Kiểm tra thâm nhập (còn được gọi là pentest) là một đánh giá bảo mật mô phỏng hoạt động của những kẻ tấn công trong thế giới thực để xác định các lỗ hổng bảo mật trong hệ thống hoặc ứng dụng CNTT của bạn.
Mục đích của bài kiểm tra là để hiểu bạn có những lỗ hổng nào, cách chúng có thể bị khai thác và tác động sẽ như thế nào nếu kẻ tấn công thành công.
Thường được thực hiện đầu tiên, một pentest bên ngoài (còn được gọi là kiểm tra thâm nhập mạng bên ngoài) là đánh giá hệ thống chu vi của bạn. Chu vi của bạn là tất cả các hệ thống có thể truy cập trực tiếp từ internet. Theo định nghĩa, chúng bị phơi bày và do đó dễ dàng và thường xuyên bị tấn công nhất.
Kiểm tra điểm yếu
Những kẻ tấn công bên ngoài tìm cách xâm nhập các hệ thống và dịch vụ bên ngoài, có thể truy cập này để truy cập thông tin nhạy cảm và xem cách kẻ tấn công có thể nhắm mục tiêu khách hàng, khách hàng hoặc người dùng của bạn.
Trong môi trường bên ngoài chất lượng cao, (các) chuyên gia bảo mật sẽ sao chép hoạt động của các tin tặc thực sự, như thực hiện các hành vi khai thác để cố gắng giành quyền kiểm soát hệ thống của bạn. Họ cũng sẽ kiểm tra mức độ của bất kỳ điểm yếu nào mà họ tìm thấy để xem kẻ tấn công ác ý có thể xâm nhập vào mạng của bạn bao xa và tác động kinh doanh của một cuộc tấn công thành công sẽ như thế nào.
Chạy pentest bên ngoài trước tiên
Kiểm tra thâm nhập bên ngoài giả định kẻ tấn công không có quyền truy cập trước vào hệ thống hoặc mạng của bạn. Điều này khác với kiểm tra thâm nhập nội bộ, kiểm tra kịch bản mà kẻ tấn công đã có chỗ đứng trên một máy bị xâm nhập hoặc đang ở trong tòa nhà. Thông thường, bạn nên che đậy các nguyên tắc cơ bản trước và xem xét kiểm tra nội bộ sau khi cả quá trình quét lỗ hổng thường xuyên và kiểm tra thâm nhập bên ngoài đã được thực hiện.
Cách thực hiện kiểm tra thâm nhập bên ngoài
Vì vậy, làm thế nào để bạn có được một bài kiểm tra thâm nhập bên ngoài? Lên lịch cho pentest bên ngoài phải đơn giản như hỏi nhà cung cấp dịch vụ được quản lý của bạn hoặc tư vấn CNTT và chỉ họ vào các hệ thống chu vi của bạn (danh sách các miền và địa chỉ IP / dải).
Kiểm tra bút bên ngoài thường được chạy trên cơ sở "Hộp đen", có nghĩa là không có thông tin đặc quyền nào (chẳng hạn như thông tin đăng nhập ứng dụng, sơ đồ cơ sở hạ tầng hoặc mã nguồn) được cung cấp cho người kiểm tra. Điều này tương tự như nơi một tin tặc thực sự nhắm mục tiêu vào tổ chức của bạn sẽ bắt đầu từ đâu, sau khi họ phát hiện ra danh sách các IP và miền của bạn.
Nhưng có một vài gợi ý quan trọng và sự cẩn trọng cần lưu ý khi tổ chức kiểm tra thâm nhập bên ngoài của bạn:
Ai đang thực hiện bài kiểm tra của bạn? Họ có phải là người kiểm tra thâm nhập đủ điều kiện không? Bạn có thể tìm hiểu thêm về các chứng chỉ thử nghiệm thâm nhập và chọn công ty tư vấn trong hướng dẫn cách chọn công ty thử nghiệm thâm nhập.
Bạn sẽ bị tính phí bao nhiêu? Báo giá thường dựa trên tỷ lệ ngày và công việc của bạn được xác định phạm vi dựa trên số ngày sẽ cần để thực hiện đánh giá. Mỗi loại trong số này có thể khác nhau giữa các công ty, vì vậy có thể đáng để mua sắm xung quanh để xem những gì được cung cấp.
Bao gồm những gì? Các nhà cung cấp dịch vụ đáng kính trọng nên cung cấp cho bạn một đề xuất hoặc tuyên bố về công việc nêu rõ công việc sẽ được thực hiện. Tìm kiếm những gì trong và ngoài phạm vi.
Những gì khác được khuyến nghị? Chọn một nhà cung cấp bao gồm việc kiểm tra các dịch vụ tiếp xúc của bạn để sử dụng lại thông tin đăng nhập bị vi phạm, các cuộc tấn công rải mật khẩu và kiểm tra ứng dụng web trên các ứng dụng có thể truy cập công khai.
Bạn có nên bao gồm kỹ thuật xã hội? Nó có thể là một giá trị gia tăng tốt, mặc dù loại thử nghiệm này hầu như luôn thành công khi kẻ tấn công cố gắng thực hiện với đủ quyết tâm, vì vậy nó không phải là một yêu cầu khó nếu ngân sách của bạn có hạn.
Kiểm tra thâm nhập bên ngoài so với quét lỗ hổng bảo mật
Nếu bạn đã quen với việc quét lỗ hổng bảo mật, bạn sẽ nhận thấy rằng một bên ngoài có một số điểm tương đồng. Vậy, sự khác biệt là gì?
Thông thường, kiểm tra thâm nhập bên ngoài bao gồm quét toàn bộ lỗ hổng bên ngoài, nhưng đó mới chỉ là nơi nó bắt đầu. Tất cả đầu ra từ các công cụ quét sẽ được pentester điều tra theo cách thủ công để loại bỏ các kết quả dương tính giả, chạy các khai thác để xác minh mức độ / tác động của điểm yếu và "xâu chuỗi" nhiều điểm yếu lại với nhau để tạo ra các cách khai thác có tác động hơn.
Trong trường hợp máy quét lỗ hổng chỉ báo cáo rằng một dịch vụ có một điểm yếu nghiêm trọng, kẻ gian sẽ cố gắng khai thác điểm yếu đó và giành quyền kiểm soát hệ thống. Nếu thành công, pentester sẽ sử dụng quyền truy cập của họ để đi xa hơn, đồng thời làm tổn hại đến các hệ thống và dịch vụ xa hơn.
Pentest đi sâu vào các lỗ hổng
Trong khi các máy quét lỗ hổng thường xác định các vấn đề tiềm ẩn, một người kiểm tra thâm nhập sẽ khám phá những vấn đề đó một cách đầy đủ và báo cáo xem điểm yếu có cần được chú ý hay không. Ví dụ: trình quét lỗ hổng bảo mật thường xuyên báo cáo về 'Danh sách thư mục', đây là nơi máy chủ web cung cấp danh sách tất cả các tệp và thư mục trên máy chủ. Đây không nhất thiết là một lỗ hổng riêng của nó, nhưng nó cần được điều tra.
Nếu một tệp nhạy cảm (như tệp cấu hình sao lưu chứa thông tin đăng nhập) bị lộ và được liệt kê theo danh sách thư mục, một vấn đề thông tin đơn giản (như được báo cáo bởi máy quét lỗ hổng) có thể nhanh chóng trở thành nguy cơ ảnh hưởng cao đến tổ chức của bạn. Công việc của pentester bao gồm xem xét cẩn thận đầu ra từ một loạt các công cụ, để đảm bảo rằng không có viên đá nào bị bỏ đi.
Nếu tôi cần kiểm tra nghiêm ngặt hơn thì sao?
Một số hoạt động khác mà kẻ tấn công thực sự sẽ thực hiện mà không được thực hiện bởi máy quét lỗ hổng cũng có thể được bao gồm, nhưng những hoạt động này khác nhau giữa những người kiểm tra. Kiểm tra đề xuất hoặc đặt câu hỏi trước khi lên lịch cho người áp dụng nếu bạn muốn chúng nằm trong phạm vi. Ví dụ:
Các cuộc tấn công đoán mật khẩu liên tục (phun, bruteforce) để cố gắng xâm nhập tài khoản người dùng trên các VPN bị lộ và các dịch vụ khác
Lừa đảo dark web và vi phạm cơ sở dữ liệu để biết thông tin đăng nhập đã vi phạm của nhân viên của bạn và đưa chúng vào bảng quản trị và dịch vụ
Kiểm tra ứng dụng web khi có cơ chế tự đăng ký
Các cuộc tấn công kỹ thuật xã hội chẳng hạn như lừa đảo nhân viên của bạn
Pentest không thể thay thế kiểm tra lỗ hổng thường xuyên
Hãy nhớ rằng các lỗ hổng nghiêm trọng mới được phát hiện hàng ngày và những kẻ tấn công thường khai thác các điểm yếu nghiêm trọng nhất trong vòng một tuần kể từ khi chúng phát hiện ra.
Trong khi kiểm tra thâm nhập bên ngoài là một đánh giá quan trọng để xem xét sâu hơn về tính bảo mật của các hệ thống tiếp xúc của bạn, nó tốt nhất được sử dụng như một dịch vụ bổ sung để bổ sung cho việc quét lỗ hổng thường xuyên - điều mà bạn nên có!