OWASP Top 10 (Top 10 lỗ hổng OWASP) l&agrave; danh s&aacute;ch 10 rủi ro bảo mật ứng dụng web phổ biến nhất. Bằng c&aacute;ch viết chương tr&igrave;nh v&agrave; thực hiện kiểm thử những lỗ hổng n&agrave;y, nh&agrave; ph&aacute;t triển c&oacute; thể tạo ra c&aacute;c ứng dụng an to&agrave;n gi&uacute;p bảo vệ dữ liệu ri&ecirc;ng tư của người d&ugrave;ng khỏi c&aacute;c cuộc tấn c&ocirc;ng bảo mật.
<h2 style="text-align: justify;">OWASP l&agrave; g&igrave;?</h2>
OWASP (Open Web Application Security Project) l&agrave; một tổ chức phi lợi nhuận chuy&ecirc;n về bảo mật phần mềm. C&aacute;c dự &aacute;n li&ecirc;n quan đến nhiều chương tr&igrave;nh ph&aacute;t triển phần mềm v&agrave; bộ c&ocirc;ng cụ code mở, c&aacute;c chi nh&aacute;nh địa phương v&agrave; hội nghị, ... Một trong số dự &aacute;n đ&oacute; l&agrave; OWASP Top 10, đ&acirc;y l&agrave; danh s&aacute;ch 10 rủi ro bảo mật h&agrave;ng đầu đối với ứng dụng web.
<h2 style="text-align: justify;">Tu&acirc;n thủ OWASP để đảm bảo code an to&agrave;n</h2>
OWASP Top 10 l&agrave; nguồn tham khảo đ&aacute;ng tin khi bạn đang cần ph&aacute;t triển code an to&agrave;n. Trong b&aacute;o c&aacute;o State of Software Security Volume 11,&nbsp; kết quả qu&eacute;t 130.000 ứng dụng đ&atilde; ph&aacute;t hiện được gần 68% ứng dụng c&oacute; lỗi bảo mật thuộc danh s&aacute;ch 10 lỗ hổng OWASP.
<img style="width: 600px; display: block; margin-left: auto; margin-right: auto;" src="https://tek4.vn/public_files/f626e28c-a9f7-4fda-a2ec-de71c2b59238" alt="percent-of-apps-with-various-flaw-types-source&ndash;soss-v11" />
OWASP Top 10 kh&ocirc;ng chỉ l&agrave; một danh s&aacute;ch lỗ hổng m&agrave; c&ograve;n đ&aacute;nh gi&aacute; mỗi lớp lỗ hổng bằng phương ph&aacute;p OWASP Risk Rating (Đ&aacute;nh gi&aacute; Rủi ro OWASP) v&agrave; cung cấp hướng dẫn, chẳng hạn như những thực h&agrave;nh tốt nhất gi&uacute;p ngăn chặn c&aacute;c cuộc tấn c&ocirc;ng bảo mật v&agrave; t&agrave;i liệu tham khảo cho mỗi lỗ hổng. Bằng c&aacute;ch t&igrave;m hiểu c&aacute;c rủi ro bảo mật thuộc danh s&aacute;ch n&agrave;y v&agrave; học c&aacute;ch xử l&yacute; ch&uacute;ng, c&aacute;c nh&agrave; ph&aacute;t triển ứng dụng c&oacute; thể tạo ra c&aacute;c ứng dụng an to&agrave;n hơn gi&uacute;p bảo vệ người d&ugrave;ng khỏi c&aacute;c cuộc tấn c&ocirc;ng độc hại.
<h2 style="text-align: justify;">Hướng dẫn kiểm thử 10 lỗ hổng OWASP</h2>
Kiểm thử c&aacute;c lỗ hổng OWASP l&agrave; một bước quan trọng trong ph&aacute;t triển ứng dụng an to&agrave;n. Nếu nh&igrave;n v&agrave;o số lượng lỗ hổng v&agrave; c&aacute;c biện ph&aacute;p khắc phục, bạn c&oacute; thể cảm thấy hơi cho&aacute;ng ngợp, tuy nhi&ecirc;n, bạn c&oacute; thể dễ d&agrave;ng quản l&yacute; ch&uacute;ng bằng c&aacute;ch tu&acirc;n thủ một số bước đơn giản sau:
<ul style="text-align: justify;">
<li style="font-weight: 400;" aria-level="1">T&iacute;ch hợp bước bảo mật v&agrave;o quy tr&igrave;nh ph&aacute;t triển thay v&igrave; để n&oacute; th&agrave;nh bước sau c&ugrave;ng.</li>
<li style="font-weight: 400;" aria-level="1">Li&ecirc;n tục kiểm thử chương tr&igrave;nh dựa tr&ecirc;n c&aacute;c ti&ecirc;u chuẩn bảo mật trong suốt qu&aacute; tr&igrave;nh ph&aacute;t triển</li>
<li style="font-weight: 400;" aria-level="1">Sử dụng t&iacute;ch hợp IDE v&agrave; CI Pipeline để tự động h&oacute;a kiểm thử</li>
<li style="font-weight: 400;" aria-level="1">X&aacute;c định c&aacute;c lỗ hổng đ&atilde; được nhận diện trong code của b&ecirc;n thứ ba để đảm bảo chương tr&igrave;nh kh&ocirc;ng phụ thuộc v&agrave;o c&aacute;c phụ thuộc kh&ocirc;ng an to&agrave;n.</li>
</ul>
<h2 style="text-align: justify;">Top 10 lỗ hổng OWASP</h2>
Ch&uacute;ng ta sẽ ph&acirc;n t&iacute;ch c&aacute;c lỗ hổng dựa tr&ecirc;n mức độ rủi ro, c&aacute;ch kiểm thử v&agrave; biện ph&aacute;p xử l&yacute;.&nbsp;
<h3 style="text-align: justify;">1. Injection</h3>
Injection (Ch&egrave;n m&atilde; độc) xảy ra khi tin tặc lợi dụng lỗ hổng trong code kh&ocirc;ng an to&agrave;n để ch&egrave;n code của họ v&agrave;o chương tr&igrave;nh. Bởi v&igrave; chương tr&igrave;nh kh&ocirc;ng thể ph&acirc;n biệt được code được ch&egrave;n theo c&aacute;ch n&agrave;y v&agrave; code của ch&iacute;nh n&oacute;, hacker c&oacute; thể sử dụng c&aacute;c cuộc tấn c&ocirc;ng injection để truy cập v&agrave;o c&aacute;c lĩnh vực bảo mật v&agrave; th&ocirc;ng tin nhạy cảm giống như người d&ugrave;ng được tin tưởng. V&iacute; dụ: ch&egrave;n SQL, ch&egrave;n lệnh, ch&egrave;n CRLF v&agrave; ch&egrave;n LDAP.&nbsp;
Kiểm thử bảo mật ứng dụng c&oacute; thể ph&aacute;t hiện lỗ hổng injection v&agrave; đề xuất c&aacute;c kỹ thuật khắc phục như loại bỏ c&aacute;c k&yacute; tự đặc biệt từ đầu v&agrave;o của người d&ugrave;ng hoặc viết c&aacute;c truy vấn SQL c&oacute; tham số.
<h3 style="text-align: justify;">2. Lỗi x&aacute;c thực</h3>
C&aacute;c cuộc gọi quản l&yacute; x&aacute;c thực v&agrave; quản l&yacute; phi&ecirc;n được triển khai kh&ocirc;ng đ&uacute;ng c&aacute;ch c&oacute; thể g&acirc;y ra rủi ro bảo mật lớn. Nếu kẻ tấn c&ocirc;ng ph&aacute;t hiện ra c&aacute;c lỗ hổng n&agrave;y, họ c&oacute; thể dễ d&agrave;ng giả mạo danh t&iacute;nh của người d&ugrave;ng hợp ph&aacute;p.
X&aacute;c thực đa yếu tố l&agrave; một trong những biện ph&aacute;p gi&uacute;p giảm thiểu c&aacute;c vấn đề li&ecirc;n quan đến lỗi x&aacute;c thực. Triển khai qu&eacute;t DAST v&agrave; SCA để ph&aacute;t hiện v&agrave; loại bỏ c&aacute;c vấn đề về lỗi triển khai trước khi code được triển khai.
<h3 style="text-align: justify;">3. L&agrave;m lộ th&ocirc;ng tin nhạy cảm</h3>
API cho ph&eacute;p c&aacute;c nh&agrave; ph&aacute;t triển kết nối ứng dụng của m&igrave;nh với c&aacute;c dịch vụ b&ecirc;n thứ ba như Google Maps, điều đ&oacute; gi&uacute;p tiết kiệm thời gian. Tuy nhi&ecirc;n, một số API phụ thuộc v&agrave;o c&aacute;c phương thức truyền dữ liệu kh&ocirc;ng an to&agrave;n, m&agrave; qua đ&oacute; kẻ tấn c&ocirc;ng c&oacute; thể khai th&aacute;c để truy cập v&agrave;o t&ecirc;n người d&ugrave;ng, mật khẩu v&agrave; c&aacute;c th&ocirc;ng tin nhạy cảm kh&aacute;c.
M&atilde; h&oacute;a dữ liệu, m&atilde; h&oacute;a th&ocirc;ng tin, quản l&yacute; ch&igrave;a kh&oacute;a đ&uacute;ng c&aacute;ch v&agrave; v&ocirc; hiệu h&oacute;a bộ nhớ cache phản hồi c&oacute; thể gi&uacute;p giảm thiểu rủi ro tiết lộ th&ocirc;ng tin nhạy cảm.
<h3 style="text-align: justify;">4. XML External Entities (C&aacute;c thực thể b&ecirc;n ngo&agrave;i XML)</h3>
Xảy ra khi kẻ tấn c&ocirc;ng c&oacute; thể tải l&ecirc;n hoặc th&ecirc;m nội dung XML độc hại do code kh&ocirc;ng an to&agrave;n, t&iacute;ch hợp hoặc phụ thuộc. Qu&eacute;t SCA c&oacute; thể ph&aacute;t hiện rủi ro từ c&aacute;c th&agrave;nh phần b&ecirc;n thứ ba c&oacute; lỗ hổng đ&atilde; được nhận diện v&agrave; đưa ra cảnh b&aacute;o. Việc v&ocirc; hiệu h&oacute;a xử l&yacute; thực thể XML b&ecirc;n ngo&agrave;i cũng giảm thiểu khả năng bị tấn c&ocirc;ng bởi thực thể XML.
<h3 style="text-align: justify;">5. Lỗi kiểm so&aacute;t truy cập</h3>
Nếu việc x&aacute;c thực v&agrave; hạn chế truy cập kh&ocirc;ng được triển khai đ&uacute;ng c&aacute;ch, tin tặc c&oacute; thể dễ d&agrave;ng lấy được bất cứ thứ g&igrave; họ muốn. Khi c&oacute; lỗ hổng trong kiểm so&aacute;t truy cập, người d&ugrave;ng chưa x&aacute;c thực hoặc kh&ocirc;ng được ủy quyền c&oacute; thể truy cập v&agrave;o c&aacute;c file v&agrave; hệ thống nhạy cảm, hoặc thậm ch&iacute; l&agrave; c&aacute;c thiết lập đặc quyền người d&ugrave;ng.
Lỗi cấu h&igrave;nh v&agrave; biện ph&aacute;p kiểm so&aacute;t truy cập kh&ocirc;ng an to&agrave;n thường kh&oacute; ph&aacute;t hiện bởi c&aacute;c quy tr&igrave;nh tự động kh&ocirc;ng thể kiểm tra được. Kiểm thử x&acirc;m nhập c&oacute; thể ph&aacute;t hiện c&aacute;c vấn đề về x&aacute;c thực, nhưng phải sử dụng th&ecirc;m c&aacute;c phương ph&aacute;p kh&aacute;c để x&aacute;c định lỗi cấu h&igrave;nh. Kiểm so&aacute;t truy cập yếu v&agrave; c&aacute;c vấn đề về quản l&yacute; th&ocirc;ng tin đăng nhập c&oacute; thể được ngăn chặn bằng c&aacute;c phương ph&aacute;p lập tr&igrave;nh an to&agrave;n c&ugrave;ng với biện ph&aacute;p ph&ograve;ng ngừa như kh&oacute;a t&agrave;i khoản v&agrave; kiểm so&aacute;t quyền truy cập v&agrave; sử dụng x&aacute;c thực đa yếu tố.
<h3 style="text-align: justify;">6. Lỗi cấu h&igrave;nh bảo mật</h3>
Giống như lỗi kiểm so&aacute;t truy cập, lỗi cấu h&igrave;nh bảo mật chung cho ph&eacute;p tin tặc dễ d&agrave;ng truy cập v&agrave;o c&aacute;c dữ liệu nhạy cảm v&agrave; trang web.
Kiểm thử động c&oacute; thể gi&uacute;p bạn ph&aacute;t hiện c&aacute;c lỗi cấu h&igrave;nh bảo mật trong ứng dụng.
<h3 style="text-align: justify;">7. Cross-Site Scripting</h3>
Với cross-site scripting, tin tặc tận dụng c&aacute;c API v&agrave; thao t&aacute;c DOM để lấy dữ liệu từ ứng dụng hoặc gửi lệnh đến ứng dụng. Cross-site scripting mở rộng phạm vi tấn c&ocirc;ng cho tin tặc, cho ph&eacute;p họ chiếm đoạt t&agrave;i khoản người d&ugrave;ng, truy cập lịch sử tr&igrave;nh duyệt, truyền Trojans v&agrave; worm, kiểm so&aacute;t tr&igrave;nh duyệt từ xa v&agrave; nhiều hơn thế nữa.
C&aacute;c biện ph&aacute;p xử l&yacute; l&agrave; m&atilde; h&oacute;a dữ liệu v&agrave; x&aacute;c thực đầu v&agrave;o. L&agrave;m sạch dữ liệu bằng c&aacute;ch x&aacute;c thực nội dung cho trường đặc biệt đ&oacute; v&agrave; m&atilde; h&oacute;a "điểm cuối" như một lớp bảo vệ bổ sung.
<h3 style="text-align: justify;">8. Deserialization kh&ocirc;ng an to&agrave;n</h3>
Deserialization l&agrave; qu&aacute; tr&igrave;nh chuyển đổi dữ liệu v&agrave; đối tượng đ&atilde; được lưu trữ v&agrave;o trong đĩa hoặc lưu trữ ở nơi kh&aacute;c, c&oacute; thể được sử dụng để thực thi code từ xa tr&ecirc;n ứng dụng hoặc tạo điều kiện cho c&aacute;c cuộc tấn c&ocirc;ng. Đối tượng được serialize th&agrave;nh định dạng cấu tr&uacute;c hoặc văn bản nhị ph&acirc;n th&ocirc;ng qua c&aacute;c hệ thống serialization phổ biến như JSON v&agrave; XML. Lỗ hổng n&agrave;y xảy ra khi tin tặc sử dụng dữ liệu kh&ocirc;ng đ&aacute;ng tin cậy để tấn c&ocirc;ng v&agrave;o ứng dụng, thực hiện cuộc tấn c&ocirc;ng từ chối dịch vụ (DoS) hoặc thực thi code kh&ocirc;ng thể dự đo&aacute;n để thay đổi h&agrave;nh vi của ứng dụng.
Mặc d&ugrave; tấn c&ocirc;ng deserialization rất kh&oacute; khai th&aacute;c nhưng việc kiểm thử x&acirc;m nhập hoặc sử dụng c&aacute;c c&ocirc;ng cụ bảo mật ứng dụng c&oacute; thể gi&uacute;p giảm thiểu rủi ro. Ngo&agrave;i ra, ch&uacute;ng ta kh&ocirc;ng n&ecirc;n chấp nhận c&aacute;c đối tượng được serialize từ nguồn kh&ocirc;ng đ&aacute;ng tin cậy v&agrave; sử dụng c&aacute;c phương thức chỉ cho ph&eacute;p kiểu dữ liệu nguy&ecirc;n thủy.
<h3 style="text-align: justify;">9. Sử dụng c&aacute;c th&agrave;nh phần c&oacute; lỗ hổng đ&atilde; được nhận diện</h3>
D&ugrave; code c&oacute; độ bảo mật cao như thế n&agrave;o, tin tặc c&oacute; thể khai th&aacute;c API, phụ thuộc v&agrave; c&aacute;c th&agrave;nh phần b&ecirc;n thứ ba kh&aacute;c nếu ch&uacute;ng kh&ocirc;ng được bảo mật.
Ph&acirc;n t&iacute;ch tĩnh kết hợp với ph&acirc;n t&iacute;ch th&agrave;nh phần phần mềm c&oacute; thể gi&uacute;p x&aacute;c định v&agrave; loại bỏ c&aacute;c th&agrave;nh phần kh&ocirc;ng an to&agrave;n trong ứng dụng. C&ocirc;ng cụ ph&acirc;n t&iacute;ch code tĩnh của Veracode c&oacute; thể gi&uacute;p ph&aacute;t hiện c&aacute;c th&agrave;nh phần kh&ocirc;ng an to&agrave;n trong chương tr&igrave;nh trước khi xuất bản ứng dụng.
<h3 style="text-align: justify;">10. Ghi nhật k&yacute; v&agrave; gi&aacute;m s&aacute;t</h3>
Kh&ocirc;ng ghi th&ocirc;ng tin về lỗi hoặc c&aacute;c cuộc tấn c&ocirc;ng v&agrave; kh&ocirc;ng thực hiện gi&aacute;m s&aacute;t chặt chẽ c&oacute; thể dẫn đến c&aacute;c rủi ro bảo mật. Tin tặc c&oacute; thể lợi dụng lỗ hổng trong gi&aacute;m s&aacute;t v&agrave; khắc phục chậm trễ để thực hiện c&aacute;c cuộc tấn c&ocirc;ng trước khi bạn c&oacute; thời gian để ph&aacute;t hiện hoặc phản ứng.
Để ngăn chặn c&aacute;c vấn đề về ghi th&ocirc;ng tin lỗi v&agrave; gi&aacute;m s&aacute;t kh&ocirc;ng đầy đủ, h&atilde;y đảm bảo rằng tất cả c&aacute;c lỗi đăng nhập, lỗi kiểm so&aacute;t truy cập v&agrave; lỗi x&aacute;c thực đầu v&agrave;o ph&iacute;a m&aacute;y chủ được ghi lại theo ngữ cảnh để bạn c&oacute; thể x&aacute;c định hoạt động đ&aacute;ng ngờ. Kiểm thử x&acirc;m nhập c&oacute; thể gi&uacute;p x&aacute;c định c&aacute;c khu vực của ứng dụng chưa ghi b&aacute;o c&aacute;o đầy đủ. Ngo&agrave;i ra, việc &aacute;p dụng c&aacute;c biện ph&aacute;p gi&aacute;m s&aacute;t hiệu quả cũng rất quan trọng.
&nbsp;
N&ecirc;́u bạn th&acirc;́y bài vi&ecirc;́t hữu ích thì hãy ti&ecirc;́p tục theo dõi và ủng h&ocirc;̣ các bài vi&ecirc;́t ti&ecirc;́p theo của Tek4.vn nhé!

Bich Huong

Top 10 lỗ hổng OWASP

Cùng tác giả

Bich Huong

Có liên quan