- Sản phẩm & Dịch vụSản phẩm & Dịch vụ
- Giải phápGiải pháp
- Bảng giáBảng giá
- Công tyCông ty
- Tài liệuTài liệu
vi
vi
Nơi CyStack cung cấp cho bạn những tin tức, xu hướng và cảnh báo mới nhất về ngành công nghệ bảo mật và các sản phẩm, dịch vụ của chúng tôi.
Storyteller in the tech & cybersecurity space, bringing five years’ expertise in turning complex ideas into persuasive, memorable content. Eternally curious about new technologies and committed to staying ahead of the curve in security trends and threat intelligence.
Storyteller in the tech & cybersecurity space, bringing five years’ expertise in turning complex ideas into persuasive, memorable content. Eternally curious about new technologies and committed to staying ahead of the curve in security trends and threat intelligence.
Thảo luận (0)
Đăng nhập để thảo luận
Khi xây dựng ứng dụng công nghệ như web app hay mobile app, một trong những bước không thể thiếu để gia tăng bảo mật cho sản phẩm là kiểm thử xâm nhập – penetration testing, hay còn gọi là pentest. Vậy, pentest thực chất là gì, vai trò cụ thể của module này với ATTT trong doanh nghiệp ra sao? Cùng tìm hiểu trong bài viết dưới đây.
>> Mời bạn đón đọc tài liệu độc quyền của chúng tôi: 11 điều cần biết khi thuê dịch vụ kiểm thử pentest
Pentest, viết tắt của penetration testing (kiểm tra xâm nhập), là hình thức đánh giá mức độ an toàn của một hệ thống IT bằng các cuộc tấn công mô phỏng thực tế. Hiểu đơn giản, pentest cố gắng xâm nhập vào hệ thống để phát hiện ra những điểm yếu tiềm tàng của hệ thống mà tin tặc có thể khai thác và gây thiệt hại.
Mục tiêu của pentest là giúp tổ chức phát hiện càng nhiều lỗ hổng bảo mật càng tốt, từ đó khắc phục chúng để loại trừ khả năng bị tấn công trong tương lai. Người làm công việc kiểm tra xâm nhập được gọi là pentester.
Pentest có thể được thực hiện trên hệ thống máy tính, web app, mobile app, hạ tầng mạng, IoT, ứng dụng và hạ tầng cloud, phần mềm dịch vụ SaaS, API, source code, hoặc một đối tượng IT có kết nối với internet và có khả năng bị tấn công… nhưng phổ biến nhất là pentest web app và mobile app. Những thành phần trên được gọi là đối tượng kiểm thử (pentest target).
Khi thực hiện xâm nhập, pentester cần có được sự cho phép của chủ hệ thống hoặc phần mềm đó. Nếu không, hành động xâm nhập sẽ được coi là hack trái phép. Thực tế, ranh giới giữa pentest và hack chỉ là sự cho phép của chủ đối tượng. Vì thế, khái niệm pentest có ý nghĩa tương tự như ethical hacking (hack có đạo đức), pentester còn được gọi là hacker mũ trắng (white hat hacker).
Để hiểu rõ hơn về Pentest, ta cần hiểu rõ ba khái niệm cơ bản trong bảo mật là “vulnerabilities”, “exploits”, và “payloads”
Bạn nhận được nhiều cảnh báo từ tường lửa ứng dụng web (WAF). Đây có thể là dấu hiệu cho thấy đang có hacker SQL injection vào cơ sở dữ liệu khách hàng của công ty. Tải tài liệu để xem hướng giải quyết.
Ngoài ra còn các hình thức pentest khác như: double-blind testing, external testing, internal testing, targeted testing tuy nhiên chúng không phổ biến tại Việt Nam và chỉ được sử dụng với nhu cầu đặc thù của một số doanh nghiệp.
Giữa những năm 1960s, chứng kiến sự gia tăng trong khả năng trao đổi dữ liệu qua mạng máy tính, các chuyên gia đã cảnh báo về nguy cơ chắc chắn sẽ có sự tấn công xâm nhập vào các mạng của chính phủ và doanh nghiệp và giành quyền truy cập vào dữ liệu được trao đổi. Tại Hội nghị Máy tính Chung Thường niên năm 1967 quy tụ hơn 15.000 chuyên gia bảo mật máy tính, các nhà phân tích đã thảo luận và đặt ra thuật ngữ “penetration” (xâm nhập). Các chuyên gia xác định đó là một trong những hiểm họa đối với trao đổi dữ liệu qua mạng máy tính ngày nay.
Cuối năm 1967, tập đoàn RAND đã hợp tác với Cơ quan Dự án Nghiên cứu Tiên tiến (dARPA) tại Hoa Kỳ để tạo ra một báo cáo chuyên đề, được gọi là Willis Report (đặt tên theo người đứng đầu dự án). Báo cáo đã thảo luận về các vấn đề an ninh của mạng internet và đề xuất chính sách, đặt nền móng cho các biện pháp an ninh ngày nay. Dựa trên báo cáo này, chính phủ Hoa Kỳ đã hợp tác với doanh nghiệp và thành lập các nhóm với sứ mệnh “dò tìm các lỗ hổng bảo mật trong hệ thống mạng máy tính để có biện pháp bảo vệ các hệ thống đó khỏi sự xâm nhập và khai thác trái phép”.
Những nhóm pentest đầu tiên trên thế giới có tên Tiger Teams (đặt tên theo lính đặc nhiệm Hoa Kỳ) được hình thành vào cuối những năm 1960s với nhiệm vụ tấn công vào các mạng máy tính để đánh giá khả năng chống chịu của các mạng đó trước các cuộc tấn công thù địch. Kết quả thu được đã khiến các nhà lãnh đạo không khỏi bất ngờ:
Hầu hết các hệ thống được kiểm tra khi đó đều “bị đánh gục một cách dễ dàng và nhanh chóng”.
Chiến dịch thử nghiệm thâm nhập này của RAND Corporation và chính phủ đã chứng minh 2 điều:
Sau này, học giả Deborah Russell và G. T. Gangemi Sr. nhận xét rằng, những năm 1960s đã “đánh dấu sự khởi đầu thực sự của thời đại bảo mật máy tính”.
The 1960s marked the true beginning of the age of computer security
Deborah Russell & G.T. Gangemi Sr.
Ngày nay, dưới sự phát triển của công nghệ, kiểm tra thâm nhập đã trở thành một mô-đun không thể thiếu trong hệ thống an toàn thông tin của nhiều doanh nghiệp.
Penetration Testing (kiểm tra thâm nhập) là giải pháp hiệu quả để bảo mật cho web, mobile app, network, IoT,… khỏi cuộc tấn công của tin tặc. Thông qua các cuộc tấn công mô phỏng thực tế, các kỹ sư kiểm thử có thể tìm ra những điểm yếu bảo mật của hệ thống. Qua đó giúp doanh nghiệp vá lỗ hổng kịp thời, trước khi tin tặc khai thác chúng và gây thiệt hại về tiền bạc, danh tiếng cho tổ chức.
Theo đơn vị nghiên cứu thị trường Market Watch, dung lượng thị trường Pentest vào năm 2018 là 920 triệu USD, sẽ tăng lên 2420 triệu USD vào năm 2025 với tốc độ tăng trưởng 14,9% trong giai đoạn 2019 – 2025. Nhu cầu dành cho việc kiểm tra sức chống chịu của hệ thống trước tội phạm mạng là rất lớn. Lý do giải thích cho sự tăng trưởng này đến từ bốn yếu tố.
Phát triển web app, mobile app gia tăng
Đầu tiên, các mô hình kinh doanh trong nền kinh tế số đòi hỏi doanh nghiệp phải sử dụng website, ứng dụng mobile để tiếp cận – kết nối – giao tiếp – chăm sóc khách hàng. Điều này vừa là lợi thế, vừa là yêu cầu bắt buộc đối với một số tổ chức. Bởi vì hành vi của người dùng đã thay đổi, họ thích sự tiện lợi, thích làm mọi thứ “online”. Chính vì vậy doanh nghiệp tuy hạn chế được rủi ro khi bán hàng offline như hàng tồn, chi phí mặt bằng; nhưng đồng thời cũng phải gánh thêm các rủi ro mạng: bị hack website, bị hack mobile app, đánh cắp thông tin khách hàng, dữ liệu quan trọng, bị gián đoạn hoạt động, bị nhiễm virus – mã độc, v.v…
Xu hướng chuyển đổi số
Thứ hai, doanh nghiệp hiện đại bị buộc phải chạy theo xu hướng “số hóa” hay “chuyển đổi số”. Việc ứng dụng công nghệ mới vào vận hành doanh nghiệp giúp cắt giảm chi phí nhân lực, vận hành, nhưng cũng làm gia tăng các bề mặt tấn công dành cho tin tặc. Điển hình là ERP dành cho quản trị, CRM giúp lưu trữ thông tin và chăm sóc khách hàng, các thiết bị IoT trong vận hành, v.v. Tất cả những sản phẩm kỹ thuật số này, nếu không được bảo mật đúng cách thì đều có thể trở thành nạn nhân của tội phạm mạng.
Phần mềm SaaS
Thứ ba, xu hướng sử dụng các phần mềm dịch vụ trả tiền theo nhu cầu “as-a-service” gia tăng so với phần mềm mua bản quyền trọn đời (on-premise). Điều này mang lại sự tiện lợi cho người dùng cuối, nhưng cũng làm gia tăng các rủi ro bảo mật cho nhà cung cấp. Việc phân phối các ứng dụng, phần mềm, hạ tầng, nền tảng dưới dạng dịch vụ (SaaS, IaaS, PaaS, FaaS) đòi hỏi kết nối internet liên tục, đồng nghĩa với rủi ro bị tấn công gián đoạn tăng cao, gây ảnh hưởng tới trải nghiệm của người dùng.
Pentest là hình thức phòng ngừa chủ động hiệu quả
Cuối cùng, phương pháp bảo mật bằng hình thức tấn công mô phỏng mang lại cho doanh nghiệp những lợi ích mà các hệ thống phòng thủ tự động không thể có được, dù cho chúng có tiên tiến tới đâu. Bởi các pentester tấn công với tư duy như một tin tặc trong thế giới thực: rất “con người” và đầy tính sáng tạo.
Khi thực hiện pentest định kỳ và đúng cách, doanh nghiệp có thể đạt được những mục tiêu bảo mật quan trọng:
Các tổ chức được khuyến cáo thực hiện pentest định kỳ theo chu kỳ hàng năm hoặc quý để đảm bảo an ninh cho hệ thống IT bao gồm hạ tầng mạng và các ứng dụng. Bên cạnh việc triển khai pentest định kỳ, kiểm tra xâm nhập sẽ cần thiết mỗi khi doanh nghiệp:
>> Tư vấn triển khai Pentest cho startup
Tuy nhiên, pentest không phải dành cho tất cả mọi tổ chức. Cần xem xét các yếu tố sau trước khi thực hiện pentest:
Mặc dù Pentest là một giải pháp hiệu quả để chống lại các cuộc tấn công mạng có chủ đích. Nhưng không có phương pháp nào là hoàn hảo tuyệt đối. Dưới đây là một số mặt hạn chế của Kiểm thử thâm nhập:
>> Tham khảo: Những hạn chế của Pentest truyền thống
Pentest cộng đồng được cho là giải pháp hiệu quả để khắc phục những yếu điểm trên. Với Pentest cộng đồng, doanh nghiệp có thể tiếp cận hàng trăm chuyên gia bảo mật, pentester hay hacker mũ trắng để tìm lỗi cho sản phẩm. Hơn nữa, mô hình tính phí Bug bounty (trả tiền theo lỗi) cho phép doanh nghiệp tối ưu hiệu quả đầu tư với cùng mức chi phí so với Pentest truyền thống.
Tìm hiểu thêm về Pentest cộng đồng và cách các doanh nghiệp hàng đầu như Google, Facebook, Uber hợp tác với cộng đồng Hacker mũ trắng.
Pentester thường sử dụng công cụ để phát hiện những lỗ hổng cơ bản. Những công cụ này giúp quét mã nguồn của ứng dụng để tìm ra những đoạn code độc hại có thể mở ra một cuộc tấn công. Bên cạnh đó, pentest tool cũng có thể xem xét công nghệ mã hóa dữ liệu và có thể xác định các giá trị hard-code (ví dụ như username và passwords) để xác minh các lỗ hổng tồn tại trong hệ thống.
Một công cụ pentest tốt phải đáp ứng được:
Có rất nhiều công cụ pentest miễn phí và open source (mã nguồn mở) phổ biến. Ví dụ như: Metasploit Project, Nmap, Wireshark, John the Ripper…Pentester sử dụng các công cụ tương tự như hacker mũ đen. Điều đó giúp họ hiểu rõ hơn cách các công cụ này giúp tin tặc xâm nhập vào tổ chức.
Những pentester chuyên nghiệp có khả năng sử dụng công cụ pentest tối ưu để tiết kiệm công sức đồng thời đạt hiệu quả cao nhất.
Có nhiều phương pháp và cách tiếp cận khác nhau khi nói tới quy trình kiểm thử xâm nhập. Tuy nhiên chúng đều theo một tư duy chung gồm 4 bước cơ bản: thu thập thông tin về đối tượng – nghiên cứu các phương án khả thi – khai thác lỗ hổng & xâm nhập – báo cáo.
Đây là giai đoạn pentester thu thập tất cả những thông tin cần thiết về đối tượng. Quá trình này ảnh hưởng to lớn đến kết quả kiểm thử của chuyên gia. Nếu thu thập thông tin chính xác sẽ giúp rút ngắn thời gian kiểm thử đi nhiều lần. Những thông tin có thể thu thập bao gồm: địa chỉ website, loại máy chủ, địa điểm đặt máy chủ, các đường link, tiêu chuẩn mã hóa, thông tin liên hệ, email, số điện thoại,… Các công cụ được sử dụng rất đa dạng, có thể là Google Search hay các công cụ chuyên sâu như Nmap, Wireshark. Đôi khi các pentester cũng phân tích source code của website để tìm kiếm thông tin.
>> Mời bạn tham khảo Ebook Tổng quan về Crowdsourced Security
Việc tiếp theo là xác định toàn bộ các cổng cho phép truy cập vào ứng dụng. Ở bước này, pentester sẽ sử dụng kinh nghiệm và các công cụ hỗ trợ để tìm ra những cổng khả thi giúp truy cập vào phần mềm. Những công cụ thường được sử dụng là Nmap, Wireshark.
Sau khi đã có đầy đủ thông tin và các cổng truy cập, pentester thực hiện khai thác các lỗ hổng để có được quyền truy cập vào ứng dụng web/mobile.
Khi đã xâm nhập thành công, các pentester cần gửi báo cáo lỗ hổng cho đơn vị chủ quản của hệ thống để tiến hành xác minh và đánh giá mức độ nghiêm trọng. Ở bước này, pentester cần viết một PoC.
PoC (Proof of Concept) là một bản mô phỏng cuộc tấn công khai thác lỗ hổng trong thế giới thực. Một đoạn mã được viết phục vụ việc mô phỏng được gọi là PoC code. Nếu PoC code bị phát tán rộng rãi trước khi có bản vá bảo mật, sẽ trở thành một Zero-day exploit.
Quá trình pentest hoàn tất khi hai bên (Pentester và Doanh nghiệp) thống nhất báo cáo cuối cùng về các lỗ hổng và mức độ ảnh hưởng của nó tới phần mềm hoặc hệ thống.
Nhiều pentester tìm ra lỗ hổng nguy hiểm, nhưng không chứng minh được mức độ ảnh hưởng của lỗ hổng đó tới tổ chức, thì sẽ không được đánh giá cao. Bởi vậy, việc chứng minh mức độ ảnh hưởng của lỗ hổng rất quan trọng trong quá trình đám phán, và pentester cần tìm hiểu kỹ về tổ chức để trao đổi dễ dàng hơn về phạm vi ảnh hưởng.
Hiện tại, CyStack là một trong những đơn vị uy tín cung cấp dịch vụ Pentest chuyên nghiệp cho nhiều doanh nghiệp công nghệ lớn nhỏ tại Việt Nam và trong khu vực.
Tận dụng lợi thế từ nền tảng cộng đồng WhiteHub, dịch vụ Pentest cung cấp bởi CyStack có những lợi thế vượt trội:
Một số khách hàng tiêu biểu: Sendo, Giaohangtietkiem, Tomochain, VNtrip, Getfly CRM, VinID và nhiều doanh nghiệp khác.