Security365 Pentest Range: luyện tấn công miễn phí, chạy ngay trên trình duyệt

Pentest Range: một mạng luyện tấn công miễn phí, chạy ngay trên trình duyệt

VINH NTT (Security365)

Hầu như ai muốn học tấn công mạng cũng vấp cùng một bức tường ngay ngày đầu tiên: trước khi gõ được một câu lệnh, bạn phải tải Kali nặng vài gigabyte, dựng các máy ảo mục tiêu, nối chúng vào một mạng cô lập rồi cầu mong mọi thứ không hỏng. Mất vài giờ đồng hồ mà vẫn chưa học được gì.

Pentest Range của Security365 là một mạng luyện tập hoàn chỉnh, bạn tấn công từ một máy Kali mô phỏng — không cần máy ảo, không cài đặt, không dựng lab. Bạn mở một đường link, chạy bản quét đầu tiên, và thế là vào cuộc. Nó miễn phí, là sản phẩm gốc, và tồn tại vì đúng một lý do: cho bất kỳ ai nghiêm túc với bảo mật một nơi để luyện trọn vẹn vòng đời tấn công từ đầu đến cuối.

👉 Mở range: cyber.security365.vn/range

Chỉ là mô phỏng. Mọi câu lệnh, bản quét (scan) và khai thác trong range đều chạy mô phỏng trên trình duyệt. Không hệ thống thật nào bị quét hay đụng tới, không gói tin nào rời khỏi máy bạn. Luôn xin phép bằng văn bản trước khi kiểm thử bất kỳ hệ thống thật nào không thuộc sở hữu của bạn.

Một mạng. Ba mục tiêu. Trọn vòng kill chain.

Toàn bộ range nằm trên một mạng con duy nhất — 10.10.10.0/24. Bạn điều khiển một máy Kali tấn công, phát hiện các host, rồi lần lượt xử ba mục tiêu cố tình để hớ hênh, đi từ trinh sát đến tận bước duy trì truy cập (persistence). Sau đó bạn đổi ghế và phòng thủ chính những gì mình vừa gây ra.

Tất cả đều gắn với hai mô hình chuẩn của ngành: Cyber Kill Chain (trật tự mà một cuộc tấn công thật diễn ra) và MITRE ATT&CK (bộ danh mục kỹ thuật mà phía phòng thủ dùng). Mỗi lab ánh xạ vào đúng một kỹ thuật ATT&CK, nên lúc nào bạn cũng biết chính xác mình đang học gì và nó nằm ở đâu trong bức tranh lớn.

Các lab hoạt động thế nào

Mọi lab ở mọi module đều theo cùng một khuôn, nên làm xong một cái là bạn biết cách làm cả bốn mươi cái:

• Một terminal mô phỏng. Bạn gõ những câu lệnh y như thật (nmap -sV 10.10.10.11, hydra, mimikatz…). Engine trả về output sát thực tế — nhưng không gì rời khỏi trình duyệt.
• Missions (nhiệm vụ). Mỗi lab có một danh sách mục tiêu ngắn, tự động tick khi bạn hoàn thành (ví dụ: chạy bản quét phiên bản dịch vụ, chạy bản quét lỗ hổng). Thanh tiến độ nhích dần.
• Bài kiểm tra kiến thức. Cuối mỗi lab có một quiz ngắn nối phần thực hành với phần "vì sao" — CVE nào, kỹ thuật gì, vá ra sao.
• Gợi ý & hướng dẫn. Bí thì sao? Mỗi lab đều kèm sẵn câu lệnh gợi ý và một trang hướng dẫn, nên bạn không bao giờ phải nhìn màn hình trống trơn.
• ATT&CK Navigator. Mỗi module có một ma trận MITRE ATT&CK "sống", sáng lên để cho thấy cả những gì module bao phủ lẫn những gì bạn đã hoàn thành.

Tiến độ được lưu tự động trong trình duyệt, nên bạn có thể rời đi rồi quay lại một module đang làm dở.

Một điều nên biết: tiến độ lưu theo trình duyệt (trong localStorage), không theo tài khoản. Đổi máy hay đổi trình duyệt là bạn bắt đầu lại — nên cố hoàn thành một module trên cùng một máy đã mở nó.

Bắt đầu trong 60 giây

1. Mở cyber.security365.vn/range.
2. Kéo xuống mục Stage 00 · Reconnaissance và bấm ▶ Run ARP discovery. Xem máy Kali quét cả mạng con và hiện ra các host đang sống — đây là "miếng" trinh sát đầu tiên của bạn.
3. Bấm Enter the Kali box — start here (M1). Đó là máy điều khiển của bạn, cũng là cửa chính dẫn vào mọi thứ.
4. Từ đó, xử các mục tiêu theo thứ tự — M2 → M3 → M4 — rồi kết thúc bằng capstone SOC M5.

Bạn không bắt buộc phải đi đúng thứ tự, nhưng range được thiết kế như một chiến dịch liền mạch: thứ bạn tìm thấy trên máy Kali cho biết có những mục tiêu nào; thứ bạn lấy được ở host này sẽ tái sử dụng cho host kế; và dấu vết bạn để lại chính là thứ bạn săn tìm ở màn phòng thủ cuối. Đi theo trình tự là nơi những khoảnh khắc "à ra thế" nằm ở đó.

Range này hợp với chứng chỉ nào?

Range do một người dạy theo khung CompTIA và EC-Council làm ra, nên các module khớp gọn gàng với những chứng chỉ mọi người đang ôn. Nếu bạn đang luyện thi, đây là cách ghép tự nhiên giữa một module và các khoá học/lab tương ứng:

Range miễn phí và thật sự đủ để bạn giỏi lên một mình — hãy hoàn thành nó trước đã. Các khoá ở trên là bước tiếp theo trung thực khi bạn muốn một lộ trình có người dẫn, có cấu trúc và một chứng chỉ ở cuối đường. Không hối thúc, và không khoá học nào — của tôi hay của CompTIA/EC-Council — đảm bảo kết quả thay bạn; phần đó luôn nằm ở nỗ lực của chính bạn.

Sản phẩm gốc, chia sẻ miễn phí để học

Trang portal, cả năm nền tảng lab, các nhiệm vụ, terminal mô phỏng và dữ liệu chiến dịch đều là sản phẩm gốc, © Vinh NTT — Security365. Bạn được tự do dùng để học: chạy lab, nghiên cứu kỹ thuật, đi lại vòng kill chain bao nhiêu lần tuỳ thích. Nó không được cấp phép để đóng gói lại, đổi thương hiệu hay bán lại. Giữ nguyên dòng ghi công thì nó vẫn miễn phí cho người kế tiếp học trên đó.

Về tác giả — Vinh NTT (Nguyễn Trần Tường Vinh), Security365 — hơn 20 năm trong đào tạo an ninh mạng và là một trong những người tiên phong đào tạo trực tuyến tại Việt Nam (từ 2003). Anh sở hữu trọn bộ chứng chỉ bảo mật của CompTIA — Security+, CySA+, PenTest+ và SecurityX — và hai năm liên tiếp nhận giải EC-Council Instructor Circle of Excellence (2022 & 2023). Pentest Range là sản phẩm gốc do anh xây dựng và chia sẻ miễn phí cho cộng đồng.