Mục đích

• Kiểm thử tấn công xâm nhập hệ thống máy chủ/ứng dụng theo góc nhìn của kẻ tấn công bên ngoài hoặc nội bộ bên trong và mức độ xâm nhập vào hệ thống khi có được quyền truy cập.
• Xác định tất cả các lỗ hổng bảo mật tồn tại trên hệ thống/ứng dụng theo phạm vi được chỉ định và đánh giá mức độ rủi ro, mức độ ảnh hưởng tồn tại tại thời điểm tấn công
• Cung cấp các phương án khắc phục, giảm thiểu rủi ro bị khai thác đối với các lỗ hổng, điểm yếu đã xác định.

Danh mục kiểm thử

• Kiểm thử hệ thống mạng: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên môi trường mạng.
• Kiểm thử hệ thống máy chủ: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các máy chủ.
• Kiểm thử ứng dụng Web Application: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các ứng dụng Web.
• Kiểm thử ứng dụng Mobile App: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các ứng dụng Mobile.
• Kiểm thử hệ thống ATM: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên hệ thống ATM và các thành phần liên quan.

Phạm vi dịch vụ

Theo số lượng đối tượng cụ thể cần đánh giá (theo danh mục kiểm thử trên)

Phương thức thực hiện

• Kiểm thử White-Box: Tham khảo danh mục ”Đánh giá bảo mật mã nguồn ứng dụng”
• Kiểm thử Gray-Box: Người đánh giá được cung cấp một phần thông tin liên quan tới đối tượng được đánh giá (tài khoản với đặc quyền như người dùng bình thường,…).
• Kiểm thử Black-Box: Người đánh giá không được cung cấp các thông tin liên quan tới đối tượng được đánh giá, đóng vai trò như một kẻ tấn công bên ngoài.
• Ngoài việc tìm kiếm và khai thác các lỗ hổng đã được công bố trên thế giới, các lỗ hổng do nhân sự lập trình phía khách hàng, NCS còn thực hiện tìm kiếm và khai thác các lỗ hổng 0-day tồn tại trong các thành phần bên thứ 3 (các thư viện, thành phần mở rộng, framework,…) chưa công bố trên thế giới.

Kết quả đầu ra

Báo cáo kết quả bao gồm các nội dung:

• Tổng quan mục đích, phạm vi thực hiện
• Tóm tắt phương pháp tiếp cận, phương pháp thực hiện
• Tổng hợp kết quả các lỗ hổng tìm được, mức độ nguy hiểm
• Với mỗi lỗ hổng: mức độ nguy hiểm (critical, high, medium, low) / điểm số CVSS, mô tả chi tiết lỗ hổng, đường link reference, vị trí / tham số có lỗ hổng trên hệ thống, phân tích khả năng có thể khai thác được từ bên trong / bên ngoài internet, bằng chứng khai thác lỗi (PoC), các bước tái tạo lại việc khai thác lỗi…
• Các phương án khắc phục đối với từng lỗ hổng:
  • Hướng dẫn khắc phục chi tiết: theo từng lỗ hổng liệt kê tương ứng với danh mục các hệ thống trong phạm vi, hướng dẫn sửa code ứng dụng để khắc phục, hướng dẫn cấu hình hệ thống để khắc phục, link download các bản vá lỗ hổng,…
  • Đưa ra phương án giảm thiểu rủi ro hoặc phương án xử lý tạm thời đối với các lỗ hổng không thể khắc phục được triệt để.

Nhân lực triển khai dự kiến

• Mỗi đối tượng được đánh giá cần đảm bảo ít nhất 2 nhân sự ở level senior thực hiện và tổng nỗ lực cần là từ 6-10 manday/2 nhân sự.