Thử hình dung: doanh nghiệp của bạn đã đầu tư tường lửa, phần mềm diệt virus, hệ thống giám sát. Trên giấy tờ, mọi thứ đều ổn. Nhưng có một câu hỏi mà bảng báo cáo bảo mật hàng tháng không trả lời được: nếu ngay bây giờ một hacker thật sự nhắm vào hệ thống, họ có vào được không, và vào bằng cửa nào? Với phần lớn doanh nghiệp Việt Nam, câu trả lời trung thực là: không ai biết chắc, cho đến khi sự cố xảy ra. Pentest, hay kiểm thử xâm nhập, sinh ra để trả lời đúng câu hỏi đó trước khi kẻ xấu trả lời hộ bạn. Đây là lý do pentest đang dịch chuyển từ một khoản chi tùy chọn sang một hạng mục bắt buộc trong ngân sách an toàn thông tin.
Pentest là gì?
Pentest (Penetration Testing – kiểm thử xâm nhập) là quá trình mô phỏng một cuộc tấn công mạng có kiểm soát, được doanh nghiệp cấp phép rõ ràng bằng văn bản, nhằm chủ động tìm và khai thác thử các lỗ hổng bảo mật trước khi kẻ tấn công thật làm điều đó. Mục tiêu không phải phá hoại, mà là chỉ ra chính xác hệ thống đang yếu ở đâu và yếu đến mức nào.
Nhiều người nhầm pentest với quét lỗ hổng tự động (vulnerability scan). Hai việc này khác nhau ở một điểm cốt lõi. Quét tự động đưa ra một danh sách lỗ hổng có thể tồn tại, dựa trên chữ ký và cơ sở dữ liệu có sẵn. Pentest đi xa hơn một bước quan trọng: kiểm chứng xem lỗ hổng đó có thực sự khai thác được hay không, và nếu khai thác được thì hậu quả thực tế là gì. Một danh sách 200 cảnh báo từ công cụ quét không cho bạn biết cái nào thật sự nguy hiểm. Pentest thì có.
Ba hình thức pentest: khác nhau ở lượng thông tin cung cấp trước
Tùy vào lượng thông tin doanh nghiệp cung cấp cho đội kiểm thử trước khi bắt đầu, pentest thường chia thành ba hình thức:
- Black-box: đội kiểm thử không có thông tin gì về hệ thống, mô phỏng đúng góc nhìn của một hacker bên ngoài dò từ con số không.
- Grey-box: đội kiểm thử có một phần thông tin, ví dụ một tài khoản người dùng thường, mô phỏng rủi ro từ nhân viên hoặc đối tác đã có quyền truy cập hạn chế.
- White-box: đội kiểm thử có toàn bộ thông tin hệ thống, mã nguồn, sơ đồ kiến trúc, phục vụ đánh giá sâu và toàn diện nhất.
Không có hình thức nào tốt hơn tuyệt đối. Black-box gần với thực chiến nhưng dễ bỏ sót; white-box bao phủ sâu nhưng không phản ánh góc nhìn kẻ tấn công ngoài. Việc chọn hình thức nào phụ thuộc vào mục tiêu và ngân sách, và đây là chủ đề đáng để bàn riêng.
Vì sao một lỗ hổng có thể tồn tại âm thầm nhiều tháng?
Phần lớn sự cố bảo mật nghiêm trọng không bắt đầu từ một lỗ hổng zero-day hiếm gặp và tinh vi. Chúng bắt đầu từ một lỗ hổng đã tồn tại từ lâu, thường là ngay từ lúc hệ thống được triển khai, nhưng chưa từng được kiểm tra lại. Một cổng thanh toán, một trang quản trị nội bộ để lộ, một API kết nối với đối tác cấu hình sai đều có thể mang lỗ hổng dạng này mà đội IT không hay biết, đơn giản vì không ai chủ động đi tìm.
Các báo cáo an ninh mạng công bố định kỳ đều cho thấy một điểm chung: đa số cuộc tấn công thành công khai thác những lỗ hổng đã biết, đã được ghi nhận công khai, chứ không phải lỗ hổng mới. Nói cách khác, vấn đề của doanh nghiệp Việt hiếm khi là thiếu công nghệ phòng thủ. Vấn đề là chưa ai từng thử tấn công hệ thống của chính mình để biết nó đứng vững đến đâu.
Vì sao tường lửa và antivirus vẫn chưa đủ?
Tường lửa, antivirus, hệ thống giám sát tự động đều là những lớp phòng thủ cần thiết, nhưng chúng chủ yếu phản ứng với các mối đe dọa đã biết trước, dựa trên chữ ký hoặc luật được thiết lập sẵn. Chúng không mô phỏng được cách một kẻ tấn công thật suy nghĩ: kiên nhẫn kết hợp nhiều lỗ hổng nhỏ tưởng chừng vô hại, hoặc khai thác sai sót trong logic nghiệp vụ mà không công cụ tự động nào bắt được.
Vấn đề không phải doanh nghiệp không có bảo mật. Vấn đề là lớp bảo mật đó chưa bao giờ được kiểm chứng bằng một cuộc tấn công thật, có kiểm soát. Đó chính là vai trò của pentest: không thay thế các lớp phòng thủ hiện có, mà kiểm chứng xem chúng có thực sự đứng vững trước một cuộc tấn công có chủ đích hay không.
Cái giá phải trả khi bỏ qua kiểm thử định kỳ
Khi một lỗ hổng bị hacker phát hiện trước, chi phí không dừng ở việc vá kỹ thuật. Nó gồm ba lớp cộng dồn:
- Chi phí xử lý sự cố: điều tra nguyên nhân, khôi phục hệ thống, gián đoạn vận hành trong suốt thời gian ứng phó.
- Chi phí uy tín: mất niềm tin của khách hàng và đối tác, đặc biệt khi dữ liệu cá nhân bị rò rỉ, thứ khó lấy lại hơn nhiều so với khôi phục hệ thống.
- Chi phí pháp lý: theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, doanh nghiệp để lộ dữ liệu khách hàng có thể chịu trách nhiệm hành chính, chưa kể chi phí thông báo và bồi thường liên quan.
So với ba lớp chi phí này, chi phí cho một đợt pentest định kỳ gần như luôn thấp hơn đáng kể. Đây là phép tính đơn giản, nhưng nhiều doanh nghiệp chỉ nhận ra sau khi đã trả giá.
Quy trình pentest chuẩn diễn ra thế nào?
Phạm vi kiểm thử phổ biến gồm ứng dụng web, API, ứng dụng di động, hạ tầng mạng nội bộ và hệ thống trên nền tảng cloud. Một quy trình pentest bài bản thường trải qua 5 bước:
- Xác định phạm vi và ký thỏa thuận (scope, rules of engagement): thống nhất rõ hệ thống nào được phép kiểm thử, khung thời gian, giới hạn thao tác.
- Trinh sát và rà quét (reconnaissance, scanning): thu thập thông tin, xác định bề mặt tấn công.
- Khai thác thử có kiểm soát (exploitation): kiểm chứng lỗ hổng có thực sự khai thác được không, trong đúng phạm vi đã thống nhất.
- Phân tích và đánh giá mức độ rủi ro: xếp hạng lỗ hổng theo mức độ nghiêm trọng và khả năng bị lợi dụng thực tế.
- Báo cáo chi tiết và đề xuất khắc phục: mô tả rõ lỗ hổng, bằng chứng, và hướng xử lý cụ thể cho đội kỹ thuật.
Doanh nghiệp Việt Nam nên bắt đầu từ đâu?
Không cần pentest toàn bộ hệ thống ngay từ đầu. Cách thực tế là bắt đầu từ nơi rủi ro cao nhất nếu bị xâm nhập: cổng giao dịch, hệ thống lưu trữ dữ liệu khách hàng, hệ thống lõi vận hành. Một lộ trình khả thi thường đi qua ba bước trước khi mở rộng:
- Kiểm kê tài sản số: liệt kê các hệ thống đang public ra internet, đang xử lý dữ liệu cá nhân, hoặc là điểm tích hợp với đối tác. Đây là nhóm ưu tiên kiểm thử trước.
- Xác định mức độ ảnh hưởng nếu bị xâm nhập: hệ thống nào ngừng chạy sẽ gián đoạn kinh doanh trực tiếp, hệ thống nào chứa dữ liệu nhạy cảm nhất.
- Lên kế hoạch theo giai đoạn: chia theo nhóm hệ thống, theo quý hoặc theo mức độ ưu tiên, thay vì cố làm tất cả trong một đợt.
Về tần suất, khuyến nghị chung là pentest tối thiểu một lần mỗi năm, và bổ sung mỗi khi có thay đổi lớn: ra mắt tính năng mới, đổi nhà cung cấp cloud, hoặc sau khi phát hiện dấu hiệu bất thường. Với doanh nghiệp tài chính, thương mại điện tử hoặc xử lý nhiều dữ liệu cá nhân, tần suất này nên rút ngắn hơn.
Một điểm nhiều doanh nghiệp bỏ qua: pentest về bản chất là một hành vi tấn công có kiểm soát, nên đơn vị thực hiện bắt buộc phải có pháp lý rõ ràng. Thuê một đơn vị không đủ tư cách pháp lý không chỉ ảnh hưởng chất lượng kiểm thử, mà còn đẩy rủi ro pháp lý về phía chính doanh nghiệp đi thuê. Ngoài ra, cần thống nhất phạm vi và cửa sổ thời gian bằng văn bản trước khi bắt đầu, tránh ảnh hưởng hệ thống đang chạy trong giờ cao điểm.
MVTech Cyber đồng hành cùng doanh nghiệp trong dịch vụ Pentest
MVTech Cyber, thuộc Công ty TNHH Thương mại và Công nghệ MVTech (thành lập 2016), vừa chính thức được cấp phép cung cấp dịch vụ an toàn thông tin, trong đó có kiểm thử xâm nhập (pentest). Đây là bước tiếp nối vai trò nhà cung cấp các giải pháp bảo mật như SOC, SIEM, EDR, PAM, DLP, DRM mà MVTech đã triển khai cho nhiều khách hàng khối Bộ ngành, Telco, tài chính – ngân hàng và doanh nghiệp.
Đội ngũ kiểm thử của MVTech Cyber tuân thủ quy trình rõ ràng từ xác định phạm vi, thực hiện kiểm thử có kiểm soát, đến báo cáo chi tiết kèm đề xuất khắc phục thực tế cho đội kỹ thuật. Nếu hệ thống của bạn chưa từng được kiểm thử, hoặc đã lâu chưa kiểm tra lại, MVTech Cyber có thể cùng bạn đánh giá phạm vi và đề xuất lộ trình phù hợp với quy mô hiện tại.
Đăng ký để nhận tư vấn scope pentest miễn phí.
