Đề 5 tìm hiểu về kĩ thuật penetration testing – kỹ thuật kiểm thử xâm nhập

TRƯỜNG ĐẠI HỌC CÔNG NGHỆ GIAO THÔNG VẬN TẢI KHOA CÔNG NGHỆ THÔNG TIN BÁO CÁO HỌC PHẦN: An Ninh Mạng Đề : Tìm hiểu kĩ thuật penetration testing – kỹ thuật kiểm thử xâm nhập Giảng viên hướng dẫn: Lê Thanh Tấn Lớp: 71DCTM22 Sinh viên thực hiện: Đặng Văn Hoàng_71DCTM21101 Nguyễn Trọng Khuê_71DCTM22046 HÀ NỘI-2023 MỤC LỤC Lời mở đầu .1 Kĩ thuật penetration testing ? 2 Tại cần thử nghiệm penetration testin Phân loại kĩ thuật penetration testing - Black Box Testing .6 - White Box Penetration Testing - Gray Box Penetration Testing .8 Ưu nhược điểm kĩ thuật penetration testing 4.1 Ưu điểm   4.2 Nhược điểm Quy trình thực xâm nhập TÀI LIỆU THAM KHẢO 13   Lời mở đầu  Ngày nay, mạng máy tính khái niệm trở nên quen thuộc với hầu hết tất người, đặc biệt chiếm vị trí quan trọng với doanh nghiệp Với xu phát triển mạnh mẽ hệ thống mạng như: mạng internet, hệ thống thương mại điện tử, hệ thống thông tin quan, doanh nghiệp , vấn đề quản trị an ninh mạng trở nên cần thiết Làm để thiết kế mạng máy tính tối ưu cho tổ chức, doanh nghiệp làm để mạng máy tính hoạt động tốt với tính bảo mật cao? Để hướng đến xã hội thông tin an tồn có độ tin cậy cao, triển khai dịch vụ, tiện ích qua mạng để  phục vụ đời sống xã hội, trị, quân , vấn đề quản trị an ninh mạng  phải cân nhắc đánh giá tầm quan trọng  Bằng góc nhìn hacker, kỹ thuật Penetration Testing giúp cho hệ thống mạng thổ chức, doanh nghiệp bảo mật cách tối ưu 1 Kĩ thuật penetration testing ?   Penetration Testing, cịn gọi tắt pentest, pentest hay ethical hacking, ấn công mơ nhắm vào hệ thống máy tính để kiểm tra lỗ hổng khai thác Trong bảo mật āng dụng web, Penetration Testing (kiểm thử thâmnhập) thường sử dụng để tng cường tườ ng lửa āng dụng web (Web Application Firewall - WAF) công mô nhắm vào hệ thống máy tính để kiểm tra   Penetration Testing (còn gọi kiểm tra xâm nhập công hợp  pháp) trình có hệ thống để thăm dị lỗ hổng mạng ứng dụng tổ chức   Về bản, hình thức cơng có kiểm sốt – ‘những kẻ cơng’ thay mặt tổ chức để tìm kiểm tra điểm yếu mà bọn tội phạm khai thác, chẳng hạn như:    Cấu hình khơng phù hợp khơng phù hợp Các lỗi phần cứng phần mềm biết chưa biết  Những điểm yếu hoạt động quy trình biện pháp đối  phó kỹ thuật   Những người kiểm tra xâm nhập có kinh nghiệm bắt chước kỹ thuật sử dụng bọn tội phạm mà không gây thiệt hại Điều cho phép bạn giải lỗi bảo mật khiến tổ chức bạn dễ bị công   Penetration Testing phương thức nhằm đánh giá, ước chừng độ an toàn tin cậy hệ thống máy tính hay mơi trường mạng cách giả lập (simulating) công từ hacker   Tiến trình bao gồm trình phân tích linh hoạt (active anlusis) hệ thống điểm yếu, lỗ hổng   Quá trình phân tích tiến hành từ vị trí attacker, bao gồm việc lợi dụng lỗ hổng bảo mật   Khi phát thấy vấn đề liên quan tới security hiển thị cho admin hệ thống biết, đồng thời đưa đánh giá tác động chúng kèm với đề xuất, giải pháp kỹ thuật thay   Ở có số khái niệm người cần nắm để hiểu rõ công việc kiểm thử xâm nhập Kết kiểm thử ghi lại cung cấp  báo cáo toàn diện cho quản lý điều hành chuyên viên kỹ thuật hệ thống:   Vulnerabilities: Vulnerabilities lỗ hổng bảo mật phần phần mềm, phần cứng hệ điều hành, cung cấp khả để công hệ thống Một lỗ hổng đơn giản mật yếu phức tạp lỗi tràn đệm lỗ hổng SQL injection   Exploits: Là trình khác thác lỗ hổng bảo mật thông qua việc dựa vào điểm yếu, cố hay lỗ hổng phần mềm nhằm mục tiêu gây hoạt động  bất thường ứng dụng theo ý kẻ cơng Những hành động bao gồm hành động leo thang đặc quyền, công từ chối dịch vụ, đánh cắp thông tin nhạy cảm …   Payloads: Là đoạn mã hay phần phần mềm sử dụng trình khai thác lỗ hổng (exploit) Security Audit: Kiểm tra bảo mật cách kiểm tra xem tổ chức có tuân theo tập hợp sách quy trình bảo mật tiêu chuẩn khơng : Kiểm thử xâm nhập thủ công kiểm thử xâm nhập tự động: Kiểm thử xâm nhập thủ công Kiểm thử xâm nhập tự động Kiểm tra thủ công yêu cầu Các công cụ kiểm tra tự động cung cấp chuyên gia thành thạo chạy  báo cáo rõ ràng với chuyên gia kinh kiểm tra nghiệm Kiểm tra thủ công yêu cầu Excel Kiểm tra tự động hóa có cơng cụ tập cơng cụ khác để theo dõi trung tiêu chuẩn Trong Thử nghiệm thủ công, kết mẫu khác thử nghiệm Trong trường hợp Kiểm tra tự động, kết không khác kiểm tra  Người dùng nên ghi nhớ việc dọn Kiểm tra Tự động có dọn dẹp dẹp nhớ  toàn diện Tại cần thử nghiệm penetration testin   Hiện nay, tình trạng xâm nhập hệ thống, đánh cắp thông tin vấn đề khiến nhiều người, nhiều doanh nghiệp đau đầu Vì thế, việc kiểm thử xâm nhập Pentest vô cần thiết Sau tìm hiểu Pentest gì, phần hiểu rõ hình thức kiểm tra Từ khái niệm Pentest, người dùng dễ dàng nhận thấy số lý khiến việc kiểm thử xâm nhập Pentest trở nên quan trọng cần thiết như:  Đảm bảo an ninh tối đa: Thơng qua Pentest, đơn vị đảm bảo an ninh cách tối đa, giúp hệ thống hoàn thiện hơn, đảm bảo an toàn  Xem xét mối đe dọa, giảm thiểu công: Pentest giúp tìm nguy hiểm, lỗ hổng an ninh hệ thống Qua giúp xem xét nguy hiểm xảy ngăn ngừa tình công, ăn cắp liệu  Chống lại hacker hiệu quả: Nhờ việc phát lỗ hổng, kiểm thử Pentest giúp nhà quản lý phát kịp thời đưa giải pháp  bảo mật phù hợp Qua giúp ngăn ngừa hacker hiệu   Chỉ kiểm tra xâm nhập thực chuyên gia bảo mật đào tạo giúp bạn hiểu vấn đề bảo mật mà tổ chức  bạn phải đối mặt   Để tự bảo vệ mình, tổ chức nên thường xuyên tiến hành kiểm tra xâm nhập để:  Xác định lỗi bảo mật để bạn giải chúng triển khai  biện pháp kiểm sốt thích hợp  Đảm bảo biện pháp kiểm sốt bảo mật có bạn có hiệu lực (ví dụ Firewall, Endpoint Security/ WAF…)  Kiểm tra phần mềm hệ thống để tìm lỗi   Khám phá lỗi phần mềm có Hỗ trợ tổ chức bạn tuân thủ quy đinh tiêu chuẩn giới: ISO / IEC 27001: 2013, PCI-DSS, HIPPA, FISMA, GDPR (Quy định chung  bảo vệ liệu) DPA (Đạo luật bảo vệ liệu) 2018 Liên minh Châu Âu và luật quy định quyền riêng tư có liên quan khác  Đảm bảo với khách hàng bên liên quan liệu họ  bảo vệ    Củng cố niềm tin cho khách hàng, đối tác nhà đầu tư Khi tổ chức nên thực kiểm tra xâm nhập:   Khi có thay đổi sở hạ tầng thơng tin tổ chức Khi có vấn đề bảo mật liên quan đến thành phần hệ thống công  bố    Khi có phần mềm cài đặt hay cập nhật Khi có thay đổi mặt sách Kiểm tra định kỳ khơng có thay đổi hay gặp vấn đề bảo mật để đảm bảo hệ thống ln an tồn  Là phần chiến lược quản lý rủi ro an ninh mạng Phân loại kĩ thuật penetration testing Sau tìm hiểu Pentest gì, để việc thực Pentest hiệu quả, bạn cần hiểu rõ hình thức kiểm thử Hiện nay, Penetration testing chia thành loại chính: -   Black Box Testing  Black Box Testing hay gọi phương pháp test hộp đen Đây hình thức kiểm thử thực từ bên vào Các Pentester thực công không báo trước hệ thống Do đó, khơng có dấu hiệu hay gợi ý đưa Với phương pháp này, tester đóng giả thành hacker, tìm cách xâm nhập vào hệ thống từ bên tester  sẽ hồn tồn khơng biết hệ thống bạn - White Box Penetration Testing    White Box hay biết tới với tên gọi phương pháp hộp trắng Đây  phương pháp kiểm thử cách thu thập thông tin thực tế đánh giá khách hàng Tester thu thập đánh giá mạng nội ngoại Sau đưa ý kiến đóng góp lỗ hổng an ninh   Khác với phương pháp Black Box, thực phương pháp white box, tester biết trước thông tin hệ thống Chẳng hạn như: địa IP, sơ đồ hạ tầng, mã nguồn…  Penetration testing chia thành loại -   Gray Box Penetration Testing  Khi tìm hiểu Pentest gì, chắn bỏ qua phương pháp test Grey Box hay gọi test hộp xám Với phương pháp này, tester đóng giả thành hacker Sau đó, dùng tài khoản có sẵn để cơng vào hệ thống   Thông qua phương pháp kiểm thử hộp xám, Pentester nắm thơng tin đối tượng kiểm tra URL hay IP Address… Tuy nhiên, tester khơng có quyền truy cập vào toàn đối tượng  Ngoài phương pháp kể trên, Penetration Testing cịn kiểm thử số hình thức khác như: double-blind testing, external testing hay targeted testing Tuy nhiên, phương pháp không phổ biến Việt Nam phù hợp với số doanh nghiệp đặc thù  4 Ưu nhược điểm kĩ thuật penetration testing 4.1 Ưu điểm   Pentest đem lại cho người sử dụng nhiều ưu điểm, lợi ích:    Giúp phát kịp thời lỗ hổng bảo mật, ngăn ngừa hacker xâm nhập Giúp hệ thống kiểm tra toàn diện, đảm bảo hiệu sử dụng Đây phương pháp kiểm thử có độ an tồn cao, đem lại hiệu rõ rệt không làm ảnh hưởng tới hệ thống, thông tin   Có thể xác định cụ thể ngày bắt đầu kết thúc kế hoạch Giúp người dùng có bước chuẩn bị kịp thời 4.2 Nhược điểm   Bên cạnh ưu điểm, tìm hiểu Pentest gì, bạn cần lưu ý nhược điểm phương pháp Từ biện pháp khắc phục hợp lý Một số nhược điểm Penetration Testing kể tới như:   Hiệu chiến dịch phụ thuộc nhiều vào kỹ năng, trình độ Tester Phạm vi test bị giới hạn, test rộng nhiều thời gian chi  phí  Chi phí cao: Đối với dịch vụ kiểm thử thơng thường, doanh nghiệp phải trả phí theo ngày cơng làm việc pentester, chi phí khơng thấp Thực tế nhiều doanh nghiệp có nhu cầu bảo mật web app, mobile app việc chi khoản tiền lớn cho kiểm thử rào cản  Thiếu tính đa dạng: Thơng thường đội ngũ kiểm thử bao gồm tối đa 3-5 người, họ thường kiểm tra theo quy trình có sẵn, lặp lặp lại Trong tin tặc ngồi thực tế khơng bị bó buộc vào quy trình nào, số lượng kẻ xấu nhiều  Khó tích hợp tảng: Các kiểm thử thông thường tạo báo cáo dài với lỗ hổng liệt kê Khơng có tích hợp vịng đời phát triển phần mềm, điều làm tăng thêm chi phí hoạt động làm chậm tốc độ việc khắc phục phát triển ứng dụng  Kiểm tra không kỹ càng : Với nguồn nhận lực hạn chế chi phí lương chuyên gia cao, bên tư vấn thường chạy dịch vụ cho nhiều dự án khác phải chịu áp lực nặng nề việc làm báo cáo kiểm thử Điều làm giảm thời gian kiểm thử thực tế dẫn đến việc thường xuyên tái sử dụng kết cũ từ thử nghiệm trước để làm báo cáo Điều dẫn đến ứng dụng mục tiêu có nhiều phần chưa kiểm thử xuất điểm mù – tồn lỗ hổng khơng tìm kiếm triệt để Quy trình thực xâm nhập Có nhiều phương pháp cách tiếp cận khác nói tới quy trình kiểm thử xâm nhập Tuy nhiên chúng theo tư chung gồm bước sau: 10 Bước 1: Lập kế hoạch (Planning Phase)   Phạm vi & Chiến lược nhiệm vụ xác định Các tiêu chuẩn, sách bảo mật có sử dụng để xác định phạm vi Bước 2: Thu thập thông tin (Discovery Phase) Thu thập nhiều thông tin tốt hệ thống bao gồm liệu hệ thống, tên người dùng chí mật Quét thăm dò vào cổng Kiểm tra lỗ hổng hệ thống Quá trình ảnh hưởng to lớn đến kết kiểm thử chun gia Nếu thu thập thơng tin xác giúp rút ngắn thời gian kiểm thử nhiều lần Bước 3: Thực công (Attack phase) Ở giai đoạn này, chuyên gia thực kiểm tra khai thác lỗ hổng hacker thực để có quyền truy cập vào hệ thống/ứng dụng:   Thực khai thác lỗ hổng, thực nghiệm (POC) Khi phát lỗ hổng nghiêm trọng cần báo cho chủ dịch vụ, không thực phá hay khai thác thông tin không phép Bước 4: Báo cáo (Reporting Phase)    Một báo cáo phải chứa phát lỗ hổng chi tiết Rủi ro lỗ hổng tìm thấy Ảnh hưởng chúng Khuyến nghị giải pháp, có 11 12 KẾT LUẬN   Quan mơn An Ninh Mạng nhóm nắm kiến thức chung công cụ trình kiểm thử xâm nhập   Biết giai đoạn lôc hổng pentes 13 TÀI LIỆU THAM KHẢO - https://itzone.com.vn/vi/article/penetration-testing-kiem-thu-tham-nhap-vavulnerability-assessment-danh-gia-cac-lo-hong-bao-mat/ - https://fptcloud.com/pentest-la-gi/ - https://www.studocu.com/vn/document/truong-dai-hoc-kinh-te-tai-chinh-thanh pho-ho-chi-minh/an-toan-he-thong-thong-tin-ke-toan/b02-nhom-8-an-toan-baomat/35397876 Quantrimang.com https://quantrimang.com/timhieu-ve-penetration-testing162644  14