Penetration Testing, là hoạt động đánh giá tính an toàn của cơ sở hạ tầng CNTT bằng cách khai thác các lỗ hổng trên hạ tầng mạng. Những lỗ hổng này có thể tồn tại trong hệ điều hành, dịch vụ và các lỗi của ứng dụng, các lỗi thuộc về cấu hình hoặc những rủi ro do hành vi của người dùng. Các đánh giá cũng hữu ích trong việc xác nhận tính hiệu quả của các cơ chế phòng thủ, cũng như sự tuân thủ của người dùng đối với các chính sách bảo mật. Penetration thường được thực hiện thủ công hoặc tự động để kiểm soát máy chủ, thiết bị đầu cuối, các ứng dụng web, mạng không dây, thiết bị mạng, thiết bị di động hoặc các điểm rủi ro tiềm tàng khác. Một khi các lỗ hổng đã bị khai thác thành công trên một hệ thống cụ thể, người thử nghiệm (pentester) có thể sử dụng hệ thống bị thâm nhập để khởi tạo các khai thác tiếp theo, như cố gắng tăng dần mức độ truy cập vào tài nguyên trong hạ tầng mạng qua việc leo thang đặc quyền. Thông tin về bất kỳ lỗ hổng bảo mật nào được khai tác thành công qua Penetration Testing được tổng hợp và trình bày cho các nhà quản lý hệ thống CNTT giúp đưa ra các chiến lược, các ưu tiên trong nỗ lực khắc phục các vấn đề liên quan. Mục đích cơ bản của Penetration Testing là để đo tính khả thi của hệ thống hoặc mức độ bị xâm nhập của người dùng cuối và đánh giá các hậu quả liên quan đến sự cố có thể xảy ra trên tài nguyên hệ thống và các hoạt động liên quan.
Lợi ích của Penetration Testing
Penetration Testing cung cấp nhiều lợi ích, cho phép:
- Quản lý các lỗ hổng.
- Tránh chi phí do thời gian chết của hệ thống.
- Đáp ứng các quy định yêu cầu.
- Bảo vệ hình ảnh của tổ chức và lòng trung thành của khách hàng.
Như bạn thấy, việc có được một phần mềm Penetration Testing hoặc thuê một Pentester để kiểm tra hệ thống mạng tổ chức là một nỗ lực chủ động bảo vệ hệ thống mạng và hoạt động kinh doanh khỏi các nguy cơ bị tấn công hoặc vi phạm bảo mật có thể xảy ra.
Tại sao phải Penetration Testing
Các lỗ hổng bảo mật và gián đoạn dịch vụ gây thiệt hại lớn
Các lỗ hổng bảo mật và gián đoạn dịch vụ hoặc ứng dụng đều có thể gây thiệt hại trực tiếp về tài chính, đe dọa uy tín của tổ chức, làm giảm lòng trung thành của khách hàng, thu hút dư luận xấu và các khoản phạt, đền bù đáng kể.
Không thể bảo vệ tất cả các thông tin, mọi lúc
Theo truyền thống, các tổ chức đã tìm cách ngăn chặn vi phạm bằng cách triển khai và duy trì nhiều lớp bảo mật phòng thủ, bao gồm truy cập người dùng, mã hóa, IPS, IDS và tường lửa. Tuy nhiên, việc tiếp tục áp dụng các công nghệ mới, bao gồm những hệ thống bảo mật, thậm chí còn khó khăn hơn trong việc tìm và loại bỏ tất cả các lỗ hổng trong tổ chức và bảo vệ chống lại nhiều loại sự cố bảo mật tiềm ẩn.
Penetration Testing xác định mức độ ưu tiên rủi ro bảo mật.
Penetration Testing đánh giá khả năng bảo vệ mạng, ứng dụng, thiết bị đầu cuối và người dùng khỏi các nỗ lực bên ngoài hoặc bên trong để phá vỡ các kiểm soát an ninh để có quyền truy cập không được phép hoặc đặc quyền vào tài sản được bảo vệ của tổ chức.
PHƯƠNG ÁN ĐỀ XUẤT
Như đã phân tích ở trên, penetration testing là một trong những nhiệm vụ quan trọng nhất để đảm bảo an toàn – an ninh cho hệ thống mạng doanh nghiệp. Một số hậu quả gây ra do các lỗ hổng bảo mật có thể định lượng được bằng chi phí nhưng một số hậu quả không thể định lượng bằng chi phí. Do đó penetration testing giờ trở thành một nhiệm vụ bắt buộc để đảm bảo an toàn – an ninh thông tin, chứ không còn là một thành phần tùy chọn nữa.
Tiêu chí penetration testing.
Một qui trình penetration testing hoàn chỉnh toàn diện hệ thống cần phải đánh giá tất cả các khía cạnh khác nhau của hệ thống bao gồm các lỗ hổng công nghệ như thiết bị, ứng dụng, hệ điều hành, … và lỗ hổng đến từ người sử dụng công nghệ. Do đó một qui trình penetration testing cần phải được thiết kế đảm bảo các kịch bản như sau:
- Network penetration testing.
- Web Application Penetration testing.
- Social engineering testing và nhận thức của người dùng.
- Wireless Penetration testing.
- Mobile Penetration testing.
Bên cạnh đó, công cụ sử dụng cho quá trình penetration testing phải là một công cụ đã được kiểm chứng và xác nhận trong việc đảm bảo an toàn tuyệt đối trong lúc thực hiện penetration testing, xóa sạch dấu vết sau khi thực hiện penetration testing và ghi nhận lại tất cả các thao tác thực hiện bởi pentester.