Penetration Testing Thực Chất Là Gì?

Penetration testing là hành động mô phỏng các cuộc tấn công thực tế nhằm vào hệ thống, mạng hoặc ứng dụng theo một thỏa thuận ký kết, nhằm tìm ra những điểm yếu có thể khai thác trước khi bất kỳ ai không có quyền nào tìm thấy. Đó là một bài tập được kiểm soát, giới hạn thời gian và kết thúc bằng một báo cáo, chứ không phải một cuộc hack không giới hạn.

Sự khác biệt giữa pentesting và quét lỗ hổng

Công cụ quét lỗ hổng như Nessus hoặc OpenVAS kiểm tra mục tiêu dựa trên cơ sở dữ liệu các chữ ký đã biết và cung cấp danh sách các vấn đề tiềm ẩn, hầu hết trong số đó cần xác minh thủ công. Pentesting đi xa hơn: người tester thực sự cố gắng khai thác các phát hiện, kết nối chúng lại với nhau và chứng minh tác động thực tế. Quét cho bạn biết một cổng mở và phiên bản dịch vụ có vẻ cũ. Pentesting cho bạn biết rằng dịch vụ cũ đó có thể dùng để có được shell, và từ shell đó bạn có thể chuyển vào domain controller.

Sự khác biệt này cũng quan trọng đối với báo cáo. Báo cáo quét là một danh sách. Báo cáo pentesting là một câu chuyện với bằng chứng: ảnh chụp màn hình, kết quả lệnh và hướng dẫn từng bước về đường dẫn tấn công từ điểm vào ban đầu đến bất kỳ mục tiêu nào được thỏa thuận (truy cập dữ liệu, quyền domain admin, v.v.).

Cách xác định phạm vi một cuộc tham gia

Trước khi bắt đầu kiểm tra, khách hàng và người tester thỏa thuận về các quy tắc tham gia: những gì nằm trong phạm vi (dải IP cụ thể, miền, ứng dụng), những gì không được phép (cơ sở dữ liệu sản xuất, hệ thống của bên thứ ba không thuộc sở hữu của khách hàng), cửa sổ kiểm tra và liên hệ khẩn cấp nếu có sự cố. Điều này được ghi chép trong một thư ủy quyền ký kết hoặc hợp đồng. Nếu không có ủy quyền đó, chính xác công việc kỹ thuật đó là tội phạm theo các luật như Đạo luật Gian lận Máy tính và Lạm dụng của Hoa Kỳ hoặc Đạo luật Lạm dụng Máy tính của Anh.

Các cuộc tham gia thường được phân loại dựa trên lượng thông tin mà người tester bắt đầu:

• Black box — tester nhận được một mục tiêu và không có gì khác, mô phỏng một kẻ tấn công bên ngoài không có kiến thức trước.
• Gray box — tester nhận được một số thông tin, như tài khoản người dùng hoặc sơ đồ mạng, tương tự như kịch bản kẻ tấn công nội bộ hoặc thông tin xác thực bị xâm phạm.
• White box — tester có quyền truy cập đầy đủ vào mã nguồn, tài liệu kiến trúc và thông tin xác thực, hữu ích cho kiểm tra sâu cấp ứng dụng.

Một phương pháp điển hình trông như thế nào

Hầu hết các pentests lỏng lẻo tuân theo một cấu trúc gần với PTES (Tiêu chuẩn Thực thi Penetration Testing) hoặc các giai đoạn trong NIST SP 800-115:

1. Reconnaissance — thu thập thông tin bị động và chủ động. Các công cụ như theHarvester, amass hoặc Google dorking đơn giản để tìm subdomain bị lộ và email nhân viên.
2. Scanning and enumeration — nmap -sC -sV trên dải mục tiêu, brute-forcing thư mục với gobuster hoặc ffuf trên ứng dụng web, liệt kê SMB với enum4linux trên mạng nội bộ.
3. Exploitation — sử dụng CVE đã biết, cấu hình sai, thông tin xác thực yếu hoặc payload tùy chỉnh để có được quyền truy cập ban đầu. Điều này có thể có nghĩa là một mô-đun Metasploit, payload SQL injection được tạo riêng hoặc email lừa đảo với macro độc hại.
4. Post-exploitation — khi bạn có điểm vào, công việc thực sự bắt đầu: leo thang quyền, chuyển động ngang, thu thập thông tin xác thực bằng các công cụ như Mimikatz hoặc secretsdump.py, và tìm hiểu xem quyền truy cập thực sự mở rộng đến mức nào.
5. Reporting — ghi lại các phát hiện với điểm CVSS, các bước tái tạo, bằng chứng và hướng dẫn khắc phục mà nhóm kỹ thuật của khách hàng có thể hành động.

Các loại pentests bạn sẽ gặp

Các pentests mạng nhắm vào cơ sở hạ tầng nội bộ hoặc bên ngoài — máy chủ, tường lửa, bộ định tuyến. Các pentests ứng dụng web tập trung vào những thứ trong OWASP Top 10: lỗ hổng tiêm, xác thực bị phá vỡ, deserialization không an toàn. Các pentests ứng dụng di động đào sâu vào tập tin APK/IPA, điểm cuối API và bộ nhớ cục bộ. Các pentests không dây kiểm tra bảo mật Wi-Fi (bắt handshake WPA2/3, điểm truy cập giả mạo). Các pentests vật lý và kỹ thuật xã hội kiểm tra xem liệu ai đó có thể đi vào một tòa nhà hay thuyết phục một nhân viên giao thông tin xác thực, không cần mã.

Tại sao công ty thực sự trả tiền cho điều này

Ngoài việc tìm ra lỗi, pentests đáp ứng các yêu cầu tuân thủ. PCI DSS yêu cầu kiểm tra penetration hàng năm cho bất kỳ ai xử lý dữ liệu thẻ. Kiểm toán SOC 2 và ISO 27001 thường kỳ vọng bằng chứng kiểm tra thường xuyên. Nhưng lý do thực sự mà các nhóm bảo mật tốt ủy thác pentests không chỉ là kiểm tra — đó là các công cụ quét tự động bỏ lỡ lỗi logic kinh doanh, các vấn đề mức độ thấp được kết nối và loại khai thác sáng tạo mà một người có kỹ năng tìm thấy. Một công cụ quét sẽ không nhận thấy rằng thay đổi ID đơn hàng trong URL cho phép bạn xem hóa đơn của người khác. Một tester sẽ.

Bước vào lĩnh vực này

Nếu bạn nhắm tới pentesting như một sự nghiệp, thực hành thực tế quan trọng hơn chỉ các chứng chỉ. Các nền tảng như HackTheBox và TryHackMe xây dựng trí nhớ cơ bắp; chứng chỉ như OSCP xác thực nó. Học cách đọc mã nguồn, hiểu HTTP thực sự hoạt động ở mức byte và thoải mái với terminal Linux trước khi lo lắng về công cụ bắt mắt.

Nếu bản tổng hợp này hữu ích, Korra Studio có thêm các đoạn trong track Offensive bao gồm các kỹ thuật khai thác cụ thể, hướng dẫn công cụ và thực hành dựa trên lab mà bạn có thể theo dõi.