Kiểm tra thâm nhập là gì?

Kiểm tra thâm nhập, kiểm tra bút hoặc hack có đạo đức, là thực hành kiểm tra an ninh mạng của hệ thống máy tính, mạng hoặc ứng dụng web bằng cách tìm kiếm các lỗ hổng bảo mật có thể khai thác. Kiểm tra thâm nhập có thể được tự động hóa bằng các công cụ kiểm tra thâm nhập hoặc thủ công bởi người kiểm tra thâm nhập.

Về bản chất, kiểm tra thâm nhập tìm cách trả lời:

Một cuộc tấn công sẽ vượt qua chương trình bảo mật của tôi như thế nào
Làm thế nào họ có quyền truy cập vào dữ liệu nhạy cảm của tôi và khách hàng của tôi

Nó xem mạng, ứng dụng, thiết bị và bảo mật vật lý của bạn thông qua con mắt của một tác nhân độc hại và một nhóm bảo mật có kinh nghiệm để phát hiện ra điểm yếu và xác định cách cải thiện tình trạng bảo mật của bạn. Đó là một khía cạnh quan trọng của an ninh mạng mà tất cả các tổ chức nên sử dụng.

Người kiểm tra bút khởi động các cuộc tấn công mạng được ủy quyền được thiết kế để truy cập vào thông tin nhạy cảm, mô phỏng mục tiêu của một cuộc tấn công trong thế giới thực, các biện pháp kiểm soát bảo mật của bạn sẽ hoạt động như thế nào và mức độ vi phạm dữ liệu tiềm ẩn.

Những gì liên quan đến kiểm tra thâm nhập?

Thông thường, một hệ thống mục tiêu được xác định và một mục tiêu cụ thể được xác định, ví dụ: để có quyền truy cập vào PII và PHI dẫn đến vi phạm dữ liệu có thể thông báo.

Sau đó, người kiểm tra bút xem xét thông tin có sẵn và sử dụng nhiều phương pháp khác nhau để cố gắng đạt được mục tiêu của họ. Ví dụ: họ có thể sử dụng SQL injection, lừa đảo và các cuộc tấn công kỹ thuật xã hội khác, kịch bản chéo trang hoặc khai thác lỗ hổng.

Sau khi kiểm tra thâm nhập hoàn tất, các chuyên gia bảo mật sẽ cung cấp đánh giá bảo mật cho chủ sở hữu của mục tiêu. Đánh giá thường phác thảo tác động tiềm ẩn và các biện pháp đối phó được thiết kế để giảm rủi ro an ninh mạng.

Tìm hiểu sự khác biệt giữa an ninh mạng và hack có đạo đức.

Các lĩnh vực phổ biến để kiểm tra thâm nhập là gì?

Các lĩnh vực phổ biến để kiểm tra thâm nhập bao gồm:

Kiểm tra thâm nhập ứng dụng: Xác định các vấn đề về các vấn đề như giả mạo yêu cầu trên nhiều trang web, viết kịch bản trên nhiều trang web, lỗi tiêm, quản lý phiên yếu và hơn thế nữa
Kiểm tra thâm nhập mạng: Làm nổi bật các lỗ hổng cấp mạng bao gồm cấu hình sai, lỗ hổng dành riêng cho sản phẩm, lỗ hổng mạng không dây, dịch vụ giả mạo, mật khẩu yếu, giao thức dễ bị tấn công và mật khẩu mặc định
Kiểm tra thâm nhập vật lý: Tiết lộ cách kiểm soát vật lý, chẳng hạn như khóa, quét sinh trắc học, cảm biến và camera có thể được khắc phục
Kiểm tra thâm nhập IoT: Phát hiện các lỗ hổng phần cứng và phần mềm trong các thiết bị Internet vạn vật (IoT), bao gồm mật khẩu mặc định, giao thức không an toàn, API mở, cấu hình sai, v.v.

Mục tiêu của một bài kiểm tra thâm nhập là gì?

Mục tiêu của kiểm tra thâm nhập sẽ phụ thuộc vào loại hoạt động được phê duyệt và các yêu cầu tuân thủ của bạn. Kiểm tra thâm nhập có thể giúp các tổ chức:

Xác định tính khả thi của các vectơ tấn công cụ thể
Xác định các lỗ hổng có rủi ro cao do các lỗ hổng có rủi ro thấp hơn được khai thác theo một cách cụ thể
Làm nổi bật các lỗ hổng không được phát hiện trong phần mềm quét lỗ hổng mạng hoặc ứng dụng tự động
Đánh giá tác động kinh doanh, hoạt động và quy định tiềm ẩn của các cuộc tấn công mạng thành công
Kiểm tra khả năng phòng thủ mạng và khả năng phát hiện, ứng phó và ngăn chặn tấn công thành công của tổ chức bạn
Cung cấp bối cảnh để hỗ trợ tăng cường đầu tư vào các chính sách, thủ tục, nhân sự hoặc công nghệ bảo mật thông tin
Đáp ứng các yêu cầu tuân thủ, ví dụ: tất cả các tổ chức được FISMA quản lý đều phải tuân thủ NIST SP 800-115, Hướng dẫn kỹ thuật về kiểm tra và đánh giá bảo mật thông tin. Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI DSS) cũng yêu cầu kiểm tra thâm nhập thường xuyên.
Xác thực việc triển khai các biện pháp kiểm soát bảo mật mới được áp dụng để ngăn chặn các cuộc tấn công tương tự

Cuối cùng, mục tiêu tiêu chuẩn là tìm ra các vấn đề bảo mật có thể bị kẻ tấn công khai thác và sau đó chia sẻ thông tin này, cùng với các chiến lược giảm thiểu có liên quan với mục tiêu.

Mặc dù kiểm tra thâm nhập có thể giúp xác định các điểm yếu trong bảo mật mạng, bảo mật thông tin, bảo mật ứng dụng và bảo mật dữ liệu, nhưng nó chỉ là một phần của kiểm tra bảo mật đầy đủ.

Sáu giai đoạn của kiểm tra thâm nhập là gì?

Kiểm tra thâm nhập có thể được chia thành sáu giai đoạn:

Trinh sát: Thu thập thông tin về mục tiêu để sử dụng để tấn công mục tiêu tốt hơn. Ví dụ: sử dụng hack google để tìm dữ liệu có thể được sử dụng trong một cuộc tấn công kỹ thuật xã hội.
Quét: Sử dụng các công cụ kỹ thuật để có thêm kiến thức về các tài sản hướng ra bên ngoài của mục tiêu, ví dụ: sử dụng Nmap để quét các cổng mở.
Truy cập: Sử dụng dữ liệu thu thập được trong giai đoạn trinh sát và quét, pen tester có thể cung cấp tải trọng để khai thác mục tiêu. Ví dụ: Metasploit có thể được sử dụng để tự động hóa các cuộc tấn công vào các lỗ hổng đã biết như những lỗ hổng được liệt kê trên CVE.
Duy trì quyền truy cập: Sau khi có quyền truy cập, người kiểm tra bút có thể thực hiện các bước để có quyền truy cập liên tục vào mục tiêu để trích xuất càng nhiều dữ liệu càng tốt.
Bao gồm các dấu vết: Bước cuối cùng là xóa bất kỳ dấu vết nào về quyền truy cập của họ bằng cách xóa dấu vết kiểm tra, sự kiện nhật ký, v.v.
Báo cáo: Phác thảo các phát hiện, cung cấp đánh giá lỗ hổng bảo mật với các bước khắc phục được đề xuất.

Lưu ý rằng quá trình này có thể được lặp lại khi người kiểm tra bút tìm thấy các vấn đề bảo mật mới.

Ai cung cấp dịch vụ kiểm tra thâm nhập?

Các dịch vụ kiểm tra thâm nhập thường được cung cấp bởi một nhà tư vấn bên ngoài hoặc nhóm đỏ nội bộ có ít hoặc không có kiến thức trước về cách bảo mật mục tiêu.

Điều này cho phép họ tiết lộ các bài đăng mù có thể bị bỏ sót bởi nhóm bảo mật nội bộ.

Các loại kiểm tra thâm nhập là gì?

Kiểm tra bút hộp trắng: Tin tặc có đạo đức được cung cấp thông tin cơ bản và hệ thống, chẳng hạn như email của nhân viên, hệ điều hành, chính sách bảo mật hoặc mã nguồn. Loại kiểm tra bảo mật này có thể nói là bắt chước các mối đe dọa nội bộ.
Kiểm tra bút hộp đen: Các chuyên gia bảo mật được cung cấp thông tin cơ bản hoặc không có thông tin nào ngoài tên của mục tiêu. Điều này có nghĩa là những người kiểm tra bút chỉ có quyền truy cập vào thông tin mà họ có thể thu thập thông qua quét lỗ hổng, lỗi OPSEC, kỹ thuật xã hội và phân tích tình hình bảo mật bên ngoài. Điều này bắt chước những kẻ tấn công bên ngoài cố gắng giành quyền truy cập vào tổ chức của bạn.
Kiểm tra bút hộp xám: Sự kết hợp của kiểm tra hộp trắng và hộp đen, trong đó kiến thức hạn chế về mục tiêu được chia sẻ với người kiểm tra bút. Loại kiểm tra bảo mật này có thể giúp xác định hệ thống nào dễ bị tấn công tấn công có thể truy cập ban đầu vào mạng nội bộ của bạn.
Kiểm tra pen kìm/mù đôi: Mô tả tình huống mà rất ít người biết một pen test đang diễn ra, bao gồm cả các nhóm CNTT và bảo mật sẽ phản ứng với cuộc tấn công.
Kiểm tra pen bên ngoài: Đây là khi một tin tặc có đạo đức nhắm mục tiêu vào công nghệ đối mặt với bên ngoài của công ty, chẳng hạn như trang web và máy chủ mạng bên ngoài của họ. Các loại pen test này thường được thực hiện từ một địa điểm xa xôi.
Kiểm tra pen nội bộ: Kiểm tra này được thực hiện từ bên trong mạng nội bộ của công ty và hữu ích để xác định mức độ thiệt hại có thể được thực hiện bởi người trong cuộc từ bên trong tường lửa của công ty.
Kiểm tra pen có mục tiêu: Người kiểm tra thâm nhập và nhóm bảo mật làm việc cùng nhau, thông báo cho nhau về các bước được thực hiện để tấn công mục tiêu và bảo vệ cuộc tấn công. Đây đóng vai trò như một bài tập đào tạo cung cấp phản hồi theo thời gian thực.

Tại sao kiểm tra thâm nhập lại quan trọng?

Kiểm tra thâm nhập rất quan trọng vì nó giúp xác định mức độ tổ chức của bạn đang đáp ứng các mục tiêu bảo mật của mình.

Mục đích của các cuộc tấn công mô phỏng này là xác định điểm yếu trong các biện pháp kiểm soát bảo mật mà kẻ tấn công có thể lợi dụng.

Kiểm tra thâm nhập và an ninh mạng nói chung đang trở nên quan trọng hơn khi chúng ta trở nên phụ thuộc nhiều hơn vào công nghệ để xử lý thông tin nhạy cảm.

Là một phần của chương trình an ninh mạng, kiểm tra thâm nhập giúp bạn cải thiện chất lượng kiểm soát bảo mật của mình. Nó cũng có thể giúp giảm chi phí và tần suất ngừng hoạt động, cải thiện thời gian sửa chữa trung bình (MTTR), bảo vệ danh tiếng thương hiệu, duy trì niềm tin của khách hàng, tránh kiện tụng và đảm bảo tuân thủ quy định.

Tại sao kiểm tra thâm nhập là không đủ

Các chuyên gia bảo mật không đồng ý về tầm quan trọng của kiểm tra thâm nhập. Một số người tin rằng đó là điều quan trọng nhất, những người khác tin rằng đó là một sự lãng phí thời gian.

Như với hầu hết các phương pháp bảo mật, sự thật nằm ở đâu đó và hiệu quả của nó phụ thuộc vào ứng dụng và phạm vi.

Chỉ kiểm tra bút không bao giờ đủ để ngăn chặn vi phạm dữ liệu nhưng thông tin thu được từ nó có thể đóng một vai trò quan trọng trong việc tăng cường các biện pháp kiểm soát bảo mật của tổ chức bạn.

Mặc dù có rất nhiều khuôn khổ phác thảo quy trình kiểm tra pen, nhưng nó vẫn là một thuật ngữ rộng bao gồm một loạt các hoạt động khác nhau được thiết kế để xác định các điểm yếu trong an ninh mạng của bạn.

Điều này có thể đòi hỏi phải sử dụng các công cụ bảo mật chuyên dụng như Kali Linux hoặc Backbox và Metasploit hoặc Nmap để phát hiện và khai thác các lỗ hổng, thực hiện các cuộc tấn công kỹ thuật xã hội để kiểm tra các biện pháp kiểm soát vật lý hoặc sử dụng tin tặc có đạo đức để mô phỏng các cuộc tấn công mạng.

Cuối cùng, mục tiêu là như nhau: cải thiện tình hình bảo mật của bạn và giảm rủi ro an ninh mạng.

Ngay cả các ứng dụng và cơ sở hạ tầng được kiểm tra kỹ lưỡng nhất cũng có thể trở thành nạn nhân của vi phạm dữ liệu hoặc rò rỉ dữ liệu. Đó là sự thật đáng thất vọng về an ninh mạng - đôi khi những kẻ tấn công đi trước nhóm bảo mật của bạn một bước.

Hơn nữa, ngay cả những người kiểm tra bút giỏi nhất cũng chỉ có thể làm việc với kiến thức và công cụ theo ý của họ.

Trong trường hợp khai thác zero-day, như EternalBlue dẫn đến sâu ransomware WannaCry, điều tốt nhất bạn có thể làm là phản ứng nhanh chóng. Kết hợp điều này với thực tế là các nhà cung cấp bên thứ ba đang xử lý ngày càng nhiều thông tin nhạy cảm hơn và không khó để hiểu rằng mặc dù pen testing rất quan trọng, nhưng nó không thể là điều duy nhất bạn làm.

Để có tác động lâu dài đến tổ chức, pen testing phải được tích hợp với giám sát bảo mật liên tục theo thời gian thực của bên thứ nhất, thứ ba và thứ tư.

Các công cụ này có thể tự động phát hiện các lỗ hổng đã biết, giúp giảm thiểu các lỗ hổng rủi ro cao, cung cấp đánh giá rủi ro nhà cung cấp liên tục và giúp bạn mở rộng các nỗ lực quản lý rủi ro của nhà cung cấp.

Các khung kiểm tra thâm nhập phổ biến là gì?

Có một số khuôn khổ và phương pháp luận để tiến hành kiểm tra thâm nhập bao gồm:

Hướng dẫn sử dụng phương pháp kiểm tra bảo mật mã nguồn mở (OSSTMM)
Tiêu chuẩn thực hiện kiểm tra thâm nhập (PTES)
NIST SP 800-115
Khung đánh giá an ninh hệ thống thông tin (ISSAF)
Hướng dẫn kiểm tra OWASP

Các công ty như Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar và NASA sử dụng UpGuard để bảo vệ dữ liệu của họ, ngăn chặn vi phạm dữ liệu, giám sát lỗ hổng và tránh phần mềm độc hại.

Chúng tôi là chuyên gia về vi phạm dữ liệu và rò rỉ dữ liệu, nghiên cứu của chúng tôi đã được đăng trên New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters và Techcrunch.

UpGuard Vendor Risk có thể giảm thiểu lượng thời gian tổ chức của bạn dành cho việc quản lý các mối quan hệ bên thứ ba bằng cách tự động hóa bảng câu hỏi của nhà cung cấp và cung cấp các mẫu bảng câu hỏi của nhà cung cấp ánh xạ đến Khung an ninh mạng NIST và các phương pháp hay nhất khác. Chúng tôi có thể giúp bạn liên tục theo dõi tình trạng bảo mật của nhà cung cấp theo thời gian đồng thời so sánh họ với ngành của họ.

Mỗi nhà cung cấp được đánh giá dựa trên 50+ tiêu chí như sự hiện diện của SSL và DNSSEC, cũng như nguy cơ chiếm quyền điều khiển tên miền, tấn công trung gian và giả mạo email để lừa đảo.

Mỗi ngày, nền tảng của chúng tôi chấm điểm các nhà cung cấp của bạn với Xếp hạng An ninh mạng trên 950. Chúng tôi sẽ thông báo cho bạn nếu điểm số của họ giảm.

UpGuard BreachSight có thể giúp giám sát DMARC, chống đánh máy, ngăn chặn vi phạm dữ liệu và rò rỉ dữ liệu, tránh tiền phạt theo quy định và bảo vệ niềm tin của khách hàng thông qua xếp hạng an ninh mạng và phát hiện phơi nhiễm liên tục.