Luận án tiến sĩ về an ninh và ràng buộc thời gian thực thi cho ứng dụng web - Hà Nội 2024

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ NGUYÊN HẠNH PHÚC MỘT SỐ PHƯƠNG PHÁP ĐẢM BẢO AN NINH VÀ RÀNG BUỘC THỜI GIAN THUC THI CHO CAC UNG DUNG WEB LUAN AN TIEN SI KY THUAT PHAN MEM Ha Noi - 2024 ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ NGUYÊN HẠNH PHÚC MỘT SỐ PHƯƠNG PHÁP ĐẢM BẢO AN NINH VÀ RÀNG BUỘC THỜI GIAN THỰC THI CHO CÁC ỨNG DỤNG WEB Chuyên ngành: Kỹ thuật phần mềm Mã số: 9480103.01 LUẬN ÁN TIEN SĨ KY THUẬT PHAN MEM NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS. Truong Ninh Thuận Hà Nội - 2024 Lời cam đoan Tôi xin cam đoan luận án “Một số phương pháp đảm bảo an ninh và ràng buộc thời gian thực thi cho các ứng dụng Web” là công trình nghiên cứu của riêng tôi. Các số liệu, kết quả được trình bày trong luận án là hoàn toàn trung thực và chưa từng được công bố trong bất kỳ một công trình nào khác. m Tồi đã trích dẫn đầy đủ các tài liệu tham khảo, công trình nghiên cứu liên quan ở trong nước và quốc tế.

Ngoại trừ các tài liệu tham khảo này, luận An hoàn toàn là công việc của riêng tôi. m Trong các công trình khoa học được công bố trong luận án, tôi đã thể hiện rõ ràng và chính xác đóng góp của các đồng tác giả và những gì do tôi đã đóng góp. Tác giả: Hà Nội: Lời cảm ơn Trước hết, tôi muốn bay tỏ sự biết ơn đến PGS. Trương Ninh Thuận, cán bộ hướng dẫn, người đã trực tiếp giảng dạy và định hướng tôi trong suốt thời gian thực hiện luận án này.

Thầy đã hướng dẫn cho tôi nhiều kiến thức trong học thuật và nghiên cứu. Một vĩnh dự lớn cho tôi khi được hoc tập, nghiên cứu dưới sự hướng dẫn của Thầy. Tôi xin bày tỏ sự biết ơn sâu sắc đến các Thay, Cô trong Bộ môn Công nghệ phần mềm vi sự tận tâm, giúp đỡ của các Thay, Cô va các đóng góp rất hữu ich cho luận án. Tôi xin trân trọng cảm ơn Khoa Công nghệ thông tin, Phòng Đào tạo và Ban Giám hiệu Trường Dai học Công nghệ, Dai học Quốc Gia Hà Nội đã tạo điều kiện thuận lợi cho tôi trong suốt quá trình học tập và nghiên cứu tại Trường.

Toi cũng bày tỏ sự biết ơn đến Ban Giám hiệu, các Phong, Ban liên quan trong Trường Dại học Hàng Hải Việt Nam đã tạo điều kiện về thời gian và tài chính cho tôi thực hiện luận án này. Tôi muốn cẩm ơn đến các đồng nghiệp trong Khoa Công nghệ Thông tin, Trường Đại học Hàng hải Việt Nam đã giúp đỡ, động viên và sát cánh bên tôi trong suốt quá trình nghiên cứu. Tôi muốn cảm ơn đến tất cả những người bạn của tôi, các anh/chị/em nghiên cứu sinh - những người luôn chia sẻ, động viên tôi bất cứ khi nào tôi cần và tôi luôn ghi nhớ những điều đó. Cuối cùng, tôi xin bày tỏ lòng biết ơn vô hạn đối với cha, mẹ, vợ, con đã luôn ủng hộ và yêu thương tôi vô điều kiện.

Nếu không có sự ủng hộ của gia đình tôi không thể hoàn thành được luận án này. Nguyễn Hạnh Phúc il Tóm tắt Các hệ thống phần mềm trên nền web dang pho biến rộng rãi trong nhiều lĩnh vực và mang lại nhiều lợi ích cho con người. Mặc dù có nhiều lợi ích như khả năng truy cập từ xa, khả năng tương thích đa nền tảng, phát triển nhanh, v. Tuy nhiên, các phần mềm trên nền Web luôn tiềm ẩn các nguy cơ bị tấn công an ninh và khai thác tài nguyên trái phép bao gồm cả các hệ thống xây dựng trên các mô hình truyền thống như MVC, MVVC, v.

cũng như các hệ thống xây dựng theo các mô hình hướng sự kiện như EDA. Các cuộc tấn công như DoS, DDOS, XSS và nhiều loại tấn công khác thường xuyên xảy ra trên các hệ thống web, mục đích của các cuộc tấn công này là ăn cắp thông tin cá nhân của người dùng, chiếm quyền kiểm soát máy tính của người dùng. Ngoài ra các vi phạm về thời gian trong các hệ thống web hướng sự kiện cũng gây nên các hậu quả về an ninh nghiệm trọng. Để đảm bảo an toàn cho các hệ thống phần mềm trên nền web, cần phát hiện sớm các nguy cơ tấn công, các vi phạm về thời gian trong hệ thống trước khi hệ thống đi vào hoạt động.

Việc phát hiện các vấn đề này càng muộn thì chi phí sửa chữa hệ thống càng lớn và hậu quả càng phức tạp. Do đó, cộng đồng phát triển phần mềm luôn quan tâm đến việc kiểm chứng, kiểm thử ứng dụng để đảm bảo các vi phạm về an ninh của hệ thống phần mềm được phát hiện sớm. Điều này giúp tối ưu hóa hiệu quả kinh tế và nâng cao chất lượng của phần mềm. Các đóng góp chính của luận án bao gồm: Thứ nhất, luận án đề xuất phương pháp phân tích nhật ký truy cập của một hệ thống web nhằm phát hiện các dấu hiệu bất thường của người dùng, giúp phát hiện sớm các cuộc tấn công từ chối dịch vụ theo thời gian thực.

Cuộc tấn công từ chối dịch vụ (DoS, DDoS) là một trong những dạng tan công phổ biến nhất trên mạng, khi các yêu cầu không cần thiết được gửi hàng ngàn hoặc hàng triệu lần, gây quá tải máy và các tài nguyên hỗ trợ của hệ thống, gây hậu quả nguy hại nặng nề cho hệ thống. Phương pháp này tập trung vào việc phát hiện các dấu hiệu bất thường của người dùng, nhằm giúp phát hiện sớm các cuộc tấn công DDoS. Cụ thể, nó phát hiện và cảnh báo các địa chi IP có số lượng truy cập vào hệ thống cao trong khung xử lý thời gian thực. Ngoài ra, phương pháp này cũng đã được triển khai trong hệ thống web của Shopbase bằng công nghệ Apache Spark và Kubernetes, đồng thời được giới thiệu hiệu quả tích cực trong 11 thực tế.

Thứ hai, luận án đề xuất một phương pháp kiểm thử phát hiện xâm nhập XSS cho ứng dụng web. Phương pháp được giới thiệu đề xuất một khung kiểm thử tự động cho các ứng dung web bằng Java, tích hợp với Selenium và TestNG, cung cấp các tính năng để thực hiện kiểm thử tự động. Đồng thời, đề xuất một phương pháp sử dung Q-learning để tự động tạo ra các đường dẫn kiểm thử cho kiểm thử thâm nhập trên các ứng dụng web. Các đường dẫn kiểm thử được tạo ra nhanh chóng bằng cách cải thiện ma trận phần thưởng để nhanh chóng theo đõi trạng thái tiếp theo, tiết kiệm thời gian tạo đường dẫn thử nghiệm.

Ngoài ra, một công cu cũng được phát triển dé tạo ra các đường dẫn thử nghiệm có khả năng chứa các cuộc tấn công XSS trên các ứng dung web và công cụ để thực hiện kiểm thử tự động theo khung làm việc đã đề xuất. Cuối cùng, luận án đề xuất một phương pháp kiểm chứng tiến trình thực thi của các sự kiện trong kiến trúc hướng sự kiện (EDA). Phương pháp được giới thiệu là một cách tiếp cận để kiểm chứng sự xuất hiện của các sự kiện trong một kiến trúc hướng sự kiện trong thời gian thực thi. Các thuật toán của phương pháp sẽ kiểm chứng mối quan hệ giữa các sự kiện và đảm bảo rằng chúng đáp ứng các đặc tả.

Nghiên cứu đã 4p dụng phương pháp này vào ứng dụng EDA thực tế và chứng minh tính hiệu quả của nó. Kết quả cho thấy phương pháp này có thể phát hiện các vi phạm về thời gian của sự kiện và cải thiện độ tin cậy và khả năng dự đoán của các hệ thống EDA. Đây là một phương pháp tiên tiến và hiệu quả để giải quyết vấn đề khó khăn trong kiểm chứng các hệ thống EDA thời gian thực. Từ khóa: Kiểm chứng, Kiểm thử, XSS, DDoS, Q-learning, EDA.

1V Mục lục Lời cam đoan. ec cece ee on HH ee eee teen tenes i Lời cảm Ơn. eee eee eee eee cette eee eee eee ii TOM tat.ằ-ÔÔÔÔÔÔÔÔÔÔÔÔÔÔ- ili Mu UC. cc cc cc cee eee eee ee ee ee ee ee ee ee ee eee eens iv Danh mục các từ viết tắt.

{c2 viii Danh mục các bang và hình vẽ.-- viii Danh mục các thuật toán. ee eens ix Danh mục các đặc ta. eee eee eee eee eee eee e eens x Chương 1.cc cece ence ence eens eeenebenevnens 1 1. Nội dung nghiên cỨu.

Dong góp của luận ấn. Cấu trúc luận An. see cece cece cere e ene nh nh vn va 6 Chương 2. KIÊN THỨC CƠ SỞ.

Các ứng dụng trên nền web. Một số loại tan công mang pho biến. Tan công XSS. teen nen ene teen ees 12 2.

Tan công DoS va DDoS. Một số kiến trúc và công nghệ phát triển phần mềm trên nền web. Kiến trúc hướng sự kiện. ng cece nent xo 20 2.QQQQ n tent nh ng va 20 2.

HH HH HH ng HH hà xo 21 2. Một số kỹ thuật và phương pháp đảm bảo chất lượng phần mềm trên nền „2. Kiểm thử phần mềm. Kiểm chứng phần mềm.

Phương pháp học tăng cường. Tổng kết chương. KY THUAT PHONG CHONG TAN CÔNG TU CHOI DICH VU THEO THỜI GIAN THỰC. eee nee e deen beeen eens 33 3.

Các nghiên cứu liên quan. cece eee eens 35 3. Phong chống tan công từ chối dịch vụ. Phòng chống tan công từ chối dịch vụ phân tấn.

ng HH nh nh kh va 50 3. Môi trường triển khai. Kết quả thực nghiệm. Tổng kết chương.

KIEM THU PHÁT HIỆN XÂM NHẬP XSS CHO UNG DUNG WEB. Q0 HQ nett eee HH HH ha 57 Al. Các nghiên cứu liên quan. Phương pháp kiểm thử tự động.

Sinh đường dẫn kiểm thử. Sinh ca kiểm tht. Tiến hành kiểm thử. Xây dựng công cụ kiểm thử tự động.

Tổng kết chương. KIEM CHUNG RÀNG BUỘC THỜI GIAN CUA CÁC SỰ KIỆN TRONG THỜI GIAN THUC THI. cnn ng ng ng nent een eens 78 5. Các nghiên cứu liên quan.

ccc nee eens 80 5. Phương pháp đề xuất. Một số định nghĩa. Tổng quan phương pháp đề xuất.

Các thuật toán kiểm chứng. Sự kiện evt; xảy ra trước sự kiện e0f/. Sự kiện Fy gặp sự kiện F2. Sự kiện FE, gối chồng lên kiện #2.

Sự kiện E, bắt đầu sự kiện 2. Sự kiện evt; trong khoảng thời gian e0f;. Sự kiện evt; kết thúc sự kiện. Sự kiện evt; tương đương với sự kiện euí;.

ThỰC Ng]ỆM. c2 S2 ng HE HH kg ki vxa 102 5. Giới thiệu hệ thống. Thiết kế hệ thống.

a4 een teen tenet nent eeneeas 107 5. Tổng kết chương. nh es 110 Chương 6. KẾT LUẬN VÀ HƯỚNG PHÁT TRIEN.

eee cece tence n HH nh vn vn xa 111 6. Hướng phát triỂn.----- 2222212222 v2 113 Danh mục các công trình khoa học.- 115 Tai liệu tham khảo.