Kiểm thử xâm nhập với ví dụ
Phương pháp: kỹ thuật social engineering truy cập database/hệ thống. Email lừa đảo (phishing) lấy tài khoản quan trọng. Chia sẻ mật khẩu không mã hóa trên mạng → truy cập thông tin mật.
Kiểm thử xâm nhập là gì?
Pen test đánh giá an ninh hệ thống bằng cách khám phá lỗ hổng có thể khai thác an toàn. Lỗ hổng: OS, dịch vụ, ứng dụng, cấu hình sai, hành vi rủi ro người dùng.
Kiểm thử xâm nhập và các loại
Thường nghĩ đến external network pen test. Test từ xa (như hacker bên ngoài), dùng kỹ thuật ethical hacking đã thỏa thuận/phê duyệt mô phỏng tấn công bởi 1+ tổ chức độc hại.
3 loại kiểm thử xâm nhập
- Black-box assessment (hộp đen - không thông tin)
- White-box assessment (hộp trắng - đầy đủ thông tin)
- Gray-box assessment (hộp xám - một phần thông tin)
Tầm quan trọng penetration testing
Cơ hội phân tích điểm vi phạm tiềm ẩn trong công ty. Cung cấp bức tranh rõ ràng toàn bộ hệ thống an ninh, hỗ trợ đảm bảo quy trình quản trị hệ thống đúng đắn.
Các loại penetration testing
- Pen test mạng bên ngoài
- Pen test mạng nội bộ
- Test social engineering
- Physical penetration testing
- Test an ninh mạng không dây
- Application penetration testing
Penetration testing và cách thức
Mô phỏng tấn công mạng vào máy tính tìm điểm yếu có thể khai thác. Thường bổ sung cho Web Application Firewall (WAF) đảm bảo an ninh ứng dụng web.
Penetration testing là gì? (Định nghĩa ngắn)
Còn gọi: pen testing, ethical hacking. Tấn công mạng cố ý vào hệ thống, mạng, website, ứng dụng nhằm khai thác lỗ hổng.
Quy trình penetration testing
Mô phỏng kill-chain an ninh mạng. Team test: lập kế hoạch tấn công → quét lỗ hổng hệ thống đích → xâm nhập biên an ninh → duy trì truy cậpundetected.
Công dụng penetration testing
Bài tập an ninh: chuyên gia thử tìm/khai thác lỗ hổng hệ thống máy tính. Mô phỏng tấn công tìm điểm yếu phòng thủ để khắc phục sau này.
Penetration testing và các loại (tóm tắt)
Bao gồm: network services, applications, client-side, wireless, social engineering, physical. Mô phỏng vector tấn công bên ngoài/bên trong.
Số loại penetration testing
4 loại cơ bản, mỗi loại test kiểm soát an ninh hiện có dựa trên kịch bản thực tế. Mỗi loại dùng social engineering, pentester thường kết hợp nhiều kỹ thuật.
Các loại Pentest
- Network Penetration Testing & Exploitation
- Web & Wireless Penetration Testing
- Physical Penetration Testing
- Social Engineering Testing
- Cloud Security Testing
3 giai đoạn chính penetration test
- Pre-engagement (trước khi tham gia)
- Engagement (thực hiện)
- Post-engagement (sau khi tham gia)
Top 5 kỹ thuật penetration testing
- OSSTMM - tiêu chuẩn ngành, test mạng/đánh giá lỗ hổng, khoa học, khó phá
- OWASP
- NIST
- PTES
- ISAF