Pentest
Kiểm thử xâm nhập
Tìm lỗ hổng trước kẻ tấn công: chuyên gia mô phỏng tấn công thật trên hệ thống của bạn, trong phạm vi được cho phép bằng văn bản.
- Web, API
- Mobile Android, iOS
- Hạ tầng, cloud
Đối tác kiểm thử độc lập thực hiện, phù hợp yêu cầu độc lập về tổ chức của PCI DSS 11.4.
- OWASPWSTG, ASVS, MASVS
- PTESNIST SP 800-115
- CVSSchấm mức độ nghiêm trọng
- Retestkiểm tra lại sau khắc phục
Dịch vụ kiểm thử
Ứng dụng web
Xác thực, phân quyền, injection, logic nghiệp vụ
API
REST, GraphQL, SOAP · OWASP API Top 10
Mobile app
Android, iOS: lưu trữ, giao tiếp, chống dịch ngược
Hạ tầng bên ngoài
Dịch vụ mở ra Internet, VPN, email, DNS
Mạng nội bộ
Active Directory, leo thang đặc quyền, di chuyển ngang
Cloud
AWS, Azure, GCP: cấu hình, IAM, lưu trữ
Phishing mô phỏng
Tuỳ chọn: email giả lập, đo mức nhận biết
Phương pháp
Black box
Không biết trước thông tin, như kẻ tấn công bên ngoài
Grey box
Có tài khoản người dùng, tài liệu cơ bản
White box
Có mã nguồn, sơ đồ kiến trúc; độ bao phủ cao
Tiêu chuẩn áp dụng
- OWASP WSTGkiểm thử web
- OWASP ASVSyêu cầu bảo mật ứng dụng
- OWASP MASVSứng dụng di động
- OWASP API Top 10rủi ro API
- PTESquy trình pentest
- NIST SP 800-115kiểm thử kỹ thuật
- CVSS v3.1, v4.0mức độ nghiêm trọng
- PCI DSS 11.4pentest định kỳ
Quy trình kiểm thử
- Phạm vi và cho phépMục tiêu, thời gian, Rules of Engagement ký bằng văn bản
- Thu thập thông tinBề mặt tấn công, công nghệ, tài khoản thử
- Dò quét, phân tíchCông cụ tự động kết hợp kiểm thử thủ công
- Khai thác có kiểm soátChứng minh tác động, hạn chế ảnh hưởng tới hệ thống
- Báo cáoTrình bày kết quả, hướng dẫn khắc phục
- Kiểm tra lạiXác nhận đã sửa, cập nhật báo cáo
Bạn nhận được
- Báo cáo điều hành tóm tắt rủi ro cho ban lãnh đạo
- Báo cáo kỹ thuật bằng chứng, bước tái hiện, điểm CVSS, cách sửa
- Kết quả kiểm tra lại trạng thái từng lỗ hổng sau khắc phục
Lưu ýChỉ kiểm thử khi có văn bản cho phépPhạm vi, thời gian, IP nguồn và đầu mối liên hệ khẩn ghi trong Rules of Engagement do chủ hệ thống ký. Truy cập trái phép hệ thống người khác là vi phạm pháp luật (Điều 289 Bộ luật Hình sự).
Câu hỏi thường gặp
Pentest khác quét lỗ hổng thế nào?
Quét lỗ hổng chủ yếu tự động, liệt kê điểm yếu đã biết. Pentest do chuyên gia thực hiện, kết hợp và khai thác lỗ hổng để chứng minh tác động thực tế.
Kiểm thử có làm gián đoạn hệ thống không?
Bước có rủi ro được thống nhất trước trong Rules of Engagement; có thể kiểm thử trên môi trường staging hoặc ngoài giờ cao điểm.
Bao lâu nên pentest một lần?
Tối thiểu mỗi năm và sau thay đổi lớn; đây cũng là yêu cầu 11.4 của PCI DSS.
Có phải cung cấp mã nguồn không?
Không bắt buộc. Black box không cần; white box có mã nguồn giúp tìm được nhiều lỗi hơn trong cùng thời gian.
Chi phí thế nào?
Theo phạm vi: số ứng dụng, endpoint API, địa chỉ IP và phương pháp. Liên hệ để nhận báo giá.
Lên kế hoạch kiểm thử
Cho biết hệ thống cần kiểm thử, MuaSSL tư vấn phạm vi và báo giá.