Đánh giá bảo mật tổng quan và bề mặt tấn công của usercontent.goog

Kết quả kiểm tra

5 nhà cung cấp có kết quả xác định và 1 nhà cung cấp chưa thể kết luận.

Vì sao cần quan tâm

Mục này cho biết có bao nhiêu dịch vụ danh sách chặn độc lập trả về kết quả rõ ràng. Nguồn không khả dụng chưa được kiểm tra thành công và không thể được xem là kết quả sạch.

Dữ liệu ghi nhận

Số danh sách không ghi nhận vấn đề:

5

Số cảnh báo được xác nhận:

Không

Số danh sách có kết quả rõ ràng:

5

Số danh sách không thể kiểm tra:

1

Địa chỉ IPv4 đã kiểm tra:

1

Số danh sách cảnh báo phát hiện vấn đề:

0

Kết quả kiểm tra

Các dấu hiệu công khai từ website và dịch vụ đang mở cho thấy 1 công nghệ.

Vì sao cần quan tâm

Header phản hồi, nội dung trang và các dấu hiệu công khai khác cho biết công nghệ mà dịch vụ có thể đang sử dụng. Quan sát này giúp giải thích bề mặt tấn công nhưng có thể thiếu hoặc sai và không tự chứng minh một lỗ hổng.

Dữ liệu ghi nhận

Số công nghệ phát hiện:

1

Cách phát hiện:

Phân tích website và dịch vụ đang mở

Root Response Count:

1

Service Inventory Complete:

Có

Service Inventory Count:

1

Kết quả kiểm tra

Không có sản phẩm WAF, CDN hoặc edge nào khớp với tín hiệu thụ động trên phản hồi trang gốc; kết quả này không chứng minh hệ thống không có lớp bảo vệ.

Vì sao cần quan tâm

Chi tiết phản hồi công khai cho thấy có thể đang sử dụng Web Application Firewall (WAF), CDN hoặc dịch vụ biên khác. Lần quét nhanh nhận diện nhà cung cấp nhưng không kiểm tra khả năng chặn tấn công đã được cấu hình hoặc hoạt động đúng hay chưa.

Dữ liệu ghi nhận

Phát hiện lớp bảo vệ:

Không

Cách phát hiện:

Dấu hiệu từ phản hồi web

Kết quả kiểm tra

Quan sát 0 sản phẩm có phiên bản; 0 sản phẩm có CPE chính xác và 0 truy vấn hoàn tất.

Vì sao cần quan tâm

Mục này cho biết có bao nhiêu sản phẩm được phát hiện có thông tin phiên bản đáng tin cậy và định danh CPE chính xác để đối chiếu với dữ liệu áp dụng CVE. Sản phẩm chưa thể kiểm tra không được xem là không có lỗ hổng đã biết.

Dữ liệu ghi nhận

Lỗ hổng có khả năng liên quan:

0

Candidate Returned:

0

Candidate Total:

0

Hoàn tất:

Có

Coverage Warning Candidates:

0

Coverage Warning Count:

0

Kết quả kiểm tra

Chứng thư khớp với mục tiêu được yêu cầu.

Vì sao cần quan tâm

Chứng thư phải liệt kê chính xác tên miền người dùng truy cập trong trường Subject Alternative Names (SAN). Nếu không khớp, trình duyệt sẽ cảnh báo vì chứng thư có thể thuộc về một dịch vụ khác.

Nên làm gì

Cấp và triển khai chứng thư có danh sách SAN bao gồm mọi tên miền công khai được địa chỉ website này phục vụ.

Dữ liệu ghi nhận

Tên miền trong chứng thư số:

*.googleusercontent.com, commondatastorage.googleapis.com, *.commondatastorage.googleapis.com, storage.googleapis.com, *.storage.googleapis.com, storage-p2.googleapis.com, *.storage-p2.googleapis.com, storage.mtls.googleapis.com, *.appspot.com.storage.googleapis.com, *.content-storage.googleapis.com, *.content-storage-p2.googleapis.com, *.content-storage-upload.googleapis.com, *.content-storage-download.googleapis.com, *.storage-upload.googleapis.com, *.storage-download.googleapis.com, blogspot.com, *.blogspot.com, bp.blogspot.com, *.bp.blogspot.com, doubleclickusercontent.com, *.doubleclickusercontent.com, ggpht.com, *.ggpht.com, googledrive.com, *.googledrive.com, *.googlesyndication.com, *.safeframe.googlesyndication.com, googleusercontent.com, *.byoid.googleusercontent.com, usercontent.goog, *.usercontent.goog, *.ucp.usercontent.goog, *.h5games.usercontent.goog, *.playables.usercontent.goog, *.allownetworkplayables.usercontent.goog, *.safeframe.usercontent.goog, *.sandbox.usercontent.goog, *.scf.usercontent.goog, *.isolated.usercontent.goog, *.static.usercontent.goog, *.ads-static.usercontent.goog, *.executionbox.usercontent.goog, *.aiplayables.usercontent.goog, *.playground.usercontent.goog, manifest.c.mail.googleusercontent.com, manifest.lh3-da.googleusercontent.com, manifest.lh3-db.googleusercontent.com, manifest.lh3-dc.googleusercontent.com, manifest.lh3-dd.googleusercontent.com, manifest.lh3-de.googleusercontent.com, manifest.lh3-df.googleusercontent.com, manifest.lh3-dg.googleusercontent.com, manifest.lh3-dz.googleusercontent.com, manifest.lh3.googleusercontent.com, manifest.lh3.photos.google.com, googleweblight.com, *.googleweblight.com, translate.goog, *.translate.goog, *.search.translate.goog, *.dev.amp4mail.googleusercontent.com, *.prod.amp4mail.googleusercontent.com, *.playground.amp4mail.googleusercontent.com, *.playground-internal.amp4mail.googleusercontent.com, *.aiplatform-notebook.googleusercontent.com, *.aiplatform-training.googleusercontent.com, *.aiplatform-training.byoid.googleusercontent.com, *.audiobook-additional-material-staging.googleusercontent.com, *.audiobook-additional-material.googleusercontent.com, *.apps.googleusercontent.com, *.safenup.googleusercontent.com, *.sandbox.googleusercontent.com, *.backupdr.googleusercontent.com, *.backupdr.byoid.googleusercontent.com, *.backupdr-staging.googleusercontent.com, *.backupdr-staging.byoid.googleusercontent.com, *.backupdr-autopush.googleusercontent.com, *.backupdr-autopush.byoid.googleusercontent.com, *.backupdr-dev.googleusercontent.com, *.backupdr-dev.byoid.googleusercontent.com, *.backupdr-sandbox.googleusercontent.com, *.backupdr-sandbox.byoid.googleusercontent.com, *.composer.googleusercontent.com, *.composer.byoid.googleusercontent.com, *.composer-staging.googleusercontent.com, *.composer-staging.byoid.googleusercontent.com, *.composer-qa.googleusercontent.com, *.composer-qa.byoid.googleusercontent.com, *.composer-dev.googleusercontent.com, *.composer-dev.byoid.googleusercontent.com, *.dataplex.googleusercontent.com, *.dataplex-staging.googleusercontent.com, *.dataplex-dev.googleusercontent.com, *.dataproc.googleusercontent.com, *.dataproc.byoid.googleusercontent.com, *.dataproc-image-staging.googleusercontent.com, *.dataproc-image-staging.byoid.googleusercontent.com, *.dataproc-staging.googleusercontent.com, *.dataproc-staging.byoid.googleusercontent.com, *.dataproc-test.googleusercontent.com, *.dataproc-test.byoid.googleusercontent.com, *.datafusion.googleusercontent.com, *.datafusion.byoid.googleusercontent.com, *.datafusion-staging.googleusercontent.com, *.datafusion-staging.byoid.googleusercontent.com, *.datafusion-dev.googleusercontent.com, *.datafusion-dev.byoid.googleusercontent.com, *.datafusion-api.googleusercontent.com, *.datafusion-api.byoid.googleusercontent.com, *.datafusion-api-staging.googleusercontent.com, *.datafusion-api-staging.byoid.googleusercontent.com, *.datafusion-api-dev.googleusercontent.com, *.datafusion-api-dev.byoid.googleusercontent.com, *.gsc.googleusercontent.com, *.gcc.googleusercontent.com, *.tuf.googleusercontent.com, *.tuf-autopush.googleusercontent.com, *.tuf-dev.googleusercontent.com, *.tuf-staging.googleusercontent.com, *.fuchsia-updates.googleusercontent.com, *.fuchsia-updates-autopush.googleusercontent.com, *.fuchsia-updates-autopush-qual.googleusercontent.com, *.fuchsia-updates-dev.googleusercontent.com, *.fuchsia-updates-staging.googleusercontent.com, *.machinelearningtools.googleusercontent.com, *.machinelearningtools-staging.googleusercontent.com, *.machinelearningtools-autopush.googleusercontent.com, *.machinelearningtools-dev.googleusercontent.com, *.mos-updates.googleusercontent.com, *.mos-updates-autopush.googleusercontent.com, *.mos-updates-autopush-qual.googleusercontent.com, *.mos-updates-dev.googleusercontent.com, *.mos-updates-staging.googleusercontent.com, *.notebooks.googleusercontent.com, *.notebooks.byoid.googleusercontent.com, *.pipelines.googleusercontent.com, *.tensorboard.googleusercontent.com, *.tensorboard-autopush.googleusercontent.com, *.tensorboard-dev.googleusercontent.com, *.tensorboard-staging.googleusercontent.com, *.tensorboard-test.googleusercontent.com, *.kernels.googleusercontent.com, *.kernels-staging.googleusercontent.com, *.kernels-test.googleusercontent.com, *.cloudshell.googleusercontent.com, *.cloudworkstations.googleusercontent.com

Kết quả kiểm tra

Chứng thư tạo được chuỗi tới gốc đáng tin cậy.

Vì sao cần quan tâm

Trình duyệt chỉ tin cậy website khi chứng thư có thể được xác minh tới một nhà cung cấp được công nhận. Chứng thư không đáng tin cậy gây cảnh báo và khiến người dùng không thể xác nhận chắc chắn danh tính website.

Nên làm gì

Cài chứng thư từ nhà cung cấp được các trình duyệt phổ biến tin cậy và cấu hình máy chủ gửi đầy đủ các chứng thư trung gian cần thiết.

Dữ liệu ghi nhận

Đơn vị cấp chứng thư:

CN=WR2,O=Google Trust Services,C=US

Kết quả kiểm tra

Bắt tay TLS thành công trên cổng 443.

Vì sao cần quan tâm

HTTPS mã hóa dữ liệu giữa người dùng và website, đồng thời giúp xác minh đúng dịch vụ cần truy cập. Nếu thiếu HTTPS, bên trung gian có thể đọc hoặc thay đổi lưu lượng và trình duyệt có thể hiện cảnh báo bảo mật.

Nên làm gì

Cung cấp toàn bộ website qua HTTPS bằng chứng thư được các trình duyệt phổ biến tin cậy.

Dữ liệu ghi nhận

Bộ mã hóa:

TLS AES 128 GCM SHA256

Địa chỉ IP:

142.251.12.132

Phiên bản:

TLS 1.3

Kết quả kiểm tra

Mục tiêu phân giải tới 2 địa chỉ IP công khai.

Vì sao cần quan tâm

DNS công khai kết nối tên miền với các địa chỉ Internet của hệ thống. Bản ghi thiếu hoặc sai có thể làm dịch vụ không truy cập được hoặc đưa lưu lượng tới nhầm hệ thống.

Nên làm gì

Đảm bảo tên miền chỉ trỏ tới các địa chỉ IP công khai dự kiến và xóa bản ghi dùng địa chỉ riêng, dành riêng hoặc đã lỗi thời.

Dữ liệu ghi nhận

Địa chỉ IP:

142.251.12.132, 2404:6800:4003:c06::84

Kết quả kiểm tra

Không phát hiện dịch vụ quản trị công khai trong tập cổng TCP đã quét.

Vì sao cần quan tâm

Dịch vụ quản trị từ xa như RDP, VNC, Docker, Kubernetes và bảng điều khiển là mục tiêu có giá trị cao. Khi mở công khai, bất kỳ ai trên Internet cũng có thể thử mật khẩu hoặc khai thác dịch vụ chưa được vá.

Nên làm gì

Loại bỏ truy cập trực tiếp từ Internet và yêu cầu VPN, cổng truy cập được bảo vệ chặt hoặc mạng nguồn tin cậy; đồng thời bật MFA khi dịch vụ hỗ trợ.

Dữ liệu ghi nhận

Hoàn tất:

Có

Fingerprint Complete:

Có

Fingerprint Identified:

2

Fingerprint Targets:

2

Các cổng đã kiểm tra:

Kết quả kiểm tra

Không phát hiện dịch vụ kho dữ liệu công khai trong tập cổng TCP đã quét.

Vì sao cần quan tâm

Cơ sở dữ liệu và cache thường chứa thông tin nhạy cảm và chỉ được ứng dụng nội bộ sử dụng. Truy cập trực tiếp từ Internet khiến tấn công mật khẩu hoặc lỗi cấu hình dễ dẫn tới lộ dữ liệu hơn.

Nên làm gì

Chỉ lắng nghe trên giao diện mạng riêng, chỉ cho phép các hệ thống ứng dụng cần thiết kết nối và yêu cầu xác thực mạnh cùng mã hóa.

Dữ liệu ghi nhận

Hoàn tất:

Có

Fingerprint Complete:

Có

Fingerprint Identified:

2

Fingerprint Targets:

2

Các cổng đã kiểm tra:

21, 22, 23, 25, 53, 80, 110, 111, 139, 143, 389, 443, 445, 465, 512, 513, 514, 587, 636, 873, 990, 993, 995, 1.080, 1.433, 1.521, 1.883, 2.049, 2.181, 2.375, 2.376, 3.000, 3.306, 3.389, 5.000, 5.432, 5.601, 5.672, 5.900, 5.984, 6.379, 6.443, 7.001, 7.687, 8.080, 8.443, 8.500, 8.883, 8.888, 9.042, 9.090, 9.200, 10.000, 10.250, 10.255, 11.211, 15.672, 27.017

Kết quả kiểm tra

Không phát hiện dịch vụ chia sẻ tệp công khai trong tập cổng TCP đã quét.

Vì sao cần quan tâm

Các dịch vụ như SMB, NFS và rsync có thể cho phép đọc hoặc thay đổi tệp chia sẻ và từng có nhiều lỗ hổng nghiêm trọng. Chúng hiếm khi cần nhận kết nối trực tiếp từ Internet công khai.

Nên làm gì

Giới hạn dịch vụ chia sẻ tệp trong mạng riêng hoặc VPN được kiểm soát chặt và chỉ cho phép người dùng, hệ thống thực sự cần truy cập.

Dữ liệu ghi nhận

Hoàn tất:

Có

Fingerprint Complete:

Có

Fingerprint Identified:

2

Fingerprint Targets:

2

Các cổng đã kiểm tra:

21, 22, 23, 25, 53, 80, 110, 111, 139, 143, 389, 443, 445, 465, 512, 513, 514, 587, 636, 873, 990, 993, 995, 1.080, 1.433, 1.521, 1.883, 2.049, 2.181, 2.375, 2.376, 3.000, 3.306, 3.389, 5.000, 5.432, 5.601, 5.672, 5.900, 5.984, 6.379, 6.443, 7.001, 7.687, 8.080, 8.443, 8.500, 8.883, 8.888, 9.042, 9.090, 9.200, 10.000, 10.250, 10.255, 11.211, 15.672, 27.017

Kết quả kiểm tra

Không phát hiện dịch vụ plaintext lỗi thời công khai trong tập cổng TCP đã quét.

Vì sao cần quan tâm

Các dịch vụ cũ như Telnet, FTP và giao thức email hoặc thư mục không mã hóa có thể gửi mật khẩu, dữ liệu ở dạng đọc được. Bên quan sát đường truyền có thể thu thập các thông tin này.

Nên làm gì

Tắt dịch vụ cũ hoặc thay bằng lựa chọn có mã hóa như SSH, SFTP, HTTPS hay phiên bản bảo mật của giao thức email.

Dữ liệu ghi nhận

Hoàn tất:

Có

Fingerprint Complete:

Có

Fingerprint Identified:

2

Fingerprint Targets:

2

Các cổng đã kiểm tra:

21, 22, 23, 25, 53, 80, 110, 111, 139, 143, 389, 443, 445, 465, 512, 513, 514, 587, 636, 873, 990, 993, 995, 1.080, 1.433, 1.521, 1.883, 2.049, 2.181, 2.375, 2.376, 3.000, 3.306, 3.389, 5.000, 5.432, 5.601, 5.672, 5.900, 5.984, 6.379, 6.443, 7.001, 7.687, 8.080, 8.443, 8.500, 8.883, 8.888, 9.042, 9.090, 9.200, 10.000, 10.250, 10.255, 11.211, 15.672, 27.017

Kết quả kiểm tra

Kiểm tra này không phát hiện vấn đề.

Vì sao cần quan tâm

CORS quyết định website nào được phép đọc phản hồi của dịch vụ trong trình duyệt người dùng. Quy tắc tin cậy nguồn tùy ý, đặc biệt khi kèm cookie đăng nhập, có thể làm lộ dữ liệu riêng tư cho website khác.

Nên làm gì

Chỉ cho phép các website tin cậy được xác định rõ, so sánh Origin với danh sách được duyệt chính xác và không bao giờ cho phép thông tin đăng nhập cùng nguồn ký tự đại diện (*).

Dữ liệu ghi nhận

Chấp nhận nguồn tùy ý:

Không

Cho phép gửi thông tin xác thực:

Không

Cho phép mọi nguồn:

Không

Kết quả kiểm tra

Chứng thư có hiệu lực từ 2026-06-29T08:39:13Z đến 2026-09-21T08:39:12Z.

Vì sao cần quan tâm

Chứng thư chỉ hoạt động trong khoảng thời gian hiệu lực. Chứng thư đã hết hạn, chưa có hiệu lực hoặc sắp hết hạn có thể gây cảnh báo trình duyệt và làm gián đoạn website hoặc API.

Nên làm gì

Sử dụng gia hạn tự động, theo dõi lỗi gia hạn và cảnh báo cho đội phụ trách từ sớm trước ngày hết hạn.

Dữ liệu ghi nhận

Số ngày còn lại:

61,1

Hết hiệu lực lúc:

15:39 GMT+7 21 thg 9, 2026

Có hiệu lực từ:

15:39 GMT+7 29 thg 6, 2026

Kết quả kiểm tra

Chứng thư dùng SHA256-RSA với khóa công khai 256 bit.

Vì sao cần quan tâm

Khóa công khai và thuật toán chữ ký bảo vệ chứng thư khỏi bị giả mạo. Khóa quá ngắn hoặc chữ ký dùng thuật toán lỗi thời sẽ chống lại các kỹ thuật tấn công hiện đại kém hơn.

Nên làm gì

Sử dụng RSA tối thiểu 2048 bit hoặc khóa đường cong elliptic hiện đại, cùng thuật toán chữ ký SHA-256 trở lên.

Dữ liệu ghi nhận

Thuật toán khóa công khai:

ECDSA

Độ dài khóa công khai:

256

Thuật toán chữ ký:

SHA256-RSA

Kết quả kiểm tra

Không phát hiện đồng thuận abuse-list độc lập trong 5 nhà cung cấp có kết quả xác định.

Vì sao cần quan tâm

Các nhà cung cấp bảo mật và email duy trì danh sách chặn dựa trên DNS cho địa chỉ IP liên quan tới spam, mã độc hoặc hệ thống bị xâm nhập. Nhiều danh sách độc lập cùng gắn cờ là lý do rõ ràng để điều tra, dù IP dùng chung đôi khi có thể ảnh hưởng tới khách hàng không liên quan.

Nên làm gì

Xác minh từng danh sách với đúng địa chỉ IP, điều tra hoạt động email và máy chủ, xử lý nguyên nhân gốc rồi thực hiện quy trình yêu cầu gỡ của nhà cung cấp.

Dữ liệu ghi nhận

Số danh sách không ghi nhận vấn đề:

5

Số cảnh báo được xác nhận:

Không

Số danh sách có kết quả rõ ràng:

5

Số danh sách không thể kiểm tra:

1

Kết quả kiểm tra

Chính sách DMARC có hiệu lực là reject.

Vì sao cần quan tâm

Chính sách quarantine hoặc reject yêu cầu nơi nhận đưa thư đáng ngờ vào spam hoặc từ chối thư. Chính sách chỉ theo dõi (p=none) ghi nhận vấn đề nhưng không yêu cầu chặn thư giả mạo.

Nên làm gì

Sau khi mọi nguồn gửi hợp lệ đều vượt qua DMARC, chuyển dần sang quarantine rồi reject và áp dụng cho 100% thư.

Dữ liệu ghi nhận

Chính sách đã khai báo:

reject

Chính sách đang áp dụng:

reject

Thiết lập chính sách DMARC:

p

Chế độ thử nghiệm:

Không

Tài liệu tham chiếu

Kết quả kiểm tra

Đã tìm thấy chính sách DMARC.

Vì sao cần quan tâm

DMARC cho phép chủ tên miền hướng dẫn nơi nhận xử lý thư khi địa chỉ From hiển thị không được SPF hoặc DKIM xác minh. Nếu thiếu DMARC, kẻ tấn công có nhiều cơ hội giả mạo tên miền trong email lừa đảo.

Nên làm gì

Công bố bản ghi DMARC tại _dmarc, bắt đầu bằng việc thu thập báo cáo và xác nhận các nguồn gửi hợp lệ trước khi áp dụng chính sách chặn.

Dữ liệu ghi nhận

Tên miền áp dụng chính sách:

usercontent.goog

Tài liệu tham chiếu

Kết quả kiểm tra

Các tag chính của chính sách DMARC đạt kiểm tra cấu trúc.

Vì sao cần quan tâm

Nơi nhận có thể bỏ qua bản ghi DMARC chứa trường trùng, giá trị sai hoặc được công bố không đúng tên DNS. Bản ghi bị bỏ qua không tạo ra khả năng bảo vệ đáng tin cậy trước hành vi giả mạo tên miền.

Nên làm gì

Công bố một bản ghi DMARC hợp lệ tại _dmarc và sửa trường trùng, giá trị không được hỗ trợ cùng địa chỉ nhận báo cáo không hợp lệ.

Tài liệu tham chiếu

Kết quả kiểm tra

Đăng ký tên miền hết hạn sau 339 ngày.

Vì sao cần quan tâm

Tên miền hết hạn sẽ ngừng đưa người dùng tới dịch vụ của tổ chức và cuối cùng có thể bị người khác đăng ký. Tên miền sắp hết hạn cũng khiến thời gian xử lý sự cố thanh toán hoặc tài khoản trở nên rất ngắn.

Nên làm gì

Gia hạn trước ngày hết hạn, bật tự động gia hạn và bảo vệ phương thức thanh toán cùng tài khoản nhà đăng ký.

Dữ liệu ghi nhận

Số ngày còn lại:

338,6

Ngày hết hạn đăng ký:

01:47 GMT+7 26 thg 6, 2027

Kết quả kiểm tra

RDAP trả về 3 trạng thái; 0 trạng thái cần xử lý.

Vì sao cần quan tâm

Các trạng thái hạn chế như khóa, chờ khôi phục hoặc chờ xóa có thể làm tên miền ngừng hoạt động. Nếu không xử lý kịp thời, tổ chức có thể mất quyền kiểm soát danh tính website và email.

Nên làm gì

Xử lý ngay các hạn chế đăng ký, bảo vệ tài khoản nhà đăng ký bằng MFA và cập nhật đầy đủ thông tin chủ sở hữu, liên hệ.

Dữ liệu ghi nhận

Trạng thái đăng ký tên miền:

client delete prohibited, client transfer prohibited, client update prohibited

Kết quả kiểm tra

Kiểm tra này không phát hiện vấn đề.

Vì sao cần quan tâm

Trang HTTPS vẫn có thể tải script, frame, style hoặc form qua HTTP không mã hóa. Kẻ tấn công trên đường truyền có thể thay đổi nội dung đó và làm mất an toàn của toàn bộ trang.

Nên làm gì

Tải mọi script, frame, stylesheet và đích gửi form qua HTTPS; xóa hoặc thay thế tài nguyên không hỗ trợ HTTPS.

Dữ liệu ghi nhận

Tài nguyên trang dùng HTTP không an toàn:

0

Kết quả kiểm tra

Máy chủ cung cấp 3 chứng thư.

Vì sao cần quan tâm

Máy chủ phải cung cấp các chứng thư trung gian nối chứng thư website với nhà cung cấp đáng tin cậy. Nếu thiếu, một số trình duyệt, thiết bị di động hoặc API client có thể từ chối kết nối.

Nên làm gì

Cấu hình máy chủ gửi chứng thư website cùng toàn bộ chứng thư trung gian cần thiết, nhưng không gửi chứng thư gốc.

Dữ liệu ghi nhận

Số chứng thư trong chuỗi:

3

Kết quả kiểm tra

Trang gốc không khớp với mẫu liệt kê thư mục tự động phổ biến.

Vì sao cần quan tâm

Khi web server tự động liệt kê thư mục, người dùng có thể tìm thấy các tệp chưa từng được liên kết công khai, gồm bản sao lưu, log hoặc tệp phục vụ triển khai.

Nên làm gì

Tắt tự động liệt kê thư mục trừ khi duyệt tệp công khai là một tính năng có chủ đích và xóa tệp nhạy cảm khỏi các thư mục có thể truy cập qua web.

Dữ liệu ghi nhận

Phát hiện dấu hiệu liệt kê thư mục:

Không

Chỉ kiểm tra trang chủ:

Có

Kết quả kiểm tra

Chính sách kết thúc SPF là -all.

Vì sao cần quan tâm

Quy tắc cuối của SPF cho nơi nhận biết mức độ tin cậy khi từ chối nguồn gửi không có trong danh sách. Chính sách cho phép rộng khiến thư giả mạo dễ được xem là hợp lệ hơn so với hard fail (-all).

Nên làm gì

Xác nhận mọi nguồn gửi hợp lệ đã được khai báo, sau đó kết thúc bản ghi SPF bằng -all.

Dữ liệu ghi nhận

Quy tắc SPF cuối:

-all

Tài liệu tham chiếu

Kết quả kiểm tra

Đã tìm thấy bản ghi SPF.

Vì sao cần quan tâm

SPF liệt kê các hệ thống được phép gửi email thay mặt tên miền. Nếu thiếu SPF, nơi nhận có ít căn cứ hơn để phân biệt thư hợp lệ với thư giả mạo.

Nên làm gì

Công bố một bản ghi TXT SPF bao gồm đầy đủ các dịch vụ gửi thư hợp lệ và không cho phép nguồn ngoài dự kiến.

Dữ liệu ghi nhận

Bản ghi:

v=spf1 -all

Tài liệu tham chiếu

Kết quả kiểm tra

Bản ghi SPF đạt kiểm tra cấu trúc.

Vì sao cần quan tâm

Nhiều bản ghi SPF, nội dung sai hoặc quá nhiều truy vấn DNS có thể khiến SPF trả về lỗi cố định. Khi đó, nơi nhận có thể không xác minh được nguồn gửi hợp lệ.

Nên làm gì

Chỉ giữ một bản ghi SPF hợp lệ, sửa nội dung sai và tuân thủ giới hạn mười truy vấn dựa trên DNS của SPF.

Dữ liệu ghi nhận

Số lần tra cứu DNS:

0

Có dùng tra cứu PTR:

Không

Tài liệu tham chiếu

Kết quả kiểm tra

Không tìm thấy bản ghi phơi nhiễm thông tin đăng nhập phù hợp trong dữ liệu tình báo hiện đã lập chỉ mục. Kết quả này không chứng minh rằng hoàn toàn không có phơi nhiễm.

Vì sao cần quan tâm

Dữ liệu tình báo infostealer có thể chứa thông tin đăng nhập liên quan tới tên miền, nhưng không chứng minh tài khoản còn hiện hành, hợp lệ hoặc vẫn đang bị lộ.

Nên làm gì

Kiểm tra bằng chứng đã che và thời gian quan sát, xác minh tài khoản cùng thiết bị bị ảnh hưởng, sau đó đặt lại thông tin đăng nhập và phiên còn hiệu lực, bắt buộc MFA và loại bỏ malware khi được xác nhận.

Dữ liệu ghi nhận

Thiết bị bị ảnh hưởng đã ghi nhận:

0

Thiết bị nhiễm mã độc (ước tính):

0

Mẫu bằng chứng đang hiển thị:

0

Giới hạn mẫu bằng chứng:

10

Kết quả kiểm tra

Không phát hiện dịch vụ ngoài dự kiến công khai trong tập cổng TCP đã quét.

Vì sao cần quan tâm

Mọi dịch vụ đang mở đều có thể bị phát hiện, tấn công và cần được cấu hình, giám sát, vá lỗi. Dịch vụ không có mục đích công khai rõ ràng làm tăng rủi ro mà không tạo thêm giá trị.

Nên làm gì

Xác nhận đơn vị phụ trách và mục đích của từng cổng mở, sau đó dừng hoặc dùng firewall chặn mọi dịch vụ không chủ đích công khai.

Dữ liệu ghi nhận

Hoàn tất:

Có

Fingerprint Complete:

Có

Fingerprint Identified:

2

Fingerprint Targets:

2

Các cổng đã kiểm tra:

21, 22, 23, 25, 53, 80, 110, 111, 139, 143, 389, 443, 445, 465, 512, 513, 514, 587, 636, 873, 990, 993, 995, 1.080, 1.433, 1.521, 1.883, 2.049, 2.181, 2.375, 2.376, 3.000, 3.306, 3.389, 5.000, 5.432, 5.601, 5.672, 5.900, 5.984, 6.379, 6.443, 7.001, 7.687, 8.080, 8.443, 8.500, 8.883, 8.888, 9.042, 9.090, 9.200, 10.000, 10.250, 10.255, 11.211, 15.672, 27.017

Kết quả kiểm tra

Kiểm tra này không phát hiện vấn đề.

Vì sao cần quan tâm

Khi người dùng mở một liên kết, trình duyệt có thể gửi URL của trang trước đó tới website đích. Đường dẫn và tham số trong URL có thể làm lộ bối cảnh nhạy cảm cho website khác.

Nên làm gì

Sử dụng strict-origin-when-cross-origin hoặc Referrer-Policy chặt hơn, đồng thời không đặt thông tin bí mật trong URL.

Dữ liệu ghi nhận

Chính sách:

no-referrer

Tài liệu tham chiếu

Kết quả kiểm tra

Kiểm tra này không phát hiện vấn đề.

Vì sao cần quan tâm

Phiên bản chính xác của web server hoặc framework giúp kẻ tấn công nhanh chóng tìm lỗ hổng đã biết có thể áp dụng. Ẩn phiên bản không thay thế việc vá lỗi, nhưng công khai không cần thiết sẽ cung cấp thông tin hữu ích cho việc nhắm mục tiêu.

Nên làm gì

Xóa thông tin phiên bản không cần thiết khỏi Server, X-Powered-By, trang lỗi và metadata ứng dụng, đồng thời luôn cập nhật bản vá.

Kết quả kiểm tra

Đã cấu hình báo cáo tổng hợp.

Vì sao cần quan tâm

Báo cáo tổng hợp DMARC cho biết hệ thống nào gửi email bằng tên miền và thư nào không vượt qua xác minh. Báo cáo giúp phát hiện cả hành vi giả mạo lẫn dịch vụ hợp lệ cần sửa cấu hình.

Nên làm gì

Thêm địa chỉ nhận báo cáo tổng hợp (rua) được bảo vệ và theo dõi hoặc sử dụng một dịch vụ báo cáo DMARC đáng tin cậy.

Dữ liệu ghi nhận

Đã cấu hình:

Có

Tài liệu tham chiếu

Kết quả kiểm tra

Tìm thấy 1 bản ghi CAA áp dụng.

Vì sao cần quan tâm

Bản ghi CAA quy định nhà cung cấp chứng thư nào được phép cấp chứng thư cho tên miền. Cấu hình này giúp giảm nguy cơ một nhà cung cấp ngoài dự kiến cấp chứng thư.

Nên làm gì

Công bố bản ghi CAA chỉ cho phép các nhà cung cấp chứng thư mà tổ chức thực sự sử dụng.

Dữ liệu ghi nhận

Kế thừa từ:

usercontent.goog

Tài liệu tham chiếu

Kết quả kiểm tra

Tìm thấy 4 máy chủ DNS có thẩm quyền.

Vì sao cần quan tâm

Máy chủ DNS có thẩm quyền cho người dùng biết website và email được đặt ở đâu. Chỉ phụ thuộc vào một máy chủ sẽ tạo ra một điểm lỗi duy nhất.

Nên làm gì

Sử dụng ít nhất hai máy chủ DNS có thẩm quyền, ưu tiên hạ tầng độc lập và có khả năng dự phòng.

Dữ liệu ghi nhận

Máy chủ DNS:

ns1.google.com, ns2.google.com, ns3.google.com, ns4.google.com

Kết quả kiểm tra

Kiểm tra này không áp dụng cho mục tiêu.

Vì sao cần quan tâm

Nếu trang nhập mật khẩu hoặc địa chỉ nhận dữ liệu form dùng HTTP, bên quan sát đường truyền có thể đọc hoặc thay đổi mật khẩu được gửi.

Nên làm gì

Cung cấp mọi trang có trường mật khẩu qua HTTPS và gửi trực tiếp từng form mật khẩu tới một địa chỉ HTTPS.

Dữ liệu ghi nhận

Biểu mẫu mật khẩu:

0

Kết quả kiểm tra

Kiểm tra này không áp dụng cho mục tiêu.

Vì sao cần quan tâm

HttpOnly ngăn script trong trình duyệt đọc trực tiếp cookie. Thuộc tính này không khắc phục lỗi chèn script nhưng khiến việc đánh cắp cookie phiên và xác thực khó hơn.

Nên làm gì

Đặt HttpOnly cho cookie phiên và xác thực, trừ khi ứng dụng có nhu cầu rõ ràng và được ghi nhận để đọc chúng bằng mã trong trình duyệt.

Kết quả kiểm tra

Kiểm tra này không áp dụng cho mục tiêu.

Vì sao cần quan tâm

Thuộc tính Secure ngăn trình duyệt gửi cookie qua HTTP không mã hóa. Nếu thiếu thuộc tính này, dữ liệu phiên hoặc xác thực có thể bị lộ cho bên đang quan sát mạng.

Nên làm gì

Đặt Secure cho mọi cookie phiên, xác thực và cookie nhạy cảm khác của ứng dụng HTTPS.

Kết quả kiểm tra

Kiểm tra này không áp dụng cho mục tiêu.

Vì sao cần quan tâm

SameSite giới hạn việc trình duyệt gửi cookie trong yêu cầu bắt đầu từ website khác. Cơ chế này giúp ngăn website khác âm thầm tạo yêu cầu đã xác thực thay mặt người dùng.

Nên làm gì

Ưu tiên SameSite=Lax hoặc Strict. Chỉ dùng SameSite=None cho luồng liên trang thực sự cần thiết và luôn kết hợp với Secure.

Kết quả kiểm tra

Kiểm tra này không áp dụng cho mục tiêu.

Vì sao cần quan tâm

Giá trị max-age quyết định thời gian trình duyệt ghi nhớ việc phải dùng HTTPS. Thời gian quá ngắn chỉ bảo vệ hạn chế; includeSubDomains bảo vệ mọi tên miền phụ nhưng có thể làm hỏng tên miền phụ chưa hỗ trợ HTTPS.

Nên làm gì

Sử dụng max-age dài và chỉ thêm includeSubDomains sau khi xác nhận mọi tên miền phụ đang hoạt động đều hỗ trợ HTTPS đúng cách.