TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX

1
TCVN T I Ê U C H U Ẩ N Q U Ố C G I A
TCVN XXXX:2021
Xuất bản lần 1
CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN -
HƯỚNG DẪN BẢO ĐẢM AN TOÀN MÁY CHỦ WEB
Information technology – Security techniques – Guidelines on Securing public web servers
HÀ NỘI – 2021

2
Mục lục
1. Phạm vi áp dụng .............................................................................................................................. 7
2. Tài liệu viện dẫn............................................................................................................................... 7
3. Thuật ngữ và định nghĩa ................................................................................................................. 8
4. Ký hiệu và thuật ngữ viết tắt..........................................................................................................11
5. Giới thiệu về tiêu chuẩn .................................................................................................................15
6. Nền tảng cơ bản..............................................................................................................................20
7. Hoạch định và quản lý máy chủ web.............................................................................................24
7.1. Lập kế hoạch cài đặt và triển khai ............................................................................................24
7.2. Nhân sự quản lý bảo đảm an toàn ...........................................................................................26
7.2.1. Giám đốc thông tin ............................................................................................................... 26
7.2.2. Cấp quản lý chương trình bảo đảm an toàn hệ thống thông tin............................................ 27
7.2.3. Nhân viên bảo đảm an toàn hệ thống thông tin .................................................................... 27
7.2.4. Quản trị viên mạng và máy chủ Web.................................................................................... 27
7.2.5. Nhà phát triển ứng dụng Web .............................................................................................. 27
7.3. Thực hành quản lý ...................................................................................................................28
7.4. Kế hoạch bảo mật hệ thống .....................................................................................................28
7.5. Yêu cầu về nhân lực ................................................................................................................28
7.6. Các nền tảng máy chủ web thay thế ........................................................................................28
7.6.1 Hệ điều hành tin cậy.............................................................................................................. 28
7.6.2. Thiết bị máy chủ Web........................................................................................................... 29
7.6.3. Hệ điều hành và máy chủ Web cấu hình sẵn ....................................................................... 31
7.6.4. Ảo hóa các nền tảng ............................................................................................................ 32
7.7. Danh sách việc cần làm khi lập kế hoạch và quản lý máy chủ Web ........................................33
8. Bảo đảm an toàn hệ điều hành máy chủ Web...............................................................................34
8.1. Cài đặt và thiết lập cấu hình hệ điều hành................................................................................35
8.1.1. Vá lỗi và cập nhật hệ điều hành ........................................................................................... 35
8.1.2. Gỡ bỏ hoặc vô hiệu hóa các dịch vụ và ứng dụng không cần thiết....................................... 35
8.1.3. Thiết lập cấu hình xác thực người dùng hệ điều hành.......................................................... 35
8.1.4 Thiết lập cấu hình kiểm soát tài nguyên phù hợp .................................................................. 35
8.1.5 Cài đặt và cấu hình bổ sung các kiểm soát bảo đảm an toàn................................................ 36
8.2. Kiểm tra bảo đảm an toàn hệ điều hành...................................................................................36
8.3. Danh sách việc cần làm để bảo mật hệ điều hành máy chủ Web.............................................36
9. Bảo đảm an toàn máy chủ Web .....................................................................................................38
9.1. Cài đặt an toàn máy chủ Web ..................................................................................................38

3
9.2. Thiết lập cấu hình kiểm soát truy cập .......................................................................................38
9.2.1. Thiết lập các quyền cho ứng dụng máy chủ Web................................................................. 39
9.2.2. Thiết lập bảo mật Thư mục nội dung Web............................................................................ 41
9.2.3. Chuỗi nhận dạng tài nguyên thống nhất và Cookie .............................................................. 43
9.2.4. Kiểm soát tác động của Web Bot trên máy chủ Web............................................................ 44
9.3. Danh sách việc cần làm trong bảo mật máy chủ Web..............................................................46
10. Bảo đảm an toàn nội dung web ...................................................................................................49
10.1. Xuất bản thông tin trên các trang Web công khai ...................................................................49
10.2. Tuân thủ các quy định về thu thập thông tin cá nhân..............................................................52
10.3. Giảm thiểu tấn công gián tiếp vào nội dung............................................................................53
10.3.1. Tấn công giả mạo............................................................................................................... 53
10.3.2. Tấn công điều hướng ..................................................................................................... 55
10.4. Bảo mật nội dung tích cực và các công nghệ tạo nội dung web. ............................................56
10.4.1. Các lỗ hổng với công nghệ Client – Side Active.............................................................. 57
10.4.2. Các lỗ hổng với công nghệ tạo nội dung phía máy chủ................................................... 60
10.4.3. Xem xét bảo đảm an toàn của trình tạo nội dung phía máy chủ...................................... 63
10.4.4. Vị trí của các trình tạo nội dung trên máy chủ..................................................................... 65
10.4.5. Các lỗ hổng XSS................................................................................................................ 66
10.5. Danh sách việc cần làm để bảo đảm an toàn nội dung Web ..................................................67
11. Sử dụng công nghệ xác thực và mã hóa ....................................................................................71
11.1. Xác định các yêu cầu xác thực và mã hóa .............................................................................71
11.2. Xác thực theo địa chỉ..............................................................................................................72
11.3. Xác thực cơ bản.....................................................................................................................72
11.4. Xác thực Digest......................................................................................................................72
11.5. SSL/TLS.................................................................................................................................73
11.5.1. Các tính năng của SSL/TLS ............................................................................................... 73
11.5.2. Mục yếu của SSL/TLS........................................................................................................ 74
11.5.3. Ví dụ phiên làm việc SSL/TLS............................................................................................ 76
11.5.4. Sơ đồ mã hóa SSL/TLS ..................................................................................................... 77
11.5.5. Triển khai SSL/TLS ............................................................................................................ 79
11.5.6. Triển khai SSL/TLS ............................................................................................................ 83
11.6. Tấn công dò mật khẩu............................................................................................................83
11.7. Danh sách việc cần làm khi áp dụng các công nghệ xác thực và mã hóa cho máy chủ Web 85
12. Triển khai an toàn hạ tầng mạng .................................................................................................86
12.1. Thành phần và cấu trúc mạng................................................................................................86

4
12.1.1. Sơ đồ bố trí mạng nên tránh.............................................................................................. 87
12.1.2. Vùng mạng trung lập .......................................................................................................... 87
12.1.3. Hosting thuê ngoài ............................................................................................................. 90
12.1.4. Mạng quản lý...................................................................................................................... 91
12.2. Cấu hình phần tử mạng..........................................................................................................91
12.2.1. Cấu hình bộ định tuyến/tường lửa...................................................................................... 91
12.2.2. Hệ thống phát hiện và ngăn chặn xâm nhập ...................................................................... 95
12.2.3. Mạng chuyển mạch ............................................................................................................ 97
12.2.4. Bộ cân bằng tải .................................................................................................................. 98
12.2.5. Reverse Proxy................................................................................................................... 98
12.3. Danh sách việc cần làm để triển khai hạ tầng mạng an toàn..................................................99
13. Quản trị máy chủ web.................................................................................................................101
13.1. Lưu nhật ký ..........................................................................................................................101
13.1.1. Xác định tính năng và yêu cầu lưu nhật ký....................................................................... 101
13.1.2. Xác định các yêu cầu lưu nhật ký bổ sung ....................................................................... 102
13.1.3. Đề xuất chung về cấu hình tính năng lưu nhật ký............................................................. 102
13.1.4. Xem và duy trì tệp nhật ký................................................................................................ 103
13.1.5. Các công cụ phân tích tệp nhật ký tự động ...................................................................... 103
13.2. Quy trình sao lưu máy chủ Web...........................................................................................103
13.2.1. Chính sách và chiến lược sao lưu máy chủ Web ............................................................. 103
13.2.2. Duy trì máy chủ Web thử nghiệm ..................................................................................... 104
13.2.3. Duy trì bản sao nội dung web hợp lệ của tổ chức............................................................. 104
13.3. Khôi phục khi bảo mật bị xâm phạm.....................................................................................105
13.4. Kiểm tra bảo đảm an toàn máy chủ......................................................................................105
13.4.1. Quét lỗ hổng..................................................................................................................... 105
13.4.2. Kiểm thử xâm nhập .......................................................................................................... 105
13.5. Quản trị máy chủ Web từ xa.................................................................................................105
13.6. Danh sách việc cần làm để quản trị máy chủ Web ...............................................................105
Phụ lục A...........................................................................................................................................108
Phụ lục B...........................................................................................................................................113
Phụ lục C...........................................................................................................................................116
Thư mục tài liệu tham khảo..............................................................................................................132

5
Lời nói đầu
TCVN XXXX:2021 được xây dựng trên cơ sở tham khảo “Guidelines on
Securing Public Web Servers” của Viện Tiêu chuẩn và Công nghệ Quốc gia
Hoa Kỳ (NIST), ấn bản đặt biệt SP 800-44 phiên bản 2.0, có điều chỉnh,
sửa đổi, bổ sung để phù hợp với điều kiện của Việt Nam.
TCVN XXXX:2021 do Cục An toàn thông tin biên soạn, Bộ Thông tin và
Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm
định, Bộ Khoa học và Công nghệ công bố.

7
Công nghệ thông tin - Các kỹ thuật an toàn - Hướng dẫn bảo đảm
an toàn máy chủ web
Information technology - Security techniques – Guidelines on Securing Public Web Server
1. Phạm vi áp dụng
Tiêu chuẩn này hướng dẫn các tổ chức thực hiện các vấn đề bảo đảm an toàn mật trong thiết kế, triển
khai và vận hành các máy chủ ứng dụng web, bao gồm các vấn đề về hạ tầng mạng liên quan.
Các tổ chức quan tâm đến việc nâng cao bảo đảm an toàn cho máy chủ chạy các ứng dụng web có thể
sử dụng tiêu chuẩn này để giảm bớt số lượng và tần suất các sự cố về bảo đảm an toàn web. Tiêu chuẩn
này trình bày các nguyên tắc cơ bản có thể áp dụng được trong mọi hệ thống.
Các hướng dẫn trong tiêu chuẩn này không đề cập tới các khía cạnh sau liên quan đến bảo đảm an toàn
máy chủ web:
 Bảo đảm an toàn cho các loại máy chủ mạng khác
 Tường lửa và bộ định tuyến dùng để bảo vệ máy chủ web
 Các vấn đề về bảo đảm an toàn liên quan đến phần mềm web trên máy khách (trình duyệt)1
 Các vấn đề đặc biệt về trang web lưu lượng lớn với nhiều máy host2
 Bảo đảm an toàn cho các máy chủ hỗ trợ cho máy chủ web, ví dụ như máy chủ cơ sở dữ liệu,
máy chủ tệp tin
 Các dịch vụ khác ngoài Giao thức truyền tin siêu văn bản (HTTP) và giao thức truyền tin siêu văn
bản an toàn (HTTPS)
 Dịch vụ Web kiểu SOAP
 Bảo vệ sở hữu trí tuệ
Tiêu chuẩn này cần áp dụng đồng thời với tiêu chuẩn TCVN XXXX:2021 Công nghệ thông tin – Kỹ thuật
an toàn- Hướng dẫn bảo đảm an toàn máy chủ trong Bộ tiêu chuẩn về bao đảm an toàn máy chủ.
2. Tài liệu viện dẫn
Các tài liệu viện dẫn sau đây là cần thiết để áp dụng tiêu chuẩn này. Đối với tài liệu viện dẫn ghi năm
công bố thì áp dụng phiên bản được nêu. Đối với tài liệu viện dẫn không ghi năm công bố thì áp dụng
phiên bản mới nhất (bao gồm cả phiên bản sửa đổi, bổ sung).
1
Tham khảo thông tin về bảo đảm an toàn trình duyệt web tại tài liệu của NIST ấn phẩm SP 800-46 phiên bản 2, Hướng dẫn bảo đảm an
toàn làm việc từ xa, truy cập từ xa và sử dụng thiết bị riêng BYOD (http://csrc.nist.gov/publications/nistpubs/).
2
Tham khảo hướng dẫn về bảo đảm an toàn dịch vụ Web tại tài liệu của NIST ấn phẩm SP 800-95 (http://csrc.nist.gov/publications/nistpubs/)
T I Ê U C H U Ẩ N Q U Ố C G I A TCVN XXXX:2021

8
NIST NSP 800-44 Ver 2.0, “Guidlines on Security Public Web Server- Hướng dẫn bảo đảm an toàn máy
chủ Web”, 9/10/2007.
3. Thuật ngữ và định nghĩa
Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa sau:
3.1
Giao thức phân giải địa chỉ (ARP - Address Resolution Protocol)
Giao thức được sử dụng để xác định địa chỉ vật lý của một nút mạng. Máy client gửi yêu cầu ARP lên
mạng có địa chỉ Giao thức Internet (IP) của máy đích muốn liên lạc, nút mạng trả lời địa chỉ đó bằng cách
gửi lại địa chỉ vật lý của máy để có thể truyền các gói tin.
3.2
Trình tạo nội dung (Content Generator)
Chương trình trên máy chủ Web, tự động tạo ra các trang HTML (HyperText Markup Language – Ngôn
ngữ đánh dấu siêu văn bản) cho người dùng. Trình tạo nội dung có thể có nhiều loại, từ các tập lệnh
CGI (Common Gateway Interface) đơn giản dùng cho máy chủ Web thực thi cho đến các máy chủ ứng
dụng Java EE hoặc .NET, trong đó hầu hết các trang HTML đều được tạo tự động.
3.3
Vùng mạng trung lập (DMZ- Demilitarized Zone)
Là vùng mạng trung lập giữa mạng nội bộ và mạng Internet. Là nơi chứa các thông tin cho phép người
dùng từ Internet truy xuất vào và chấp nhận các rủi ro tấn công từ Internet.
3.4
Máy host (Host)
Là hầu hết các loại máy tính, bao gồm máy tính trung tâm là host cho các thiết bị đầu cuối của nó, máy
chủ là host cho các máy khách của nó, hoặc máy tính cá nhân để bàn (PC) là host cho các thiết bị ngoại
vi của nó. Trong kiến trúc mạng, một máy trạm (máy người dùng) cũng được coi là máy host vì đây là
nguồn thông tin cho mạng, trái ngược với thiết bị, như bộ định tuyến hoặc bộ chuyển mạch, dùng để điều
hướng lưu lượng.
3.5
Bản vá (Hotfix)
Là thuật ngữ của Microsoft, có nghĩa là “bản vá”
3.6
Kiểm soát truy cập bắt buộc (Mandatory Access Control)

9
Phương thức hạn chế quyền truy cập vào tài nguyên hệ thống dựa trên độ nhạy cảm (được biểu thị bằng
nhãn dán) của thông tin có trong tài nguyên hệ thống và tính hợp pháp của người dùng được quyền truy
cập vào thông tin nhạy cảm của hệ thống.
3.7
Quản trị mạng (Network Administrator)
Người chịu trách nhiệm thiết kế tổng thể, triển khai và bảo trì mạng.
3.8
Giá trị dùng một lần (Nonce)
Giá trị tạo ngẫu nhiên được sử dụng để chống lại các cuộc tấn công “phát lại” trong các giao thức kết
nối. Một bên tạo ngẫu nhiên giá trị dùng một lần và gửi nó cho bên kia. Bên nhận mã hóa nó bằng cách
sử dụng khóa bí mật đã thỏa thuận trước và gửi trả lại cho bên gửi. Vì bên gửi ngẫu nhiên tạo giá trị
dùng một lần, theo đó các cuộc tấn công phát lại bị đánh bại vì bên phát lại không thể biết trước giá trị
dùng một lần mà người gửi tạo ra. Bên nhận từ chối các kết nối không có nonce (giá trị dùng một lần)
được mã hóa chính xác.
3.9
Hệ điều hành (Operating System)
Phần mềm “ứng dụng điều khiển chính” chạy trên máy tính. Nó là chương trình đầu tiên được tải khi bật
máy tính và thành phần chính của nó là nhân (kernel), luôn nằm trong bộ nhớ. Hệ điều hành thiết lập các
tiêu chuẩn cho tất cả các chương trình ứng dụng (như máy chủ Web) chạy trong máy tính. Các ứng dụng
giao tiếp với hệ điều hành cho hầu hết các hoạt động quản lý tập tin và giao diện người dùng.
3.10
Bản vá (Patch)
Bản cập nhật cho hệ điều hành, ứng dụng hoặc phần mềm khác được phát hành cụ thể để khắc phục
các sự cố cụ thể với phần mềm.
3.11
Tấn công điều hướng (Pharming)
Sử dụng các phương tiện kỹ thuật để chuyển hướng người dùng truy cập vào trang web giả mạo có bề
ngoài như một trang web hợp pháp và làm cho người dùng tiết lộ thông tin cá nhân.
3.12
Quản trị viên bảo đảm an toàn (Security Administrator)
Người chuyên thực hiện các chức năng bảo đảm an toàn thông tin cho máy chủ, các máy host khác,
cũng như cho các mạng.

10
3.13
Tấn công giả mạo (phishing)
Sử dụng các kỹ thuật kỹ thuật xã hội để lừa người dùng truy cập vào một trang Web giả mạo và khiến
họ tiết lộ thông tin cá nhân.
3.14
Máy chủ Proxy (Proxy)
Được coi một ứng dụng “phá vỡ” kết nối giữa máy trạm và máy chủ. Chấp nhận một số loại lưu lượng
truy cập vào ra của một mạng, xử lý và chuyển tiếp lưu lượng. Việc này làm chặn đứng đường dẫn trực
tiếp giữa mạng nội bộ và mạng bên ngoài, làm cho tin tặc tấn công khó khăn hơn trong việc lấy địa chỉ
nội bộ và các chi tiết khác trong mạng nội bộ của tổ chức. Máy chủ Proxy có sẵn cho các dịch vụ Internet
phổ biến, ví dụ: HTTP Proxy dùng để truy cập Web và SMTP Proxy dùng cho email.
3.15
Gói dịch vụ (Service Pack)
Là thuật ngữ của Microsoft, dành cho tập hợp các bản vá lỗi được tích hợp vào một bản cập nhật lớn.
3.16
Giao thức SOCKS (SOCKS Protocol)
Giao thức Internet cho phép các ứng dụng máy khách (client) hình thành gateway nối đến tường lửa
mạng qua dịch vụ proxy.
3.17
Quản trị viên hệ thống (System Administrator)
Nhân viên quản lý hệ thống máy tính, bao gồm hệ điều hành và các ứng dụng của nó. Quản trị viên hệ
thống có trách nhiệm tương tự như quản trị viên mạng.
3.18
Ảo hóa (Virtualization)
Việc sử dụng một lớp trừu tượng để mô phỏng phần cứng máy tính sao cho nhiều hệ điều hành có thể
chạy trên cùng một máy tính.
3.19
Lỗ hổng (Vulnerability)
Là nguy cơ mất an toàn trong một hệ điều hành hoặc phần mềm hệ thống hoặc phần mềm ứng dụng
khác. Nhiều tổ chức duy trì các cơ sở dữ liệu các lỗ hổng có thể truy cập công khai dựa trên số hiệu
phiên bản của phần mềm. Mỗi lỗ hổng có thể khiến hệ thống hoặc mạng bị xâm nhập nếu bị khai thác.

11
3.20
Máy chủ Web (Web Server)
Máy tính cung cấp dịch vụ World Wide Web (WWW) trên Internet. Nó bao gồm phần cứng, hệ điều hành,
phần mềm máy chủ Web và nội dung trang Web (trang Web). Nếu máy chủ Web được sử dụng trong
nội bộ chứ không công khai, thì nó có thể được gọi là “máy chủ mạng nội bộ”.
3.21
Quản trị viên máy chủ Web (Web Server Administrator)
Tương đương với quản trị viên hệ thống, nhưng dành cho máy chủ Web. Quản trị viên máy chủ Web là
các kiến trúc sư hệ thống chịu trách nhiệm toàn bộ các việc thiết kế, triển khai và bảo trì máy chủ Web.
Họ có thể hoặc không chịu trách nhiệm về nội dung Web, thường thuộc về Quản trị viên trang Web.
3.21
Quản trị viên trang Web (Webmaster)
Người chịu trách nhiệm triển khai một trang Web. Quản trị viên trang Web phải thành thạo ngôn ngữ
HTML và một hay nhiều ngôn lập trình như JavaScript và Perl. Có thể hoặc không chịu trách nhiệm về
máy chủ, trách nhiệm này thường thuộc về quản trị viên máy chủ Web (xem ở trên).
4. Ký hiệu và thuật ngữ viết tắt
3DES Triple Data Encryption Standard Chuẩn mã hoá dữ liệu 3 tầng 3DES
ACL Access Control List Danh sách điều khiển truy nhập
AES Advanced Encryption Standard Chuẩn mật mã nâng cao AES
AIRWeb Adversarial Information Retrieval on
the Web
Truy xuất thông tin đối thủ trên Web
AJAX Asynchronous JavaScript and XML Javascript và XML bất đồng bộ
API Application Programming Interface Giao diện lập trình ứng dụng
APWG Anti-Phishing Working Group Nhóm công tác chống lừa đảo
ARP Address Resolution Protocol Giao thức phân giải địa chỉ
ASCII American Standard Code of
Information Interchange
Tiêu chuẩn Hoa Kỳ về mã trao đổi thông
tin
ASP Active Server Page Kịch bản kích hoạt máy chủ ASP
CA Certificate Authority Tổ chức chứng thực

12
CAPTCHA Completely Automated Public Turing
Test to Tell Computers and Humans
Apart
Kiểm tra Turing phân biệt máy và người
CD-R Compact Disc Recordable Đĩa CD có thể ghi được
CERIAS Center for Education and Research
in Information Assurance and
Security
Trung tâm đào tạo và nghiên cứu về
Đảm bảo và An toàn thông tin
CERT/CC Computer Emergency Response
Team Coordination Center
Trung tâm ứng cứu khẩn cấp máy tính /
Trung tâm điều phối
CIO Chief Information Officer Giám đốc Thông tin
CGI Common Gateway Interface Giao diện cổng chung
CLF Common Log Format Định dạng nhật ký thông dụng
CMVP Cryptographic Module Validation
Program
Chương trình xác thực mô-đun mật mã
CN Common Name Tên thông dụng
CPU Central Processing Unit Bộ vi xử lý
CSR Certificate-Signing Request Yêu cầu đăng ký chứng chỉ
DDoS Distributed Denial of Service Từ chối dịch vụ phân tán
DES Data Encryption Standard Chuẩn mã hóa dữ liệu
DMZ Demilitarized Zone Vùng trung lập (phi quân sự)
DN Domain Name Tên miền
DNS Domain Name System Hệ thống tên miền
DoS Denial of Service Từ chối dịch vụ
DSS Digital Signature Standard Chuẩn chữ ký điện tử
FIPS Federal Information Processing
Standard
Tiêu chuẩn xử lý thông tin của Liên bang
(Hoa Kỳ)
FTP File Transfer Protocol Giao thức truyền file dữ liệu
GUI Graphical User Interface Giao diện đồ họa
HTCP Hypertext Caching Protocol Giao thức bộ đệm siêu văn bản
HTML Hypertext Markup Language Ngôn ngữ đánh dấu siêu văn bản

13
HTTP Hypertext Transfer Protocol Giao thức truyền tin siêu văn bản
HTTPS Hypertext Transfer Protocol Secure Giao thức truyền tin siêu văn bản an
toàn
IBMJSSE IBM Java Secure Sockets Extension Tiện ích mở rộng Socket an toàn IBM
Java
ICCC Internet Crime Complaint Center Trung tâm khiếu nại tội phạm mạng
ICP Internet Caching Protocol Giao thức bộ đệm Internet
IDPS Intrusion Detection and Prevention
System
Hệ thống phát hiện và chống xâm nhập
IDS Intrusion Detection System Hệ thống phát hiện xâm nhập
IIS Internet Information Server Máy chủ thông tin mạng
IMAP Internet Message Access Protocol Giao thức truy cập tin nhắn Internet
IP Internet Protocol Giao thức mạng
IPS Intrusion Prevention System Hệ thống ngăn chặn xâm nhập
ISS Internet Security Systems Hệ thống an toàn thông tin
ISSO Information System Security Officer Nhân viên bảo đảm an toàn hệ thống
thông tin
ISSPM Information Systems Security
Program Manager
Người uản lý chương trình bảo đảm an
toàn hệ thống thông tin
IT Information Technology Công nghệ thông tin
ITL Information Technology Laboratory Phòng thí nghiệm Công nghệ thông tin
JRE Java Runtime Environment Môi trường thực thi Java
JSSE Java Secure Socket Extension Tiện ích mở rộng Socket an toàn Java
JSP Java Server Page Trang web máy chủ Java
JVM Java Virtual Machine Máy ảo Java
LAN Local Area Network Mạng nội bộ
LDAP Lightweight Directory Access
Protocol
Giao thức truy cập thư mục Lightweight
MAC Message Authentication Code Mã xác thực thông điệp
NetBIOS Network Basic Input/Output System Hệ thống nhập/xuất cơ bản của mạng

14
NFS Network File System Hệ thống tệp tin mạng
NIS Network Information System Hệ thống thông tin mạng
NIST National Institute of Standards and
Technology
Viện Tiêu chuẩn và Công nghệ Hoa Kỳ
NSS Network Security Services Dịch vụ An toàn thông tin mạng
NVD National Vulnerability Database Cơ sở dữ liệu lỗ hổng quốc gia Hoa Kỳ
ODBC Open Database Connectivity Kết nối cơ sở dữ liệu chuẩn mở
OS Operating System Hệ điều hành
OWASP Open Web Application Security
Project
Dự án bảo đảm an toàn ứng dụng Web
chuẩn mở
PC Personal Computer Máy tính cá nhân
PDF Portable Document Format Định dạng tài liệu lưu động
PEM Privacy Enhanced Mail Thư nâng cao quyền riêng tư
PHP PHP Hypertext Preprocessor Ngôn ngữ tiền xử lý siêu văn bản PHP
PII Personally Identifiable Information Thông tin định danh cá nhân
PKCS Public Key Cryptography Standard Chuẩn mật mã khóa công khai
PKI Public Key Infrastructure Hạ tầng khóa công khai
RAID Redundant Array of Independent
Disks
Hệ thống đĩa dự phòng
REP Robots Exclusion Protocol Giao thức loại trừ Robot
RFC Request for Comments Yêu cầu nhận xét
SHA-2 Secure Hash Algorithm-1 Thuật toán băm an toàn SHA-2
SHS Secure Hash Standard Chuẩn băm an toàn
SIEM Security Information and Event
Management
Hệ thống quản lý thông tin và sự kiện an
toàn thông tin
SMTP Simple Mail Transfer Protocol Giao thức truyền thư điện tử đơn giản
SNMP Simple Network Management
Protocol
Giao thức quản lý mạng đơn giản
SOHO Small Office Home Office Văn phòng nhỏ tại nhà
SP Special Publication Ấn phẩm đặc biệt

15
SQL Structured Query Language Ngôn ngữ truy vấn có cấu trúc
SSH Secure Shell Giao thức môi trường an toàn
SSI
Server Side Includes Bao gồm phía máy chủ
SSL
Secure Sockets Layer Lớp an toàn SSL
SSPI Security Support Provider Interface Giao diện cung cấp hỗ trợ bảo đảm an
toàn
TCP Transmission Control Protocol Giao thức kiểm soát truyền dẫn
TLS Transport Layer Security An toàn tầng giao vận
TOS Trusted Operating System Hệ điều hành tin cậy
UDP User Datagram Protocol Giao thức gói tin người dùng
URI
Uniform Resource Identifier Bộ định danh tài nguyên thống nhất
URL
Uniform Resource Locator Bộ định vị tài nguyên thống nhất
VLAN Virtual Local Area Network Mạng nội bộ ảo
VPN Virtual Private Network Mạng riêng ảo
WCCP Web Cache Coordination Protocol Giao thức điều phối bộ đệm mạng
WWW World Wide Web Mạng toàn cầu
XML Extensible Markup Language Ngôn ngữ đánh dấu có thể mở rộng
XSS Cross-Site Scripting Thực thi mã xuyên trang web
5. Giới thiệu về tiêu chuẩn
Tiêu chuẩn này nhằm làm rõ các yêu cầu kỹ thuật về bảo đảm an toàn máy chủ được đề cập tại các mục
5.2.2., 6.2.2, 7.2.2, 8.2.2, 9.2.2 và làm rõ một phần các yêu cầu về bảo đảm an toàn ứng dụng tại các
mục 5.2.3, 6.2.3, 7.2.3, 8.2.3, 9.2.3 trong TCVN 11930:2017 Công nghệ thông tin – Các kỹ thuật an toàn
– Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ.
Tiêu chuẩn này quy định các yêu cầu cơ bản về bảo đảm an toàn máy chủ web, bao gồm hai phần:
- Bảo đảm an toàn, cài đặt và thiết lập cấu hình hệ điều hành cơ bản.
- Bảo đảm an toàn, cài đặt và thiết lập cấu hình phần mềm máy chủ web.
Một số khuyến nghị khi áp dụng tiêu chuẩn này: Cơ quan, tổ chức nên lập kế hoạch rõ ràng và giải quyết
các vấn đề bảo đảm an toàn trong triển khai máy chủ web.
Giải quyết các vấn đề bảo đảm an toàn sẽ khó khăn hơn nhiều lần khi hệ thống đã triển khai và vận
hành. vì vậy các vấn đề bảo đảm an toàn cần được xem xét từ giai đoạn đầu – lập kế hoạch. Các cơ

16
quan, tổ chức thường sẽ quyết định được cấu hình và thống nhất kế hoạch triển khai thiết kế chi tiết và
phù hợp nhất với tổ chức đó. Việc xây dựng kế hoạch như vậy sẽ hỗ trợ các nhà quản trị máy chủ web
đưa ra những cân nhắc lựa chọn giữa khả năng sử dụng, hiệu suất và rủi ro.
Các tổ chức thường không tính toán đến các yêu cầu nhân lực cho cả hai giai đoạn triển khai, vận hành
máy chủ web và các cơ sở hạ tầng phục vụ. Vì vậy, họ nên giải quyết các vấn đề sau trong kế hoạch
triển khai.
 Các vị trí nhân sự cần có, ví dụ: quản trị viên hệ thống và máy chủ web, quản trị viên trang web,
quản trị viên trang mạng, nhân viên bảo đảm an toàn hệ thống thông tin;
 Các kỹ năng và trình độ cần có tương ứng với các vị trí việc làm;
 Các yêu cầu việc làm đối với từng cá nhân, ví dụ mức độ nỗ lực cần thiết của từng vị trí và nhân
viên trong tập thể như mức độ nỗ lực chung.
5.1 Các tổ chức nên triển khai các quản lý thực tiễn bảo đảm an toàn và kiểm soát thích hợp khi
duy trì và vận hành an toàn máy chủ web.
Quản lý thực tiễn thích hợp là việc làm cần thiết để vận hành và duy trì máy chủ web an toàn. Thực tiễn
bảo đảm an toàn đòi hỏi phải xác định các tài sản hệ thống thông tin của tổ chức và xây dựng, hiện thực
hóa bằng văn bản và thực hiện các chính sách, tiêu chuẩn, quy trình và hướng dẫn giúp bảo đảm tính
bí mật, tính toàn vẹn và tính sẵn sang của các tài nguyên hệ thống thông tin. Để bảo đảm an ninh cho
máy chủ web và các cơ sở hạ tầng mạng hỗ trợ, nên thực hiện các nghiệp vụ sau:
 Chính sách bảo đảm an toàn hệ thống thông tin cho toàn tổ chức
 Kiểm soát và quản lý cấu hình/tùy chỉnh
 Đánh giá và quản lý rủi ro
 Chuẩn hóa cấu hình phần mềm đáp ứng chính sách bảo đảm an toàn hệ thống thông tin
 Nhận thức và đào tạo về bảo đảm an toàn
 Lập kế hoạch dự phòng, hoạt động liên tục và lập kế hoạch khắc phục thảm họa
 Cấp chứng chỉ và công nhận.
5.2 Các tổ chức cần triển khai, cài đặt cấu hình và quản lý hệ điều hành máy chủ web đáp ứng
các yêu cầu về bảo đảm an toàn của tổ chức.
Bước đầu tiên trong bảo đảm an toàn máy chủ web là bảo đảm an toàn môi trường hệ điều hành cài đặt
máy chủ web. Hầu hết các máy chủ web đều chạy trên hệ điều hành phổ biến. Có thể tránh được nhiều
vấn đề về bảo đảm an toàn nếu môi trường cài đặt máy chủ web được cấu hình phù hợp. Các nhà sản
xuất thường cấu hình mặc định cho phần cứng và phần mềm, tập chung vào các tính năng, chức năng
dễ sử dụng cho người dùng mà chưa chú trọng vào các vấn đề bảo đảm an toàn do các nhà sản xuất
không hiểu rõ nhu cầu bảo đảm an toàn của mỗi tổ chức. Vì vậy quản trị viên máy chủ web phải thiết lập

17
cấu hình các máy chủ mới sao cho đáp ứng với các yêu cầu bảo đảm an toàn của tổ chức và thiết lập
lại cấu hình khi có yêu cầu thay đổi. Quản trị viên có thể sử dụng các hướng dẫn thiết lập cấu hình bảo
đảm an toàn hoặc danh sách việc cần làm để hỗ trợ cho việc bảo mật hệ thống một cách nhất quán và
hiệu quả. Bảo đảm an toàn hệ điều hành trước tiên thường bao gồm các bước sau:
 Vá lỗ hổng và nâng cấp hệ điều hành
 Xóa hoặc vô hiệu hóa các dịch vụ và ứng dụng không cần thiết
 Thiết lập cấu hình xác thực người dùng hệ điều hành
 Thiết lập cấu hình kiểm soát tài nguyên
 Cài đặt và kiểm soát các cấu hình bảo bảo đảm an toàn bổ sung
 Tiến hành kiểm tra an toàn của hệ điều hành.
5.3. Các tổ chức cần bảo đảm triển khai ứng dụng máy chủ web, thiết lập cấu hình và quản lý tuân
thủ theo các yêu cầu bảo đảm an toàn của mình.
Trong nhiều khía cạnh, việc cài đặt và thiết lập cấu hình bảo đảm an toàn cho ứng dụng web sẽ giống
như quá trình bảo đảm an toàn hệ điều hành nêu ở phần trên. Nguyên tắc cơ bản là cài đặt tối thiểu số
lượng các dịch vụ máy chủ web cần thiết và loại bỏ các lỗ hổng đã biết thông qua các bản vá hoặc nâng
cấp. Nếu chương trình cài đặt bất kỳ ứng dụng, dịch vụ, đoạn mã lệnh không cần thiết thì phải gỡ bỏ và
xoá ngay sau khi quá trình cài đặt kết thúc. Bảo đảm an toàn ứng dụng máy chủ web thường bao gồm
các bước sau:
 Vá và nâng cấp ứng dụng máy chủ web
 Xóa hoặc vô hiệu hóa các dịch vụ, ứng dụng và nội dung không cần thiết.
 Thiết lập cấu hình kiểm soát truy cập và xác thực người dùng máy chủ web.
 Thiết lập cấu hình kiểm soát tài nguyên máy chủ web.
 Kiểm tra tính bảo đảm an toàn của ứng dụng máy chủ web và nội dung web.
5.4. Các tổ chức nên thực hiện các biện pháp để bảo đảm chỉ công bố nội dung phù hợp trên
trang web
Nhiều cơ quan, tổ chức thiếu quy trình hoặc chính sách sản xuất web, trong đó có quy định loại thông
tin nào được công khai, thông tin nào sẽ kiểm soát bằng quyền truy cập hạn chế và thông tin nào không
được phổ biến lên bất cứ kho lưu trữ truy cập công khai nào. Điều này thật không may vì các trang web
thường là một trong những nơi đầu tiên mà tin tặc tìm kiếm thông tin không có giá trị. Dưới đây là một

18
số ví dụ được chấp nhận rộng rãi về thông tin không được phổ biến hoặc ít nhất nên kiểm tra và xem xét
cẩn thận trước khi phổ biến lên trang web công cộng:3
 Chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; gây phương hại đến an ninh quốc gia,
trật tự an toàn xã hội; phá hoại khối đại đoàn kết dân tộc; tuyên truyền chiến tranh, khủng bố; gây
hận thù, mâu thuẫn giữa các dân tộc, sắc tộc, tôn giáo; Tuyên truyền, kích động bạo lực, dâm ô,
đồi trụy, tội ác, tệ nạn xã hội, mê tín dị đoan, phá hoại thuần phong, mỹ tục của dân tộc;
 Tiết lộ bí mật nhà nước, bí mật quân sự, an ninh, kinh tế, đối ngoại và những bí mật khác do pháp
Luật quy định;
 Đưa thông tin xuyên tạc, vu khống, xúc phạm uy tín của tổ chức, danh dự và nhân phẩm của cá
nhân;
 Quảng cáo, tuyên truyền, mua bán hàng hóa, dịch vụ bị cấm; truyền bá tác phẩm báo chí, văn
học, nghệ thuật, xuất bản phẩm bị cấm;
 Giả mạo tổ chức, cá nhân và phát tán thông tin giả mạo, thông tin sai sự thật xâm hại đến quyền
và lợi ích hợp pháp của tổ chức, cá nhân.
Mặc dù thông tin trên các trang web công cộng được coi là nội dung công khai. Nhưng quan trọng là
phải bảo đảm tính nguyên vẹn của thông tin. Người sử dụng thông tin tin tưởng vào tính toàn vẹn của
thông tin đó ngay cả khi đó không phải là thông tin bí mật. Do đó, thông tin có thể truy cập công khai dễ
bị tổn thương hơn thông tin không thể truy cập từ Internet. Lỗ hổng này đồng nghĩa với việc các tổ chức
cần phải bảo vệ nội dung Web công cộng thông qua thiết lập cấu hình kiểm soát tài nguyên máy chủ
Web một cách thích hợp. Các ví dụ về thực hành kiểm soát tài nguyên bao gồm:
 Chỉ cài đặt hoặc kích hoạt các dịch vụ cần thiết
 Cài đặt nội dung web trên ổ cứng chuyên dụng hoặc phân vùng theo logic
 Hạn chế dữ liệu tải lên vào các thư mục mà máy chủ web không thể đọc được
 Xác định thư mục duy nhất cho phép các đoạn mã lệnh hoặc chương trình bên ngoài được thực
thi như là một phần của nội dung web.
 Vô hiệu hóa việc sử dụng các liên kết cứng hoặc liên kết tượng trưng.
 Định nghĩa các ma trận truy cập nội dung Web hoàn chỉnh để định danh thư mục và tệp nào trong
thư mục tài liệu của máy chủ Web bị hạn chế truy cập và thư mục và tệp nào có thể truy cập (và
bởi ai).
 Vô hiệu hóa tính năng liệt kê thư mục.
3
Tham khảo Điều 5 Các hành vi bị cấm, Nghị định số 72/2012/NĐ-CP ngày 15 tháng 7 năm 2013 của Chính phủ quy định về Quản lý, cung cấp, Sử dụng
dịch vụ Internet và thông tin trên mạng

19
 Sử dụng xác thực người dùng, chữ ký số và các cơ chế mã hóa khác khi thích hợp.
 Sử dụng các hệ thống phát hiện xâm nhập trên host (HIDS), hệ thống ngăn chặn xâm nhập trái
phép (IPS) và/hoặc kiểm tra tính toàn vẹn của tập tin để phát hiện xâm nhập và xác minh nội
dung Web.
 Bảo vệ từng máy chủ dự phòng như máy chủ cơ sở dữ liệu, máy chủ thư mục khỏi các cuộc tấn
công chèn mã lệnh vào hệ thống ở cả máy chủ web và máy chủ dự phòng.
Các tổ chức nên sử dụng nội dung đang hoạt động một cách thận trọng sau khi cân nhắc lợi ích thu
được với các rủi ro liên quan.
5.5. Các tổ chức nên sử dụng các công nghệ xác thực và mã hóa thích hợp để bảo vệ một số loại
dữ liệu nhạy cảm.
Thông thường các máy chủ ứng dụng web thường áp dụng một loạt các công nghệ định danh và xác
thực người dùng cùng với các đặc quyền truy cập thông tin khác nhau. Trong số này, một số công nghệ
hoạt động dựa vào các hàm mã hóa để có thể cung cấp kênh mã hóa giữa trình duyệt Web của máy
khách và máy chủ Web có hỗ trợ mã hóa. Các máy chủ Web có thể được đặt cấu hình cho phép sử
dụng các thuật toán mã hóa khác nhau, cung cấp các mức độ bảo đảm an toàn và hiệu năng khác nhau.
Nếu không có biện pháp xác thực người dùng phù hợp, các tổ chức sẽ không thể hạn chế quyền truy
cập vào thông tin cụ thể một cách có chọn lọc. Khi đó, tất cả thông tin trên máy chủ Web công cộng đều
có thể truy cập được bởi bất kỳ ai có quyền truy cập vào máy chủ. Ngoài ra, nếu không có một số quy
trình xác thực máy chủ, người dùng máy chủ Web công cộng sẽ không thể xác định được máy chủ đó
là máy chủ Web “xác thực” hay là phiên bản giả mạo được vận hành bởi một thực thể độc hại.
Ngay cả khi đã trang bị kênh mã hóa và cơ chế xác thực, tin tặc vẫn có thể truy cập được vào trang web
thông qua tấn công dò mật khẩu. Kỹ thuật xác thực không đúng cách có thể cho phép kẻ tấn công thu
thập tên người dùng hợp lệ hoặc có khả năng truy cập vào trang web. Các cơ chế xác thực mạnh cũng
có thể bảo vệ chống lại các cuộc tấn công giả mạo (phishing) và chuyển hướng truy cập (pharming). Do
đó, mức độ xác thực phù hợp phải được thực hiện dựa trên mức độ nhạy cảm của thông tin người dùng
và nội dung của máy chủ web.
5.6. Các tổ chức nên tận dụng cơ sở hạ tầng mạng của mình để hỗ trợ bảo vệ các máy chủ web
công cộng của tổ chức
Cơ sở hạ tầng mạng như tường lửa, bộ định tuyến, IDS hỗ trợ máy chủ Web giữ vai trò tối quan trọng
trong bảo đảm an toàn của máy chủ Web. Trong hầu hết các cấu hình, cơ sở hạ tầng mạng sẽ là tuyến
phòng thủ đầu tiên giữa máy chủ Web công cộng và Internet. Tuy nhiên, chỉ với thiết kế mạng sẽ không
thể bảo vệ được máy chủ Web. Tần xuất, độ tinh vi và sự đa dạng của các cuộc tấn công máy chủ Web
được thực hiện ngày nay là căn cứ cho ý tưởng rằng bảo đảm an toàn máy chủ Web phải được thực
hiện thông qua các cơ chế bảo vệ đa lớp và đa dạng, phương thức phòng thủ theo chiều sâu.

20
5.7. Các tổ chức nên tuân thủ quy trình duy trì bảo mật hiện có dành cho máy chủ Web công cộng
để đảm bảo an toàn liên tục.
Việc duy trì một máy chủ Web an toàn đòi hỏi nỗ lực, tài nguyên và sự cảnh giác liên tục từ tổ chức.
Quản trị an toàn máy chủ Web hàng ngày là khía cạnh thiết yếu của bảo đảm an toàn máy chủ Web.
Việc duy trì bảo đảm an toàn của máy chủ Web thường sẽ bao gồm các bước sau:
 Thiết lập cấu hình, bảo vệ và phân tích tệp nhật ký
 Thường xuyên sao lưu thông tin quan trọng
 Duy trì một bản sao nội dung Web hợp pháp và được bảo vệ của tổ chức
 Thiết lập và thực hiện quy trình khôi phục khi bị xâm nhập
 Thử nghiệm và áp dụng các bản vá một cách kịp thời
 Định kỳ kiểm tra tính an toàn.
6. Nền tảng cơ bản
World Wide Web là một trong những phương thức quan trọng nhất để một tổ chức xuất bản thông tin,
tương tác với người dùng Internet và thiết lập sự hiện diện của trang thương mại điện tử/chính phủ điện
tử. Tuy nhiên, nếu tổ chức không nghiêm ngặt trong việc lập cấu hình và vận hành ứng dụng web, thì có
thể chịu nhiều mối đe dọa an toàn khác nhau. Mặc dù các mối đe dọa trong không gian mạng gần giống
với thế giới thực như lừa đảo, ăn cắp, phá hoại và khủng bố, tuy nhiên nó nguy hiểm hơn nhiều vì kết
quả của ba mốc phát triển quan trọng: hiệu quả gia tăng, hành động từ xa và mức độ phát triển kỹ thuật
nhanh chóng.
 Hiệu quả gia tăng: Sự tự động khiến các cuộc tấn công, ngay cả các cuộc tấn công với cơ hội
thành công thấp nhất, trở nên hiệu quả và cực kỳ có lợi. Ví dụ, trong thế giới thực, một cuộc tấn
công có thể thành công sau 10,000 lần thử sẽ không hiệu quả vì tốn quá nhiều thời gian và nỗ
lực. Trên Internet, sự tự động cho phép một cuộc tấn công như vậy trở nên thành công nhanh
hơn nhiều. Công suất tính toán và băng thông ngày càng rẻ, trong khi số lượng máy host mục
tiêu tăng lên nhanh chóng. Điều này có nghĩa rằng gần như bất kỳ cuộc tấn công nào, cho dù tỷ
lệ thành công của nó thấp ra sao, cũng sẽ có thể tìm thấy nhiều hệ thống để khai thác.
 Hành động từ xa: Internet cho phép truy cập từ xa. Internet không có biên giới, và từ một điểm
có thể tiếp cận tới mọi điểm khác trên Internet. Điều này có nghĩa là kẻ tấn công ở quốc gia này
có thể dễ dàng nhắm mục tiêu từ xa tới trang Web tại một quốc gia khác.
 Mức độ phát tán kỹ thuật: Internet cho phép phát tán kỹ thuật một cách dễ dàng và nhanh chóng
hơn. Trước khi có Internet, để phát tán kỹ thuật tấn công phải mất đến hàng năm. Ngày nay, một
kỹ thuật tấn công mới có thể bị phát tán trong vài giờ hoặc vài ngày. Hiện chúng ta khó có thể
xây dựng được biện pháp phòng chống hiệu quả.

21
Các trang Web bị xâm phạm được sử dụng làm điểm truy cập trái phép vào nhiều mạng lưới nội bộ của
tổ chức. Tổ chức có khả năng phải đối mặt với thiệt hại kinh tế, uy tín bị hủy hoại hoặc rủi ro pháp lý nếu
tin tặc truy xuất thành công dữ liệu mật. Tấn công từ chối dịch vụ (DoS) khiến cho người dùng khó, hoặc
không thể truy cập vào trang Web. Dạng tấn công này có thể khiến cho tổ chức mất nhiều thời gian và
tiền bạc. Kẻ tấn công dễ dàng sử dụng tấn công DoS vì số lượng véc-tơ tấn công khả dụng, sự đa dạng
về công cụ tự động hóa và không yêu cầu trình độ quá cao để sử dụng các công cụ. Tấn công DoS cũng
như các mối đe dọa khởi tạo tấn công DoS, ngày càng được sử dụng nhiều hơn để tống tiền (blackmail)
các tổ chức. Ngoài ra, tổ chức có thể sẽ gặp phải tình huống khác như tin tặc thay đổi nội dung trên các
trang Web của tổ chức.
Ba vấn đề chính về bảo đảm an toàn có thể ảnh hướng lớn đến hoạt động của một trang web truy cập
công cộng:
 Thiết lập cấu hình sai hoặc vận hành máy chủ Web không đúng cách, có thể dẫn tới lộ lọt thông
tin nhạy cảm hoặc thay đổi quyền sở hữu. Thông tin này có thể bao gồm các nội dung sau đây:
o Tài sản của tổ chức.
o Cấu hình của máy chủ hoặc mạng có thể bị khai thác cho các đợt tấn công tiếp theo.
o Thông tin về người sử dụng hoặc quản trị viên của máy chủ Web, bao gồm mật khẩu của họ.
 Các lỗ hổng trên máy chủ Web cho phép kẻ tấn công xâm nhập trái phép máy chủ và các máy
host khác trong mạng của tổ chức bằng cách thực hiện các hành hộng sau:
o Thay đổi giao diện trang Web hoặc tác động tới tính toàn vẹn thông tin
o Thực thi các lệnh hoặc chương trình bất hợp pháp trên hệ điều hành máy host, bao gồm các
lệnh và chương trình mà tin tặc đã cài đặt.
o Giành quyền truy cập bất hợp pháp vào các tài nguyên nằm trong mạng máy tính của tổ
chức.
o Khởi tạo các cuộc tấn công lên các trang bên ngoài từ máy chủ Web để che giấu đặc điểm
nhận dạng của kẻ tấn công, và có thể khiến cho tổ chức phải chịu trách nhiệm trước các thiệt
hại
o Sử dụng máy chủ để phát tán các cuộc tấn công vào các trình duyệt web máy khách có lỗ
hổng để xâm hại chúng.
 Các cơ chế phòng thủ không đầy đủ hoặc không hiệu quả cho máy chủ Web để ngăn chăn một
số kiểu tấn công nhất định như: tấn công DoS, làm gián đoạn tính sẵn sàng của máy chủ Web
và ngăn chặn người dùng hợp pháp truy cập vào trang Web khi cần.
Trong những năm gần đây, khi bảo đảm an toàn mạng và cài đặt máy chủ được cải thiện, các ứng dụng
phần mềm kém và đoạn mã lệnh cho phép kẻ tấn công xâm nhập tính bảo đảm toàn máy chủ Web hoặc
thu thập dữ liệu từ máy chủ cơ sở dữ liệu dự phòng, đã trở thành mục tiêu của các cuộc tấn công. Nhiều

22
ứng dụng Web động không thực hiện đầy đủ xác thực người dùng đầu vào, cho phép kẻ tấn công gửi
các lệnh chạy trên máy chủ. Ví dụ phổ biến của hình thức tấn công này là chèn các mã lệnh có cấu trúc
(SQL), gửi dữ liệu đầu vào, chuyển đến cơ sở dữ liệu xử lý và chèn tập lệnh, tin tặc kiểm soát ứng dụng
để lưu trữ các mã tập lệnh được kích hoạt khi người dùng khác truy cập trang Web.
Một số bước yêu cầu nhằm bảo đảm tính bảo mật cho bất kỳ máy chủ Web công cộng nào. Tuy nhiên,
trước khi thực hiện được bất kỳ bước nào dưới đây cần phải có chính sách bảo đảm an toàn. Thực hiện
các bước sau trong khuôn khổ Chính sách bảo đảm an toàn sẽ đảm bảo kết quả tốt:
 Bước 1: Cài đặt, thiết lập cấu hình và bảo mật hệ điều hành nền (HĐH)
 Bước 2: Cài đặt, thiết lập cấu hình và bảo mật phần mềm máy chủ Web
 Bước 3: Triển khai các cơ chế bảo vệ mạng thích hợp, ví dụ tường lửa, bộ định tuyến có lọc gói
tin, proxy, …
 Bước 4: Bảo đảm tất cả các ứng dụng phát triển riêng cho máy chủ Web đều được lập trình mã
hóa an toàn phù hợp với tình hình thực tế.
 Bước 5: Duy trì cấu hình bảo đảm an toàn thông qua áp dụng các bản vá và nâng cấp phù hợp,
kiểm tra bảo đảm an toàn, giám sát nhật ký và sao lưu dữ liệu và hệ điều hành
 Bước 6: Sử dụng, công khai và bảo vệ thông tin và dữ liệu một cách cẩn thận và có hệ thống
 Bước 7: Sử dụng các quy trình quản trị và bảo trì an toàn như cập nhật máy chủ / ứng dụng, kiểm
tra nhật ký
 Bước 8: Tiến hành rà soát lỗ hổng khi bắt đầu và định kỳ cho từng máy chủ Web công cộng và
cơ sở hạ tầng mạng hỗ trợ như tường lửa, bộ định tuyến.
Các đề xuất thực tế trong tài liệu này được thiết kế để giúp giảm thiểu rủi ro liên quan đến các máy chủ
Web công cộng. Chúng xây dựng và giả định việc thực hiện các thực tiễn được trình bày trong các ấn
phẩm của NIST về bảo đảm an toàn hệ thống và mạng được liệt kê trong Phụ lục A.
Khi giải quyết các vấn đề bảo đảm an toàn máy chủ Web, nên ghi nhớ các nguyên tắc bảo đảm an toàn
thông tin chung sau đây:
 Tính đơn giản: các cơ chế bảo đảm an toàn và các hệ thống thông tin nói chung càng đơn giản
càng tốt. Sự phức tạp là nguồn gốc của nhiều vấn đề bảo đảm an toàn.
 Lỗi an toàn: Nếu xảy ra lỗi, hệ thống nên bị lỗi một cách an toàn, tức là các tham số kiểm soát
và thiết lập bảo đảm an toàn vẫn duy trì hiệu lực và được thi hành. Đánh mất hoạt động chức
năng tốt hơn là mất bảo đảm an toàn.
 Trung gian toàn phần: Thay vì cung cấp quyền truy cập trực tiếp vào thông tin, nên sử dụng các
công cụ trung gian thực thi chính sách truy cập. Các ví dụ phổ biến về công cụ trung gian bao
gồm quyền truy cập hệ thống tập tin, proxy, tường lửa và cổng thư điện tử.

23
 Thiết kế mở: Bảo đảm an toàn hệ thống không nên phụ thuộc vào tính chất bí mật của việc triển
khai hoặc các thành phần của nó. “Bảo mật bằng cách che giấu” là không đáng tin cậy.
 Tách biệt đặc quyền: Các chức năng, ở mức độ có thể, nên tách biệt và cung cấp càng nhiều
chi tiết càng tốt. Khái niệm này có thể áp dụng cho cả hệ thống và người vận hành và người
dùng. Trong trường hợp hệ thống, các chức năng như đọc, chỉnh sửa, viết và thực thi phải tách
biệt nhau. Trong trường hợp người vận hành hệ thống và người dùng, các chức năng nên tách
biệt nhất có thể. Ví dụ: nếu tài nguyên cho phép, vai trò của quản trị viên hệ thống nên tách biệt
với vai trò của quản trị viên bảo đảm an toàn.
 Đặc quyền ít nhất: Nguyên tắc này được hiểu như sau: mỗi tác vụ, quy trình hoặc người dùng
được cấp quyền tối thiểu cần thiết để thực hiện công việc của mình. Bằng cách áp dụng nhất
quán nguyên tắc này, nếu một tác vụ, quy trình hoặc người dùng bị xâm phạm, phạm vi thiệt hại
sẽ được khoanh vùng trong các tài nguyên hạn chế có ở thực thể bị xâm phạm.
 Tâm lý chấp nhận: Người dùng nên nhận thức được sự cần thiết của bảo đảm an toàn. Điều
này có thể đạt được thông qua giáo dục và đào tạo. Ngoài ra, các cơ chế bảo đảm an toàn tại
chỗ nên cung cấp cho người dùng các tùy chọn hợp lý mà họ có thể sử dụng hàng ngày. Nếu
người dùng thấy cơ chế bảo đảm an toàn quá cồng kềnh, họ có thể nghĩ ra cách để lách hoặc
thỏa hiệp với chúng. Có thể hiểu và chấp nhận được rằng mục tiêu không phải là làm suy yếu
mức độ bảo mật, mà là giáo dục và đào tạo người dùng và thiết kế các cơ chế và chính sách bảo
đảm an toàn hữu dụng và hiệu quả.
 Cơ chế chung ít nhất: Khi cung cấp một tính năng cho hệ thống, tốt hơn hết có một quy trình
hoặc dịch vụ duy nhất được cấp một số chức năng mà không cấp chức năng tương tự cho các
bộ phận khác của hệ thống. Ví dụ: Cho phép máy chủ Web truy cập cơ sở dữ liệu phụ trợ, còn
các ứng dụng khác trên hệ thống không được phép truy cập cơ sở dữ liệu phụ trợ.
 Phòng thủ theo chiều sâu: Các tổ chức nên hiểu rằng việc sử dụng cơ chế bảo đảm an toàn
duy nhất thường là không đủ. Các cơ chế bảo đảm an toàn (phòng thủ) cần phải được phân lớp
sao cho việc xâm phạm một cơ chế bảo đảm an toàn đơn lẻ không đủ để xâm phạm máy chủ
hoặc mạng. Không có cơ chế “hoàn hảo” nào có thể bảo vệ hệ thống thông tin.
 Yếu tố nghiệp vụ: Các tổ chức nên hiểu cần làm gì để phá vỡ các tính năng bảo đảm an toàn
của hệ thống hoặc mạng.
 Ghi lưu xâm nhập: Nên duy trì các bản ghi và nhật ký để nếu xâm nhập xảy ra, tổ chức sẽ có
bằng chứng về cuộc tấn công. Thông tin này có thể hỗ trợ bảo đảm an toàn mạng và máy chủ
sau vụ xâm nhập và giúp nhận dạng các phương thức và kỹ thuật khai thác được sử dụng bởi
kẻ tấn công. Thông tin này có thể sử dụng để cải thiện vấn đề bảo đảm an toàn máy chủ hoặc
mạng trong tương lai. Ngoài ra, các bản ghi và nhật ký có thể hỗ trợ các tổ chức trong việc xác
định và truy tố những kẻ tấn công.

24
7. Hoạch định và quản lý máy chủ web.
Vấn đề quan trọng nhất trong triển khai an toàn máy chủ web là lập kế hoạch cẩn thận trước khi cài đặt,
thiết lập cấu hình và triển khai. Lập kế hoạch cẩn thận sẽ bảo đảm cho máy chủ Web an toàn và tuân
thủ tất cả các chính sách có liên quan của tổ chức. Nhiều vấn đề về bảo đảm an toàn và hiệu năng của
máy chủ Web có thể bắt nguồn từ việc thiếu kế hoạch hoặc kiểm soát quản lý. Không được đánh giá
thấp tầm quan trọng của kiểm soát quản lý. Ở nhiều tổ chức, bộ phận hỗ trợ CNTT rất phân tán. Sự phân
tán này dẫn đến sự bất nhất mà theo đó có thể dẫn đến các lỗ hổng bảo đảm an toàn và các vấn đề
khác.
7.1. Lập kế hoạch cài đặt và triển khai
Vấn đề bảo đảm an toàn nên được xem xét từ giai đoạn lập kế hoạch khi bắt đầu quy trình phát triển hệ
thống để tối đa hóa mức độ bảo đảm an toàn và giảm thiểu chi phí. Sau khi triển khai và ứng dụng, giải
quyết vấn đề bảo đảm an toàn sẽ khó khăn và tốn kém hơn nhiều. Thông thường sẽ quyết định thiết lập
cấu hình phù hợp và nhất quán cho máy chủ, nếu bắt đầu bằng việc xây dựng và sử dụng kế hoạch triển
khai tốt và chi tiết. Xây dựng kế hoạch như vậy cho phép đưa ra quyết định sáng suốt, cân bằng giữa
tính hữu dụng, hiệu năng và rủi ro. Kế hoạch triển khai cho phép tổ chức duy trì các cấu hình an toàn và
giúp nhận dạng các lỗ hổng bảo đảm an toàn, thường thể hiện như là những sai lệch so với kế hoạch.
Trong giai đoạn lập kế hoạch cho máy chủ Web, lưu ý các nội dung sau:
 Xác định (các) mục đích của máy chủ Web.
o Những loại thông tin nào sẽ được lưu trữ trên máy chủ Web?
o Những loại thông tin nào sẽ được xử lý trên hoặc truyền qua máy chủ Web?
o Yêu cầu bảo đảm an toàn đối với thông tin này là gì?
o Thông tin nào sẽ được truy xuất từ (hoặc) lưu trữ trên máy chủ khác hay không (ví dụ: cơ sở
dữ liệu phụ trợ, máy chủ thư điện tử)?
o Yêu cầu bảo đảm an toàn cho bất kỳ máy chủ nào khác có liên quan (ví dụ: cơ sở dữ liệu dự
phòng, máy chủ thư mục, máy chủ thư điện tử, máy chủ proxy) là gì?
o Máy chủ Web có cung cấp dịch vụ nào khác không (nhìn chung, máy host dành riêng làm
máy chủ Web là tùy chọn an toàn nhất)?
o Yêu cầu bảo đảm an toàn đối với các dịch vụ bổ sung này là gì?
o Yêu cầu đối với tính liên tục của các dịch vụ do máy chủ Web cung cấp, chẳng hạn như các
dịch vụ được quy định trong các bản kế hoạch vận hành và kế hoạch khắc phục thảm họa,
là gì?
o Máy chủ Web sẽ được đặt ở đâu trên mạng (xem Phần 8)?

25
 Xác định các dịch vụ mạng mà máy chủ Web sẽ cung cấp, chẳng hạn như các dịch vụ được cung
cấp thông qua các giao thức: HTTP, HTTPS4., Giao thức ICP (Internet Caching Protocol), Giao
thức HTCP (Hyper Text Caching Protocol), Giao thức WCCP (Web Cache Coordination Protocol),
SOCKS5 Các dịch vụ cơ sở dữ liệu (ví dụ: ODBC [Open Database Connectivity]).
 Xác định bất kỳ phần mềm dịch vụ mạng nào của cả máy khách và máy chủ, sẽ được cài đặt trên
máy chủ Web và bất kỳ máy chủ hỗ trợ nào khác.
 Xác định người dùng hoặc danh mục người dùng máy chủ Web và mọi máy host phụ trợ.
 Xác định các đặc quyền dành cho từng danh mục người dùng trên máy chủ Web và máy host
phụ trợ.
 Xác định cách thức quản lý máy chủ Web (ví dụ: nội bộ, từ xa qua mạng nội bộ, từ xa
 Quyết định xem có xác người dùng hay không, xác thực như thế nào và dữ liệu xác thực sẽ được
bảo vệ như thế nào.
 Xác định cách thức truy cập vào tài nguyên thông tin sẽ được thực thi.
 Xác định ứng dụng máy chủ Web nào thỏa mãn yêu cầu của tổ chức. Trong một số trường hợp
nên cân nhắc các máy chủ có thể cung cấp mức độ bảo đảm an toàn cao hơn, mặc dù có ít chức
năng hơn. Một số vấn đề cần xem xét bao gồm:
o Chi phí,
o Khả năng tương thích với hạ tầng hiện có,
o Kiến thức của nhân viên hiện có,
o Mối quan hệ với nhà sản xuất hiện có,
o Lịch sử lỗ hổng đã từng xảy ra,
o Chức năng.
 Bám sát (các) nhà sản xuất trong giai đoạn lập kế hoạch.
Việc lựa chọn ứng dụng máy chủ Web có thể quyết định lựa chọn hệ điều hành. Tuy nhiên, ở mức độ
có thể, quản trị viên máy chủ Web nên chọn hệ điều hành có thể cung cấp những tính năng sau:
 Khả năng giới hạn các hoạt động cấp độ quản trị hoặc thư mục gốc chỉ dành cho người dùng
được ủy quyền.
4
Theo tài liệu này, Giao thức HTTP được bảo vệ thông qua giao thức Secure Sockets Layer (SSL)/Transport Layer security (TLS), xem
Điều 11.
5
Theo tài liệu này, “SOCKS” là viết tắt của “SOCKetS”

26
 Khả năng kiểm soát truy cập dữ liệu trên máy chủ.
 Khả năng vô hiệu hóa các dịch vụ mạng không cần thiết, có thể được tích hợp sẵn trong hệ điều
hành hoặc phần mềm máy chủ.
 Khả năng kiểm soát truy cập vào các dạng chương trình thực thi khác nhau, ví dụ như CGI và
các phần bổ trợ (plug in) của máy chủ Web
 Khả năng ghi nhật ký các hoạt động phù hợp của máy chủ để phát hiện xâm nhập và biểu hiện
xâm nhập.
 Dự phòng tính năng tường lửa trên máy chủ.
Ngoài ra, nên cân nhắc sử dụng nhân viên đã qua đào tạo, có kinh nghiệm để quản trị máy chủ và các
sản phẩm của máy máy chủ. Nhiều tổ chức đã rút ra bài học đắt giá rằng một quản trị viên có năng lực
và kinh nghiệm tại một môi trường làm việc không có nghĩa sẽ làm việc hiệu quả trong môi trường khác.
Mặc dù nhiều máy chủ Web không lưu trữ thông tin nhạy cảm, nhưng chúng nên được coi là nhạy cảm
vì uy tín của tổ chức có thể bị ảnh hưởng một khi sự toàn vẹn của máy chủ bị xâm phạm. Trong những
trường hợp như vậy, điều quan trọng là các máy chủ Web được đặt trong các khu vực có môi trường
vật lý an toàn. Khi lập kế hoạch vị trí đặt máy chủ Web, cần xem xét các vấn đề sau:
 Có hay không các cơ chế bảo vệ an ninh vật lý thích hợp tại chỗ? Chẳng hạn như: Khóa, truy
cập bằng thẻ, bảo vệ, cảm biến nhận dạng vật lý (ví dụ cảm biến chuyển động, máy quay).
 Có hay không việc kiểm soát môi trường thích hợp để duy trì độ ẩm và nhiệt độ cần thiết?
 Có nguồn điện dự phòng không? Nó sẽ cung cấp năng lượng trong bao lâu?
 Nếu yêu cầu mức độ sẵn sàng cao, có hay không kết nối Internet dự phòng từ ít nhất hai khác
Nhà cung cấp dịch vụ Internet (ISP) khác nhau?
 Nếu biết địa điểm có khả năng gặp thảm họa tự nhiên, thì có được gia cố để chống lại các thảm
họa đó hay không / hoặc có địa mục dự phòng ở ngoài khu vực thảm họa tiềm tàng hay không?
7.2. Nhân sự quản lý bảo đảm an toàn
Bảo đảm an toàn máy chủ Web có liên hệ mật thiết với hiện trạng bảo đảm an toàn hệ thống thông tin
chung của tổ chức, một số nhân viên bảo đảm an toàn hệ thống và CNTT có thể tham gia vào việc lập
kế hoạch, triển khai và quản trị máy chủ Web. Phần này cung cấp một danh sách các vị trí cơ bản và xác
định trách nhiệm của chúng theo mức độ liên quan đến bảo đảm an toàn máy chủ Web. Các vị trí này
được đưa ra nhằm mục đích thảo luận và có thể thay đổi tùy theo tổ chức.
7.2.1. Giám đốc thông tin
Tham chiếu mục 7.2.1 TCVN XXXX:2021 Công nghệ thông tin – Các kỹ thuật an toàn - Hướng dẫn bảo
đảm an toàn máy chủ.

27
7.2.2. Cấp quản lý chương trình bảo đảm an toàn hệ thống thông tin
Tham khảo mục 7.2.2 TCVN XXXX:2021 Công nghệ thông tin – Các kỹ thuật an toàn - Hướng dẫn bảo
7.2.3. Nhân viên bảo đảm an toàn hệ thống thông tin
7.2.4. Quản trị viên mạng và máy chủ Web
7.2.5. Nhà phát triển ứng dụng Web
Các nhà phát triển ứng dụng Web phải chịu trách nhiệm về giao diện, chức năng, hiệu năng và bảo đảm
an toàn nội dung Web và các ứng dụng trên web do họ tạo ra. Như đã đề cập trong Phần 5, các mối đe
dọa ngày càng nhắm vào các ứng dụng thay vì các phần mềm và hệ điều hành nền của máy chủ Web.
Trừ khi các nhà phát triển ứng dụng Web đảm bảo rằng mã nguồn của họ có tính đến yếu tố bảo đảm
an toàn, cho dù máy chủ và cơ sở hạ tầng hỗ trợ tốt đến đâu thì máy chủ Web vẫn sẽ yếu về bảo đảm
an toàn. Các nhà phát triển ứng dụng Web cần đảm bảo ứng dụng mà họ triển khai có được các đặc
tính sau:
 Hỗ trợ xác thực, ủy quyền an toàn và cơ chế kiểm soát truy cập theo yêu cầu.
 Thực hiện xác thực đầu vào để các cơ chế bảo đảm an toàn của ứng dụng không bị qua mặt khi
người dùng độc hại giả mạo dữ liệu mà họ gửi đến ứng dụng, bao gồm các yêu cầu HTTP, tiêu
đề, chuỗi truy vấn, cookie, trường biểu mẫu và trường ẩn.
 Xử lý lỗi một cách an toàn để không dẫn lộ thông tin triển khai nhạy cảm.
 Bảo vệ thông tin nhạy cảm mà ứng dụng đã xử lý và/ hoặc lưu trữ. Bảo vệ không đầy đủ có thể
cho phép giả mạo dữ liệu và truy cập vào các thông tin bí mật như tên người dùng, mật khẩu và
số thẻ tín dụng.
 Duy trì nhật ký riêng của ứng dụng. Trong nhiều trường hợp, việc ghi nhật ký của máy chủ Web
không đủ để ghi nhận những gì người dùng làm ở cấp ứng dụng nên đòi hỏi ứng dụng phải duy
trì nhật ký riêng của mình. Ghi nhật ký chi tiết không đầy đủ có thể dẫn đến thiếu thông tin về các
cuộc xâm nhập tiềm tàng và không thể xác minh hành động của người dùng, cả người dùng hợp
pháp và độc hại.
 Được “cứng hoá” chống lại các cuộc tấn công DoS ở cấp độ ứng dụng. Mặc dù tấn công DoS
thường nhắm mục tiêu vào mạng và các lớp vận chuyển, nhưng bản thân ứng dụng vẫn có thể
là mục tiêu. Nếu người dùng độc hại có thể chiếm quyền được ứng dụng cần thiết hoặc tài nguyên
hệ thống, thì người dùng hợp pháp có thể bị ngăn không cho sử dụng hệ thống.

28
7.3. Thực hành quản lý
Tham chiếu mục 7.3 TCVN XXXX:2021 Công nghệ thông tin – Các kỹ thuật an toàn - Hướng dẫn bảo
7.4. Kế hoạch bảo mật hệ thống
7.5. Yêu cầu về nhân lực
7.6. Các nền tảng máy chủ web thay thế
Mặc dù nhiều tổ chức quản lý các máy chủ Web hoạt động trên các hệ điều hành thông dụng, vẫn có
trường hợp muốn sử dụng một trong những lựa chọn thay thế bên dưới.
7.6.1 Hệ điều hành tin cậy
Hệ điều hành tin cậy TOS (Trused operating systems) là các HĐH đã điều chỉnh hoặc tăng cường bảo
đảm an toàn, bổ sung các cơ chế bảo đảm an toàn không có trong các HĐH thông dụng. Ban đầu, chúng
được tạo nhằm đáp ứng yêu cầu về các hệ thống kiểm soát truy cập bắt buộc (MAC) an toàn cao, bao
gồm chính sách kiểm soát an toàn trên toàn hệ thống, các đặc truyền truy cập được xác định rõ ràng,
khả năng ghi nhật ký và kiểm tra mở rộng. Nhiều TOS được xác minh độc lập để đảm bảo rằng chúng
đáp ứng các yêu cầu đặt ra trong tài liệu thiết kế của họ.
TOS thường được sử dụng cho các ứng dụng yêu cầu rất cao về tính bảo đảm an toàn. TOS có thể kiểm
soát an toàn tất cả các khía cạnh của môi trường máy tính, bao gồm tài nguyên mạng, người dùng, quy
trình và bộ nhớ. Cụ thể, các TOS có thể giới hạn quyền truy cập vào tài nguyên hệ thống theo cách
không có khả năng bị can thiệp hoặc xâm phạm. Sử dụng TOS nói chung sẽ tạo ra một máy chủ Web
rất an toàn nhưng vẫn có một số khó khăn khi sử dụng TOS. Nhược mục là việc cấu hình và quản trị
TOS đòi hỏi kiến thức về từng hệ thống thành phần được bảo vệ và nhu cầu truy cập của nó. Nó cũng
có thể cần thêm chi phí để lập kế hoạch và chi phí quản trị để thiết kế và hỗ trợ một trang Web phức tạp
trên TOS. Tuy nhiên, dù có những hạn chế này thì các tổ chức có yêu cầu bảo đảm an toàn cao vẫn nên
cân nhắc sử dụng TOS trên máy chủ Web của họ.
Một số nhà sản xuất đã bắt đầu đóng gói các dịch vụ HĐH của họ với hầu hết hoặc tất cả các chức năng
của TOS truyền thống để sử dụng trong môi trường máy chủ hoặc máy trạm. Các tổ chức có thể hưởng
lợi từ các hệ thống như vậy vì phần lớn chi phí trong việc thiết kế và cấu hình máy chủ Web để chạy
trong môi trường TOS đã được nhà sản xuất thực hiện. Lợi ích của máy chủ web từ kiểm soát truy cập
bắt buộc của TOS ở chỗ hệ thống có thể từ chối rõ ràng quyền truy cập của quy trình máy chủ Web vào
các phần nhạy cảm của hệ thống ngay cả khi kẻ tấn công đã quản lý để kiểm soát quy trình.

29
Một số vấn đề cần lưu ý khi xem xét một nền tảng Web:
 TOS là gì và nó đã hoạt động như thế nào trong thử nghiệm bảo đảm an toàn?
 Tổ chức có đủ chuyên môn cần thiết để quản trị TOS không?
 Chi phí tăng thêm do mua và hỗ trợ của TOS có lớn hơn lợi ích mà nó mang lại hay không?
 TOS có tương thích với các ứng dụng web và tập lệnh Web đang có của tổ chức hay không?
 TOS có tương thích với các ứng dụng và máy chủ khác của tổ chức sẽ tương tác với nó không?
7.6.2. Thiết bị máy chủ Web
Thiết bị máy chủ Web là sự kết hợp giữa phần cứng và phần mềm, được thiết kế để trở thành máy chủ
Web có thể “cắm và chạy”. Các thiết bị này sử dụng hệ điều hành tối giản được tối ưu hóa để hỗ trợ máy
chủ Web. Hệ điều hành tối giản cải thiện bảo đảm an toàn bằng cách giảm các tính năng, dịch vụ và tùy
chọn không cần thiết. Ứng dụng máy chủ Web trên các hệ thống này thường được kiện toàn và thiết lập
cấu hình có sẵn cho việc bảo đảm an toàn.
Ngoài bảo đảm an toàn, các hệ thống này còn mang lại các lợi ích khác. Hiệu năng thường được nâng
cao vì hệ thống gồm hệ điều hành, ứng dụng máy chủ Web và phần cứng được thiết kế, xây dựng
chuyên biệt cho hoạt động như một máy chủ Web. Chi phí cũng giảm hơn vì không bao gồm phần cứng
và phần mềm cho các mục đích khác. Các hệ thống này có thể là một lựa chọn tuyệt vời cho các tổ chức
quy mô vừa và nhỏ, không có khả năng duy trì quản trị viên Web toàn thời gian.
Nhược điểm lớn nhất ở các hệ thống này là có thể không phù hợp cho các trang web lớn, phức tạp và
đa lớp. Có thể bị giới hạn bởi những loại nội dung mặc định mà chúng hỗ trợ (ví dụ: J2EE, .NET, PHP),
có thể làm giảm các tùy chọn có sẵn cho tổ chức. Thiết bị có thể quản lý cơ sở dữ liệu dự phòng cũng
như giao diện Web, có thể khiến tổ chức không thể sử dụng máy chủ riêng cho mỗi loại cơ sở dữ liệu.
Cuối cùng, khó có thể thiết lập cấu hình các thiết bị của các nhà sản xuất khác nhau để làm việc cùng
nhau. Tuy nhiên, vì cung cấp một môi trường an toàn và giao diện dễ cấu hình, do vậy các tổ chức vừa
và nhỏ có thể coi đây là một tùy chọn hấp dẫn, tốn ít công sức quản trị hơn. Các thiết bị máy chủ Web
có sẵn từ hầu hết các nhà sản xuất phần cứng lớn và nhiều nhà sản xuất chuyên về các thiết bị máy chủ
Web khác nhau.
Ngoài các thiết bị máy chủ Web có sẵn, ngày càng có nhiều thiết bị bảo đảm an toàn dành cho máy chủ
Web. Các hệ thống này củng cố thêm các cơ chế bảo đảm an toàn trên chính máy chủ Web. Trong một
số trường hợp, các hệ thống này có thể ngăn chặn các cuộc tấn công đến máy chủ Web, đặc biệt hữu
ích nếu máy chủ có các lỗ hổng đã công bố mà chưa áp dụng các bản vá. Các loại thiết bị bảo đảm an
toàn phổ biến nhất là:
 Tăng tốc SSL (SSL- Secure Sockets Layer), giúp giảm tải quá trình tính toán xử lý cần thiết cho
khởi tạo các kết nối SSL/TLS (Transport Layer Security);
 Cổng bảo đảm an toàn (security gateway), giúp theo dõi lưu lượng HTTP đến và đi từ máy chủ
Web để phát hiện các cuộc tấn công tiềm năng và có hành động khi cần;

30
 Các bộ lọc nội dung, có thể giám sát lưu lượng đến và đi từ máy chủ Web để phát hiện dữ liệu
nhạy cảm hoặc không phù hợp và có hành động khi cần;
 Các cổng xác thực, xác thực người dùng bằng nhiều cơ chế xác thực khác nhau và kiểm soát
quyền truy cập vào URL được quản lý trên bản thân máy chủ Web.
Trong nhiều trường hợp, phần lớn hoặc toàn bộ các chức năng nêu trên được kết hợp trong một thiết bị
duy nhất, thường được gọi là proxy đảo6
Với các tổ chức đòi hỏi các trang Web động phức tạp, cấu hình của thiết bị bảo đảm an toàn phức tạp,
có thể gây ra lỗi cấu hình làm giảm hiệu quả của thiết bị. Điều quan trọng là phải thực hành phòng thủ
theo chiều sâu để bảo đảm rằng mọi lỗ hổng có trong thiết bị bảo đảm an toàn hoặc cấu hình không gây
ra ảnh hưởng xấu đến toàn bộ tổ chức.
Một thách thức khác nữa mà các thiết bị ứng dụng tạo ra thường sử dụng phần mềm mã nguồn mở.
Thông thường đây không phải trở ngại, nhưng có thể trở thành một vấn đề khi phát hiện lỗ hổng trong
phần mềm nền vì thường không thể sử dụng bản vá do nhóm phát triển phần mềm mã nguồn mở phát
hành. Các lý do phổ biến cho việc không thể sử dụng bản vá này bao gồm các vi phạm thỏa thuận bản
quyền hoặc hỗ trợ với nhà sản xuất thiết bị có thể có và các vấn đề kỹ thuật khi áp dụng các bản cập
nhật cho thiết bị, ví dụ quản trị viên thường không có quyền truy cập cấp thiết bị ở cấp độ hệ điều hành.
Do đó, các thiết bị có thể bị bỏ ngỏ cho tấn công trong thời gian dài hơn các hệ thống không phải là thiết
bị ứng dụng do có thêm sự chậm trễ liên quan đến việc phát triển, thử nghiệm và phát hành các bản vá
của nhà sản xuất thiết bị. Một vấn đề khác có thể xảy ra với thiết bị là chúng thường không cho phép cài
đặt phần mềm bổ sung để quản trị hoặc bảo đảm an toàn, chẳng hạn như phần mềm chống vi-rút hoặc
các chương trình phát hiện xâm nhập trên máy chủ.
Sau đây là một số vấn đề cần cân nhắc khi mua thiết bị Web:
 Hệ điều hành nền là gì và hoạt động như thế nào trong kiểm tra bảo đảm an toàn?
 Thiết bị hoạt động như thế nào trong kiểm tra bảo đảm an toàn? Lưu ý rằng các tùy chọn cấu
hình cho thiết bị Web cần được giới hạn, theo đó, một thiết bị Web nói chung sẽ chỉ an toàn như
cấu hình cài đặt mặc định của nó.
 Cơ sở hạ tầng máy chủ Web của tổ chức không đồng nhất như thế nào? Thiết bị của các hãng
khác nhau có thể làm việc cùng nhau không được tốt.
6
Điều này không có nghĩa rằng tất cả các proxy ngược là thiết bị ứng dụng; thực tế thì nhiều trong số chúng không phải.

31
 Các tùy chọn mở rộng vốn có của thiết bị có được tổ chức chấp nhận hay không? Các tổ chức
đang dự báo trước hoặc vấp phải sự tăng trưởng nhanh chóng về lưu lượng Web có thể không
muốn giới hạn mình bởi một thiết bị hoặc nhà cung cấp thiết bị duy nhất.
 Thiết lập cấu hình cho thiết bị có khó không? Thiết bị có đủ linh hoạt để đáp ứng nhu cầu của tổ
chức không?
 Tốc độ phản ứng và cung cấp bản vá cho các lỗ hổng tiềm ẩn của nhà sản xuất như thế nào?
 Phần mềm nền được sử dụng trên cơ sở có bản quyền, mã nguồn mở hay kết hợp cả hai?
 Nhà sản xuất sẽ hỗ trợ thiết bị trong bao lâu và lịch sử hỗ trợ của nhà sản xuất đối với các thiết
bị cũ như thế nào?
7.6.3. Hệ điều hành và máy chủ Web cấu hình sẵn
Hiện nay, ngày càng có nhiều gói máy chủ Web và hệ điều hành cấu hình sẵn được phân phối. Các gói
này bao gồm một hệ điều hành và ứng dụng máy chủ Web được sửa đổi và thiết lập sẵn cấu hình để
cung cấp bảo đảm an toàn cao. Một số trong các gói này bao gồm nền tảng phần cứng, trong khi các gói
khác là các bản phân phối phần mềm chỉ bao gồm hệ điều hành và ứng dụng máy chủ Web. Các bản
phân phối này thường dựa trên các HĐH thông dụng đã kiện toàn và/hoặc sửa đổi (ví dụ: Linux, Unix,
Windows) được thiết kế riêng để hỗ trợ máy chủ Web an toàn. Ứng dụng máy chủ Web cũng thường
dựa trên ứng dụng máy chủ Web đã kiện toàn và/hoặc sửa đổi (ví dụ: Apache, IIS). Các gói này thường
bao gồm nhiều tùy chọn bảo đảm an toàn hơn và được thiết kế để thiết lập cấu hình dễ dàng hơn thông
qua việc sử dụng các tập lệnh biên dịch sẵn và giao diện người dùng đồ họa (GUI-Graphical User
Interface). Mặc dù từng gói này là khác nhau, nhưng thường dựa trên một hoặc nhiều yếu tố sau đây để
cung cấp mức độ bảo vệ và bảo đảm an toàn cao hơn:
 Cấu hình mặc định ban đầu an toàn;
 Hệ điều hành nâng cấp hoặc TOS;
 Phần mềm máy chủ Web nâng cấp;
 Khả năng kiểm tra mở rộng;
 Trình bao ứng dụng (Application Wrapper);
 Trình bao gói mạng và/hoặc khả năng tường lửa trên máy chủ;
 Hệ thống phát hiện xâm nhập máy chủ;
 Quản trị bảo mật đơn giản hóa, ví dụ các menu, GUI.
Các tổ chức như các cơ quan nhà nước, tổ chức tài chính, ngân hàng, công ty bảo hiểm y tế thường
phải đối mặt với nguy cơ mất an toàn thông tin cao và/hoặc sở hữu các trang web giá trị cao nên cân
nhắc sử dụng các hệ thống này. Các gói này hiện có sẵn từ một số nhà sản xuất phần cứng và phần
mềm lớn, bên cạnh các nhà sản xuất chuyên biệt khác.

32
Một số vấn đề cần cân nhắc thấu đáo khi có ý định mua thiết bị Web đã được đóng gói sẵn:
 Hệ điều hành nền là gì và hoạt động như thế nào trong kiểm tra bảo đảm an toàn?
 Thiết bị hoạt động như thế nào trong kiểm tra bảo đảm an toàn?
 Việc quản trị có khó không?
 Ứng dụng và hệ điều hành máy chủ Web đóng gói sẵn có tương thích với các ứng dụng Web và
tập lệnh hiện có của tổ chức không?
 Tốc độ phản ứng và cung cấp bản vá cho các lỗ hổng tiềm ẩn của nhà sản xuất như thế nào?
7.6.4. Ảo hóa các nền tảng
Công nghệ máy ảo ngày càng được sử dụng rộng rãi hơn cho các máy chủ Web. Thông qua ảo hóa,
một máy chủ vật lý đơn lẻ có thể chạy nhiều máy ảo, mỗi máy ảo có một hệ điều hành khách riêng biệt
và các ứng dụng đi kèm. Một hệ điều hành khách không cần biết đến các HĐH khác, ngay cả hệ điều
hành máy host, chạy trên cùng một nền tảng vật lý.
Ảo hóa cho phép các tổ chức giảm chi phí bằng cách chạy nhiều máy chủ Web trên một máy chủ đơn lẻ
bằng cách cung cấp cơ chế phản ứng nhanh trước các cuộc tấn công vào máy chủ Web. Dưới đây là
định nghĩa về ba loại công nghệ máy ảo chính. Lưu ý rằng một số phần mềm ảo hóa có thể triển khai
lưỡng dụng, tùy thuộc vào phần cứng và hệ điều hành khách.
 Ảo hóa toàn phần, mô phỏng tất cả các phần cứng mà hệ điều hành khách yêu cầu. Ảo hóa toàn
phần rất hữu ích trong các trường hợp hệ điều hành khách chạy trên máy có kiến trúc khác với
máy chủ. Ảo hóa toàn phần dẫn đến hiệu năng thay đổi đáng kể vì tất cả các lệnh phải được mô
phỏng bằng phần mềm;
 Ảo hóa tự nhiên, chỉ mô phỏng phần cứng cần thiết để chạy hệ điều hành khách chưa sửa đổi.
Trong ảo hóa tự nhiên, hầu hết các lệnh có thể được truyền đến CPU của máy tính chủ (CPU)
dưới dạng không đổi, làm giảm hiệu năng;
 Ảo hóa song song, không mô phỏng phần cứng. Thay vào đó, công nghệ ảo hóa này cung cấp
một giao diện lập trình ứng dụng (API) cho hệ điều hành khách đã sửa đổi sử dụng hoặc tận
dụng các tính năng ảo hóa mà bộ xử lý hỗ trợ.
Ảo hóa làm tăng thêm sự phức tạp trong quá trình thiết lập máy chủ Web. Cả hệ điều hành máy chủ và
hệ điều hành máy khách đều cần được bảo đảm an toàn. Nếu công nghệ ảo hóa hỗ trợ bảo mật, bản
sao của mỗi hệ điều hành khách và ứng dụng máy chủ Web đã cài đặt cần được sao lưu lại để có thể
khôi phục nếu một cuộc tấn công hoặc tình huống gián đoạn khác xảy ra. Máy chủ Web và hệ điều hành
khách của nó, hệ điều hành chủ và phần mềm ảo hóa đều phải được vá lỗi kịp thời. Một lưu ý quan trọng
là nếu hệ điều hành khách hoặc ứng dụng bị xâm nhập, máy ảo khách có thể lây nhiễm cho các máy
chủ khác trong mạng như là một máy chủ vật lý độc lập. Mỗi hệ điều hành khách và phần mềm máy chủ
Web đi kèm phải được cấu hình và duy trì tuân theo các khuyến nghị trong tiêu chuẩn này.

33
7.7. Danh sách việc cần làm khi lập kế hoạch và quản lý máy chủ Web
Đã hoàn thành Công việc
Kế hoạch thiết lập cấu hình và triển khai máy chủ Web
Xác định các chức năng của máy chủ Web
Xác định danh mục thông tin sẽ được lưu trữ, xử lý và truyền qua
máy chủ Web
Xác định yêu cầu bảo đảm an toàn của thông tin
Xác định cách thức xuất bản thông tin lên máy chủ Web
Xác định yêu cầu bảo đảm an toàn của các máy chủ khác có liên
quan (ví dụ: cơ sở dữ liệu phụ trợ hoặc dịch vụ Web)
Xác định máy chủ chuyên biệt dùng để chạy máy chủ Web
Xác định các dịch vụ mạng mà máy chủ Web sẽ cung cấp hoặc hỗ
trợ
Xác định yêu cầu bảo đảm an toàn của bất kỳ dịch vụ bổ sung nào
do máy chủ Web cung cấp hoặc hỗ trợ
Xác định cách thức quản lý máy chủ Web
Xác định người dùng và danh mục người dùng của máy chủ Web và
thiết lập đặc quyền cho từng danh mục người dùng
Xác định phương pháp xác thực người dùng cho máy chủ Web và
cách thức bảo vệ dữ liệu xác thực
Xác định cách thức thực hiện truy cập vào tài nguyên thông tin
Xác định các cơ chế bảo đảm an toàn vật lý phù hợp
Xác định các cơ chế khả dụng phù hợp
Lựa chọn hệ điều hành phù hợp cho máy chủ Web
Khả năng tồn tại các lỗ hổng nhỏ nhất
Khả năng giới hạn các hoạt động cấp quản trị hoặc thư mục gốc chỉ
dành cho người dùng được ủy quyền
Khả năng kiểm soát truy cập dữ liệu trên máy chủ
Khả năng vô hiệu hóa các dịch vụ mạng không cần thiết, có thể được
tích hợp sẵn trong hệ điều hành hoặc phần mềm máy chủ

TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX

TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX

Recommended

Recommended

More Related Content

Similar to TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX

Similar to TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX (20)

Recently uploaded

Recently uploaded (8)

TCVN-HUONG-DAN-BAO-DAM-AN-TOAN-MAY-CHU-WEB-Du Thao.DOCX