Tư vấn & triển khai giải pháp an ninh mạng tổng thể cho doanh nghiệp

BẢO MẬT  CHO DOANH NGHIỆP

Chi tiết

Cung cấp dịch vụ Đánh giá bảo mật (pentest) chuyên nghiệp trên đa nền tảng Công nghệ thông tin

CUNG CẤP DỊCH VỤ ĐÁNH GIÁ BẢO MẬT(PENTEST)

Về kh&aacute;ch h&agrave;ng
Kh&aacute;ch h&agrave;ng lần n&agrave;y l&agrave; một c&ocirc;ng ty hoạt động ch&iacute;nh trong lĩnh vực thanh to&aacute;n tr&ecirc;n di động (mobile payment) dưới h&igrave;nh thức V&iacute; điện tử. Đ&acirc;y l&agrave; đơn vị h&agrave;ng đầu tại Việt Nam về cung cấp dịch vụ V&iacute; điện tử tr&ecirc;n di động, Dịch vụ chuyển tiền mặt tại điểm giao dịch v&agrave; nền tảng thanh to&aacute;n (payment platform). V&iacute; điện tử của kh&aacute;ch h&agrave;ng được sử dụng tr&ecirc;n điện thoại th&ocirc;ng minh với hơn 1,5 triệu người d&ugrave;ng, cung cấp cho kh&aacute;ch h&agrave;ng trải nghiệm thanh to&aacute;n một chạm (One Touch Payment). Đến nay, C&ocirc;ng ty đ&atilde; thực hiện h&agrave;ng chục triệu lượt giao dịch cho 2.5 triệu kh&aacute;ch h&agrave;ng v&agrave; cộng đồng n&agrave;y đang ng&agrave;y c&agrave;ng ph&aacute;t triển.
Th&aacute;ch thức
Cổng thanh to&aacute;n l&agrave; một mục ti&ecirc;u hấp dẫn của tin tặc, v&igrave; n&oacute; chứa th&ocirc;ng tin giao dịch của người d&ugrave;ng v&agrave; website TMĐT, đặc biệt l&agrave; th&ocirc;ng tin thẻ t&iacute;n dụng.&nbsp;B&ecirc;n cạnh đ&oacute;, kh&aacute;ch h&agrave;ng t&iacute;ch cực ph&aacute;t triển c&aacute;c tiện &iacute;ch phần mềm trực tuyến để cung cấp dịch vụ thuận tiện hơn cho kh&aacute;ch h&agrave;ng hiện tại cũng như mở rộng mạng lưới kh&aacute;ch h&agrave;ng mới. Nhưng việc ph&aacute;t triển tiện &iacute;ch v&agrave; n&acirc;ng cấp li&ecirc;n tục n&agrave;y kh&oacute; c&oacute; thể đảm bảo được t&iacute;nh an to&agrave;n v&agrave; dễ ph&aacute;t sinh nhiều vấn đề bảo mật. Sự ph&aacute;t triển dịch vụ tạo &aacute;p lực cho vấn đề đảm bảo an to&agrave;n th&ocirc;ng tin. &nbsp;&nbsp;
Giải ph&aacute;p
Bảo T&iacute;n đ&atilde; cung cấp dịch vụ pentest ứng dụng web v&agrave; ứng dụng di động cho kh&aacute;ch h&agrave;ng theo h&igrave;nh thức Bug bounty (kh&aacute;ch h&agrave;ng chỉ phải trả tiền cho số lượng lỗi được ph&aacute;t hiện trong khoảng ng&acirc;n s&aacute;ch được x&aacute;c định trước). Bảo T&iacute;n đ&atilde; tiến h&agrave;nh kiểm tra đ&aacute;nh gi&aacute; an ninh đối với hệ thống
C&aacute;c chuy&ecirc;n gia của Bảo T&iacute;n đ&oacute;ng vai tr&ograve; l&agrave;m người tấn c&ocirc;ng, sử dụng c&aacute;c c&ocirc;ng cụ tự động v&agrave; m&ocirc; phỏng c&aacute;c kỹ thuật thực tế để t&igrave;m ra lỗ hổng bảo mật của website cũng như ứng dụng di động V&iacute; điện tử tr&ecirc;n Apple Appstore (phi&ecirc;n bản iOS) hoặc Google Play (phi&ecirc;n bản Android). C&aacute;c kỹ sư với kỹ năng thuần thục kết hợp với c&aacute;c c&ocirc;ng cụ chuy&ecirc;n dụng kh&aacute;c nhau sẽ t&igrave;m hiểu hoạt động của ứng dụng, c&aacute;ch thức m&aacute;y chủ tương t&aacute;c với ứng dụng, ph&aacute;t hiện điểm yếu, dựng lại c&aacute;c lỗi bảo mật v&agrave; cuối c&ugrave;ng đưa ra b&aacute;o c&aacute;o. Sau 2 tuần kiểm thử, c&aacute;c chuy&ecirc;n gia đ&atilde; ph&aacute;t hiện một số lỗi nghi&ecirc;m trọng như Lỗi cho ph&eacute;p kh&aacute;ch h&agrave;ng sửa số tiền t&ugrave;y &yacute; khi booking kh&aacute;ch sạn hoặc v&eacute; xem phim. C&aacute;c lỗi bảo mật nghi&ecirc;m trọng n&agrave;y xảy ra do lập tr&igrave;nh vi&ecirc;n đ&atilde; kh&ocirc;ng &aacute;p dụng chặt chẽ việc kiểm so&aacute;t t&agrave;i khoản người d&ugrave;ng cũng như c&aacute;c ti&ecirc;u chuẩn về lập tr&igrave;nh an to&agrave;n.
Khắc phục:&nbsp;
Bảo T&iacute;n đ&atilde; chuyển giao to&agrave;n bộ c&aacute;ch thức thực hiện cho Kh&aacute;ch h&agrave;ng. Đồng thời, Bảo T&iacute;n đưa ra đề xuất khắc phục bằng c&aacute;ch chỉnh sửa ứng dụng. Ứng dụng cần phải được kiểm tra để chắc chắn rằng logic đang được đảm bảo v&agrave; một h&agrave;m/h&agrave;nh động chỉ c&oacute; thể được thực hiện một số lần nhất định, khi đạt đến giới hạn người d&ugrave;ng sẽ kh&ocirc;ng thực hiện chức năng đ&oacute; nữa. Để ngăn người d&ugrave;ng sử dụng một chức năng ứng dụng qu&aacute; số lần th&iacute;ch hợp th&igrave; c&oacute; thể sử dụng c&aacute;c cơ chế như cookie để giữ số lượng hoặc th&ocirc;ng qua c&aacute;c phi&ecirc;n l&agrave;m việc kh&ocirc;ng cho ph&eacute;p người d&ugrave;ng truy cập để thực hiện c&aacute;c chức năng bổ sung số lần sử dụng.
Lợi &iacute;ch:
H&igrave;nh thức Bug bounty l&agrave; g&oacute;i dịch vụ mới được Bảo T&iacute;n đưa v&agrave;o sử dụng gần đ&acirc;y. Với h&igrave;nh thức n&agrave;y kh&aacute;ch h&agrave;ng c&oacute; thể hoạch định ng&acirc;n s&aacute;ch cho chương tr&igrave;nh, v&agrave; chi ph&iacute; trả thưởng cho từng loại lỗ hổng, t&ugrave;y theo mức độ nghi&ecirc;m trọng. Kh&aacute;ch h&agrave;ng sẽ kh&ocirc;ng phải trả tiền khi kh&ocirc;ng t&igrave;m thấy lỗi, hoặc c&aacute;c lỗi nằm ngo&agrave;i phạm vi ảnh hưởng (out of scope). Chương tr&igrave;nh Bug Bounty c&oacute; thể được chia th&agrave;nh nhiều giai đoạn thực hiện, ph&ugrave; hợp cho SME, startup cần d&agrave;n trải chi ph&iacute;. &nbsp;B&ecirc;n cạnh đ&oacute;, Bug Bounty kh&aacute; linh hoạt về thời gian, cho ph&eacute;p chuy&ecirc;n gia gửi b&aacute;o c&aacute;o li&ecirc;n tục đến kh&aacute;ch h&agrave;ng để xử l&yacute; kịp thời.

kiểm thử bảo mật theo hình thức Bug Bounty cho Cổng thanh toán điện tử

Kiểm thử bảo mật theo hình thức Bug Bounty cho Cổng thanh toán điện tử 

Ch&uacute;ng t&ocirc;i, với đội ngũ kỹ sư chuy&ecirc;n nghiệp, nhiều năm kinh nghiệm, đ&atilde; từng đảm tr&aacute;ch những hệ thống lớn về mạng x&atilde; hội, thương mại điện tử, ads network,&hellip; của c&aacute;c c&ocirc;ng ty VNG, FPT Online, LavaDigital Group.
Y&ecirc;u cầu:
Hệ thống website đ&aacute;p ứng được lượng traffic lớn, chịu tải đến h&agrave;ng triệu CCU, c&oacute; khả năng mở rộng linh hoạt theo nhu cầu thực tế, lu&ocirc;n hoạt động ổn định 24/24
Giải ph&aacute;p:
Để đ&aacute;p ứng nhu cầu tr&ecirc;n, đội ngũ ch&uacute;ng t&ocirc;i đ&atilde; thiết kế, tư vấn, triển khải c&aacute;c giải ph&aacute;p cho hạ tầng hệ thống theo hướng opensource nhằm tiết kiệm chi ph&iacute; đầu tư cho kh&aacute;ch h&agrave;ng
<img src="http://api.btis.vn/files/2021/4/2/17363e70-935b-11eb-8c43-9129f3036240-1617330500568.jpg" alt="" width="1183" height="821" />
( H&igrave;nh minh họa )
Hệ thống lu&ocirc;n được gi&aacute;m s&aacute;t, mọi sự cố phải được th&ocirc;ng b&aacute;o để khắc phục kịp thời. Bạn kh&ocirc;ng thể d&agrave;nh cả ng&agrave;y để gi&aacute;m s&aacute;t từng thiết bị , dịch vụ trong hệ thống của m&igrave;nh. Giải ph&aacute;p sử dụng c&aacute;c tool để alert th&ocirc;ng tin qua c&aacute;c k&ecirc;nh: chat Telegram, slack, SMS, email.
<ul>
<li>Gi&aacute;m s&aacute;t t&agrave;i nguy&ecirc;n hệ thống (Network, CPU, RAM, services&hellip;) b&aacute;o c&aacute;o chi tiết thực hiện qua web interface tại bất cứ nơi n&agrave;o.</li>
<li>Nh&acirc;n lực quản trị được cắt giảm đến mức tối đa.</li>
</ul>
Kết quả: Một số dữ liệu c&aacute;c dự &aacute;n ch&uacute;ng t&ocirc;i đ&atilde; thực hiện
<ul>
<li>OpenX Ads Server đ&aacute;p ứng lượng request cao ( v&agrave;i chục triệu Impr mỗi ng&agrave;y )</li>
</ul>
<img src="http://api.btis.vn/files/2021/4/2/322080b0-935b-11eb-8c43-9129f3036240-1617330545724.jpg" alt="" width="588" height="340" />
<ul>
<li>Monitor CCU của hệ thống</li>
</ul>
<img src="http://api.btis.vn/files/2021/4/2/3ab41700-935b-11eb-8c43-9129f3036240-1617330560113.jpg" alt="" width="1316" height="322" />

Tư vấn – triển khai hệ thống CNTT cho website với lượng traffic lớn

Tư vấn – triển khai hệ thống Công nghệ thông tin

Về kh&aacute;ch h&agrave;ng:
Sở T&agrave;i nguy&ecirc;n v&agrave; M&ocirc;i trường l&agrave; cơ quan chuy&ecirc;n m&ocirc;n thuộc Ủy ban nh&acirc;n d&acirc;n tỉnh, c&oacute; chức năng tham mưu, thực hiện chức năng quản l&yacute; nh&agrave; nước về lĩnh vực t&agrave;i nguy&ecirc;n v&agrave; m&ocirc;i trường, bao gồm: đất đai, t&agrave;i nguy&ecirc;n nước, t&agrave;i nguy&ecirc;n kho&aacute;ng sản, địa chất, m&ocirc;i trường, kh&iacute; tượng thuỷ văn, đo đạc v&agrave; bản đồ, c&aacute;c quy hoạch v&agrave; đề &aacute;n, quản l&yacute; tổng hợp về biển v&agrave; hải đảo, thực hiện c&aacute;c dịch vụ c&ocirc;ng trong c&aacute;c lĩnh vực thuộc phạm vi quản l&yacute; của Sở. &nbsp;
Th&aacute;ch thức
Với c&aacute;c chức năng n&ecirc;u tr&ecirc;n, Sở T&agrave;i Nguy&ecirc;n M&ocirc;i Trường đang lưu giữ một lượng th&ocirc;ng tin khổng lồ v&agrave; quan trọng tr&ecirc;n hệ thống của m&igrave;nh. B&ecirc;n cạnh đ&oacute;, hệ thống m&aacute;y t&iacute;nh của kh&aacute;ch h&agrave;ng mặc d&ugrave; kh&ocirc;ng kết nối mạng nhưng vẫn li&ecirc;n kết to&agrave;n bộ với nhau, khiến cho việc bị tấn c&ocirc;ng c&agrave;ng dễ d&agrave;ng hơn. Ngo&agrave;i ra, đội ngũ nh&acirc;n sự kỹ thuật của kh&aacute;ch h&agrave;ng c&ograve;n ki&ecirc;m nhiệm nhiều c&ocirc;ng việc kh&aacute;c nhau v&agrave; khối lượng nhiều n&ecirc;n th&ocirc;ng thường họ kh&ocirc;ng đủ nguồn lực v&agrave; thời gian cũng như kỹ năng để thực hiện việc đ&aacute;nh gi&aacute; hay kiểm thử an to&agrave;n th&ocirc;ng tin..
Giải ph&aacute;p
Bảo T&iacute;n đ&atilde; nhận được sự tin tưởng v&agrave; đồng h&agrave;nh c&ugrave;ng Sở T&agrave;i Nguy&ecirc;n M&ocirc;i Trường để triển khai dự &aacute;n định kỳ Đ&aacute;nh gi&aacute; an to&agrave;n th&ocirc;ng tin cho Sở. Bảo T&iacute;n đ&atilde; thực hiện đ&aacute;nh gi&aacute; bảo mật ứng dụng web cho cổng th&ocirc;ng tin của Sở (gồm c&aacute;c c&ocirc;ng việc ch&iacute;nh như kiểm tra c&aacute;c chức năng định danh, x&aacute;c thực, ph&acirc;n quyền, quản l&yacute; phi&ecirc;n...); đ&aacute;nh gi&aacute; bảo mật hệ thống mạng, r&agrave; so&aacute;t hạ tầng c&ocirc;ng nghệ th&ocirc;ng tin, ph&aacute;t hiện sớm điểm yếu tồn tại; kiểm định an to&agrave;n hệ điều h&agrave;nh, m&aacute;y chủ web, cơ sở dữ liệu ứng dụng, thiết bị mạng, thiết bị tường lửa của Sở nhằm x&aacute;c định độ an to&agrave;n của c&aacute;c hệ thống mạng v&agrave; m&aacute;y chủ.
C&aacute;c th&ocirc;ng tin cung cấp:
<ul>
<li>1 hệ thống ch&iacute;nh</li>
<li>30 thiết bị gồm 20 m&aacute;y chủ vật l&yacute; v&agrave; 10 thiết bị mạng, thiết bị tường lửa</li>
<li>04 IP tĩnh</li>
</ul>
Bảo T&iacute;n đ&atilde; &aacute;p dụng hai loại dịch vụ đ&aacute;nh gi&aacute; v&agrave;o hệ thống của kh&aacute;ch h&agrave;ng:
Đối với website: Sử dụng phương thức blackbox. C&aacute;c chuy&ecirc;n gia của Bảo T&iacute;n tiến h&agrave;nh đ&aacute;nh gi&aacute; bằng cả phương ph&aacute;p đ&aacute;nh gi&aacute; tự động th&ocirc;ng qua c&aacute;c c&ocirc;ng cụ v&agrave; phương ph&aacute;p thủ c&ocirc;ng m&ocirc; phỏng c&aacute;c kỹ thuật thực tế để t&igrave;m ra lỗ hổng bảo mật của website v&agrave; đ&aacute;nh gi&aacute; mức độ an to&agrave;n của hệ thống.
Đối với m&aacute;y chủ, thiết bị mạng v&agrave; c&aacute;c phần kh&aacute;c: Sử dụng phương thức White box: kh&aacute;ch h&agrave;ng cung cấp cho Bảo T&iacute;n sơ đồ mạng, m&atilde; nguồn, th&ocirc;ng tin hoặc quyền truy cập thiết bị. C&aacute;c chuy&ecirc;n gia sẽ r&agrave; so&aacute;t m&atilde; nguồn, t&igrave;m c&aacute;c lỗ hổng v&agrave; giả lập đ&aacute;nh cắp th&ocirc;ng tin từ hệ thống. Từ đ&oacute; đ&aacute;nh gi&aacute; mức độ an to&agrave;n của c&aacute;c thiết bị. Sau khi đ&aacute;nh gi&aacute; to&agrave;n bộ hệ thống, Bảo T&iacute;n lập b&aacute;o c&aacute;o v&agrave; chuyển giao qu&aacute; tr&igrave;nh thực hiện cho kh&aacute;ch h&agrave;ng, đưa ra c&aacute;c đề xuất khắc phục v&agrave; phương ph&aacute;p ph&ograve;ng chống.
Kết quả:
Qu&aacute; tr&igrave;nh đ&aacute;nh gi&aacute;, kiểm định hệ thống đ&atilde; ph&aacute;t hiện ra những lỗi nghi&ecirc;m trọng như Lỗi cho ph&eacute;p người d&ugrave;ng vượt mặt x&aacute;c thực v&agrave; thực thi m&atilde;, lỗ hổng bẻ kh&oacute;a mật khẩu, lộ th&ocirc;ng tin, thuật to&aacute;n m&atilde; h&oacute;a yếu, lỗi chiếm quyền, lỗ hổng CVE-2013-4786... Những lỗi n&agrave;y g&acirc;y nguy cơ r&ograve; rỉ dữ liệu, x&acirc;m nhập hoặc đ&aacute;nh cắp th&ocirc;ng tin nội bộ. Gi&aacute; trị Pass v&agrave; Fail của c&aacute;c nội dung kiểm tra cũng c&oacute; sự ch&ecirc;nh lệch kh&aacute; lớn, cụ thể Fail lớn hơn gần gấp 2 lần so với Pass. Nguy&ecirc;n nh&acirc;n xảy ra sự ch&ecirc;nh lệch n&agrave;y ch&iacute;nh l&agrave; do trong qu&aacute; tr&igrave;nh c&agrave;i đặt v&agrave; cấu h&igrave;nh hệ thống ban đầu kh&ocirc;ng tu&acirc;n thủ ti&ecirc;u chuẩn CISCAT hoặc c&aacute;c ti&ecirc;u chuẩn kh&aacute;c tương đương. Bảo T&iacute;n đ&atilde; ph&acirc;n t&iacute;ch, lập b&aacute;o c&aacute;o, x&aacute;c định c&aacute;c giải ph&aacute;p can thiệp để đảm bảo v&agrave; n&acirc;ng cao độ an to&agrave;n, an ninh th&ocirc;ng tin cho Hệ thống điều h&agrave;nh t&iacute;ch hợp dữ liệu t&agrave;i nguy&ecirc;n v&agrave; m&ocirc;i trường của Sở v&agrave; chuyển giao qu&aacute; tr&igrave;nh thực hiện cho kh&aacute;ch h&agrave;ng, đồng thời cũng tổ chức một số cuộc họp nh&oacute;m, tham vấn cho c&aacute;c b&ecirc;n li&ecirc;n quan v&agrave; c&aacute;c chuy&ecirc;n gia cho g&oacute;i thầu.
Lợi &iacute;ch v&agrave; hiệu quả của dịch vụ: 
Triển khai nhanh gọn v&agrave; Kh&aacute;ch h&agrave;ng kh&ocirc;ng cần cung cấp nhiều th&ocirc;ng tin. R&uacute;t ngắn thời gian khắc phục lỗ hổng an to&agrave;n th&ocirc;ng tin. Giảm thiểu chi ph&iacute; đầu tư v&agrave;o c&aacute;c th&agrave;nh phần trong to&agrave;n hệ thống. Kiện to&agrave;n hiện trạng bảo mật tổng thể.

Dự án Đánh giá an toàn thông tin cho Sở Tài Nguyên – Môi Trường

Về kh&aacute;ch h&agrave;ng
Kh&aacute;ch h&agrave;ng của Bảo T&iacute;n lần n&agrave;y l&agrave; một s&agrave;n giao dịch thương mại điện tử được x&acirc;y dựng theo m&ocirc; h&igrave;nh B2C2C (business - to - consumer - to - consumer). Th&ocirc;ng qua gian h&agrave;ng mở tại s&agrave;n giao dịch, doanh nghiệp c&oacute; thể cung cấp sản phẩm/dịch vụ tốt nhất tới người ti&ecirc;u d&ugrave;ng với lượng giao dịch lớn, tỉ lệ giao dịch ho&agrave;n th&agrave;nh tr&ecirc;n thực tế cao. S&agrave;n giao dịch cung cấp nhiều h&igrave;nh thức dịch vụ hỗ trợ như: quảng c&aacute;o qua b&agrave;i viết PR, banner, e-click, chụp h&igrave;nh sản phẩm&hellip;&nbsp; v&agrave; chủ động tư vấn c&aacute;c phương thức nhằm th&uacute;c đẩy hiệu quả kinh doanh cho doanh nghiệp.&nbsp;
<img src="http://api.btis.vn/files/2020/12/24/68a78ae0-45c0-11eb-bc4e-13c2c97b9c16-1608797825681.jpg" alt="" width="1366" height="768" />
Th&aacute;ch thức
L&agrave; một s&agrave;n giao dịch thương mại điện tử, kh&aacute;ch h&agrave;ng sở hữu một kho dữ liệu khổng lồ chứa nhiều th&ocirc;ng tin nhạy cảm của c&aacute;c đối t&aacute;c. Đ&oacute; l&agrave; khối t&agrave;i sản quan trọng nhất của một doanh nghiệp khi sử dụng c&ocirc;ng nghệ l&agrave;m c&ocirc;ng cụ ch&iacute;nh trong kinh doanh. Việc đảm bảo an to&agrave;n cho kho dữ liệu n&agrave;y l&agrave; điều quan trọng nhất. B&ecirc;n cạnh đ&oacute;, kh&aacute;ch h&agrave;ng c&oacute; lượng người d&ugrave;ng sử dụng lớn, hệ thống tiếp nhận khối lượng giao dịch khổng lồ mỗi ng&agrave;y. C&agrave;ng nhiều ứng dụng li&ecirc;n kết với c&aacute;c ng&acirc;n h&agrave;ng trong c&aacute;c giao dịch, yếu tố bảo mật lại c&agrave;ng phải được kiểm so&aacute;t hết sức chặt chẽ.&nbsp; V&igrave; vậy Kh&aacute;ch h&agrave;ng đ&atilde; li&ecirc;n hệ v&agrave; sử dụng dịch vụ kiểm thử x&acirc;m nhập an to&agrave;n th&ocirc;ng tin của Bảo T&iacute;n nhằm đ&aacute;nh gi&aacute; bảo mật c&aacute;c ứng dụng web, di động v&agrave; hệ thống mạng để c&oacute; th&ocirc;ng tin kh&aacute;ch quan v&agrave; đa chiều. &nbsp;
<img src="http://api.btis.vn/files/2020/12/24/b8960950-45c0-11eb-bc4e-13c2c97b9c16-1608797959783.jpg" alt="" width="1366" height="768" />
Giải ph&aacute;p
Bảo T&iacute;n đ&atilde; thực hiện c&aacute;c hoạt động tấn c&ocirc;ng theo ti&ecirc;u chuẩn OWASP 2019 nhằm ph&aacute;t hiện sớm c&aacute;c lỗi bảo mật v&agrave; ngăn chặn sự can thiệp khai th&aacute;c c&aacute;c lỗi n&agrave;y từ b&ecirc;n ngo&agrave;i, đồng thời cũng thu thập th&ocirc;ng tin, thống k&ecirc; c&aacute;c dịch vụ được sử dụng trong hệ thống, kiểm tra c&aacute;c hạng mục cấu h&igrave;nh v&agrave; chỉnh sửa c&aacute;c lỗi cấu h&igrave;nh thiết bị mạng v&agrave; thiết bị an to&agrave;n th&ocirc;ng tin.
* &nbsp;&nbsp;Ứng dụng web, di động
<ul>
<li>Đ&aacute;nh gi&aacute; theo phương thức Greybox</li>
<li>D&ograve; t&igrave;m lỗ hổng theo checklist được x&acirc;y dựng dựa tr&ecirc;n b&aacute;o c&aacute;o OWASP 2019 kết hợp c&ugrave;ng&nbsp;kinh nghiệm của c&aacute;c kỹ sư, cũng như c&aacute;ch thức hoạt động của ứng dụng để đưa ra phương&nbsp;thức kiểm thử ph&ugrave; hợp nhất</li>
<li>Sử dụng thiết bị thật kết hợp m&aacute;y ảo để test ứng dụng ở ph&iacute;a client</li>
<li>Sử dụng c&aacute;c c&ocirc;ng cụ về dịch ngược để kiểm tra m&atilde; nguồn phần mềm, c&aacute;c h&agrave;m m&atilde; h&oacute;a, giải m&atilde;&nbsp;trong ứng dụng, c&aacute;c th&ocirc;ng tin nhạy cảm c&oacute; thể bị lộ&hellip;</li>
<li>Sử dụng c&aacute;c c&ocirc;ng cụ d&ograve; qu&eacute;t lỗ hổng của website để kiểm thử x&acirc;m nhập server</li>
<li>Kết hợp c&aacute;c c&ocirc;ng cụ như: Burpsuite Pro, Dirsearch, Nmap, Acunetix v&agrave; đ&aacute;nh gi&aacute; thủ c&ocirc;ng</li>
</ul>
* &nbsp;&nbsp;Hệ thống mạng
<ul>
<li>Đ&aacute;nh gi&aacute; độ an to&agrave;n Web Server bao gồm c&aacute;c gi&aacute; trị nhập xuất, chức năng ứng dụng web&hellip; theo quy tr&igrave;nh Đ&aacute;nh gi&aacute; bảo mật mạng PTES, OSSTMM v&agrave; OWASP</li>
<li>Thực hiện qu&eacute;t chủ động hệ thống mạng, m&aacute;y chủ đ&atilde; thu thập, IP, cổng dịch vụ, giao thức sử dụng, phi&ecirc;n bản sử dụng dịch vụ hệ thống.</li>
<li>R&agrave; so&aacute;t hạ tầng c&ocirc;ng nghệ th&ocirc;ng tin, ph&aacute;t hiện sớm điểm yếu tồn tại. X&aacute;c định c&aacute;c nguy cơ r&ograve; rỉ dữ liệu, x&acirc;m nhập hoặc đ&aacute;nh cắp th&ocirc;ng tin nội bộ.</li>
<li>Thống k&ecirc; c&aacute;c dịch vụ được sử dụng trong to&agrave;n hệ thống.</li>
<li>Kiểm tra t&iacute;nh sẵn s&agrave;ng của hệ thống khi xuất hiện tấn c&ocirc;ng.</li>
<li>Đ&aacute;nh gi&aacute; c&aacute;c vấn đề li&ecirc;n quan đến cấu h&igrave;nh, ph&acirc;n quyền hệ thống, dịch vụ</li>
<li>Kết hợp c&aacute;c c&ocirc;ng cụ như IBM AppScan, Metasploit Framework, Acunetix Consultant, v&agrave; c&aacute;c c&ocirc;ng cụ m&atilde; mở,...</li>
</ul>
Kết quả:
Qua qu&aacute; tr&igrave;nh r&agrave; so&aacute;t, c&aacute;c kỹ sư đ&atilde; t&igrave;m ra một lượng lớn lỗi trong kiểm thử ứng dụng web, ứng&nbsp;dụng di động v&agrave; network, trong đ&oacute; c&oacute;: 4 lỗi khẩn cấp, 20 lỗi nghi&ecirc;m trọng v&agrave; rất nhiều lỗi kh&aacute;c ở cấp độ thấp hơn. Đ&acirc;y hầu hết l&agrave; những lỗ hổng nguy hiểm ảnh hưởng trực tiếp đến hoạt động server của kh&aacute;ch h&agrave;ng, dễ d&agrave;ng được lợi dụng để khai th&aacute;c t&agrave;i khoản của người&nbsp;d&ugrave;ng như đ&aacute;nh cắp t&agrave;i khoản.
Khắc phục:
Sau khi đ&aacute;nh gi&aacute; to&agrave;n bộ hệ thống, Bảo T&iacute;n đ&atilde; lập b&aacute;o c&aacute;o v&agrave; chuyển giao to&agrave;n bộ qu&aacute; tr&igrave;nh thực hiện&nbsp;cho kh&aacute;ch h&agrave;ng, c&ugrave;ng với đ&oacute; đưa ra c&aacute;c khuyến nghị v&agrave; phương ph&aacute;p ph&ograve;ng chống. Việc cần thiết&nbsp;nhất hiện tại l&agrave; kh&aacute;ch h&agrave;ng phải nhanh ch&oacute;ng v&aacute; ho&agrave;n to&agrave;n c&aacute;c lỗ hổng v&igrave; ch&uacute;ng đặc biệt nguy hiểm.&nbsp;&nbsp;Bảo T&iacute;n đ&atilde; đưa ra một số gợi &yacute; như sau:
<ul>
<li>Tiến h&agrave;nh kiểm tra ph&acirc;n quyền theo chiều s&acirc;u, tr&aacute;nh việc người d&ugrave;ng n&agrave;y c&oacute; thể tham chiếu dữ liệu v&agrave; sử dụng những t&iacute;nh năng của người d&ugrave;ng kh&aacute;c.</li>
<li>V&ocirc; hiệu h&oacute;a một số t&iacute;nh năng kh&ocirc;ng c&ograve;n được sử dụng tr&ecirc;n ứng dụng, tr&aacute;nh việc bị lợi dụng để d&ograve; đo&aacute;n mật khẩu.</li>
<li>Cập nhật CMS, framework l&ecirc;n phi&ecirc;n bản mới nhất.</li>
<li>Sử dụng c&aacute;c cơ chế ph&aacute;t hiện giả lập, thiết bị root, ph&aacute;t hiện patch ứng dụng.</li>
</ul>
Lợi &iacute;ch: 
Giảm thiểu chi ph&iacute; đầu tư v&agrave;o c&aacute;c th&agrave;nh phần trong to&agrave;n hệ thống. Tr&aacute;nh được phần lớn c&aacute;c lỗ hổng đ&atilde; được dịch vụ cảnh b&aacute;o. Giảm đ&aacute;ng kể thiệt hại về t&agrave;i ch&iacute;nh v&agrave; thiết bị trong bảo mật th&ocirc;ng tin. Tiến độ c&ocirc;ng việc trong tổ chức được thực hiện một c&aacute;ch an t&acirc;m hơn.&nbsp;

sàn Thương mại điện tử, pentest, OWASP, lỗi bảo mật

Kiểm thử tấn công vào hệ thống sàn Thương mại điện tử hàng đầu Việt Nam

BẢO MẬT CHO DOANH NGHIỆP

CUNG CẤP DỊCH VỤ ĐÁNH GIÁ BẢO MẬT(PENTEST)

Bảo Tín - Đồng hành cùng doanh nghiệp bảo mật an toàn thông tin!

Kiểm thử xâm nhập

Tư vấn – triển khai giải pháp

Đào tạo an toàn thông tin

Bắt đầu cùng Bảo Tín ngay hôm nay

Cảm ơn Quý khách hàng đã tin dùng và đồng hành cùng chúng tôi

CASE STUDIES

Main Menu

Ngôn ngữ