Vntrip và bài toán bảo mật dữ liệu khách hàng

Reading Time: 5 minutes

TÓM TẮT SƠ BỘ

• Vntrip triển khai chương trình Bug Bounty công khai trên nền tảng bảo mật cộng đồng WhiteHub của CyStack cho website cùng ứng dụng iOS và Android.
• Chưa đầy hai tháng, cộng đồng đã phát hiện và khắc phục 78 lỗ hổng, trong đó có 25 lỗ hổng ở mức Critical, giúp bảo vệ dữ liệu của 500.000 khách hàng và 10.000 đối tác khách sạn.
• Tổng chi phí trao thưởng chỉ 92 triệu đồng, tương đương chưa tới 3 triệu đồng cho mỗi lỗ hổng nghiêm trọng, giảm mạnh chi phí kiểm thử bảo mật.

Khám phá cách Vntrip bảo vệ dữ liệu của hàng trăm nghìn khách hàng khi chuyển sang mô hình bảo mật cộng đồng cùng nền tảng WhiteHub của CyStack.

Về khách hàng

Trong cuộc cách mạng công nghệ lần thứ tư, dữ liệu chính là sức mạnh. Doanh nghiệp nào sở hữu và tận dụng tốt nguồn dữ liệu khách hàng sẽ có lợi thế cạnh tranh rất lớn. Nhưng cũng vì giá trị đó, các công ty công nghệ trở thành mục tiêu của những cuộc tấn công mạng nhằm đánh cắp và phá hoại dữ liệu. Đây là vấn đề mà doanh nghiệp cần nhìn nhận một cách nghiêm túc.
Vntrip là một doanh nghiệp lớn về du lịch trực tuyến tại Việt Nam, cung cấp dịch vụ đặt phòng khách sạn và vé máy bay qua website, ứng dụng di động và các kênh đối tác. Tính đến cuối năm 2018, Vntrip có hơn 500.000 người dùng và hơn 10.000 đối tác khách sạn trên toàn quốc, với hàng nghìn giao dịch đặt phòng và vé máy bay mỗi ngày. Thách thức lớn nhất của Vntrip là bảo vệ tuyệt đối thông tin khách hàng và duy trì tính sẵn sàng của hệ thống trước các mối đe dọa an ninh mạng.

Đánh giá của khách hàng

“Nếu hệ thống website và ứng dụng mobile của Vntrip bị tấn công và tê liệt trong vòng 24 giờ, con số thiệt hại ước tính có thể lên tới hàng tỷ đồng.”

Ông Nguyễn Hồng Thái

CTO tại Vntrip

Thách thức

Ứng dụng và hệ thống của Vntrip được cập nhật liên tục, gần như mỗi tuần lại có thêm tính năng mới và chương trình khuyến mãi. Vì vậy, hệ thống dễ phát sinh những lỗi và lỗ hổng mới mà đội ngũ phát triển khó phát hiện kịp thời. Việc cần phải làm là tìm và khắc phục các lỗ hổng nghiêm trọng nhanh nhất có thể, bởi đó chính là cơ hội cho kẻ tấn công.
Ban đầu, Vntrip tận dụng đội ngũ kiểm thử nội bộ kết hợp với một dịch vụ kiểm thử bảo mật bên ngoài để kiểm tra các API, ứng dụng web và ứng dụng di động, với báo cáo gửi về mỗi tháng. Tuy nhiên, các báo cáo không mang lại nhiều giá trị như kỳ vọng. Kể từ báo cáo thứ hai, phần lớn kết quả gần như không có sự khác biệt và không phát hiện được lỗ hổng thực sự nguy hiểm, dù hệ thống API và phần mềm vẫn liên tục cập nhật. Tính ra, chi phí thực tế mà Vntrip phải trả lên tới 50 triệu đồng cho một lỗ hổng.

Giải pháp

Giải pháp được lựa chọn là chương trình Managed Bug Bounty trên WhiteHub, áp dụng mô hình Bảo mật cộng đồng (Crowdsourced Security) để tăng cường bảo mật cho sản phẩm của Vntrip.

Đối tượng kiểm thử: website Vntrip (*.vntrip.vn), ứng dụng iOS và ứng dụng Android.
Thay vì phụ thuộc vào một nhà cung cấp duy nhất, WhiteHub tận dụng sức mạnh của hàng trăm chuyên gia bảo mật để tìm và báo cáo lỗ hổng với tốc độ nhanh hơn nhiều. Nhờ sự đa dạng về kỹ năng và kiến thức của cả một cộng đồng, chương trình có thể cùng nhau giải một bài toán bảo mật khó cho doanh nghiệp.

• Bug bounty công khai: ra mắt công khai trên WhiteHub từ tháng 1/2019, mở cho cộng đồng chuyên gia trên toàn cầu.
• Phạm vi đầy đủ: chương trình bao phủ toàn bộ sản phẩm cốt lõi, gồm website và cả hai ứng dụng di động.
• Phát hiện nhanh và liên tục: nhiều chuyên gia kiểm thử song song giúp rút ngắn thời gian rà soát và đẩy nhanh tốc độ phát hiện lỗ hổng.
• Trả thưởng theo kết quả: tiền thưởng được chi cho từng lỗ hổng hợp lệ theo mức độ nghiêm trọng, gắn chi phí trực tiếp với giá trị bảo mật.

Kết quả

Chỉ hai ngày sau khi chương trình được công bố, những lỗ hổng đầu tiên đã được các chuyên gia phát hiện và báo cáo trực tiếp cho Vntrip để khắc phục kịp thời. Ngày 23/1/2019 đánh dấu một cột mốc quan trọng trong việc bảo mật dữ liệu của Vntrip, khi công ty kịp thời khắc phục một lỗ hổng cực kỳ nghiêm trọng, tiềm ẩn nguy cơ lộ thông tin của một lượng lớn khách hàng và thẻ thành viên Vntrip.
Sau gần hai tháng triển khai chương trình Bug Bounty trên WhiteHub, tổng cộng đã phát hiện và khắc phục 78 lỗ hổng, trong đó có 25 lỗ hổng được đánh giá ở mức Critical. Tổng ngân sách Vntrip chi trả chỉ là 92 triệu đồng. Với phương pháp Bảo mật cộng đồng, Vntrip chỉ phải trả chưa tới 3 triệu đồng để phát hiện một lỗ hổng nguy hiểm, giảm rất nhiều so với cách làm trước đây.
Vntrip nhanh chóng nhận ra ưu điểm của bảo mật dựa trên sức mạnh cộng đồng so với các phương pháp cũ, đặc biệt với các công ty công nghệ. Hiện nay, Vntrip đã tích hợp trực tiếp WhiteHub vào vòng đời phát triển sản phẩm (SDLC). Nhờ đó, mỗi khi công ty tung ra bản cập nhật ứng dụng mới, các vấn đề bảo mật sẽ nhanh chóng được tìm thấy và xử lý kịp thời.

“Trong suốt quá trình sử dụng WhiteHub, chúng tôi được hỗ trợ rất nhiều bởi đội ngũ nhiệt tình, thân thiện.”

Ông Nguyễn Hồng Thái
CTO tại Vntrip

Về chương trình Bug Bounty

Bug Bounty là một hình thức bảo mật cộng đồng, khuyến khích các cá nhân hoặc nhóm, thường gọi là “hacker mũ trắng”, tìm và báo cáo các lỗ hổng bảo mật trong phần mềm hoặc hệ thống của doanh nghiệp. Doanh nghiệp trao thưởng cho những chuyên gia tìm và báo cáo lỗ hổng, có thể bằng tiền, quà tặng hoặc sự ghi nhận.
Mục tiêu của chương trình Bug Bounty là phát hiện và xử lý lỗ hổng bảo mật một cách kịp thời, hiệu quả, đồng thời tạo môi trường an toàn để chuyên gia báo cáo lỗ hổng. Chương trình giúp tổ chức nâng cao năng lực bảo mật và giảm rủi ro bị tấn công mạng hay rò rỉ dữ liệu. Phương pháp này có thể áp dụng cho nhiều loại hệ thống và ứng dụng khác nhau, từ ứng dụng web, ứng dụng di động đến thiết bị IoT.
Một trong những nền tảng thường xuyên mở chương trình Bug Bounty là WhiteHub, nền tảng bảo mật cộng đồng đầu tiên và lớn nhất tại Việt Nam do đội ngũ CyStack phát triển. WhiteHub hỗ trợ doanh nghiệp triển khai chương trình Bug Bounty để tìm lỗ hổng hiệu quả, với sự tham gia của hơn 3.000 chuyên gia bảo mật. Tìm hiểu thêm tại: https://whitehub.net/

Về CyStack

CyStack là công ty an ninh mạng có trụ sở tại Việt Nam, hoạt động từ năm 2017. Chúng tôi cung cấp các giải pháp toàn diện, bao gồm kiểm thử, tư vấn bảo mật và dịch vụ quản lý. Với hơn 200 doanh nghiệp và hơn 20.000 người dùng trên toàn thế giới, CyStack được tin tưởng là đối tác đáng tin cậy và là một trong những đơn vị dẫn đầu về nghiên cứu và phát triển an ninh mạng.
Tìm hiểu thêm tại: https://cystack.net/