Pentest là gì? Kiểm thử xâm nhập từ A đến Z cho doanh nghiệp

Pentest là gì? Pentest (penetration testing, kiểm thử xâm nhập) là việc chuyên gia được ủy quyền mô phỏng tấn công thật vào hệ thống để xác minh lỗ hổng nào khai thác được và kẻ tấn công đi được bao xa.

Câu hỏi thường gặp nhất đến từ giám đốc IT và công ty phần mềm khi khách hàng đòi báo cáo pentest: chọn hộp đen hay hộp xám, test phạm vi nào, mất bao lâu, báo cáo thế nào mới được chấp nhận. Bài này trả lời từng câu. Khi cần làm thật, xem dịch vụ kiểm thử xâm nhập của Musk-IS.

Điểm chính

• NIST SP 800-115 định nghĩa pentest là kiểm thử bảo mật trong đó người đánh giá mô phỏng tấn công thực tế để tìm cách vượt qua cơ chế bảo vệ của ứng dụng, hệ thống hoặc mạng.
• Khác với quét lỗ hổng, pentest phải chứng minh lỗ hổng khai thác được, có bằng chứng và phân tích chuỗi tấn công; báo cáo đạt chuẩn còn có kết quả kiểm thử lại sau khắc phục.
• Điều 27 Nghị định 331/2026/NĐ-CP đưa thử nghiệm xâm nhập vào nội dung kiểm tra, đánh giá an ninh mạng, với ba hình thức hộp đen, hộp xám, hộp trắng.
• Pentest không có văn bản ủy quyền của chủ hệ thống có thể bị xử lý theo Điều 289 Bộ luật Hình sự, mức phạt tiền 50–300 triệu đồng hoặc phạt tù 1–5 năm ở khung cơ bản.

Pentest là gì? Pentest là làm gì trong thực tế?

Pentest là đánh giá an toàn thông tin bằng cách tấn công thử có kiểm soát, trong phạm vi và thời gian chủ hệ thống đã cho phép bằng văn bản. Mục đích chính của kiểm thử xâm nhập là trả lời ba câu: lỗ hổng có khai thác được không, khai thác rồi thì lấy được gì, và đã sửa xong chưa.

Theo NIST SP 800-115, nhiều cuộc pentest tìm cách nối nhiều điểm yếu với nhau để đạt quyền truy cập cao hơn mức một lỗ hổng riêng lẻ cho phép. Đây là chỗ pentest khác công cụ quét: một lỗi lộ thông tin phiên bản và một lỗi phân quyền mức trung bình, ghép lại, có thể dẫn tới tài khoản quản trị.

Người làm pentest gọi là pentester. Họ dùng những công cụ mà kẻ tấn công cũng dùng, như Nmap để dò dịch vụ, Burp Suite hoặc OWASP ZAP để chặn và sửa yêu cầu web, Metasploit để khai thác, sqlmap để thử lỗi SQL injection. Công cụ chỉ hỗ trợ. Lỗi phân quyền và lỗi logic nghiệp vụ, như bỏ qua bước thanh toán mà đơn hàng vẫn được xác nhận, phần lớn phải tìm bằng tay.

Người tìm “intern pentest là gì” hay “CompTIA PenTest+ là gì” thường đang hỏi về nghề. Chứng chỉ cá nhân phổ biến gồm OSCP của OffSec, CEH của EC-Council và PenTest+ của CompTIA. Khi chọn đơn vị làm pentest cho doanh nghiệp, chất lượng báo cáo mẫu đáng xem hơn danh sách chứng chỉ.

Doanh nghiệp thường cần pentest vào một trong ba thời điểm. Thứ nhất, khách hàng, công ty mẹ hoặc đối tác gửi bảng câu hỏi bảo mật và đòi báo cáo pentest trong vòng 12 tháng gần nhất. Thứ hai, hệ thống mới sắp go-live, hoặc vừa đổi lớn về kiến trúc như chuyển lên cloud, thêm cổng thanh toán. Thứ ba, sau một sự cố, khi cần biết kẻ tấn công còn đường nào khác để quay lại.

Hộp đen, hộp trắng, hộp xám: chọn kiểu nào?

Ba kiểu khác nhau ở lượng thông tin doanh nghiệp đưa cho người kiểm thử. Hộp đen gần như không có thông tin, hộp xám có tài khoản người dùng và tài liệu cơ bản, hộp trắng có kiến trúc, cấu hình và có thể cả mã nguồn. Khoản 4 Điều 27 Nghị định 331/2026/NĐ-CP liệt kê đúng ba hình thức này.

Không có kiểu nào luôn tốt hơn. Hộp đen nghe giống tấn công thật, nhưng trong vài ngày, người kiểm thử tốn nhiều thời gian dò đường và có thể không chạm tới phần sau màn hình đăng nhập, nơi phần lớn dữ liệu nằm. Với ứng dụng web, app di động hay SaaS có nhiều vai trò người dùng, hộp xám thường cho kết quả đáng tiền nhất.

Phạm vi pentest: web, app, API, mạng nội bộ, cloud

Phạm vi là danh sách cụ thể những gì được phép kiểm thử: tên miền, địa chỉ IP, phiên bản app, điểm cuối API, dải mạng nội bộ, tài khoản cloud. Mỗi loại có trọng tâm và bộ tham chiếu riêng, nên báo giá thường tính theo từng hạng mục.

“Pentest web là gì” và “pentest API là gì” là hai cách gõ phổ biến vì đây là hai hạng mục doanh nghiệp Việt Nam đặt hàng nhiều nhất. Phần lớn ứng dụng hiện nay là giao diện web hoặc app gọi về một lớp API. Nếu chỉ test giao diện web mà bỏ API, kẻ tấn công có thể gọi thẳng API để xem dữ liệu của người khác, chỉ bằng cách đổi mã số trong đường dẫn.

Pentest mạng nội bộ thường bắt đầu từ giả định một máy nhân viên đã bị chiếm, ví dụ sau khi ai đó bấm vào email giả mạo. Từ chỗ đứng đó, người kiểm thử thử xem có leo được lên quyền quản trị miền Active Directory, chạm tới máy chủ kế toán hay cơ sở dữ liệu khách hàng không. Kết quả trả lời câu hỏi mà ban lãnh đạo hay hỏi sau mỗi vụ lừa đảo: nếu một máy bị nhiễm, thiệt hại dừng ở đâu.

Hệ thống đặt trên AWS, Azure hay Google Cloud thì đọc chính sách kiểm thử của nhà cung cấp trước. Mỗi bên quy định dịch vụ nào được test không cần báo trước và hoạt động nào bị cấm, như tấn công từ chối dịch vụ.

Quy trình kiểm thử xâm nhập và thời gian

NIST SP 800-115 chia pentest thành bốn giai đoạn: lập kế hoạch, khám phá, tấn công và báo cáo. Giai đoạn lập kế hoạch chốt quy tắc, lấy phê duyệt của lãnh đạo và đặt mục tiêu, chưa có hoạt động kiểm thử nào. Trên thực tế, khi thêm bước kiểm thử lại sau khắc phục, một dự án đầy đủ có 6 bước.

Thời gian phụ thuộc chủ yếu vào phạm vi: số hệ thống, số chức năng và vai trò người dùng, số điểm cuối API, có test mạng nội bộ hay không. Một ứng dụng web cỡ vừa thường mất khoảng 1–2 tuần cho phần kiểm thử, chưa tính thời gian doanh nghiệp sửa lỗi trước khi kiểm thử lại. Phạm vi càng rõ, báo giá và lịch càng sát.

Rules of Engagement và văn bản ủy quyền gồm những gì?

Rules of Engagement (quy tắc kiểm thử) là văn bản hai bên ký trước khi bắt đầu, nói rõ được làm gì, không được làm gì, và gặp sự cố thì xử lý ra sao. Văn bản ủy quyền của chủ hệ thống là căn cứ để hoạt động kiểm thử không bị coi là xâm nhập trái phép, nên phải do người có thẩm quyền với hệ thống ký. Một email đồng ý của kỹ sư phụ trách là chưa đủ.

Hệ thống chạy trên hạ tầng của bên thứ ba, như nhà cung cấp hosting, cloud hay đối tác vận hành, thì doanh nghiệp chỉ ủy quyền được phần mình sở hữu. Nếu cần test phần của bên thứ ba, phải có chấp thuận của họ hoặc làm đúng chính sách kiểm thử họ công bố.

Checklist chuẩn bị trước khi pentest

Chuẩn bị càng kỹ, hệ thống đang chạy càng ít rủi ro và báo cáo càng có giá trị. Tám mục dưới đây nên chốt sau khi ký hợp đồng, trước ngày bắt đầu kiểm thử:

Mục 7 hay bị quên. Nếu đội giám sát không được báo, họ có thể chặn địa chỉ IP của người kiểm thử giữa chừng. Nếu muốn thử luôn khả năng phát hiện của đội giám sát, hãy ghi rõ điều đó vào phạm vi, thay vì để chuyện xảy ra ngoài ý muốn.

Những lỗ hổng pentest hay tìm thấy ở doanh nghiệp

Trên thực tế, phần lớn phát hiện nghiêm trọng trong các dự án pentest ứng dụng không nằm ở kỹ thuật tấn công phức tạp, mà ở phân quyền, xác thực và cấu hình. Bảng dưới là các nhóm lỗi chúng tôi thường gặp khi kiểm thử ứng dụng web, app và API của doanh nghiệp, kèm lý do công cụ quét tự động hay bỏ sót.

Hai nhóm đầu là lý do khách hàng nước ngoài thường đòi pentest hộp xám có nhiều vai trò, thay vì chỉ chấp nhận báo cáo quét. Một lỗi phân quyền theo đối tượng trên API có thể làm lộ dữ liệu của toàn bộ khách hàng mà không cần mật khẩu quản trị nào. Với doanh nghiệp xử lý dữ liệu cá nhân, đó cũng là loại sự cố phải thông báo cơ quan chức năng trong 72 giờ theo Luật 91/2025/QH15.

Pentest, quét lỗ hổng và red team khác nhau thế nào?

Quét lỗ hổng tìm diện rộng các lỗ hổng đã biết bằng công cụ tự động. Pentest đi sâu vào một phạm vi để chứng minh lỗ hổng khai thác được. Red team mô phỏng một nhóm tấn công thật nhắm vào mục tiêu cụ thể, để thử cả con người, quy trình và khả năng phát hiện. Ba hoạt động bổ sung cho nhau, không thay thế nhau.

Doanh nghiệp chưa từng làm gì nên bắt đầu bằng quét định kỳ, ví dụ dùng dịch vụ quét lỗ hổng bảo mật, rồi pentest các hệ thống quan trọng. Làm red team khi chưa vá xong lỗ hổng cơ bản thì phần lớn tiền chỉ để xác nhận những điều một lần quét đã chỉ ra. Nếu lo ngại nhất là nhân viên bấm vào email giả mạo, một đợt đánh giá tấn công phi kỹ thuật đo đúng rủi ro đó với chi phí thấp hơn red team.

Báo cáo pentest đạt chuẩn cần gì?

Báo cáo pentest đạt chuẩn phải để lãnh đạo hiểu được rủi ro và để kỹ sư làm lại được, sửa được. Tối thiểu cần có tóm tắt cho lãnh đạo, phạm vi và phương pháp, bằng chứng và ảnh hưởng của từng phát hiện, khuyến nghị khắc phục, và kết quả kiểm thử lại. Báo cáo chỉ là bản xuất của công cụ quét không chứng minh được lỗ hổng khai thác được.

“Pentest report là gì” thường được hỏi khi khách hàng nước ngoài hoặc công ty mẹ yêu cầu nộp báo cáo. Họ cần bản cuối có kết quả kiểm thử lại, thường bằng tiếng Anh, chứ không phải danh sách lỗi lần đầu. Nhiều bên chỉ nhận thư xác nhận (attestation letter) tóm tắt phạm vi và kết quả, để không lộ chi tiết kỹ thuật.

Mức nghiêm trọng thường chấm theo CVSS, thang điểm 0–10 do tổ chức FIRST công bố, bản mới nhất là CVSS v4.0 ra năm 2023. Điểm CVSS đo bản thân lỗ hổng, chưa tính hệ thống đó quan trọng thế nào với doanh nghiệp. Vì vậy báo cáo tốt thường ghi cả điểm CVSS lẫn mức ưu tiên đã điều chỉnh theo bối cảnh, ví dụ cùng một lỗi nhưng nằm trên cổng thanh toán thì xếp cao hơn trên trang giới thiệu.

Điểm thường bị bỏ qua là chuỗi tấn công. Xét riêng, vài phát hiện có điểm CVSS thấp; ghép lại có thể dẫn tới quyền quản trị. Khi sắp thứ tự sửa, đừng chỉ nhìn điểm: ưu tiên lỗi khai thác được từ Internet, lỗi chạm tới dữ liệu cá nhân hoặc quyền quản trị, rồi mới tới lỗi cần truy cập nội bộ. Sửa xong một đợt rồi kiểm thử lại một lần sẽ nhanh hơn kiểm thử lại lẻ tẻ.

Chi phí pentest phụ thuộc yếu tố nào?

Chi phí pentest chủ yếu do phạm vi và độ sâu quyết định: bao nhiêu hệ thống, mỗi hệ thống bao nhiêu chức năng và vai trò, chọn hộp đen, xám hay trắng, có kiểm thử lại không. Mỗi đơn vị tính phạm vi một kiểu, nên trước khi so giá cần chắc các báo giá đang tính cùng một phạm vi.

So giá thì kiểm tra ba điều trước khi nhìn tổng tiền: có kiểm tra thủ công hay chỉ chạy công cụ quét, có kiểm thử lại không, và báo cáo mẫu có bằng chứng, các bước tái hiện không. Một báo giá rẻ hơn hẳn mặt bằng thường thiếu ít nhất một trong ba điều này.

Báo giá thường tính theo ngày công của chuyên gia, hoặc trọn gói theo từng hệ thống. Cách nào cũng nên kèm bảng phạm vi chi tiết: số trang, số vai trò, số điểm cuối API, số địa chỉ IP. Khi phạm vi thực tế lớn hơn bảng này, ví dụ app có thêm module mới giữa chừng, hai bên biết ngay phần phát sinh nằm ở đâu, thay vì tranh luận lúc nghiệm thu.

Ví dụ một công ty phần mềm ở TP.HCM làm SaaS quản lý nhân sự cho khách Nhật nhận bảng câu hỏi bảo mật, trong đó có dòng “cung cấp báo cáo pentest của bên độc lập trong 12 tháng gần nhất”. Phạm vi hợp lý là ứng dụng web và API phía sau, kiểu hộp xám với ba vai trò: nhân viên, quản lý, quản trị khách hàng. Thứ khách cần nhận là thư xác nhận và bản tóm tắt bằng tiếng Anh sau khi kiểm thử lại, không phải toàn bộ chi tiết kỹ thuật.

Chọn đơn vị pentest: sáu câu nên hỏi

Trước khi ký hợp đồng, sáu câu dưới đây giúp phân biệt một dự án pentest thật với một lần chạy công cụ quét được đặt tên khác:

Câu 5 hay bị bỏ qua. Nếu người kiểm thử tìm thấy lỗi cho phép tải dữ liệu khách hàng vào ngày thứ hai, doanh nghiệp cần biết ngay hôm đó để vá tạm, không phải chờ hai tuần sau khi nhận báo cáo.

Bao lâu nên pentest một lần theo pháp luật và khách hàng?

Pháp luật Việt Nam chưa ấn định số năm pentest một lần cho doanh nghiệp nói chung. Nghị định 331/2026/NĐ-CP yêu cầu kiểm tra, đánh giá định kỳ theo cấp độ và mức độ rủi ro, với nội dung gồm thử nghiệm xâm nhập. Chuẩn PCI DSS cho ngành thẻ thanh toán yêu cầu ít nhất 12 tháng một lần. Thông lệ chung là hệ thống quan trọng test hằng năm, cộng thêm trước khi go-live và sau thay đổi lớn.

Với hệ thống đã xác định cấp độ an toàn hệ thống thông tin, điểm c khoản 2 Điều 31 Nghị định 331 cho phép chủ quản tự đánh giá nội bộ, nhưng phải do đơn vị độc lập với đơn vị trực tiếp vận hành hệ thống thực hiện. Hệ thống cấp độ 5, hệ thống quan trọng về an ninh quốc gia, và hệ thống vừa có sự cố nghiêm trọng hoặc thay đổi lớn về chức năng, kiến trúc, công nghệ thì phải do tổ chức chuyên môn đánh giá.

Doanh nghiệp đang hướng tới ISO 27001 dùng báo cáo pentest làm bằng chứng cho biện pháp 8.8 về quản lý lỗ hổng kỹ thuật. Doanh nghiệp xử lý nhiều dữ liệu cá nhân cũng có thể dùng kết quả pentest để mô tả phương án an toàn trong hồ sơ DPIA.

Lần đầu pentest: nên chọn hệ thống nào trước?

Lần đầu nên chọn một hệ thống lộ ra Internet, có đăng nhập và chứa dữ liệu khách hàng, thường là cổng khách hàng, phần API phía sau app, hoặc hệ thống SaaS chính. Kiểm thử theo kiểu hộp xám, có kiểm thử lại. Mạng nội bộ và cloud để vòng sau, khi đợt sửa lỗi đầu đã xong.

Cũng có lúc chưa cần pentest. Website giới thiệu công ty không có đăng nhập, không nhận dữ liệu khách hàng, chạy trên nền tảng phổ biến, thì quét lỗ hổng định kỳ và cập nhật bản vá đều đặn là đủ. Tiền pentest nên dành cho hệ thống mà nếu bị khai thác, doanh nghiệp mất dữ liệu khách hàng, mất tiền hoặc mất hợp đồng.

Mở rộng phạm vi quá sớm dễ khiến ngân sách và đội lập trình không theo kịp: báo cáo dài hàng trăm trang, lỗi nghiêm trọng nằm lẫn với lỗi vặt, đến kỳ kiểm thử lại vẫn chưa sửa xong. Một phạm vi nhỏ, làm trọn từ kiểm thử đến kiểm thử lại, cho doanh nghiệp một bằng chứng dùng được ngay với khách hàng.

Nếu chưa chắc nên test hệ thống nào và theo kiểu nào, hãy trao đổi với chuyên gia Musk-IS để chốt phạm vi trước khi lấy báo giá. Đội ngũ Musk-IS làm pentest tham chiếu OWASP, PTES và NIST SP 800-115, báo cáo bằng tiếng Việt hoặc tiếng Anh.

Câu hỏi thường gặp về pentest

Bao lâu nên pentest một lần?

Hệ thống quan trọng nên pentest ít nhất mỗi năm một lần, cộng thêm trước khi go-live và sau thay đổi lớn về kiến trúc. Doanh nghiệp xử lý dữ liệu thẻ theo PCI DSS v4.0.1 phải pentest ít nhất 12 tháng một lần. Hệ thống thuộc phạm vi Nghị định 331/2026/NĐ-CP kiểm tra, đánh giá định kỳ theo cấp độ và mức độ rủi ro. Hợp đồng với khách hàng đòi chặt hơn thì theo hợp đồng.

Pentest có ảnh hưởng hệ thống đang chạy không?

Có thể, và rủi ro chỉ giảm được chứ không loại bỏ hoàn toàn. NIST SP 800-115 lưu ý hệ thống có thể bị hỏng hoặc ngừng hoạt động trong lúc pentest, nên phải lập kế hoạch và thông báo cẩn thận. Trên thực tế, hai bên chốt trước khung giờ, ngưỡng dừng và đầu mối khẩn cấp, tránh giờ cao điểm, kiểm tra bản sao lưu, và không thử tấn công từ chối dịch vụ nếu không được yêu cầu.

Pentest có hợp pháp không, cần ủy quyền gì?

Pentest hợp pháp khi có văn bản ủy quyền của chủ hệ thống và làm đúng phạm vi đã thỏa thuận. Cố ý vượt qua cảnh báo, mã truy cập, tường lửa để xâm nhập trái phép vào mạng máy tính của người khác có thể bị xử lý theo Điều 289 Bộ luật Hình sự, khung cơ bản phạt tiền 50–300 triệu đồng hoặc phạt tù 1–5 năm. Văn bản ủy quyền nên ghi rõ phạm vi, thời gian, phương pháp và đầu mối hai bên.

Pentest khác quét lỗ hổng ở điểm nào?

Quét lỗ hổng dùng công cụ tự động tìm lỗ hổng đã biết trên diện rộng và thường không xác minh lỗ hổng có khai thác được không. Pentest kết hợp công cụ với kiểm tra thủ công, khai thác thử có kiểm soát, đưa ra bằng chứng, chuỗi tấn công và kiểm thử lại. Lỗi phân quyền và lỗi logic nghiệp vụ hầu như chỉ phát hiện được bằng pentest.

Pentest web khác pentest API thế nào?

Pentest web kiểm tra ứng dụng qua giao diện trình duyệt: đăng nhập, phiên làm việc, chèn mã, logic nghiệp vụ, theo OWASP Top 10. Pentest API gọi thẳng các điểm cuối, tập trung vào phân quyền theo từng đối tượng và chức năng, giới hạn tần suất, theo OWASP API Security Top 10. Ứng dụng có app di động hoặc giao diện tách rời nên test cả hai, vì API thường bị khai thác trực tiếp.

Tài liệu tham khảo

1. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment – Định nghĩa pentest, bốn giai đoạn, rủi ro khi kiểm thử. NIST · 09/2008
2. Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin – Điều 27 nội dung kiểm tra, đánh giá; Điều 31 trách nhiệm chủ quản. Chính phủ · 19/08/2026
3. OWASP Top 10:2025 – Mười nhóm rủi ro phổ biến của ứng dụng web. OWASP
4. OWASP API Security Top 10 (2023) – Rủi ro phổ biến của API. OWASP · 2023
5. PCI DSS Document Library – PCI DSS v4.0.1, yêu cầu 11.4 về kiểm thử xâm nhập. PCI Security Standards Council
6. CVSS v4.0 Specification – Cách chấm điểm mức nghiêm trọng lỗ hổng. FIRST · 2023