Việc lộ lọt thông tin qua các thông báo lỗi (Information Disclosure) ảnh hưởng như thế nào đến bảo mật và cách xử lý lỗi an toàn trong ứng dụng Enterprise?

Question

Accepted Answer

Tác động bảo mật
Khi ứng dụng trả về các thông báo lỗi chi tiết (như Stack Trace, đường dẫn file, tên bảng database, hoặc phiên bản framework), kẻ tấn công có thể thu thập thông tin về cấu trúc hệ thống để lập kế hoạch tấn công chính xác hơn (Reconnaissance).
Best Practices xử lý lỗi

Không hiển thị chi tiết lỗi cho người dùng cuối: Chỉ hiển thị thông báo lỗi chung chung (ví dụ: 'Đã có lỗi xảy ra, vui lòng thử lại sau').
Ghi log tập trung: Sử dụng các công cụ như ELK Stack hoặc Winston để ghi lại chi tiết lỗi ở phía Server phục vụ việc debug.
Phân loại lỗi: Phân biệt giữa lỗi người dùng (4xx) và lỗi hệ thống (5xx).

Ví dụ cấu hình
Trong môi trường Production, luôn tắt chế độ hiển thị lỗi chi tiết:
// Express.js
app.use((err, req, res, next) => {
  console.error(err.stack); // Ghi log chi tiết vào hệ thống
  res.status(500).json({ error: 'Internal Server Error' }); // Trả về thông báo an toàn
});

Việc lộ lọt thông tin qua các thông báo lỗi (Information Disclosure) ảnh hưởng như thế nào đến bảo mật và cách xử lý lỗi an toàn trong ứng dụng Enterprise?

Tác động bảo mật

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi web security liên quan cùng chủ đề