nguồn mở được đề xuất bởi Renaud Dera vào năm 1998, với hầu hết các thành phần được cấp phép dưới GNU General Public License (GNU GPL) [8]. Các khả năng của nó bao gồm kiểm tra tấn công không cần xác thực, kiểm tra xác thực, các giao thức công nghiệp và Internet mức cao và mức thấp khác nhau, điều chỉnh hiệu suất để quét ở quy mô các hệ thống lớn (từ hệ điều hành, phần mềm và ngôn ngữ lập trình) để thực hiện kiểm tra mọi lỗ hổng.

Chương trình quét được kèm theo một tập dữ liệu kiểm tra lỗ hổng lớn và cập nhật hàng ngày. Nguồn cấp dữ liệu cộng đồng Greenbone này bao gồm hơn 70.000 bộ kiểm tra lỗ hổng.

Greenbone phát triển OpenVAS như một phần của dòng sản phẩm quản lý lỗ hổng thương mại "Greenbone Security Manager" (GSM). Kết hợp với các mô-đun nguồn mở bổ sung, nó tạo thành một giải pháp Quản lý lỗ hổng Greenbone. Dựa trên điều này, bộ GSM sử dụng được nhiều nguồn cung cấp dữ liệu lỗ hổng rộng hơn, cho phép người sử dụng có thể tích hợp được với nhiều hệ thống dò quét lỗ hổng bảo mật khác để đáp ứng nhu cầu của doanh nghiệp.

b. Kiến trúc hệ thống OpenVAS

Kiến trúc của OpenVAS được minh họa như hình dưới, trong đó hệ thống có thể chia làm 2 phần:

- Phần thứ nhất là các công cụ và dịch vụ cập nhật các bài kiểm tra lỗ hổng vào CSDL của OpenVAS.

- Phần thứ hai là dịch vụ quét, phần này lại được chia làm 2 phần. Phần thứ nhất là server (OpenVAS Server), chịu trách nhiệm thực hiện các thao tác dò quét hệ thống. Phần thứ 2 là OpenVAS client được triển khai trên nền web và có thể thực

hiện qua các giao thức trực tiếp với OpenVAS server. Giao diện có nhiệm vụ tương tác với người dùng để điều khiển OpenVAS server.

Hình 2.8- Kiến trúc của OpenVAS c. Một số thành phần của OpenVAS

Chi tiết hơn nữa, OpenVAS có các thành phần chính như sau: Greenbone Greenbone Security Assistant (GSA), Greenbone Vulnerability Manager (GVMd), OpenVAS Scanner.

GVMd: Đóng vai trò hợp nhất các công cụ dò quét, cung cấp giao thức chung Open Scanner Protocol (OSP) để hợp nhất, tích hợp các máy dò quét khác.

Greenbone Security Assistant (GSA): Cung cấp giao diện web và các tính năng dùng cho dò quét lỗ hổng.

OpenVAS Scanner: Thực thi các mẫu thử NVT để xác định các lỗ hổng bảo một của một hệ thống.

2.5.2. Metasploit Framework

Metasploit Framework là một dự án mã nguồn mở về lĩnh vực bảo mật thông tin, được phát triển bởi hãng bảo mật Rapid7 dành cho nhà phát triển để thực thể các đoạn mã khai thác lỗ hổng bảo mật của các hệ thống công nghệ thông tin. Nó có thể chạy được trên các hệ điều hành: Windows, Linux, MacOS.

Các tính năng chính:

- Xác định các dịch vụ đang hoạt động trên máy chủ thông qua cơ chế dò quyét cổng.

Chương 2: Giải pháp phân tích, đánh giá rủi ro an toàn thông tin

- Xác định lỗ hổng dựa trên phương thức dò quét, xác định các phiên bản của phần mềm, hoặc hệ điều hành của máy chủ.

- Kiểm thử đánh giá, khai thác các lỗ hổng đã được xác định.

Các thành phần chính:

Hỗ trợ đa dạng các loại giao diện cho người sử dụng, trong đó:

- Giao diện console: Dùng msfconsole.bat để sử dụng các dòng lệnh phục vụ cấu hình, kiểm tra nên nhanh hơn và mềm dẻo hơn.

- Giao diện Web: Cung cấp giao diện môi trường web cho người dùng dễ thao tác.

Hình 2.9- Minh hoạ kết quả dò quét sử dụng Metaspoit Nexpose

Metasploit cung cấp các payload tương ứng với các lỗ hổng và kiểm thử khả năng khai thác lỗ hổng. Đảm bảo xác minh khả năng khai thác và xâm nhập lỗ hổng này.

Bộ thư viện của Metasploit Framework bao gồm các phương thức tấn công mới nhất, cơ sở dữ liệu hơn 1300 exploit và hơn 2000 modules được trang bị các kỹ thuật, cơ chế tạo các payload nâng cao giống phương thức các hacker thực hiện nhằm mục đích vượt qua các giải pháp an ninh mạng như hệ thống antivirus, anti-malware, IDS, IPS, … nhằm đánh giá, kiểm thử được chính xác nhất mức độ phòng thủ của hệ thống và mức độ ảnh hưởng tối đa mà các hacker có thể thực hiện.

2.5.3. Nessus

Giải pháp Nessus được xem như một trong các giải pháp thương mại hàng đầu về đánh giá, dò quét lỗ hổng bảo mật hệ thống. Bên cạnh đó, Nessus vẫn duy trì cung cấp phiên bản miễn phí với các tính năng bị hạn chế.

Nessus là một trong số những giải pháp được đánh giá hàng đầu về dò quét, đánh giá lỗ hổng và thực hiện kiểm thử hệ thống.

Dưới đây là một số phiên bản Nessus đang cung cấp với nhiều lựa chọn khác nhau dành cho doanh nghiệp:

Tenable.io: Cung cấp giải pháp dưới dạng cloud, có nghĩa là giải pháp cung cấp dùng chung các bộ dò quét, . Cho phép người dùng có thể tùy biến cách quản lý các lỗ hổng bảo mật.

Nessus Agents: Giải pháp có thể linh hoạt và chủ động trong cách dò quét lỗ hổng, không yêu cầu đăng nhập hoặc cung cấp tài khoản remote, cũng có thể thực hiện khi máy chủ đang offline.

Nessus Professional: Phiên bản được sử dụng một cách phổ biến của nhà cung cấp Tenable, với đầy đủ các tính năng trong dò quyét lỗ hổng. Có thể tùy biến cài đặt trên máy chủ hoặc máy tính cá nhân, linh hoạt tùy thuộc vào nhu cầu của người sử dụng. Có thể quét lỗ hổng ở nhiều môi trường khác nhau: Ứng dụng web, thiết bị di động, máy chủ cloud, mã độc…

Đến thời điểm hiện tại, thời gian đánh giá được cải thiện, hỗ trợ người dùng tối đa.

Trong đó, Nessus đã sử dụng hơn 100.000 plugin, 45.000 CVEs không ngừng được cập nhật và bổ sung mới.

Các Plugin với nhiều chức năng đa dạng:

- Dò quét phiên bản, thông tin hệ điều hành và các dịch vụ đang chạy trên đó.

- Dò quét lỗ hồng có nguy cơ gặp phải đối với các dịch vụ đang chạy.

- Xác định tính đáp ứng của hệ thống với các tiêu chuẩn bảo mật.

- Có thẻ tùy biến, xây dựng riêng các plugin theo từng chính xác, quy định của cơ quản tổ chức.

2.5.4. Lựa chọn giải pháp

Hiện tại Nessus đang được đánh giá là công cụ mạnh nhất, là một nhánh của Nessus nên OpenVAS luôn được đánh giá rất cao. Trong khi Nessus đang phát triển theo hướng cung cấp phần mềm thương mại, mặc dù có phiên bản cung cấp cho người dùng cá nhân, nhưng các tính năng bị hạn chế.

Đối với Metaspoit Framework có một số nhược điểm như: Khó tiếp cận đối với người mới bắt đầu. Quy mô đồ sộ về tài liệu đòi hỏi người sử dụng phải kiên trì để có thể sử dụng thành thào công cụ này. Để phát triển và khai thác các tính năng của framework đòi hỏi có kiến thức sâu rộng để có thể tùy biến các mô-đun khai thác, vì nhiều khi không có sẵn.

Lý do tiếp nữa là OpenVAS là mã nguồn mở nên hoàn toàn có khả năng tùy biến theo nhu cầu của dự án cần tích hợp các module khác nữa vào hệ thống. Việc lựa chọn các giải

Chương 2: Giải pháp phân tích, đánh giá rủi ro an toàn thông tin

pháp mã nguồn đóng sẽ làm cho khả năng tích hợp các chức năng mới, module mới là rất khó khả thi.

Lý do tiếp theo là mức độ cập nhật của dự án rất là cao, theo đánh giá của tổ chức an toàn https://linuxsecurity.expert/tools/openvas/ thì OpenVAS có độ cập nhật là 97% xấp xỉ mức cao nhất là 100%, đảm bảo mọi lỗ hổng bảo mật sẽ được cập nhật.

Một lý do nữa là giấy phép phát triển của OpenVAS là theo GPL nên hoàn toàn hợp lệ để có thể tuỳ biến, tích hợp trong phần mềm vScanner. Trong phạm vi luân văn, chúng tôi sử dụng công cụ Openvas được tích hợp trong vScanner đảm nhiệm chức năng của HostScanner.