Tổng Quan Về Quy Trình Pentest

by ITPRO | 09/01/2025 | Lượt xem: 57

Tổng Quan Về Quy Trình Pentest (Penetration Testing)

Pentest là một quy trình giả lập tấn công nhằm kiểm tra mức độ bảo mật của hệ thống, mạng, ứng dụng hoặc tổ chức. Mục tiêu chính là phát hiện và khắc phục các lỗ hổng trước khi chúng bị khai thác bởi kẻ tấn công thực sự. Quy trình này bao gồm các giai đoạn cụ thể, được thực hiện có hệ thống.

1. Giai đoạn Chuẩn Bị (Preparation Phase)

Đây là giai đoạn quan trọng để thiết lập phạm vi và mục tiêu của bài kiểm tra.

Xác định phạm vi (Scope):
- Hệ thống hoặc ứng dụng nào sẽ được kiểm tra?
- Loại hình kiểm tra: Black Box, White Box, hay Grey Box.
Thỏa thuận pháp lý (Legal Agreement):
- Đảm bảo tất cả các hoạt động đều được phép và có văn bản thỏa thuận từ phía tổ chức.
Xác định mục tiêu (Objectives):
- Tìm lỗ hổng cụ thể, kiểm tra khả năng phòng thủ hay đánh giá khả năng tuân thủ tiêu chuẩn (ISO 27001, PCI DSS, v.v.).

2. Giai đoạn Thu Thập Thông Tin (Information Gathering)

Giai đoạn này nhằm thu thập càng nhiều thông tin càng tốt về mục tiêu.

Passive Reconnaissance (Thu thập thông tin thụ động):
- Sử dụng công cụ OSINT (Open Source Intelligence) như Shodan, Maltego, hoặc Google Dorking để tìm thông tin công khai về mục tiêu.
Active Reconnaissance (Thu thập thông tin chủ động):
- Dò quét mạng và hệ thống qua các công cụ như Nmap, Masscan.
- Phân tích DNS, WHOIS, và các dịch vụ liên quan.

3. Giai đoạn Phân Tích Lỗ Hổng (Vulnerability Analysis)

Trong giai đoạn này, pentester sẽ kiểm tra hệ thống để xác định các lỗ hổng bảo mật.

Dò quét lỗ hổng:
- Sử dụng công cụ như Nessus, OpenVAS, hoặc Qualys để phát hiện các lỗ hổng kỹ thuật.
Kiểm tra thủ công:
- Xác minh các lỗ hổng quan trọng qua phân tích thủ công.
Ưu tiên lỗ hổng:
- Phân loại lỗ hổng theo mức độ nghiêm trọng (Critical, High, Medium, Low).

4. Giai đoạn Tấn Công (Exploitation Phase)

Mục tiêu của giai đoạn này là khai thác các lỗ hổng đã phát hiện để chứng minh tác động thực tế.

Thực hiện khai thác:
- Sử dụng công cụ như Metasploit, Burp Suite, hoặc SQLmap để khai thác các lỗ hổng.
Thử nghiệm leo thang đặc quyền (Privilege Escalation):
- Tìm cách nâng cao quyền truy cập trong hệ thống.
Kiểm soát phiên (Session Hijacking):
- Chiếm quyền điều khiển các phiên hoạt động trong hệ thống.

5. Giai đoạn Hậu Khai Thác (Post-Exploitation Phase)

Sau khi khai thác thành công, pentester tập trung vào các bước sau:

Thu thập dữ liệu nhạy cảm:
- Tìm kiếm thông tin quan trọng như mật khẩu, tài liệu, hoặc dữ liệu khách hàng.
Xác định mức độ ảnh hưởng:
- Đánh giá tác động của lỗ hổng đối với tổ chức.
Giả lập kịch bản tấn công:
- Mô phỏng cách kẻ tấn công thực sự có thể lợi dụng hệ thống.

6. Giai đoạn Báo Cáo (Reporting Phase)

Tổng hợp toàn bộ kết quả từ quá trình pentest thành báo cáo chi tiết.

Cấu trúc báo cáo:
1. Tổng quan (Executive Summary): Mô tả ngắn gọn các phát hiện chính và tác động đối với doanh nghiệp.
2. Chi tiết kỹ thuật (Technical Details): Liệt kê các lỗ hổng, cách khai thác, và mức độ nghiêm trọng.
3. Khuyến nghị (Recommendations): Đưa ra cách khắc phục và ngăn chặn lỗ hổng.
Đưa ra bản demo (nếu cần):
- Cung cấp minh họa thực tế về lỗ hổng và tác động.

7. Giai đoạn Khắc Phục và Kiểm Tra Lại (Remediation and Re-Testing)

Sau khi tổ chức khắc phục các lỗ hổng, pentester cần kiểm tra lại để đảm bảo hệ thống đã an toàn.

Hỗ trợ khắc phục:
- Đưa ra hướng dẫn hoặc tư vấn trực tiếp để sửa lỗi.
Kiểm tra lại (Re-Testing):
- Xác nhận rằng các lỗ hổng đã được khắc phục và không còn tồn tại.

8. Giai đoạn Đánh Giá Sau Pentest (Post-Pentest Review)

Đánh giá toàn diện:
- Tổ chức họp với các bên liên quan để phân tích những gì đã làm tốt và những gì cần cải thiện.
Xây dựng kế hoạch bảo mật liên tục:
- Đề xuất các phương pháp và công cụ để cải thiện bảo mật lâu dài.