Dịch vụ
Kiểm Thử Xâm Nhập (Penetration Testing)

Vulnerability Scanning chủ yếu tập trung phát hiện diện rộng các lỗ hổng và điểm yếu đã biết bằng công cụ chuyên dụng. Pentest đi sâu hơn bằng kiểm tra thủ công và xác minh khả năng khai thác trong phạm vi cho phép. Pentest cũng có khả năng phát hiện các lỗi Logic và phân quyền mà công cụ quét tự động khó nhận diện.

Không. Các công cụ hỗ trợ được sử dụng để thu thập thông tin và tăng hiệu quả đánh giá, nhưng phần quan trọng của Pentest là quá trình phân tích và kiểm tra thủ công của chuyên gia. Công cụ tự động phát hiện tốt các lỗ hổng đã biết, nhưng không nhận ra lỗi logic nghiệp vụ, lỗi phân quyền hay chuỗi khai thác ghép từ nhiều điểm yếu nhỏ — đó là những phát hiện chỉ có được khi chuyên gia hiểu cách ứng dụng vận hành và thử theo góc nhìn của kẻ tấn công.

Tần suất phụ thuộc vào mức độ rủi ro, tốc độ thay đổi hệ thống và yêu cầu tuân thủ. Doanh nghiệp thường cân nhắc thực hiện định kỳ hàng năm, đồng thời Pentest bổ sung sau các thay đổi lớn, trước khi Go-live hệ thống quan trọng hoặc theo yêu cầu của khách hàng và tiêu chuẩn áp dụng.

Pentest được thực hiện theo Rules of Engagement và giới hạn đã thống nhất nhằm giảm thiểu rủi ro. Tuy nhiên do hoạt động kiểm thử có thể tương tác sâu với hệ thống, không nên khẳng định hoàn toàn không có rủi ro. Với hệ thống nhạy cảm, Musk-IS sẽ thống nhất phương pháp, thời gian, giới hạn và các biện pháp kiểm soát phù hợp trước khi triển khai.

Phụ thuộc vào mục tiêu đánh giá. Staging giúp giảm rủi ro tác động tới hoạt động kinh doanh nhưng phải đủ tương đồng với Production để kết quả có giá trị. Trong một số trường hợp cần đánh giá Production để phản ánh đúng môi trường thực tế, nhưng phạm vi phải được kiểm soát chặt chẽ.

Black-box cung cấp ít hoặc không có thông tin trước, mô phỏng góc nhìn attacker bên ngoài. Gray-box cung cấp một phần thông tin hoặc tài khoản, mô phỏng người dùng hoặc tài khoản đã bị compromise. White-box cung cấp nhiều thông tin hệ thống phục vụ đánh giá chuyên sâu. Không có mô hình nào luôn tốt hơn — lựa chọn phụ thuộc vào mục tiêu đánh giá và mức độ bao phủ mà doanh nghiệp cần.

Không mặc định. Source Code rà soát là một hoạt động đánh giá riêng có thể bổ sung vào phạm vi nếu doanh nghiệp có nhu cầu. Social Engineering cũng nên được xác định thành phạm vi riêng vì liên quan trực tiếp đến nhân sự và cần các giới hạn kiểm thử, kịch bản và phê duyệt cụ thể.

Tùy phạm vi, báo cáo có thể bao gồm Tóm tắt cho lãnh đạo, phát hiện kỹ thuật, mức độ nghiêm trọng, CVSS nếu phù hợp, bằng chứng, Impact, kịch bản tấn công (Attack Scenario), khuyến nghị khắc phục, Reference và trạng thái kiểm thử lại. Phần kịch bản tấn công là nội dung giúp doanh nghiệp hiểu rõ nhất mức độ nghiêm trọng, vì nó mô tả cách các phát hiện riêng lẻ có thể được ghép lại thành một chuỗi khai thác thực tế. Phần bằng chứng cung cấp bằng chứng để đội kỹ thuật tái hiện và xác minh trước khi khắc phục.

Có thể. Musk-IS có thể giải thích các phát hiện, tư vấn phương án xử lý và thực hiện kiểm thử lại theo phạm vi dịch vụ đã thống nhất. Kiểm thử lại giúp xác minh rằng các phát hiện đã được xử lý đúng và cung cấp bằng chứng về trạng thái sau khắc phục.

Không. Pentest không phải một chương trình chứng nhận. Musk-IS cung cấp báo cáo kiểm thử và có thể cung cấp văn bản xác nhận phạm vi, thời gian hoặc trạng thái thực hiện theo thỏa thuận. Việc sử dụng báo cáo làm bằng chứng phải phụ thuộc vào yêu cầu của khách hàng, đối tác hoặc tiêu chuẩn liên quan.