Dịch vụ pentest của MVTech mô phỏng tấn công có kiểm soát để phát hiện lỗ hổng, xác định tác động thực tế và hỗ trợ khắc phục trước khi xảy ra sự cố.
Khi nào tổ chức cần kiểm thử xâm nhập
Một bản báo cáo quét tự động cho biết hệ thống có thể có lỗ hổng. Pentest trả lời câu hỏi khác: kẻ tấn công thực sự đi được tới đâu và lấy được gì. Ba thời điểm nên kiểm thử:
- Trước khi đưa hệ thống lên môi trường thật. Sửa một lỗ hổng ở giai đoạn kiểm thử rẻ hơn nhiều lần so với xử lý sự cố sau khi hệ thống đã có người dùng.
- Khi có yêu cầu tuân thủ hoặc yêu cầu từ đối tác. Nhiều hợp đồng, hồ sơ thầu và quy định ngành yêu cầu bằng chứng kiểm thử độc lập.
- Sau khi thay đổi kiến trúc lớn. Chuyển lên cloud, tách microservice, đổi nhà cung cấp hạ tầng hoặc mở thêm API cho đối tác đều tạo ra bề mặt tấn công mới.
Phạm vi kiểm thử
- Website, Mobile App và API. Kiểm thử logic nghiệp vụ, xử lý đầu vào, quản lý phiên và các lỗ hổng thuộc OWASP Top 10 cùng OWASP API Security Top 10.
- Hạ tầng mạng, máy chủ, VPN, Firewall và WAF. Đánh giá cấu hình, dịch vụ đang phơi bày, khả năng vượt qua các lớp kiểm soát biên.
- Xác thực, SSO/IAM và phân quyền. Kiểm tra khả năng leo thang đặc quyền, truy cập ngang giữa các tài khoản và các sai sót trong luồng đăng nhập.
- Cloud, container và mạng nội bộ. Rà soát cấu hình sai trên cloud, quyền của service account, khả năng thoát khỏi container và di chuyển ngang trong mạng.
Quy trình triển khai
- Xác định phạm vi. Thống nhất tài sản kiểm thử, khung giờ thực hiện, mức độ can thiệp cho phép và đầu mối xử lý sự cố trong quá trình kiểm thử.
- Kiểm thử đa lớp. Kết hợp công cụ và kiểm thử thủ công, khai thác có kiểm soát để chứng minh tác động thay vì chỉ liệt kê cảnh báo.
- Phân loại rủi ro. Chấm điểm theo CVSS, đối chiếu CWE và xếp thứ tự ưu tiên theo mức độ ảnh hưởng tới hoạt động thực tế.
- Khắc phục và kiểm thử lại. Hướng dẫn đội kỹ thuật xử lý, sau đó kiểm thử lại để xác nhận lỗ hổng đã đóng và không phát sinh lỗi mới.
Tiêu chuẩn tham chiếu
Toàn bộ quá trình kiểm thử tham chiếu OWASP WSTG, OWASP API Security Top 10, CWE và CVSS. Việc bám theo bộ tiêu chuẩn công khai giúp khách hàng đối chiếu được kết quả với bất kỳ đơn vị kiểm thử nào khác và dùng lại báo cáo trong hồ sơ tuân thủ.
Sản phẩm bàn giao
- Báo cáo điều hành viết cho lãnh đạo, nêu mức rủi ro tổng thể và khuyến nghị ưu tiên
- Báo cáo kỹ thuật mô tả từng lỗ hổng, điều kiện tái hiện và cách xử lý
- Bằng chứng khai thác cho các lỗ hổng đã được xác minh
- Danh mục khắc phục ưu tiên sắp xếp theo rủi ro thực tế, không theo điểm số thuần túy
- Kết quả kiểm thử lại sau khi đội kỹ thuật hoàn tất xử lý
Kiểm thử an toàn cho hệ thống đang vận hành
Mối lo lớn nhất khi thuê pentest là hệ thống bị gián đoạn giữa giờ làm việc. MVTech thống nhất trước khung giờ, mức độ can thiệp và kịch bản dừng khẩn cấp, giữ liên lạc với đội kỹ thuật khách hàng trong suốt quá trình. Mọi dữ liệu tiếp cận được trong quá trình kiểm thử đều được bảo mật và hủy sau khi kết thúc hợp đồng.
Pentest khác gì rà quét lỗ hổng
Hai dịch vụ này bổ sung cho nhau chứ không thay thế nhau.
- Rà quét lỗ hổng: bao phủ rộng, thực hiện định kỳ, mục tiêu là không bỏ sót tài sản nào và theo dõi được tiến độ khắc phục theo thời gian.
- Pentest: kiểm thử chuyên sâu trên phạm vi hẹp hơn, mục tiêu là chứng minh tác động thật của lỗ hổng bằng bằng chứng khai thác.
Một tổ chức trưởng thành về bảo mật thường rà quét định kỳ theo quý và pentest một tới hai lần mỗi năm hoặc mỗi khi có thay đổi lớn.
Câu hỏi thường gặp
Một đợt pentest mất bao lâu?
Phụ thuộc phạm vi. Một ứng dụng web quy mô vừa thường mất một tới hai tuần kiểm thử, cộng thêm thời gian viết báo cáo và kiểm thử lại sau khắc phục.
MVTech có cần quyền truy cập vào hệ thống không?
Tùy kịch bản. Kiểm thử hộp đen không cần tài khoản, kiểm thử hộp xám cần tài khoản ở các mức phân quyền khác nhau để đánh giá được lỗi leo thang đặc quyền. Phạm vi và quyền truy cập được thống nhất bằng văn bản trước khi bắt đầu.
Sau pentest có được cấp chứng nhận không?
Pentest không phải hoạt động chứng nhận. Khách hàng nhận báo cáo và kết quả kiểm thử lại, đây là bằng chứng thường được chấp nhận trong hồ sơ thầu và hồ sơ tuân thủ.
Yêu cầu báo giá pentest
Gửi phạm vi hệ thống cần kiểm thử, MVTech phản hồi đề xuất trong hai ngày làm việc. Hotline 098.3748.712, email contact@mvtechgroup.vn.
