24/09/2021 - 07:07 PM
-
731
lượt xem
Dịch vụ đánh giá điểm yếu ATTT và Thử nghiệm xâm nhập cho hệ thống Cơ sở dữ liệu (Oracle, MSSQL, MySQL,...) thực hiện bao gồm các bước sau:
Bước 1: Thu thập thông tin
Trong bước này chúng tôi thực hiện thu thập các thông tin:
-
Phạm vi, đối tượng cần đánh giá
-
Địa chỉ IP, Port, Tên Service/SID, thông tin ban đầu đối tượng…
-
Sơ đồ mạng
-
Các thiết bị bảo vệ
Ví dụ: Các thông tin cần thu thập:
-
Thông tin CSDL và phiên bản
-
Cổng đang hoạt động
-
Có được bảo vệ bởi các thiết bị Firewall, Filter…
Bước 2: Xác định điểm yếu, lỗ hổng bảo mật
Sử dụng các công cụ bảo mật hàng đầu: Scuba Database Vulnerability Scanner … nhằm phát hiện các lỗ hổng bảo mật bao gồm:
-
Dò quét điểm yếu phân quyền tài khoản
-
Dò quét điểm yếu liên quan đến chức năng, kết nối mạng
-
Dò quét các điểm yếu xác thực
-
Dò quét backdoor, malware
-
Dò quét các điểm yếu xử lý dữ liệu
-
Dò quét điểm yếu cấu hình
-
Dò quét điểm yếu phiên bản, dịch vụ
Bước 3: Thử nghiệm xâm nhập
Đây là quá trình quan trọng nhất của quá trình đánh giá điểm yếu ATTT theo phương thức thử nghiệm xâm nhập lỗ hổng bảo mật (Penetration Testing). Quá trình này có sự thực hiện trực tiếp thủ công của các chuyên gia Misoft thay vì chỉ sử dụng các công cụ dò quét tự động theo phương thức dò quét điểm yếu (Vulnerability Assessment)
Từ danh sách các lỗ hổng và điểm yếu bảo mật xác định được từ bước trước chúng tôi thực hiện thử nghiệm tấn công, khai thác vào các hệ thống có điểm yếu bảo mật. Công việc này được thực hiện với mục đích:
-
Xác nhận, chứng minh sự tồn tại của điểm yếu trên hệ thống.
-
Loại bỏ những kết quả sai mà công cụ dò quét được.
-
Minh họa cách thức khai thác điểm yếu, giúp khách hàng hiểu rõ mức độ nguy hiểm và ảnh hưởng của điểm yếu đối với ứng dụng Mobile.
Bước 4: Tổng hợp kết quả và khuyến nghị khắc phục
Misoft sẽ tổng hợp lại tất các các thông tin thu thập được, nội dung của quá trình làm việc và kết quả thu được để đưa ra cho khách hàng “Báo cáo tổng kết đánh giá điểm yếu ATTT cho CSDL”, đề xuất các phương án, giải pháp để khắc phục các lỗ hổng, điểm yếu bảo mật.