imager 2 897 700
Khi thiết kế xây dựng ứng dụng công nghệ tiên tiến như web app hay mobile app, một trong những bước không hề thiếu để ngày càng tăng bảo mật thông tin cho mẫu sản phẩm là kiểm thử xâm nhập – penetration testing, hay còn gọi là pentest. Vậy, pentest thực ra là gì, vai trò đơn cử của module này với ATTT trong doanh nghiệp ra làm sao ? Cùng khám phá trong bài viết dưới đây .Bạn đang xem : Pentest là gì*

Pentest là gì?

Penetration testing

Pentest, viết tắt của penetration testing (kiểm tra xâm nhập), là hình thức đánh giá mức độ an toàn của một hệ thống IT bằng các cuộc tấn công mô phỏng thực tế. Hiểu đơn giản, pentest cố gắng xâm nhập vào hệ thống để phát hiện ra những điểm yếu tiềm tàng của hệ thống mà tin tặc có thể khai thác và gây thiệt hại.

Mục tiêu của pentest là giúp tổ chức phát hiện càng nhiều lỗ hổng càng tốt, từ đó khắc phục chúng để loại trừ khả năng bị tấn công trong tương lai. Người làm công việc kiểm tra xâm nhập được gọi là pentester.

Pentest có thể được thực hiện trên hệ thống máy tính, web app, mobile app, hạ tầng mạng, IoT, ứng dụng và hạ tầng cloud, phần mềm dịch vụ SaaS, API, source code, hoặc một đối tượng IT có kết nối với internet và có khả năng bị tấn công… nhưng phổ biến nhất là pentest web app và mobile app. Những thành phần trên được gọi là đối tượng kiểm thử (pentest target).

Khi thực hiện xâm nhập, pentester cần có được sự cho phép của chủ hệ thống hoặc phần mềm đó. Nếu không, hành động xâm nhập sẽ được coi là hack trái phép. Thực tế, ranh giới giữa pentest và hack chỉ là sự cho phép của chủ đối tượng. Vì thế, khái niệm pentest có ý nghĩa tương tự như ethical hacking (hack có đạo đức), pentester còn được gọi là hacker mũ trắng (white hat hacker).

*Để hiểu rõ hơn về Pentest, ta cần hiểu rõ ba khái niệm cơ bản trong bảo mật thông tin là “ vulnerabilities ”, “ exploits ”, và “ payloads ”Lỗ hổng (vulnerabilities) là những điểm yếu bảo mật của một phần mềm, phần cứng, hệ điều hành, hay ứng dụng web cho phép kẻ tấn công một cơ sở để tấn công hệ thống. Lỗ hổng có thể đơn giản như mật khẩu yếu, hay phức tạp như lỗ hổng SQL hoặc tràn bộ nhớ đệm.Khai thác (exploits) là hành động lợi dụng một lỗ hổng, sự cố hay lỗi của phần mềm, đoạn dữ liệu hay một chuỗi các lệnh nhằm gây ra hành vi bất thường không mong muốn xảy ra trên một hệ thống máy tính. Những hành vi đó bao gồm leo thang đặc quyền, đánh cắp thông tin nhạy cảm, tấn công từ chối dịch vụ, v.v.Trọng tải (payloads) là một phần của hệ thống đang tồn tại lỗ hổng và là mục tiêu để khai thác.

Các hình thức pentest

White box Testing: Trong hình thức pentest white box, các chuyên gia kiểm thử được cung cấp đầy đủ thông tin về đối tượng mục tiêu trước khi họ tiến hành kiểm thử. Những thông tin này bao gồm: địa chỉ IP, sơ đồ hạ tầng mạng, các giao thức sử dụng, hoặc source code.Gray box Testing: Pentest gray box là hình thức kiểm thử mà pentester nhận được một phần thông tin của đối tượng kiểm thử, ví dụ URL, IP address,… nhưng không có hiểu biết đầy đủ hay quyền truy cập vào đối tượng.Black box Testing: Pentest black box, hay còn gọi là ‘blind testing’, là hình thức pentest dưới góc độ của một hacker trong thực tế. Với hình thức này, các chuyên gia kiểm thử không nhận được bất kỳ thông tin nào về đối tượng trước khi tấn công. Các pentester phải tự tìm kiếm và thu thập thông tin về đối tượng để tiến hành kiểm thử. Loại hình pentest này yêu cầu một lượng lớn thời gian tìm hiểu và nỗ lực tấn công, nên chi phí không hề rẻ.Lỗ hổng ( ) là những điểm yếu bảo mật thông tin của một ứng dụng, phần cứng, hệ quản lý, hay ứng dụng web được cho phép kẻ tiến công một cơ sở để tiến công mạng lưới hệ thống. Lỗ hổng hoàn toàn có thể đơn thuần như mật khẩu yếu, hay phức tạp như lỗ hổng SQL hoặc tràn bộ nhớ đệm. Khai thác ( ) là hành vi tận dụng một lỗ hổng, sự cố hay lỗi của ứng dụng, đoạn tài liệu hay một chuỗi những lệnh nhằm mục đích gây ra hành vi không bình thường không mong ước xảy ra trên một mạng lưới hệ thống máy tính. Những hành vi đó gồm có leo thang độc quyền, đánh cắp thông tin nhạy cảm, tiến công khước từ dịch vụ, v.v. Trọng tải ( ) là một phần của mạng lưới hệ thống đang sống sót lỗ hổng và là tiềm năng để khai thác. : Trong hình thức pentest white box, những chuyên viên kiểm thử được phân phối không thiếu thông tin về đối tượng người dùng tiềm năng trước khi họ thực thi kiểm thử. Những thông tin này gồm có : địa chỉ IP, sơ đồ hạ tầng mạng, những giao thức sử dụng, hoặc source code. : Pentest gray box là hình thức kiểm thử mà pentester nhận được một phần thông tin của đối tượng người tiêu dùng kiểm thử, ví dụ URL, IP address, … nhưng không có hiểu biết khá đầy đủ hay quyền truy vấn vào đối tượng người tiêu dùng. : Pentest black box, hay còn gọi là ‘ ’, là hình thức pentest dưới góc nhìn của một hacker trong thực tiễn. Với hình thức này, những chuyên viên kiểm thử không nhận được bất kể thông tin nào về đối tượng người dùng trước khi tiến công. Các pentester phải tự tìm kiếm và tích lũy thông tin về đối tượng người dùng để triển khai kiểm thử. Loại hình pentest này nhu yếu một lượng lớn thời hạn khám phá và nỗ lực tiến công, nên ngân sách không hề rẻ .Ngoài ra còn những hình thức pentest khác như : double-blind testing, external testing, internal testing, targeted testing tuy nhiên chúng không thông dụng tại Nước Ta và chỉ được sử dụng với nhu yếu đặc trưng của 1 số ít doanh nghiệp .

Lịch sử của Penetration Testing

Giữa những năm 1960 s, tận mắt chứng kiến sự ngày càng tăng trong năng lực trao đổi tài liệu qua mạng máy tính, những chuyên viên đã cảnh báo nhắc nhở về rủi ro tiềm ẩn chắc như đinh sẽ có sự tiến công xâm nhập vào những mạng của cơ quan chính phủ và doanh nghiệp và giành quyền truy vấn vào tài liệu được trao đổi. Tại Hội nghị Máy tính Chung Thường niên năm 1967 quy tụ hơn 15.000 chuyên gia bảo mật máy tính, những nhà nghiên cứu và phân tích đã đàm đạo và đặt ra thuật ngữ “ penetration ” ( xâm nhập ). Các chuyên viên xác lập đó là một trong những mối đe dọa so với trao đổi tài liệu qua mạng máy tính ngày này .*

Cuối năm 1967, tập đoàn RAND đã hợp tác với Cơ quan Dự án Nghiên cứu Tiên tiến (dARPA) tại Hoa Kỳ để tạo ra một báo cáo chuyên đề, được gọi là Willis Report (đặt tên theo người đứng đầu dự án). Báo cáo đã thảo luận về các vấn đề an ninh của mạng internet và đề xuất chính sách, đặt nền móng cho các biện pháp an ninh ngày nay. Dựa trên báo cáo này, chính phủ Hoa Kỳ đã hợp tác với doanh nghiệp và thành lập các nhóm với sứ mệnh “dò tìm các lỗ hổng bảo mật trong hệ thống mạng máy tính để có biện pháp bảo vệ các hệ thống đó khỏi sự xâm nhập và khai thác trái phép”.

Những nhóm pentest đầu tiên trên thế giới có tên Tiger Teams (đặt tên theo lính đặc nhiệm Hoa Kỳ) được hình thành vào cuối những năm 1960s với nhiệm vụ tấn công vào các mạng máy tính để đánh giá khả năng chống chịu của các mạng đó trước các cuộc tấn công thù địch. Kết quả thu được đã khiến các nhà lãnh đạo không khỏi bất ngờ:

Hầu hết những mạng lưới hệ thống được kiểm tra khi đó đều “ bị đánh gục một cách thuận tiện và nhanh gọn ” .Chiến dịch thử nghiệm xâm nhập này của RAND Corporation và cơ quan chính phủ đã chứng tỏ hai điều :– thứ nhất, những mạng lưới hệ thống hoàn toàn có thể bị xâm nhập ; và – thứ hai, sử dụng những kỹ thuật kiểm tra xâm nhập ( penetration testing ) để xác lập những lỗ hổng trong mạng lưới hệ thống, mạng, phần cứng và ứng dụng là một giải pháp hữu dụng để nhìn nhận và cải tổ tính bảo mật thông tin cho cả mạng lưới hệ thống .Sau này, học giả Deborah Russell và G. T. Gangemi Sr. nhận xét rằng, những năm 1960 s đã “ ghi lại sự khởi đầu thực sự của thời đại bảo mật thông tin máy tính ” .The 1960 s marked the true beginning of the age of computer securityDeborah Russell & G.T. Gangemi Sr.

Tại sao cần Pentest?

Deborah Russell và G.T. Gangemi Sr .Ngày nay, dưới sự tăng trưởng của công nghệ tiên tiến, kiểm tra xâm nhập đã trở thành một mô-đun không hề thiếu trong mạng lưới hệ thống bảo đảm an toàn thông tin của nhiều doanh nghiệp .

Penetration Testing (kiểm tra thâm nhập) là giải pháp hiệu quả để bảo mật cho web, mobile app, network, IoT,… khỏi cuộc tấn công của tin tặc. Thông qua các cuộc tấn công mô phỏng thực tế, các kỹ sư kiểm thử có thể tìm ra những điểm yếu bảo mật của hệ thống. Qua đó giúp doanh nghiệp vá lỗ hổng kịp thời, trước khi tin tặc khai thác chúng và gây thiệt hại về tiền bạc, danh tiếng cho tổ chức.

Theo đơn vị chức năng điều tra và nghiên cứu thị trường Market Watch, dung tích thị trường Pentest vào năm 2018 là 920 triệu USD, sẽ tăng lên 2420 triệu USD vào năm 2025 với vận tốc tăng trưởng 14,9 % trong quá trình 2019 – 2025. Nhu cầu dành cho việc kiểm tra sức chống chịu của mạng lưới hệ thống trước tội phạm mạng là rất lớn. Lý do lý giải cho sự tăng trưởng này đến từ bốn yếu tố .

Bốn lý do khiến Pentest là không thể thiếu với doanh nghiệp hiện đại

Phát triển web app, mobile app gia tăngPhát triển web app, mobile app ngày càng tăng

Đầu tiên, các mô hình kinh doanh trong nền kinh tế số đòi hỏi doanh nghiệp phải sử dụng website, ứng dụng mobile để tiếp cận – kết nối – giao tiếp – chăm sóc khách hàng. Điều này vừa là lợi thế, vừa là yêu cầu bắt buộc đối với một số tổ chức. Bởi vì hành vi của người dùng đã thay đổi, họ thích sự tiện lợi, thích làm mọi thứ “online”. Chính vì vậy doanh nghiệp tuy hạn chế được rủi ro khi bán hàng offline như hàng tồn, chi phí mặt bằng; nhưng đồng thời cũng phải gánh thêm các rủi ro mạng: bị hack website, bị hack mobile app, đánh cắp thông tin khách hàng, dữ liệu quan trọng, bị gián đoạn hoạt động, bị nhiễm virus – mã độc, v.v…

*Xu hướng quy đổi sốThứ hai, doanh nghiệp văn minh bị buộc phải chạy theo xu thế “ số hóa ” hay “ quy đổi số ”. Việc ứng dụng công nghệ tiên tiến mới vào vận hành doanh nghiệp giúp cắt giảm ngân sách nhân lực, quản lý và vận hành, nhưng cũng làm ngày càng tăng những mặt phẳng tiến công dành cho tin tặc. Điển hình là ERP dành cho quản trị, CRM giúp tàng trữ thông tin và chăm nom người mua, những thiết bị IoT trong quản lý và vận hành, v.v. Tất cả những loại sản phẩm kỹ thuật số này, nếu không được bảo mật thông tin đúng cách thì đều hoàn toàn có thể trở thành nạn nhân của tội phạm mạng .Phần mềm SaaSPhần mềm SaaS

Thứ ba, xu hướng sử dụng các phần mềm dịch vụ trả tiền theo nhu cầu “as-a-service” gia tăng so với phần mềm mua bản quyền trọn đời (on-premise). Điều này mang lại sự tiện lợi cho người dùng cuối, nhưng cũng làm gia tăng các rủi ro bảo mật cho nhà cung cấp. Việc phân phối các ứng dụng, phần mềm, hạ tầng, nền tảng dưới dạng dịch vụ (SaaS, IaaS, PaaS, FaaS) đòi hỏi kết nối internet liên tục, đồng nghĩa với rủi ro bị tấn công gián đoạn tăng cao, gây ảnh hưởng tới trải nghiệm của người dùng.

Pentest là hình thức phòng ngừa chủ động hiệu quảPentest là hình thức phòng ngừa dữ thế chủ động hiệu suất caoCuối cùng, giải pháp bảo mật thông tin bằng hình thức tiến công mô phỏng mang lại cho doanh nghiệp những quyền lợi mà những mạng lưới hệ thống phòng thủ tự động hóa không hề có được, mặc dù rằng chúng có tiên tiến và phát triển tới đâu. Bởi những pentester tiến công với tư duy như một tin tặc trong quốc tế thực : rất “ con người ” và đầy tính phát minh sáng tạo .

Xem thêm: Omeptul La Thuốc Gì ? Giá Tiền, Tác Dụng Và Cách Dùng Thuốc Omeptul 20Mg Là Thuốc Gì, Công Dụng Ra Sao

Lợi ích của Pentest

Khi thực thi pentest định kỳ và đúng cách, doanh nghiệp hoàn toàn có thể đạt được những tiềm năng bảo mật thông tin quan trọng :Tăng cường an ninh cho ứng dụng web, mobile, network, IoT, API, hệ thống cloud, SaaS, phần cứng, v.v. Giảm thiểu tối đa khả năng bị hacker xâm nhập trái phép và gây thiệt hại;Các nhà lãnh đạo có cài nhìn toàn cảnh về an ninh ứng dụng & sản phẩm công nghệ của tổ chức;Ước tính thiệt hại mà một cuộc tấn công thực tế có thể gây ra;Bảo mật cơ sở dữ liệu, các thông tin quan trọng của doanh nghiệp và thông tin người dùng;Giúp hệ thống hoạt động ổn định, giảm thiểu khả năng bị tấn công gây gián đoạn;Tìm được các lỗ hổng nguy hiểm mà công cụ/phần mềm phòng thủ tự động khó phát hiện ra;Đảm bảo tiêu chuẩn bảo mật của từng ngành cụ thể (PCI DSS, HIPAA, ISO 27001,…);Củng cố niềm tin cho khách hàng, đối tác, nhà đầu tư.*

Thời điểm thích hợp để triển khai pentest?

Tăng cường bảo mật an ninh cho ứng dụng web, mobile, network, IoT, API, mạng lưới hệ thống cloud, SaaS, phần cứng, v.v. Giảm thiểu tối đa năng lực bị hacker xâm nhập trái phép và gây thiệt hại ; Các nhà chỉ huy có cài nhìn toàn cảnh về bảo mật an ninh ứng dụng và loại sản phẩm công nghệ tiên tiến của tổ chức triển khai ; Ước tính thiệt hại mà một cuộc tiến công thực tiễn hoàn toàn có thể gây ra ; Bảo mật cơ sở tài liệu, những thông tin quan trọng của doanh nghiệp và thông tin người dùng ; Giúp mạng lưới hệ thống hoạt động giải trí không thay đổi, giảm thiểu năng lực bị tiến công gây gián đoạn ; Tìm được những lỗ hổng nguy khốn mà công cụ / ứng dụng phòng thủ tự động hóa khó phát hiện ra ; Đảm bảo tiêu chuẩn bảo mật thông tin của từng ngành đơn cử ( PCI DSS, HIPAA, ISO 27001, … ) ; Củng cố niềm tin cho người mua, đối tác chiến lược, nhà đầu tư. >> Case Study : VNtrip phát hiện 50 lỗ hổng trên web và mobile app trải qua Pentest trên nền tảng WhiteHubCác tổ chức triển khai được khuyến nghị thực thi pentest định kỳ theo chu kỳ luân hồi hàng năm hoặc quý để bảo vệ bảo mật an ninh cho mạng lưới hệ thống IT gồm có hạ tầng mạng và những ứng dụng. Bên cạnh việc tiến hành pentest định kỳ, kiểm tra xâm nhập sẽ thiết yếu mỗi khi doanh nghiệp :có thêm hạ tầng mạng hoặc ứng dụng mới;cập nhật hay điều chỉnh đáng kể các ứng dụng và hạ tầng;chuyển văn phòng sang địa điểm mới và cài đặt lại hệ thống;cập nhật bản vá bảo mật mới; hoặcđiều chỉnh chính sách bảo mật cho người dùng cuối.

Doanh nghiệp nào cần pentest?

có thêm hạ tầng mạng hoặc ứng dụng mới ; update hay kiểm soát và điều chỉnh đáng kể những ứng dụng và hạ tầng ; chuyển văn phòng sang khu vực mới và setup lại mạng lưới hệ thống ; update bản vá bảo mật thông tin mới ; hoặcđiều chỉnh chủ trương bảo mật thông tin cho người dùng cuối .Tuy nhiên, pentest không phải dành cho toàn bộ mọi tổ chức triển khai. Cần xem xét những yếu tố sau trước khi thực thi pentest :Quy mô công ty. Những công ty xuất hiện online thường xuyên hơn sẽ có nhiều vector tấn công và trở nên hấp dẫn hơn với tin tặc.Các công ty có hạ tầng trên cloud có khả năng sẽ không được phép thực hiện pentest hạ tầng cloud. Tuy nhiên nhà cung cấp sẽ có nghĩa vụ phải thực hiện pentest định kỳ để đảm bảo an ninh cho khách hàng sử dụng tài nguyên đám mây của họ.Chi phí pentest không hề thấp, vì thế các công ty có ngân sách an ninh mạng hạn hẹp sẽ khó có thể thực hiện định kỳ.

Điểm yếu của Pentest

Quy mô công ty. Những công ty Open trực tuyến tiếp tục hơn sẽ có nhiều vector tiến công và trở nên mê hoặc hơn với tin tặc. Các công ty có hạ tầng trên cloud có năng lực sẽ không được phép thực thi pentest hạ tầng cloud. Tuy nhiên nhà phân phối sẽ có nghĩa vụ và trách nhiệm phải triển khai pentest định kỳ để bảo vệ bảo mật an ninh cho người mua sử dụng tài nguyên đám mây của họ. giá thành pentest không hề thấp, cho nên vì thế những công ty có ngân sách bảo mật an ninh mạng hạn hẹp sẽ khó hoàn toàn có thể triển khai định kỳ .Mặc dù Pentest là một giải pháp hiệu suất cao để chống lại những cuộc tiến công mạng có chủ đích. Nhưng không có chiêu thức nào là tuyệt đối tuyệt đối. Dưới đây là một số ít mặt hạn chế của Kiểm thử xâm nhập :Chi phí cao: Đối với dịch vụ pentest thông thường, doanh nghiệp sẽ phải trả phí theo giờ hoặc ngày công làm việc của pentester, và chi phí này không hề thấp. Thực tế nhiều doanh nghiệp có nhu cầu bảo mật web app, mobile app nhưng việc chi một khoản tiền quá lớn cho pentest là một rào cản.Thiếu tính đa dạng: Thông thường đội ngũ pentest chỉ bao gồm tối đa 3-5 người, và họ thường kiểm tra theo một quy trình có sẵn, lặp đi lặp lại. Trong khi tin tặc ngoài thực tế không bị bó buộc vào bất kỳ một quy trình nào, và số lượng kẻ xấu là rất nhiều. Khó tích hợp nền tảng: Các pentest thông thường sẽ tạo ra một báo cáo dài với các lỗ hổng được liệt kê. Không có sự tích hợp nào trong vòng đời phát triển phần mềm, và điều này làm tăng thêm chi phí hoạt động và làm chậm tốc độ của cả việc khắc phục và phát triển ứng dụng.: Đối với dịch vụ pentest thường thì, doanh nghiệp sẽ phải trả phí theo giờ hoặc ngày công thao tác của pentester, và ngân sách này không hề thấp. Thực tế nhiều doanh nghiệp có nhu yếu bảo mật thông tin web app, mobile app nhưng việc chi một khoản tiền quá lớn cho pentest là một rào cản. : Thông thường đội ngũ pentest chỉ gồm có tối đa 3-5 người, và họ thường kiểm tra theo một tiến trình có sẵn, lặp đi lặp lại. Trong khi tin tặc ngoài trong thực tiễn không bị gò bó vào bất kể một quy trình tiến độ nào, và số lượng kẻ xấu là rất nhiều. : Các pentest thường thì sẽ tạo ra một báo cáo giải trình dài với những lỗ hổng được liệt kê. Không có sự tích hợp nào trong vòng đời tăng trưởng ứng dụng, và điều này làm tăng thêm ngân sách hoạt động giải trí và làm chậm vận tốc của cả việc khắc phục và tăng trưởng ứng dụng .

Pentest cộng đồng được cho là giải pháp hiệu quả để khắc phục những yếu điểm trên. Với Pentest cộng đồng, doanh nghiệp có thể tiếp cận hàng trăm chuyên gia bảo mật, pentester hay hacker mũ trắng để tìm lỗi cho sản phẩm. Hơn nữa, mô hình tính phí Bug bounty (trả tiền theo lỗi) cho phép doanh nghiệp tối ưu hiệu quả đầu tư với cùng mức chi phí so với Pentest truyền thống.

*

Tìm hiểu thêm về Pentest cộng đồng và cách các doanh nghiệp hàng đầu như Google, Facebook, Uber hợp tác với cộng đồng Hacker mũ trắng >> Tải Ebook miễn phí: Crowdsourced Penetration Testing 101.

Công cụ kiểm thử xâm nhập

Pentester thường sử dụng công cụ để phát hiện những lỗ hổng cơ bản. Những công cụ này giúp quét mã nguồn của ứng dụng để tìm ra những đoạn code ô nhiễm hoàn toàn có thể mở ra một cuộc tiến công. Bên cạnh đó, pentest tool cũng hoàn toàn có thể xem xét công nghệ tiên tiến mã hóa dữ liệu và hoàn toàn có thể xác lập những giá trị hard-code ( ví dụ như web8_username và passwords ) để xác định những lỗ hổng sống sót trong mạng lưới hệ thống .Một công cụ pentest tốt phải phân phối được :Dễ triển khai, thiết lập, sử dụng;Quét hệ thống dễ dàng;Phân loại lỗ hổng dựa vào mức độ nghiêm trọng và cấp bách;Có khả năng tự động quá trình xác minh lỗ hổng;Xác minh lại những khai thác trước đó; vàXuất báo cáo lỗ hổng và logs chi tiết.Dễ tiến hành, thiết lập, sử dụng ; Quét mạng lưới hệ thống thuận tiện ; Phân loại lỗ hổng dựa vào mức độ nghiêm trọng và cấp bách ; Có năng lực tự động hóa quy trình xác định lỗ hổng ; Xác minh lại những khai thác trước đó ; vàXuất báo cáo giải trình lỗ hổng và logs cụ thể .Có rất nhiều công cụ pentest không tính tiền và open source ( mã nguồn mở ) thông dụng. Ví dụ như : Metasploit Project, Nmap, Wireshark, John the Ripper … Pentester sử dụng những công cụ tựa như như hacker mũ đen. Điều đó giúp họ hiểu rõ hơn cách những công cụ này giúp tin tặc xâm nhập vào tổ chức triển khai .Những pentester chuyên nghiệp có năng lực sử dụng công cụ pentest tối ưu để tiết kiệm chi phí công sức của con người đồng thời đạt hiệu suất cao cao nhất .

Quy trình pentest

Có nhiều chiêu thức và cách tiếp cận khác nhau khi nói tới tiến trình kiểm thử xâm nhập. Tuy nhiên chúng đều theo một tư duy chung gồm 4 bước cơ bản : tích lũy thông tin về đối tượng người tiêu dùng – nghiên cứu và điều tra những giải pháp khả thi – khai thác lỗ hổng và xâm nhập – báo cáo giải trình .ReconnaissanceEnumerateExploitDocumentation

Thu thập thông tin

ReconnaissanceEnumerateExploitDocumentationĐây là quá trình pentester tích lũy tổng thể những thông tin thiết yếu về đối tượng người tiêu dùng. Quá trình này ảnh hưởng tác động to lớn đến tác dụng kiểm thử của chuyên viên. Nếu tích lũy thông tin đúng mực sẽ giúp rút ngắn thời hạn kiểm thử đi nhiều lần. Những thông tin hoàn toàn có thể tích lũy gồm có : địa chỉ website, loại sever, khu vực đặt sever, những đường link, tiêu chuẩn mã hóa, thông tin liên hệ, email, số điện thoại cảm ứng, … Các công cụ được sử dụng rất phong phú, hoàn toàn có thể là Google Search hay những công cụ sâu xa như Nmap, Wireshark. Đôi khi những pentester cũng nghiên cứu và phân tích source code của website để tìm kiếm thông tin .

Xác định các cổng truy cập

Việc tiếp theo là xác lập hàng loạt những cổng được cho phép truy vấn vào ứng dụng. Ở bước này, pentester sẽ sử dụng kinh nghiệm tay nghề và những công cụ tương hỗ để tìm ra những cổng khả thi giúp truy vấn vào ứng dụng. Những công cụ thường được sử dụng là Nmap, Wireshark .

Khai thác lỗ hổng và xâm nhập

Sau khi đã có khá đầy đủ thông tin và những cổng truy vấn, pentester triển khai khai thác những lỗ hổng để có được quyền truy vấn vào ứng dụng web / mobile .

Gửi báo cáo lỗ hổng và PoC

PoC pentest trên nền tảng WhiteHubPoC pentest trên nền tảng WhiteHubKhi đã xâm nhập thành công xuất sắc, những pentester cần gửi báo cáo giải trình lỗ hổng cho đơn vị chức năng chủ quản của mạng lưới hệ thống để tiến hành xác minh và nhìn nhận mức độ nghiêm trọng. Ở bước này, pentester cần viết một PoC .PoC ( Proof of Concept ) là một bản mô phỏng cuộc tiến công khai thác lỗ hổng trong quốc tế thực. Một đoạn mã được viết ship hàng việc mô phỏng được gọi là PoC code. Nếu PoC code bị phát tán thoáng rộng trước khi có bản vá bảo mật thông tin, sẽ trở thành một Zero-day exploit .Quá trình pentest hoàn tất khi hai bên ( Pentester và Doanh nghiệp ) thống nhất báo cáo giải trình ở đầu cuối về những lỗ hổng và mức độ ảnh hưởng tác động của nó tới ứng dụng hoặc mạng lưới hệ thống .Nhiều pentester tìm ra lỗ hổng nguy khốn, nhưng không chứng tỏ được mức độ ảnh hưởng tác động của lỗ hổng đó tới tổ chức triển khai, thì sẽ không được nhìn nhận cao. Bởi vậy, việc chứng tỏ mức độ ảnh hưởng tác động của lỗ hổng rất quan trọng trong quy trình đám phán, và pentester cần tìm hiểu và khám phá kỹ về tổ chức triển khai để trao đổi thuận tiện hơn về phạm vi ảnh hưởng .

Dịch vụ pentest web app, mobile app

Hiện tại, hauvuong.mobi là một trong những đơn vị uy tín cung cấp dịch vụ Pentest chuyên nghiệp cho nhiều doanh nghiệp công nghệ lớn nhỏ tại Việt Nam và trong khu vực.

Tận dụng lợi thế từ nền tảng hội đồng WhiteHub, dịch vụ Pentest phân phối bởi hauvuong.mobi có những lợi thế tiêu biểu vượt trội :Hiệu quả gấp 7 lần pentest truyền thốngChi phí trả theo kết quả thay vì giờ côngHỗ trợ xuất báo cáo pentest chuẩn ngànhHiệu quả gấp 7 lần pentest truyền thốngChi phí trả theo tác dụng thay vì giờ côngHỗ trợ xuất báo cáo giải trình pentest chuẩn ngànhMột số người mua tiêu biểu vượt trội : Sendo, Giaohangtietkiem, Tomochain, VNtrip, VNDC, Getfly CRM, VinID và nhiều doanh nghiệp khác .

Leave a Reply

Email của bạn sẽ không được hiển thị công khai.