Định nghĩa
Kiểm thử bảo mật để tìm ra các lỗ hổng của hệ thống và xác định rằng dữ liệu và tài nguyên được bảo vệ từ các yếu tố có thể bị xâm nhập
Có 2 khía cạnh chính trong bảo mật là:
Bảo vệ dữ liệu ko bị mất
Quyền truy cập các dữ liệu trên
Các loại kiểm thử bảo mật
Vulnerability Scanning (Quét lỗ hổng)
Việc này được thực hiện thông qua phần mềm tự động để quét 1 hệ thống chống lại các lỗ hổng chữ ký đã biết
Security Scanning (Quét bảo mật)
Việc này liên quan đến việc xác định nhược điểm của mạng và hệ thống
Việc này có thể được thực hiện thủ công hoặc tự động
Penetration Testing (Kiểm tra thâm nhập)
Loại này liên quan đến sự phân tích một hệ thống cụ thể để kiểm tra các lỗ hổng tiềm ẩn đối với nỗ lực hack từ bên ngoài
Risk Assessment (Phân tích rủi ro)
Loại này liên quan đếm sự phân tích bảo mật các rủi ro đã quan sát được, các rủi ro này sẽ được phân mức độ: Thấp, Trung bình, Cao
Loại kiểm thử này đề nghị các kiểm soát và các biện pháp để xử lý/giảm rủi ro
Security Auditing (Kiểm tra bảo mật)
Loại kiểm thử là kiểm tra nội bộ về lỗi bảo mật; có thể kiểm tra từng dòng code
Posture Assessment (Đánh giá thế trận)
Kết hợp với loại Quét bảo mật (Security Scanning), Ethical hacking và Risk Assessment để hiển thị 1 thế trận an ninh tổng thể của tổ chức
Ethical hacking (Hack đạo đức)
Hack hệ thống phần mềm của tổ chức
Mục đích là tìm tất cả các lỗ hổng bảo mật để fix
Security testing trong SDLC
SDLC Phases | Security Processes |
|---|---|
Requirements | Phân tích bảo mật cho các yêu cầu và kiểm tra các trường hợp bị lạm dụng |
Dessign | Phân tích các rủi ro bảo mật của thiết kế. Lập test plan (bao gồm cả security test) |
Coding & Unit Testing | Thực hiện Unit test và kiểm thử bảo mật hộp trắng |
Integration Testing | Test hộp đen |
System Testing | Test hộp đen kết hợp với Vulnerability Scanning |
Implementation/ Acceptance Testing | Penetration Testing, Vulnerability Scanning |
Support | Phân tích tác động của các bản vá lỗi |
Test Plan nên bao gồm:
TC hoặc Kịch bản kiểm thử liên quan đến bảo mật
Ví dụ:
Mật khẩu phải hiển thị dưới dạng mã hóa
Check cookies, session time
Với các site liên quan đến tài chính thì back browser không hoạt động
Dữ liệu test liên quan đến test bảo mật
Ví dụ: Không cho phép truy cập nếu user không hợp lệ
Công cụ kiểm tra để test bảo mật
Ví dụ: Các công cụ test như: Intruder
Phân tích các đầu ra từ các công cụ test khác nhau
Các phương pháp kiểm thử bảo mật
Tiger box
Việc hack này thường được thực hiện trên máy tính xách tay có cái đặt các HĐH và công cụ hack. phương pháp này giúp penetration tester và security tester tiến hành đánh giá và tấn công lỗ hổng để phát hiện và ngăn chặn kịp thời
Ví dụ: Nikto, AppScan, WebScarab, Wa3f…
Black Box
Tester được ủy quyền để thử nghiệm mọi thứ về cấu trúc liên kết mạng và công nghệ
Là việc kiểm tra khả năng bảo mật của ứng dụng từ bên ngoài. Quan sát các dữ liệu được gửi đến ứng dụng và các dữ liệu từ ứng dụng xuất ra mà không cần hiểu đến hoạt động bên trong của nó
Grey Box
Thông tin một phần được cung cấp cho người kiểm tra về hệ thống và nó là sự kết hợp của các mô hình hộp trắng và đen.
White box: là quá trình kiểm tra trực tiếp mã nguồn của ứng dụng web để tìm ra các lỗi bảo mật.
Các lỗ hổng bảo mật thường gặp