Danh mục kiểm thử

Kiểm thử hệ thống mạng: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên môi trường mạng.
Kiểm thử hệ thống máy chủ: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các máy chủ.
Kiểm thử ứng dụng Web Application: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các ứng dụng Web.
Kiểm thử ứng dụng Mobile App: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên các ứng dụng Mobile.
Kiểm thử hệ thống ATM: Xác định các lỗ hổng bảo mật và thực hiện khai thác lỗi nhằm đánh giá mức độ ảnh hưởng trên hệ thống ATM và các thành phần liên quan

Phương thức thực hiện

Bước 1
Kiểm thử White-Box: Người đánh giá được cung cấp đầy đủ các thông tin liên quan đến đối tượng đánh giá (mô hình, source code, tài khoản,…), đóng vai trò như một thành viên trong tổ chức. Quá trình thực hiện yêu cầu người đánh giá cần có các kỹ năng chuyên sâu về lập trình, hệ thống.
Bước 2
Kiểm thử Gray-Box: Người đánh giá được cung cấp một phần thông tin liên quan tới đối tượng được đánh giá (tài khoản với đặc quyền như người dùng bình thường,…).
Bước 3
Kiểm thử Black-Box: Người đánh giá không được cung cấp các thông tin liên quan tới đối tượng được đánh giá, đóng vai trò như một kẻ tấn công bên ngoài.

Kết quả

Báo cáo kết quả bao gồm các nội dung:
Tổng quan mục đích, phạm vi thực hiện
Tóm tắt phương pháp tiếp cận, phương pháp thực hiện
Tổng hợp kết quả các lỗ hổng tìm được, mức độ nguy hiểm
Với mỗi lỗ hổng: mức độ nguy hiểm (critical, high, medium, low)/ điểm số CVSS, mô tả chi tiết lỗ hổng, đường link reference, vị trí / tham số có lỗ hổng trên hệ thống, phân tích khả năng có thể khai thác được từ bên trong / bên ngoài internet, bằng chứng khai thác lỗi (PoC), các bước tái tạo lại việc khai thác lỗi...
Các phương án khắc phục đối với từng lỗ hổng:
  • Hướng dẫn khắc phục chi tiết: theo từng lỗ hổng liệt kê tương ứng với danh mục các hệ thống trong phạm vi, hướng dẫn sửa code ứng dụng để khắc phục, hướng dẫn cấu hình hệ thống để khắc phục, link download các bản vá lỗ hổng,…
  • Đưa ra phương án giảm thiểu rủi ro hoặc phương án xử lý tạm thời đối với các lỗ hổng không thể khắc phục được triệt để.