Các phương pháp kiểm thử xâm nhập phổ biến bao gồm:

• Kiểm thử hộp đen (Black Box): Người kiểm thử không được cung cấp bất kỳ thông tin nào về mục tiêu, đóng vai trò như một hacker từ bên ngoài. Phương pháp này mô phỏng kịch bản tấn công thực tế khi kẻ xấu không có thông tin nội bộ.
• Kiểm thử hộp xám (Gray Box): Người kiểm thử được cung cấp một phần thông tin về mục tiêu (ví dụ: tài khoản người dùng thông thường, thông tin hệ thống giới hạn). Phương pháp này mô phỏng tấn công từ bên trong bởi một người dùng hợp lệ hoặc khi hacker đã thu thập được một lượng thông tin nhất định.
• Kiểm thử hộp trắng (White Box): Người kiểm thử được cung cấp đầy đủ thông tin (mã nguồn, tài khoản quản trị, thông tin chi tiết về hệ thống). Phương pháp này cho phép đánh giá toàn diện về các lỗ hổng bên trong và bên ngoài, bao gồm cả các lỗ hổng về logic nghiệp vụ và mã nguồn.

Điểm mạnh của VNPT IT:

• Quy trình chuẩn hóa: Thực hiện theo quy trình 5 bước rõ ràng (Thu thập thông tin, Mô hình hóa mối đe dọa, Phân tích lỗ hổng, Thử nghiệm xâm nhập, Báo cáo).
• Kết hợp tự động và thủ công: Sử dụng cả công cụ tự động và kỹ thuật thủ công để tối đa hóa việc phát hiện lỗ hổng, đặc biệt là những điểm yếu không được công cụ tự động phát hiện và loại bỏ lỗi “false positive”.
• Kinh nghiệm Zero-day/One-day: Đội ngũ chuyên gia có kinh nghiệm sâu rộng trong nghiên cứu và phát hiện hơn 19 lỗ hổng 0-day/1-day trên các nền tảng như Liferay, Oracle WebLogic, TP-Link, NetGear với mức độ nghiêm trọng cao.
• Nền tảng giả lập (Security Test Lab): Xây dựng các nền tảng ứng dụng giả lập trên môi trường Security Test Lab để kiểm thử các hệ thống đặc thù.
• Hệ thống thu thập dữ liệu tự động: Có hệ thống crawl và áp dụng Machine Learning để phân tích dữ liệu nhạy cảm phục vụ kiểm thử.

Pentest khác biệt đáng kể so với việc tự đánh giá nội bộ ở một số khía cạnh:

• Tính khách quan: Đánh giá nội bộ thường thiếu khách quan do người thực hiện có thể quen thuộc với hệ thống hoặc có những định kiến nhất định. Dịch vụ Pentest bên ngoài mang lại góc nhìn độc lập, không bị ảnh hưởng bởi các yếu tố nội bộ.
• Kỹ năng và kinh nghiệm: Các đội ngũ Pentest chuyên nghiệp (như VNPT IT, Viettel Cyber Security) có đội ngũ chuyên gia với kỹ năng chuyên sâu, kinh nghiệm thực chiến đa dạng, và khả năng phát hiện các lỗ hổng phức tạp, bao gồm cả 0-day, mà đội ngũ nội bộ có thể không có.
• Kỹ thuật tấn công nâng cao: Các chuyên gia Pentest sử dụng các kỹ thuật tấn công tinh vi, mô phỏng hành vi của hacker thực tế, điều mà đội ngũ nội bộ có thể khó thực hiện đầy đủ.
• Giả lập tấn công có kiểm soát: Các nhà cung cấp dịch vụ Pentest có kinh nghiệm trong việc giả lập các cuộc tấn công mà vẫn đảm bảo hệ thống không bị ảnh hưởng, điều này đòi hỏi năng lực và quy trình chặt chẽ mà đội ngũ nội bộ thường thiếu.
• Nguồn lực tập trung: Doanh nghiệp có thể phân tán nguồn lực khi tự xử lý các điểm yếu. Dịch vụ Pentest giúp tập trung nguồn lực vào các rủi ro cao nhất thông qua báo cáo chi tiết và khuyến nghị ưu tiên.
• Tuân thủ và chứng nhận: Báo cáo từ một đơn vị Pentest bên ngoài thường có giá trị hơn trong việc chứng minh sự tuân thủ các quy định và tiêu chuẩn bảo mật.

Trong quá trình đánh giá và kiểm thử lỗ hổng, VNPT tham chiếu đến các bộ tiêu chuẩn bảo mật quốc tế sau:

• OWASP Web/Mobile Application Security Verification Standard
• SANS TOP 25
• Common Weakness Enumeration (CWE)

Các tiêu chuẩn này được sử dụng để đánh giá lỗ hổng trên hệ thống phần mềm, ứng dụng Web App và Mobile App của khách hàng