Kiểm tra thâm nhập là gì? {Các bước, phương pháp, loại}

Loại bỏ các điểm yếu khỏi hệ thống và ứng dụng là ưu tiên an ninh mạng. Các công ty dựa vào nhiều kỹ thuật khác nhau để phát hiện lỗi phần mềm, nhưng không có phương pháp kiểm tra nào cung cấp phân tích thực tế và toàn diện hơn kiểm tra thâm nhập.

Bài viết này là phần giới thiệu về thử nghiệm thâm nhập. Đọc tiếp để tìm hiểu cách hoạt động của thử nghiệm bút và cách các công ty sử dụng các thử nghiệm này để ngăn chặn những hành vi vi phạm tốn kém và gây thiệt hại.

Định nghĩa kiểm tra thâm nhập

Kiểm tra thâm nhập (hoặc kiểm tra bút) là mô phỏng một cuộc tấn công mạng nhằm kiểm tra hệ thống máy tính, mạng hoặc ứng dụng để tìm các điểm yếu về bảo mật. Những thử nghiệm này dựa trên sự kết hợp của các công cụ và kỹ thuật mà tin tặc thực sự sẽ sử dụng để xâm nhập doanh nghiệp.

Các tên phổ biến khác của thử nghiệm thâm nhập là tấn công mũ trắng và tấn công có đạo đức.

Người kiểm tra bút thường sử dụng kết hợp các công cụ kiểm tra tự động hóa và các phương pháp thủ công để mô phỏng một cuộc tấn công. Người kiểm tra cũng sử dụng các công cụ thâm nhập để quét hệ thống và phân tích kết quả. Một công cụ kiểm tra thâm nhập tốt nên:

• Dễ dàng cài đặt và sử dụng.
• Hãy nhanh chóng quét hệ thống.
• Sắp xếp điểm yếu dựa trên mức độ nghiêm trọng.
• Tự động xác minh điểm yếu.
• Xác minh lại các khai thác trong quá khứ.
• Cung cấp các báo cáo và nhật ký chi tiết.

Mục tiêu chính của pen test là xác định các mối lo ngại về bảo mật trong hệ điều hành, dịch vụ, ứng dụng, cấu hình và hành vi của người dùng. Hình thức thử nghiệm này cho phép một nhóm khám phá:

• Lỗ hổng hệ thống và lỗ hổng bảo mật.
• Thiếu tuân thủ các quy định về bảo mật và quyền riêng tư dữ liệu (PCI, HIPAA, GDPR, v.v.)
• Thiếu nhận thức về bảo mật trong toàn nhóm.
• Lỗ hổng trong các giao thức nhận dạng mối đe dọa.
• Cần cải thiện kế hoạch ứng phó sự cố.
• Lỗi trong chính sách bảo mật.

Các công ty thường thuê các nhà thầu bên ngoài để chạy thử bút. Việc thiếu kiến thức về hệ thống cho phép người kiểm tra bên thứ ba kỹ lưỡng và sáng tạo hơn các nhà phát triển nội bộ. Một số công ty cũng chạy các chương trình tiền thưởng mời các dịch giả tự do hack hệ thống với lời hứa sẽ trả phí nếu họ vi phạm hệ thống.

Kết quả cuối cùng của thử nghiệm thâm nhập là gì?

Kết quả cuối cùng của thử nghiệm thâm nhập là báo cáo thử nghiệm thâm nhập. Một báo cáo thông báo cho các nhà quản lý hệ thống mạng và CNTT về các lỗ hổng và cách khai thác mà thử nghiệm đã phát hiện. Báo cáo cũng phải bao gồm các bước khắc phục sự cố và cải thiện khả năng bảo vệ hệ thống.

Mỗi báo cáo kiểm tra bút phải bao gồm:

• Bản tóm tắt đầy đủ: Bản tóm tắt cung cấp thông tin tổng quan cấp cao về bài kiểm tra. Những độc giả không rành về kỹ thuật có thể sử dụng bản tóm tắt để hiểu rõ hơn về những lo ngại về bảo mật mà bài kiểm tra bút bộc lộ.
• Công cụ, phương pháp và vectơ: Phần này bao gồm các công cụ và phương pháp đằng sau thử nghiệm. Những người thử nghiệm cũng phác thảo các kiểu tấn công từng bước dẫn đến vi phạm thành công.
• Phát hiện chi tiết: Phần này liệt kê tất cả các rủi ro bảo mật, lỗ hổng bảo mật, mối đe dọa và mối lo ngại được phát hiện qua thử nghiệm thâm nhập. Không giống như phần tóm tắt điều hành, phần này của báo cáo đi sâu vào các chi tiết kỹ thuật.
• Đề xuất: Phần đề xuất giải thích cách cải thiện bảo mật và bảo vệ hệ thống khỏi các cuộc tấn công mạng thực sự.

Bạn nên chạy thử nghiệm thâm nhập bao lâu một lần?

Các công ty tiến hành kiểm tra thâm nhập thường xuyên, thường là mỗi năm một lần. Ngoài việc kiểm tra hàng năm, công ty cũng nên tổ chức pen test bất cứ khi nào nhóm:

• Thêm cơ sở hạ tầng mạng mới.
• Cài đặt ứng dụng mới.
• Nâng cấp hoặc sửa đổi đáng kể cơ sở hạ tầng hoặc ứng dụng.
• Thành lập văn phòng tại địa điểm mới.
• Thêm các bản vá bảo mật mới.
• Thực hiện các thay đổi đối với chính sách của người dùng cuối.

Tùy thuộc vào quy mô và ngân sách của công ty bạn, việc chạy thử nghiệm thâm nhập bất cứ khi nào nhóm thực hiện thay đổi có thể không thực tế. Trong trường hợp đó, nhóm nên sử dụng kết hợp các thử nghiệm thâm nhập và quét lỗ hổng. Mặc dù không hiệu quả bằng nhưng việc quét lỗ hổng tự động nhanh hơn và rẻ hơn so với kiểm tra bút.

Các bước kiểm tra thâm nhập

Kiểm tra thâm nhập là một thực hành phức tạp bao gồm nhiều giai đoạn. Dưới đây là hướng dẫn từng bước về cách pen test kiểm tra hệ thống mục tiêu.

Phạm vi kiểm tra thâm nhập

Bước này liên quan đến việc chuẩn bị ban đầu cho bài kiểm tra. Đội nên:

• Phác thảo các hậu cần của bài kiểm tra.
• Xác định phạm vi thử nghiệm.
• Đặt kỳ vọng.
• Đặt mục tiêu.
• Xác định giới hạn xâm lược của nhóm thâm nhập.
• Xem xét các tác động pháp lý tiềm ẩn.

Trinh sát (Thu thập thông tin tình báo)

Tin tặc bắt đầu tìm hiểu về hệ thống và tìm kiếm các điểm xâm nhập tiềm năng trong giai đoạn thu thập thông tin tình báo. Giai đoạn này yêu cầu nhóm chủ yếu thu thập thông tin về mục tiêu, nhưng người thử nghiệm cũng có thể phát hiện ra các điểm yếu ở cấp độ bề mặt.

Bước trinh sát bao gồm việc quét:

• Tất cả phần cứng.
• Các mạng cục bộ và không dây.
• Tường lửa.
• Các ứng dụng liên quan.
• Trang web.
• Hệ thống dựa trên đám mây.
• Hành vi và giao thức của nhân viên.

Một thuật ngữ phổ biến khác cho giai đoạn trinh sát là thu thập thông tin tình báo nguồn mở (OSINT).

Lập mô hình mối đe dọa

Người thử nghiệm sử dụng những hiểu biết sâu sắc từ giai đoạn trinh sát để thiết kế các mối đe dọa tùy chỉnh nhằm xâm nhập hệ thống. Nhóm cũng xác định và phân loại các nội dung khác nhau để thử nghiệm.

Khai thác

Người thử nghiệm cố gắng đột nhập vào mục tiêu thông qua các điểm vào mà họ tìm thấy ở các giai đoạn trước. Nếu họ vi phạm hệ thống, người thử nghiệm sẽ cố gắng nâng cao đặc quyền truy cập của họ. Di chuyển ngang qua hệ thống cho phép người kiểm tra bút xác định:

• Thiết lập phân đoạn mạng kém.
• Truy cập vào dữ liệu và tài nguyên nhạy cảm.
• Quản lý tài khoản và mật khẩu yếu kém.

Sau khai thác

Người kiểm tra bút đánh giá mức độ thiệt hại mà tin tặc có thể gây ra bằng cách khai thác điểm yếu của hệ thống. Giai đoạn sau khai thác cũng yêu cầu người kiểm tra xác định cách nhóm bảo mật sẽ phục hồi sau vi phạm kiểm tra.

Phân tích, báo cáo và tạo các bước hành động để bảo vệ

Người thử nghiệm tổng hợp kết quả thử nghiệm thành một báo cáo nêu rõ:

• Phân tích từng bước hoạt động của hacker.
• Các điểm yếu và lỗ hổng được phát hiện.
• Những người kiểm tra dữ liệu đã có thể tiếp cận.
• Khoảng thời gian mà người thử nghiệm không bị phát hiện trong hệ thống.
• Các bước công ty phải thực hiện để loại bỏ các lỗ hổng và bảo vệ khỏi các cuộc tấn công thực sự.

Kiểm tra lại

Sau khi nhóm bảo mật triển khai các thay đổi từ báo cáo bút, hệ thống đã sẵn sàng để kiểm tra lại. Người thử nghiệm nên chạy các cuộc tấn công mô phỏng tương tự để xem liệu bây giờ mục tiêu có thể chống lại nỗ lực vi phạm hay không.

Phương pháp kiểm tra thâm nhập được tiêu chuẩn hóa

Các công ty thường dựa vào một trong năm phương pháp thử nghiệm thâm nhập được tiêu chuẩn hóa: OWASP, OSSTMM, ISSAF, PTES và NIST.

OWASP

OWASP (Dự án bảo mật ứng dụng web mở) là một khuôn khổ để xác định các lỗ hổng ứng dụng. Phương pháp này cho phép một nhóm:

• Nhận biết các lỗ hổng trong ứng dụng web và thiết bị di động.
• Khám phá những sai sót trong thực tiễn phát triển.

OWASP cũng cho phép người thử nghiệm đánh giá rủi ro, giúp tiết kiệm thời gian và giúp ưu tiên các vấn đề. Framework này có cộng đồng người dùng rất lớn nên không thiếu các bài viết, kỹ thuật, công cụ, công nghệ của OWASP.

OSSTMM

OSSTMM (Sổ tay phương pháp kiểm tra bảo mật nguồn mở) dựa trên phương pháp khoa học để kiểm tra thâm nhập mạng. Khung được đánh giá ngang hàng này cung cấp đặc tính chính xác về bảo mật hoạt động lý tưởng cho hoạt động hack có đạo đức.

OSSTMM cho phép người kiểm tra bút chạy các bài kiểm tra tùy chỉnh phù hợp với nhu cầu cụ thể và công nghệ của tổ chức.

ISSAF

ISSAF (Khung đánh giá bảo mật hệ thống thông tin) cung cấp một phương pháp kiểm tra chuyên biệt và có cấu trúc.

Khung này lý tưởng cho những người thử nghiệm muốn lập kế hoạch và ghi lại từng bước của pen test một cách chi tiết. ISSAF cũng hữu ích cho những người thử nghiệm sử dụng các công cụ khác nhau vì phương pháp này cho phép bạn gắn từng bước với một công cụ cụ thể.

PTES

PTES (Tiêu chuẩn và phương pháp thử nghiệm thâm nhập) cung cấp phương pháp thử nghiệm gồm bảy bước có cấu trúc chặt chẽ. Phương pháp này hướng dẫn người thử nghiệm qua tất cả các bước thử nghiệm thâm nhập, từ trinh sát và thu thập dữ liệu đến khai thác và báo cáo sau.

PTES yêu cầu người thử nghiệm phải biết các quy trình của tổ chức để chạy thử nghiệm thành công.

NIST

NIST (Viện Tiêu chuẩn và Công nghệ Quốc gia) đưa ra các nguyên tắc kiểm tra thâm nhập chính xác để cải thiện an ninh mạng tổng thể. Khung này phổ biến trong các ngành có nguy cơ cao như ngân hàng, truyền thông và năng lượng.

Tuân thủ NIST thường là yêu cầu pháp lý đối với các doanh nghiệp Mỹ. Để tuân thủ NIST, một công ty phải chạy thử nghiệm thâm nhập trên các ứng dụng và mạng.

Các loại thử nghiệm thâm nhập

Kiểm tra thâm nhập khác nhau về mục tiêu, điều kiện và mục tiêu. Tùy thuộc vào thiết lập thử nghiệm, công ty cung cấp cho người thử nghiệm các mức độ thông tin khác nhau về hệ thống. Trong một số trường hợp, nhóm bảo mật là người có kiến thức hạn chế về bài kiểm tra.

Kiểm tra thâm nhập hộp đen

Nhóm thâm nhập không có thông tin về hệ thống mục tiêu trong thử nghiệm hộp đen. Các tin tặc phải tìm đường vào hệ thống theo cách riêng của chúng và lên kế hoạch dàn xếp một vụ vi phạm.

Thông thường, người kiểm tra chỉ có tên công ty khi bắt đầu kiểm tra hộp đen. Nhóm thâm nhập phải bắt đầu bằng việc trinh sát chi tiết nên hình thức thử nghiệm này đòi hỏi thời gian đáng kể.

Kiểm tra thâm nhập hộp xám

Nhóm thử nghiệm có kiến thức về người dùng có đặc quyền nâng cao. Hacker biết về:

• Thiết kế và kiến trúc của tài liệu.
• Cấu trúc bên trong.

Thử nghiệm bút hộp màu xám cho phép nhóm tập trung vào các mục tiêu có rủi ro và giá trị lớn nhất ngay từ đầu. Loại thử nghiệm này lý tưởng để bắt chước kẻ tấn công có quyền truy cập lâu dài vào mạng.

Kiểm tra thâm nhập hộp trắng

Người kiểm tra bút có thông tin về hệ thống mục tiêu trước khi chúng bắt đầu hoạt động. Thông tin này có thể bao gồm:

• Các địa chỉ IP.
• Sơ đồ cơ sở hạ tầng mạng.
• Giao thức người dùng.
• Các tạo phẩm hệ thống (mã nguồn, nhị phân, vùng chứa).

Tùy thuộc vào thiết lập, người thử nghiệm thậm chí có thể có quyền truy cập vào các máy chủ đang chạy hệ thống. Mặc dù không xác thực bằng thử nghiệm hộp đen nhưng việc tổ chức hộp trắng lại nhanh chóng và rẻ tiền.

Kiểm tra mục tiêu

Nhân viên CNTT của công ty và nhóm thử nghiệm làm việc cùng nhau để chạy thử nghiệm có mục tiêu. Người kiểm tra và nhân viên an ninh biết rõ hoạt động của nhau ở mọi giai đoạn.

Một thuật ngữ khác cho thử nghiệm có mục tiêu là phương pháp “bật đèn” vì thử nghiệm này minh bạch đối với tất cả người tham gia.

Kiểm tra bên ngoài

Thử nghiệm bên ngoài mô phỏng một cuộc tấn công vào các máy chủ hoặc thiết bị hiển thị bên ngoài. Các mục tiêu chung cho thử nghiệm bên ngoài là:

• Máy chủ tên miền (DNS).
• Ứng dụng web.
• Máy chủ email.
• Trang web.
• Máy chủ web và ứng dụng.
• Tường lửa.

Mục tiêu của thử nghiệm bên ngoài là tìm hiểu xem kẻ tấn công bên ngoài có thể đột nhập vào hệ thống hay không. Mục tiêu thứ yếu là xem kẻ tấn công có thể đi được bao xa sau khi vi phạm.

Thử nghiệm nội bộ

Thử nghiệm nội bộ bắt chước mối đe dọa nội bộ đến từ phía sau tường lửa. Điểm bắt đầu điển hình cho thử nghiệm này là người dùng có đặc quyền truy cập tiêu chuẩn. Hai tình huống phổ biến nhất là:

• Một nhân viên bất mãn đã quyết định phá hủy hệ thống.
• Kẻ tấn công đã truy cập vào hệ thống thông qua một cuộc tấn công lừa đảo.

Thử nghiệm nội bộ là giải pháp lý tưởng để xác định mức độ thiệt hại mà một nhân viên có ác ý hoặc bị xâm phạm có thể gây ra cho hệ thống.

Kiểm tra mù

Thử nghiệm mù mô phỏng một cuộc tấn công ngoài đời thực. Mặc dù nhóm bảo mật biết về cuộc kiểm tra nhưng nhân viên lại có thông tin hạn chế về chiến lược vi phạm hoặc hoạt động của người kiểm tra.

Thử nghiệm mù đôi

Trong cơ chế mù đôi, chỉ một hoặc hai cá nhân trong công ty biết về cuộc thử nghiệm sắp tới. Kiểm tra mù đôi là lý tưởng để kiểm tra:

• Hệ thống giám sát an ninh.
• Các giao thức nhận dạng sự cố.
• Thủ tục đáp ứng.

Thử nghiệm mù đôi cung cấp cái nhìn xác thực về khả năng của nhóm bảo mật trong việc phát hiện và ứng phó với một cuộc tấn công trong đời thực.

Phương pháp thử nghiệm thâm nhập (Lĩnh vực thử nghiệm)

Dưới đây là các phương pháp thử nghiệm thâm nhập khác nhau mà bạn có thể thực hiện để kiểm tra khả năng phòng thủ của công ty mình.

Kiểm tra và khai thác thâm nhập mạng

Kiểm tra thâm nhập mạng bắt chước các kỹ thuật hack để xâm nhập mạng, bộ định tuyến, bộ chuyển mạch và máy chủ.

Hình thức kiểm tra này bao gồm:

• Bỏ qua tường lửa.
• Trốn tránh hệ thống ngăn chặn xâm nhập thế hệ tiếp theo (NGIPS).
• Kiểm tra bộ định tuyến và máy chủ proxy.
• Trốn tránh IPS và DPS.
• Mở cổng quét.
• Các cuộc tấn công bảo mật SSH.
• Kiểm tra các chính sách ngăn chặn chuyển động ngang.
• Chặn lưu lượng mạng.
• Khám phá các thiết bị cũ và thiết bị của bên thứ ba.

Loại thử nghiệm này bao gồm cả việc khai thác mạng nội bộ và bên ngoài. Các điểm yếu phổ biến được phát hiện khi thâm nhập mạng là:

• Tài sản bị định cấu hình sai.
• Lỗ hổng dành riêng cho sản phẩm.
• Điểm yếu của mạng không dây.
• Dịch vụ lừa đảo.
• Giao thức mật khẩu yếu.

Một cuộc tấn công mô phỏng vào cơ sở hạ tầng mạng của doanh nghiệp là loại pen test phổ biến nhất.

Kiểm tra bảo mật ứng dụng web

Kiểm tra bảo mật ứng dụng tìm kiếm các rủi ro tiềm ẩn trong các ứng dụng phía máy chủ. Đối tượng điển hình của các bài kiểm tra này là:

• Ứng dụng web.
• API.
• Kết nối.
• Khung.
• Ứng dụng di động.

Các lỗ hổng ứng dụng phổ biến bao gồm:

• Giả mạo yêu cầu và viết kịch bản trên nhiều trang web.
• Lỗi tiêm.
• Quản lý phiên kém.
• Tham chiếu đối tượng trực tiếp không an toàn.
• Lỗi mã hóa.
• Giao thức xác thực hoặc ủy quyền bị hỏng.
• Mật mã yếu.

Phía khách hàng hoặc trang web và mạng không dây

Loại thử nghiệm này kiểm tra các lỗ hổng bảo mật trên các thiết bị và cơ sở hạ tầng không dây. Kiểm tra bút không dây sẽ phát hiện ra cấu hình mạng không dây không an toàn và kiểm tra xác thực kém.

Loại thử nghiệm này bao gồm việc quét:

• Máy chủ web bị cấu hình sai.
• Chiến lược chống phần mềm độc hại và ngăn chặn DDoS.
• Tiêm SQL.
• Giả mạo địa chỉ MAC.
• Trình phát đa phương tiện và phần mềm tạo nội dung.
• Kịch bản chéo trang web.
• Điểm truy cập và điểm truy cập.
• Các giao thức mã hóa.

Tấn công kỹ thuật xã hội

Các bài kiểm tra kỹ thuật xã hội tìm kiếm các lỗ hổng trong các giao thức và hành vi của nhân viên. Việc trở thành nạn nhân của một cuộc tấn công kỹ thuật xã hội có thể dẫn đến truy cập trái phép, phần mềm độc hại, phần mềm tống tiền hoặc thông tin xác thực bị xâm phạm.

Các bài kiểm tra bút kỹ thuật xã hội thường bắt chước các cuộc tấn công trong thế giới thực, chẳng hạn như:

• Nghe trộm.
• Theo đuôi.
• Tấn công lừa đảo.
• Lừa đảo trực tuyến.
• Đang câu mồi.
• Phần mềm hù dọa.
• Giả vờ.

Kiểm tra thể chất

Các thử nghiệm thâm nhập vật lý cố gắng đạt được quyền truy cập vật lý vào các khu vực kinh doanh. Loại thử nghiệm này đảm bảo tính toàn vẹn của:

• Hệ thống RFID.
• Máy ảnh.
• Hệ thống cửa ra vào và bàn phím.
• Hành vi của nhân viên và nhà cung cấp.
• Cảm biến chuyển động và ánh sáng.

Tin tặc thường kết hợp các thử nghiệm vật lý với kỹ thuật xã hội để tạo điều kiện tấn công thực tế.

Kiểm tra bút đám mây

Thử nghiệm thâm nhập đám mây kiểm tra khả năng phòng thủ bảo vệ tài sản trên đám mây. Kiểm tra bút xác định các nguy cơ tiềm ẩn trong các ứng dụng, mạng và cấu hình trong thiết lập đám mây có thể cho phép tin tặc truy cập vào:

• Thông tin xác thực của công ty.
• Hệ thống nội bộ.
• Dữ liệu nhạy cảm.

Loại thử nghiệm này rất cần thiết đối với các công ty sử dụng giải pháp IaaS, PaaS và SaaS. Thử nghiệm bút trên đám mây cũng rất quan trọng để đảm bảo triển khai trên đám mây một cách an toàn.

Một phần quan trọng của bất kỳ chiến lược đánh giá rủi ro nào

Kiểm tra thâm nhập cho phép một công ty chủ động phát hiện các điểm yếu của hệ thống trước khi tin tặc có cơ hội gây thiệt hại. Chạy các cuộc tấn công mô phỏng thường xuyên trên hệ thống của bạn để đảm bảo hoạt động CNTT an toàn và ngăn chặn các vi phạm tốn kém.