Đề 5 tìm hiểu về kĩ thuật penetration testing – kỹ thuật kiểm thử xâm nhập

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢIKHOA CÔNG NGHỆ THÔNG TIN BÁO CÁO HỌC PHẦN: An Ninh Mạng Đề 5 : Tìm hiểu về kĩ thuật penetration testing – kỹ thuật kiểm thử xâm nhập Giảng viên

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢI

KHOA CÔNG NGHỆ THÔNG TIN

BÁO CÁO HỌC PHẦN: An Ninh Mạng

Đề 5 : Tìm hiểu về kĩ thuật penetration testing – kỹ thuật kiểm thử xâm nhập

Giảng viên hướng dẫn: Lê Thanh Tấn

Lớp: 71DCTM22

Sinh viên thực hiện:

1 Đặng Văn Hoàng_71DCTM21101

2 Nguyễn Trọng Khuê_71DCTM22046

HÀ NỘI-2023

MỤC LỤC

Lời mở đầu 1

1 Kĩ thuật penetration testing là gì ? 2

2 Tại sao cần thử nghiệm penetration testin 4

3 Phân loại kĩ thuật penetration testing 6

- Black Box Testing 6

- White Box Penetration Testing 7

- Gray Box Penetration Testing 8

4 Ưu và nhược điểm của kĩ thuật penetration testing 8

4.1 Ưu điểm 8

  4.2 Nhược điểm 8

5 Quy trình thực hiện xâm nhập 9

TÀI LIỆU THAM KHẢO 13

Lời mở đầu

 Ngày nay, mạng máy tính là một khái niệm đã trở nên quen thuộc với hầu hết tất cả mọi người, đặc biệt chiếm vị trí hết sức quan trọng với các doanh nghiệp Với xu thế phát triển mạnh mẽ của hệ thống mạng như: mạng internet, hệ thống thương mại điện tử, hệ thống thông tin trong các cơ quan, doanh nghiệp , vấn đề quản trị và an ninh mạng trở nên hết sức cần thiết Làm thế nào để thiết kế một mạng máy tính tối ưu cho từng tổ chức, doanh nghiệp và làm thế nào để mạng máy tính đó hoạt động tốt với tính bảo mật cao? Để hướng đến một xã hội thông tin an toàn và có độ tin cậy cao, có thể triển khai được các dịch vụ, tiện ích qua mạng để  phục vụ đời sống xã hội, chính trị, quân sự , thì vấn đề quản trị và an ninh mạng  phải được cân nhắc và đánh giá đúng tầm quan trọng của nó

 Bằng góc nhìn của một hacker, kỹ thuật Penetration Testing sẽ giúp cho hệ thống mạng của thổ chức, doanh nghiệp được bảo mật một cách tối ưu nhất

1 Kĩ thuật penetration testing là gì ?

  Penetration Testing, còn được gọi tắt là pentest, pentest hay ethical hacking,

là cuộc ấn công mô phỏng nhắm vào hệ thống máy tính để kiểm tra những lỗ hổng

có thể được khai thác Trong bảo mật āng dụng web, Penetration Testing (kiểm thử thâmnhập) thường được sử dụng để t ng cường tườ  ng lửa āng dụng web (Web Application Firewall - WAF)

tấn công mô phỏng nhắm vào

hệ thống máy tính để kiểm tra những

  Penetration Testing (còn được gọi là kiểm tra xâm nhập hoặc tấn công hợp  pháp) là một quá trình có hệ thống để thăm dò các lỗ hổng trong mạng và ứng dụng của tổ chức

  Về cơ bản, đây là một hình thức tấn công có kiểm soát – ‘những kẻ tấn công’ thay mặt tổ chức để tìm và kiểm tra các điểm yếu mà bọn tội phạm có thể khai thác, chẳng hạn như:

 Cấu hình không phù hợp hoặc không phù hợp

 Các lỗi phần cứng hoặc phần mềm đã biết và chưa biết

  Những điểm yếu trong hoạt động trong các quy trình hoặc các biện pháp đối  phó kỹ thuật

  Những người kiểm tra xâm nhập có kinh nghiệm bắt chước các kỹ thuật được

sử dụng bởi bọn tội phạm mà không gây ra thiệt hại Điều này cho phép bạn giải quyết các lỗi bảo mật khiến tổ chức của bạn dễ bị tấn công

  Penetration Testing là 1 phương thức nhằm đánh giá, ước chừng độ an toàn và tin cậy của 1 hệ thống máy tính hay 1 môi trường mạng bằng cách giả lập

(simulating) 1 cuộc tấn công từ hacker

  Tiến trình này bao gồm 1 quá trình phân tích linh hoạt (active anlusis) trên hệ thống về bất kỳ điểm yếu, lỗ hổng nào

  Quá trình phân tích này được tiến hành từ vị trí của 1 attacker, và có thể bao gồm việc lợi dụng các lỗ hổng về bảo mật

  Khi phát hiện thấy bất kỳ vấn đề nào liên quan tới security nó sẽ hiển thị cho admin của hệ thống biết, đồng thời cũng đưa ra đánh giá những tác động của chúng

và đi kèm với những đề xuất, giải pháp kỹ thuật thay thế

  Ở đây có một số khái niệm mọi người cần nắm được để hiểu rõ hơn về công việc kiểm thử xâm nhập này Kết quả kiểm thử được ghi lại và cung cấp trong một  báo cáo toàn diện cho quản lý điều hành của và chuyên viên kỹ thuật của hệ thống:   Vulnerabilities: Vulnerabilities là lỗ hổng bảo mật trong một phần của phần mềm, phần cứng hoặc hệ điều hành, cung cấp một khả năng để tấn công hệ thống Một lỗ hổng có thể đơn giản như mật khẩu yếu hoặc phức tạp như lỗi tràn bộ đệm hoặc các lỗ hổng SQL injection

  Exploits: Là quá trình khác thác lỗ hổng bảo mật thông qua việc dựa vào các điểm yếu, sự cố hay lỗ hổng của phần mềm nhằm mục tiêu gây ra các hoạt động  bất thường của ứng dụng theo ý của kẻ tấn công Những hành động đó có thể bao

gồm các hành động leo thang đặc quyền, một cuộc tấn công từ chối dịch vụ, đánh cắp các thông tin nhạy cảm …

  Payloads: Là các đoạn mã hay một phần của phần mềm được sử dụng trong quá trình khai thác lỗ hổng (exploit)

Security Audit: Kiểm tra bảo mật bằng cách kiểm tra xem tổ chức có tuân theo một tập hợp các chính sách và quy trình bảo mật tiêu chuẩn không.:

Kiểm thử xâm nhập thủ công và kiểm thử xâm nhập tự động:

Kiểm thử xâm nhập thủ công Kiểm thử xâm nhập tự động

Kiểm tra thủ công yêu cầu các

chuyên gia thành thạo chạy các bài

kiểm tra

Các công cụ kiểm tra tự động cung cấp các  báo cáo rõ ràng với các chuyên gia ít kinh nghiệm hơn

Kiểm tra thủ công yêu cầu Excel và

các công cụ khác để theo dõi nó

Kiểm tra tự động hóa có các công cụ tập trung và tiêu chuẩn

Trong Thử nghiệm thủ công, các

kết quả mẫu khác nhau giữa các thử

nghiệm

Trong trường hợp Kiểm tra tự động, kết quả không khác nhau giữa các bài kiểm tra

 Người dùng nên ghi nhớ việc dọn

dẹp bộ nhớ 

Kiểm tra Tự động sẽ có các bản dọn dẹp toàn diện

2 Tại sao cần thử nghiệm penetration testin

  Hiện nay, tình trạng xâm nhập hệ thống, đánh cắp thông tin đang là vấn đề khiến nhiều người, nhiều doanh nghiệp đau đầu Vì thế, việc kiểm thử xâm nhập Pentest là vô cùng cần thiết

Sau khi tìm hiểu Pentest là gì, chúng ta đã phần nào hiểu rõ về hình thức kiểm tra này Từ khái niệm Pentest, người dùng có thể dễ dàng nhận thấy một số lý do khiến việc kiểm thử xâm nhập Pentest trở nên cực kỳ quan trọng và cần thiết như:

 Đảm bảo an ninh tối đa: Thông qua Pentest, các đơn vị có thể đảm bảo an ninh một cách tối đa, giúp hệ thống hoàn thiện hơn, đảm bảo an toàn hơn

 Xem xét mối đe dọa, giảm thiểu tấn công: Pentest sẽ giúp tìm ra các nguy hiểm, các lỗ hổng an ninh trong hệ thống Qua đó giúp xem xét các nguy hiểm có thể xảy ra và ngăn ngừa những tình huống tấn công, ăn cắp dữ liệu

 Chống lại các hacker hiệu quả: Nhờ việc phát hiện ra các lỗ hổng, kiểm thử Pentest sẽ giúp các nhà quản lý phát hiện kịp thời và đưa ra giải pháp  bảo mật phù hợp Qua đó giúp ngăn ngừa hacker hiệu quả

  Chỉ một cuộc kiểm tra xâm nhập được thực hiện bởi một chuyên gia bảo mật được đào tạo mới có thể giúp bạn hiểu đúng về các vấn đề bảo mật mà tổ chức của  bạn phải đối mặt

  Để tự bảo vệ mình, các tổ chức nên thường xuyên tiến hành các bài kiểm tra xâm nhập để:

 Xác định các lỗi bảo mật để bạn có thể giải quyết chúng hoặc triển khai các  biện pháp kiểm soát thích hợp

 Đảm bảo các biện pháp kiểm soát bảo mật hiện có của bạn có hiệu lực (ví dụ như Firewall, Endpoint Security/ WAF…)

 Kiểm tra phần mềm và hệ thống mới để tìm lỗi

 Khám phá các lỗi mới trong phần mềm hiện có.

 Hỗ trợ tổ chức của bạn tuân thủ quy đinh và tiêu chuẩn trên thế giới: ISO / IEC 27001: 2013, PCI-DSS, HIPPA, FISMA,GDPR (Quy định chung về  bảo vệ dữ liệu) và DPA (Đạo luật bảo vệ dữ liệu) 2018 của Liên minh Châu

Âu và các luật hoặc quy định về quyền riêng tư có liên quan khác

 Đảm bảo với khách hàng và các bên liên quan rằng dữ liệu của họ đang được  bảo vệ

 Củng cố niềm tin cho khách hàng, đối tác và nhà đầu tư

  Khi nào tổ chức nên thực hiện kiểm tra xâm nhập:

 Khi có thay đổi trong cơ sở hạ tầng thông tin của tổ chức

 Khi có các vấn đề bảo mật liên quan đến các thành phần hệ thống được công  bố

 Khi có các phần mềm mới được cài đặt hay cập nhật

 Khi có thay đổi về mặt chính sách

 Kiểm tra định kỳ ngay cả khi không có sự thay đổi hay gặp các vấn đề bảo mật để đảm bảo hệ thống luôn được an toàn

 Là một phần của chiến lược quản lý rủi ro an ninh mạng

3 Phân loại kĩ thuật penetration testing

Sau khi đã tìm hiểu Pentest là gì, để việc thực hiện Pentest hiệu quả, bạn cần hiểu rõ về các hình thức kiểm thử này Hiện nay, Penetration testing được chia thành 3 loại chính:

- Black Box Testing 

  Black Box Testing hay còn gọi là phương pháp test hộp đen Đây là hình thức kiểm thử được thực hiện từ bên ngoài vào Các Pentester sẽ thực hiện các cuộc tấn công không báo trước đối với hệ thống Do đó, sẽ không có bất kỳ dấu hiệu hay gợi ý nào được đưa ra

Với phương pháp này, các tester sẽ đóng giả thành các hacker, tìm cách xâm nhập vào hệ thống từ bên ngoài và các tester  sẽ hoàn toàn không biết gì về hệ thống của bạn

- White Box Penetration Testing 

  White Box hay còn được biết tới với tên gọi là phương pháp hộp trắng Đây là  phương pháp kiểm thử bằng cách thu thập các thông tin thực tế và đánh giá của khách hàng Tester sẽ thu thập đánh giá về mạng nội bộ và ngoại bộ Sau đó đưa ra các ý kiến đóng góp về lỗ hổng an ninh

  Khác với phương pháp Black Box, khi thực hiện phương pháp white box, các tester sẽ biết trước các thông tin của hệ thống Chẳng hạn như: địa chỉ IP, sơ đồ hạ tầng, mã nguồn…

Penetration testing được chia thành 3 loại chính

- Gray Box Penetration Testing 

  Khi tìm hiểu Pentest là gì, chắc chắn không thể bỏ qua phương pháp test Grey Box hay còn gọi là test hộp xám Với phương pháp này, các tester sẽ đóng giả thành các hacker Sau đó, dùng một tài khoản có sẵn để tấn công vào hệ thống   Thông qua phương pháp kiểm thử hộp xám, Pentester có thể nắm được các thông tin về đối tượng kiểm tra như URL hay IP Address… Tuy nhiên, tester sẽ không có quyền truy cập vào toàn bộ đối tượng

 Ngoài 3 phương pháp kể trên, Penetration Testing còn được kiểm thử dưới một số hình thức khác như: double-blind testing, external testing hay targeted testing Tuy nhiên, các phương pháp này không quá phổ biến tại Việt Nam và chỉ phù hợp với một số doanh nghiệp đặc thù

 4 Ưu và nhược điểm của kĩ thuật penetration testing

4.1 Ưu điểm

  Pentest đem lại cho người sử dụng nhiều ưu điểm, lợi ích:

 Giúp phát hiện kịp thời các lỗ hổng bảo mật, ngăn ngừa hacker xâm nhập

 Giúp hệ thống được kiểm tra toàn diện, đảm bảo hiệu quả khi sử dụng

 Đây là phương pháp kiểm thử có độ an toàn cao, đem lại hiệu quả rõ rệt và không làm ảnh hưởng tới hệ thống, thông tin

 Có thể xác định cụ thể ngày bắt đầu và kết thúc kế hoạch

 Giúp người dùng có các bước chuẩn bị kịp thời

4.2 Nhược điểm

  Bên cạnh các ưu điểm, khi tìm hiểu Pentest là gì, bạn cũng cần lưu ý các nhược điểm của phương pháp này Từ đó các biện pháp khắc phục hợp lý Một số nhược điểm của Penetration Testing có thể kể tới như:

 Hiệu quả của chiến dịch phụ thuộc nhiều vào kỹ năng, trình độ của Tester

 Phạm vi test bị giới hạn, test càng rộng thì càng mất nhiều thời gian và chi  phí

 Chi phí cao: Đối với dịch vụ kiểm thử thông thường, doanh nghiệp sẽ phải trả phí theo giờ hoặc ngày công làm việc của pentester, và chi phí này không

hề thấp Thực tế nhiều doanh nghiệp có nhu cầu bảo mật web app, mobile app nhưng việc chi một khoản tiền quá lớn cho kiểm thử là một rào cản

 Thiếu tính đa dạng: Thông thường đội ngũ kiểm thử chỉ bao gồm tối đa 3-5 người, và họ thường kiểm tra theo một quy trình có sẵn, lặp đi lặp lại Trong khi tin tặc ngoài thực tế không bị bó buộc vào bất kỳ một quy trình nào, và

số lượng kẻ xấu là rất nhiều

 Khó tích hợp nền tảng: Các kiểm thử thông thường sẽ tạo ra một báo cáo dài với các lỗ hổng được liệt kê Không có sự tích hợp nào trong vòng đời phát triển phần mềm, và điều này làm tăng thêm chi phí hoạt động và làm chậm tốc độ của cả việc khắc phục và phát triển ứng dụng

 Kiểm tra không kỹ càng : Với nguồn nhận lực hạn chế và chi phí lương các chuyên gia cao, các bên tư vấn thường sẽ chạy dịch vụ cho nhiều dự án khác nhau và luôn phải chịu áp lực nặng nề trong việc làm báo cáo kiểm thử Điều này làm giảm thời gian kiểm thử thực tế và dẫn đến việc thường xuyên tái sử dụng các kết quả cũ từ các thử nghiệm trước đó để làm báo cáo Điều này sẽ dẫn đến ứng dụng mục tiêu có nhiều phần chưa được kiểm thử và xuất hiện các điểm mù – có thể tồn tại lỗ hổng nhưng không được tìm kiếm triệt để

5 Quy trình thực hiện xâm nhập

Có nhiều phương pháp và cách tiếp cận khác nhau khi nói tới quy trình kiểm thử xâm nhập Tuy nhiên chúng đều theo một tư duy chung gồm 4 bước cơ bản như sau:

Bước 1: Lập kế hoạch (Planning Phase)

 Phạm vi & Chiến lược của nhiệm vụ được xác định

 Các tiêu chuẩn, chính sách bảo mật hiện có được sử dụng để xác định phạm vi

Bước 2: Thu thập thông tin (Discovery Phase)

1 Thu thập càng nhiều thông tin càng tốt về hệ thống bao gồm dữ liệu trong hệ thống, tên người dùng và thậm chí cả mật khẩu

2 Quét và thăm dò vào các cổng

3 Kiểm tra lỗ hổng của hệ thống

Quá trình này ảnh hưởng to lớn đến kết quả kiểm thử của chuyên gia Nếu thu thập thông tin chính xác sẽ giúp rút ngắn thời gian kiểm thử đi nhiều lần

Bước 3: Thực hiện tấn công (Attack phase)

Ở giai đoạn này, các chuyên gia thực hiện kiểm tra và khai thác lỗ hổng như một hacker thực sự để có quyền truy cập được vào hệ thống/ứng dụng:

 Thực hiện khai thác lỗ hổng, thực nghiệm (POC)

 Khi phát hiện lỗ hổng nghiêm trọng cần báo cho chủ dịch vụ, không thực hiện phá hay khai thác thông tin khi không được phép

Bước 4: Báo cáo (Reporting Phase)

 Một báo cáo phải chứa các phát hiện lỗ hổng chi tiết

 Rủi ro về các lỗ hổng được tìm thấy và Ảnh hưởng của chúng

 Khuyến nghị và giải pháp, nếu có

KẾT LUẬN

  Quan môn An Ninh Mạng nhóm cơ bản đã nắm được kiến thức chung cũng như công cụ trong quá trình kiểm thử xâm nhập

  Biết được các giai đoạn và các lôc hổng pentes

TÀI LIỆU THAM KHẢO

- https://itzone.com.vn/vi/article/penetration-testing-kiem-thu-tham-nhap-va-vulnerability-assessment-danh-gia-cac-lo-hong-bao-mat/

- https://fptcloud.com/pentest-la-gi/

- https://www.studocu.com/vn/document/truong-dai-hoc-kinh-te-tai-chinh-thanh-  pho-ho-chi-minh/an-toan-he-thong-thong-tin-ke-toan/b02-nhom-8-an-toan-bao-mat/35397876

Quantrimang.com.

https://quantrimang.com/tim-