VAPT là gì: Đánh giá lỗ hổng và kiểm thử xâm nhập

Đây là gì

Phần đánh giá lỗ hổng (VA) có tính bao quát. Phần này kết hợp quét tự động với rà soát để xác định các bản vá còn thiếu, thành phần lỗi thời, dịch vụ bị lộ ra ngoài, cấu hình yếu và các vấn đề web phổ biến trên các tài sản đã thống nhất. Phần kiểm thử xâm nhập (PT) có tính chuyên sâu. Người kiểm thử làm việc thủ công trên các mục tiêu được chọn, thường là ứng dụng web, API và ứng dụng di động, xác thực các phát hiện và kiểm thử xác thực, quản lý phiên, kiểm soát truy cập giữa các vai trò, lộ lọt dữ liệu và logic nghiệp vụ. Khi kết hợp, VA mang lại độ bao phủ và PT mang lại độ tin cậy về những gì thực sự có thể bị khai thác. Một đợt VAPT cần kết thúc bằng một báo cáo bằng văn bản ghi lại phạm vi, phương pháp, các phát hiện được xếp mức độ nghiêm trọng kèm bằng chứng, hướng dẫn khắc phục và, nếu đã thống nhất, kết quả kiểm thử lại sau khi sửa. Các yêu cầu đôi khi nhắc đến những khung tham chiếu như OWASP Top 10 hoặc hướng dẫn OWASP Mobile Application Security; đây là các điểm tham chiếu hữu ích về những gì người kiểm thử xem xét.

Dành cho ai

VAPT thường được yêu cầu bởi hoặc dành cho:

• Các nhóm SaaS, fintech và thương mại điện tử có khách hàng doanh nghiệp yêu cầu báo cáo VAPT gần đây trong quá trình mua sắm
• Các công ty kết nối với đối tác, ngân hàng hoặc nhà cung cấp dịch vụ thanh toán yêu cầu bằng chứng kiểm thử bảo mật trước khi tích hợp
• Các nhóm sản phẩm chuẩn bị ra mắt công khai một ứng dụng web hoặc ứng dụng di động
• Các tổ chức đã thay đổi dịch vụ lưu trữ, cơ chế xác thực hoặc luồng thanh toán và muốn có một đợt kiểm tra độc lập

Giúp làm rõ điều gì

Một đợt VAPT có phạm vi rõ ràng giúp làm rõ:

• Những ứng dụng, API và môi trường nào mà bên yêu cầu thực sự mong muốn được kiểm thử
• Yêu cầu có nêu một loại kiểm toán viên hoặc công nhận cụ thể cần được xác nhận trước khi chọn nhà cung cấp hay không
• Phát hiện nào là rủi ro đã được xác thực và phát hiện nào là quan sát của công cụ quét
• Cần khắc phục những gì trước khi có thể tự tin chia sẻ báo cáo

Những gì được bao gồm

• Lấy yêu cầu chính xác bằng văn bản từ bên yêu cầu: tài sản, mức độ chuyên sâu, định dạng báo cáo và mọi tiêu chí đối với nhà cung cấp
• Liệt kê mục tiêu: tên miền, URL ứng dụng, đường dẫn gốc của API, bản build ứng dụng di động và môi trường (staging hoặc production)
• Chuẩn bị tài khoản kiểm thử cho từng vai trò người dùng để việc kiểm thử kiểm soát truy cập có ý nghĩa
• Xác nhận ủy quyền bằng văn bản, khung thời gian kiểm thử, đầu mối liên hệ được chỉ định và điều kiện dừng
• Thông báo cho nhà cung cấp dịch vụ lưu trữ, CDN hoặc WAF nếu điều khoản của họ yêu cầu
• Thống nhất cách xếp mức độ nghiêm trọng, định dạng báo cáo và cách chia sẻ bằng chứng
• Dành thời gian sửa các phát hiện và yêu cầu kiểm thử lại các vấn đề đã thống nhất

Những gì không được bao gồm

• Tuyên bố rằng VAPT làm cho một ứng dụng trở nên an toàn hoặc tuân thủ
• Khẳng định rằng một nhà cung cấp nào đó đáp ứng yêu cầu về công nhận hoặc danh sách chỉ định (empanelment) cụ thể mà không đối chiếu với chính yêu cầu đó
• Kiểm thử hệ thống của bên thứ ba khi chưa có sự cho phép của chủ sở hữu
• Tư vấn pháp lý hoặc quy định về những gì một quy tắc cụ thể yêu cầu

Khi nào nên chọn

Hãy triển khai VAPT khi một đối tác cụ thể yêu cầu, trước một đợt ra mắt quan trọng hoặc sau những thay đổi lớn về cách người dùng đăng nhập, thanh toán hay truy cập dữ liệu. Nếu yêu cầu đến từ một mối quan hệ chịu sự quản lý, hãy đọc kỹ yêu cầu: một số yêu cầu chỉ định kiểm toán viên được công nhận hoặc nằm trong danh sách chỉ định (tại Ấn Độ, một số cơ quan quản lý và đối tác đề cập đến các kiểm toán viên thuộc danh sách chỉ định của CERT-In), một phạm vi cụ thể hoặc một chu kỳ kiểm thử cố định. Hãy xác nhận các chi tiết này với bên yêu cầu trước, vì một báo cáo không khớp với yêu cầu có thể phải làm lại. Bài viết này là thông tin chung, không phải tư vấn pháp lý hoặc quy định.

Phương pháp của chúng tôi

Hãy coi danh mục của bên yêu cầu là điểm khởi đầu, sau đó bổ sung các hệ thống mang nhiều rủi ro nhất cho doanh nghiệp, ngay cả khi không ai hỏi đến. Kiểm thử trong môi trường staging phản ánh môi trường production khi có thể, và thống nhất trước cách xử lý việc kiểm thử trên production nếu cần. Dịch vụ Application Security Review của chúng tôi bao gồm kiểm thử ứng dụng web và API, với các phát hiện bằng văn bản được xếp theo mức độ nghiêm trọng và hướng dẫn khắc phục; các phạm vi rộng hơn gồm nhiều môi trường hoặc mạng được thực hiện thông qua dịch vụ Penetration Testing của chúng tôi. Trong cả hai trường hợp, phạm vi, ủy quyền và báo cáo đều được xác nhận bằng văn bản trước khi bắt đầu công việc. Sau khi bàn giao, hãy sửa các phát hiện ở mức cao và nghiêm trọng trước, ghi lại quyết định đối với mọi rủi ro được chấp nhận và yêu cầu kiểm thử lại. Sau đó, hãy chia sẻ bản tóm tắt cho lãnh đạo hoặc thư xác nhận tình trạng khắc phục thay vì toàn bộ báo cáo kỹ thuật, trừ khi bên yêu cầu thực sự cần mức chi tiết đó và có cách tiếp nhận an toàn.

Application Security Review

Câu hỏi thường gặp

Bài viết liên quan