Tìm hiểu về Security Testing (Phần 1)

Bảo mật đang dần trở thành một yếu tố quan trọng để người dùng đánh giá chất lượng của các hệ thống thông tin. Hẳn là bạn sẽ rất hoang mang khi biết thông tin cá nhân của mình đang bị chia sẻ bất hợp pháp do lỗi bảo mật của ứng dụng. Là một tester, ngoài đảm bảo chức năng của hệ thống hoạt động trơn tru thì mình cũng dành một sự quan tâm đặc biệt cho vấn đề bảo mật. Xuất phát từ việc học cho bản thân, mình cũng hệ thống lại những kiến thức đã tìm hiểu được để các bạn có thể tham khảo.

I. Khái quát về Security

1. Khái niệm và mục tiêu của Security

a. Khái niệm security

Security (bảo mật) là các biện pháp để bảo vệ thông tin và hệ thống thông tin khỏi các truy cập trái phép, sử dụng, làm lộ, làm hỏng, chỉnh sửa, ghi chép dữ liệu.

b. Ba mục tiêu chính của Security

• Confidentiality: Đảm bảo tính bảo mật của thông tin, tức là thông tin chỉ được phép truy cập (đọc) bởi những đối tượng (người, chương trình máy tính…) được cấp phép. Tính bảo mật của thông tin có thể đạt được bằng cách giới hạn truy cập về cả mặt vật lý, ví dụ như tiếp cận trực tiếp tới thiết bị lưu trữ thông tin đó hoặc logic ví dụ như truy cập thông tin đó từ xa qua môi trường mạng.
• Integrity: Đảm bảo tính toàn vẹn của thông tin, tức là thông tin chỉ được phép xóa hoặc sửa bởi những đối tượng được phép và phải đảm bảo rằng thông tin vẫn còn chính xác khi được lưu trữ hay truyền đi. Về điểm này, nhiều người thường hay nghĩ tính “integrity” đơn giản chỉ là đảm bảo thông tin không bị thay đổi (modify) là chưa đầy đủ. Ngoài ra, một giải pháp “data integrity” có thể bao gồm thêm việc xác thực nguồn gốc của thông tin này (thuộc sở hữu của đối tượng nào) để đảm bảo thông tin đến từ một nguồn đáng tin cậy và ta gọi đó là tính “authenticity” của thông tin.
• Availability: Đảm bảo độ sẵn sàng của thông tin, tức là thông tin có thể được truy xuất bởi những người được phép vào bất cứ khi nào họ muốn. Ví dụ, nếu một server chỉ bị ngưng hoạt động hay ngừng cung cấp dịch vụ trong vòng 5 phút trên một năm thì độ sẵn sàng của nó là 99,999%.

2. Khái niệm và mục tiêu của Security Testing

a. Khái niệm Security Testing

Security Testing (kiểm thử bảo mật) là việc tìm kiếm tất cả các lỗ hổng có thể dẫn đến mất/ bị lộ thông tin trong tay nhân viên hoặc người ngoài của tổ chức. Security Testing rất quan trọng trong ngành công nghiệp CNTT để bảo vệ dữ liệu của tất cả các hệ thống thông tin.

b. Mục tiêu của Security Testing

• Ngăn chặn kẻ tấn công vi phạm các chính sách bảo mật
• Phát hiện các vi phạm chính sách bảo mật
• Phục hồi: Ngăn chặn các hành vi vi phạm đang diễn ra, đánh giá rủi ro và sửa lỗi, đảm bảo hệ thống vẫn hoạt động khi có tấn công xảy ra.

II. Hiện trạng về các lỗi bảo mật, xu hướng lỗi

Top 10 rủi ro bảo mật ứng dụng được Owasp công bố năm 2017:

1. Injection
2. Broken Authentication
3. Sensitive Data Exposure
4. XML External Entities (XXE)
5. Broken Access Control
6. Security Misconfiguration
7. Cross-Site Scripting (XSS)
8. Insecure Deserialization
9. Using Components with Known Vulnerabilities
10. Insufficient Logging & Monitoring

(Open Web Application Security Project (OWASP) là một tổ chức bao gồm các chuyên gia bảo mật hàng đầu thế giới, chuyên cung cấp các thông tin về những ứng dụng và rủi ro đặt ra một cách trực tiếp, khách quan và thực tế nhất. OWASP công bố danh sách Top 10 các rủi ro bảo mật ứng dụng lớn nhất, được gọi là OWASP Top 10. Bản mới nhất là vào năm 2017)

III. Mức độ ảnh hưởng của lỗi bảo mật

Các thiệt hại có thể xảy ra khi các lỗ hổng bị tấn công như tổn thất về mặt tài chính, gián đoạn kinh doanh, mất quyền kiểm soát hệ thống, mất thông tin khách hàng, gây thiệt hại về uy tín hoặc có thể liên quan đến pháp lý.

Một số ví dụ về mức độ ảnh hưởng của lỗi bảo mật:

• Tháng 3, 4/2020, do ảnh hưởng lớn của dịch Covid-19, nhiều tổ chức, doanh nghiệp, trường học đã sử dụng ứng dụng Zoom để trao đổi công việc trực tuyến thay vì làm việc trực tiếp tại văn phòng. Tuy nhiên, ứng dụng này ẩn chứa nhiều lỗ hổng nghiêm trọng, điển hình là việc chính sách bảo mật của Zoom cho phép thu thập dữ liệu và chia sẻ với bên thứ 3 để trục lợi hay hacker có thể đánh cắp mật khẩu Windows qua Zoom. Các tổ chức, doanh nghiệp, trường học đã được khuyến cáo ngưng sử dụng Zoom, thậm chí là cấm sử dụng và chuyển sang Microsoft Team (đối thủ của Zoom). Giá cổ phiếu của Zoom bị giảm nghiêm trọng. (Nguồn: Nhiều quốc gia cảnh báo về lỗ hổng bảo mật của ứng dụng Zoom)
• Năm 2016, vụ tin tặc tấn công các sân bay Nội Bài, Tân Sơn Nhất… khiến màn hình của sân bay đã bị chèn những hình ảnh và nội dung câu chữ xúc phạm Việt Nam và Philippines, xuyên tạc các nội dung về Biển Đông. Đồng thời 411.000 dữ liệu của khách hàng Vietnam airline bị thu thập và phát tán (Nguồn: Vụ tin tặc tấn công các sân bay tại Việt Nam 2016)

Tài liệu tham khảo:

https://owasp.org/www-project-top-ten/OWASP_Top_Ten_2017/Top_10-2017_Top_10

https://cystack.net/vi/resource/10-lo-hong-bao-mat-web/#ftoc-heading-3