Penetration Testing (pentest, security testing) là kiểm tra lỗ hổng bảo mật. Đồng thời, cũng đánh giá độ an toàn hệ thống CNTT. Thực hiện bằng cách tấn công vào hệ thống (đánh trận giả). Người thực hiện một thử nghiệm xâm nhập được gọi pentester.

Thâm nhập thử nghiệm cần có sự cho phép của người sở hữu hệ thống. Nếu không, được coi là đang tấn công, hack hệ thống.

Khái niệm bảo mật cơ bản của lỗ hổng bảo mật (vulnerabilities), khai thác (exploits) và trọng tải (payloads). Như vậy, chuyên gia sẽ hiểu rõ hơn về Kiểm tra lỗ hổng bảo mật Pentest.

Lỗ hổng (Vulnerabilities): Phần mềm, phần cứng hoặc hệ điều hành, đối tượng tiềm năng để tấn công hệ thống. Một lỗ hổng có thể đơn giản như mật khẩu yếu. Hoặc phức tạp như lỗi tràn bộ đệm, lỗ hổng SQL injection.

Khai thác (exploits): Lợi dụng điểm yếu của một lỗi, sự cố hay lỗ hổng của phần cứng, phần mềm, đoạn dữ liệu. Hacker gây ra các hành vi không mong muốn hoặc không lường trước xảy ra trên hệ thống máy tính. Những hành động đó có thể bao gồm các hành động leo thang đặc quyền. Hoặc một cuộc tấn công từ chối dịch vụ, đánh cắp các thông tin nhạy cảm, …

Trọng tải (payloads): Một phần của phần mềm đang tồn tại lỗ hổng và được làm mục tiêu để khai thác (exploits).

Các phương pháp kiểm thử, đánh giá an toàn bảo mật trong pentest:

  1. Hộp đen (Black box) – Kiểm thử từ bên ngoài vào: Tấn công mà không có bất kỳ thông tin nào. Pentester cố gắng bằng mọi cách để thâm nhập vào được hệ thống của khách hàng. Quá trình thử nghiệm bao gồm một loạt các tấn công nhắm vào các lỗ hổng. Quá trình thử nghiệm sẽ tiết lộ các lỗ hổng và mức độ nghiêm trọng.
  2. Hộp trắng (White box) – Kiểm thử từ bên trong ra: Các thông tin về mạng nội bộ, public sẽ được cung cấp bởi khách hàng. Pentester sẽ đánh giá an ninh mạng dựa trên đó.
  3. Hộp xám (Gray box) – Kiểm thử hộp xám: Giả định như tin tặc được cung cấp tài khoản một người dùng thông thường. Pentester tiến hành tấn công vào hệ thống như một nhân viên của doanh nghiệp.

Công ty TNHH SLA chuyên cung cấp các phần mềm bảo mật, tường lửa tại Việt Nam. Ngoài ra, công cụ đánh giá lỗ hổng bảo mật, dịch vụ kiểm thử, đánh giá an toàn thông tin hệ thống CNTT. Liên hệ với chúng tôi tại đây để được tư vấn dịch vụ kiểm tra lỗ hổng bảo mật.