Kiểm tra đánh giá lỗ hổng an toàn thông tin: Quy trình và phạm vi doanh nghiệp cần biết

Hung Pham
1 thg 6
11 phút đọc

Đã cập nhật: 24 thg 7

Kiểm tra đánh giá lỗ hổng an toàn thông tin là quá trình rà soát hệ thống để phát hiện các điểm yếu kỹ thuật, lỗi cấu hình, phần mềm lỗi thời và những điều kiện có thể bị kẻ tấn công khai thác. Kết quả đánh giá không chỉ là danh sách cảnh báo từ công cụ quét mà phải giúp doanh nghiệp biết lỗ hổng nào cần xử lý trước, tài sản nào đang chịu rủi ro và phương án khắc phục phù hợp.

Đây là hoạt động cần thiết khi doanh nghiệp vận hành website, ứng dụng, máy chủ, thiết bị mạng, hệ thống Cloud hoặc các dịch vụ có thể truy cập từ Internet. Tuy nhiên, đánh giá lỗ hổng không đồng nghĩa với kiểm thử xâm nhập và cũng không thay thế một cuộc đánh giá an toàn thông tin tổng thể.

kiem-tra-danh-gia-lo-hong-an-toan-thong-tin — *Kiểm tra đánh giá lỗ hổng an toàn thông tin là gì?*

Kiểm tra đánh giá lỗ hổng an toàn thông tin là gì?

Kiểm tra đánh giá lỗ hổng an toàn thông tin, còn được gọi là Vulnerability Assessment, là quá trình xác định, phân tích và phân loại những điểm yếu đang tồn tại trong tài sản công nghệ của doanh nghiệp.

Các điểm yếu thường được phát hiện gồm:

Phần mềm, hệ điều hành hoặc thư viện chưa được cập nhật.
Dịch vụ không cần thiết đang mở ra Internet.
Cấu hình máy chủ hoặc thiết bị mạng chưa an toàn.
Cơ chế xác thực và phân quyền chưa phù hợp.
Lỗi bảo mật trên website, ứng dụng hoặc API.
Chứng thư số, giao thức hoặc thuật toán mã hóa không còn an toàn.
Tài khoản mặc định, mật khẩu yếu hoặc chính sách truy cập chưa được kiểm soát.
Tài nguyên Cloud được cấu hình công khai ngoài dự kiến.
Thành phần đã hết vòng đời hỗ trợ nhưng vẫn đang vận hành.

Một hoạt động đánh giá đúng nghĩa cần đi xa hơn việc chạy công cụ tự động. Kết quả quét phải được chuyên gia kiểm tra lại, loại bỏ cảnh báo sai, xác định tài sản bị ảnh hưởng và đánh giá lỗ hổng trong bối cảnh vận hành thực tế.

CISA khuyến nghị các tổ chức sử dụng danh mục Known Exploited Vulnerabilities như một dữ liệu đầu vào cho quá trình ưu tiên xử lý lỗ hổng. Điều này cho thấy mức điểm kỹ thuật cao chưa phải là yếu tố duy nhất; doanh nghiệp còn phải xem xét lỗ hổng có đang bị khai thác thực tế hay không.

Kiểm tra lỗ hổng cần tập trung vào những hệ thống nào?

Phạm vi kiểm tra đánh giá lỗ hổng an toàn thông tin phải được xác định dựa trên tài sản doanh nghiệp đang sở hữu, mức độ tiếp xúc với Internet và tác động nếu hệ thống bị xâm nhập.

Website, ứng dụng web và API

Website và ứng dụng web thường là điểm tiếp xúc trực tiếp giữa doanh nghiệp với khách hàng, đối tác và Internet. Những hệ thống này có thể tồn tại lỗi lập trình, thành phần lỗi thời, cấu hình máy chủ chưa an toàn hoặc API kiểm soát quyền truy cập không chặt chẽ.

Đối với doanh nghiệp chỉ cần rà soát nhanh website theo chu kỳ, có thể bắt đầu bằng dịch vụ quét lỗ hổng bảo mật website. Trang dịch vụ này tập trung vào phát hiện tự động các lỗ hổng phổ biến, lỗi cấu hình và thành phần phần mềm lỗi thời trên website.

Quét lỗ hổng Website | IPSIP SCAN | IPSIP Việt Nam

Máy chủ và hệ thống công khai trên Internet

Các máy chủ email, VPN, cổng truy cập từ xa, firewall, thiết bị mạng và dịch vụ quản trị công khai thường có mức độ ưu tiên cao vì kẻ tấn công có thể tiếp cận trực tiếp.

Việc đánh giá cần kiểm tra:

Cổng và dịch vụ đang mở.
Phiên bản phần mềm.
Giao thức không an toàn.
Cấu hình xác thực.
Giao diện quản trị công khai.
Bản vá còn thiếu.
Những lỗ hổng đã có bằng chứng bị khai thác.

Mạng nội bộ và Active Directory

Không phải mọi lỗ hổng nguy hiểm đều nằm trên Internet. Trong mạng nội bộ, cấu hình phân quyền sai, tài khoản có đặc quyền quá mức, giao thức cũ hoặc chính sách mật khẩu yếu có thể tạo điều kiện cho kẻ tấn công di chuyển ngang sau khi đã xâm nhập một thiết bị ban đầu.

Phạm vi đánh giá có thể bao gồm:

Máy chủ nội bộ.
Máy trạm.
Thiết bị mạng.
Dịch vụ chia sẻ dữ liệu.
Active Directory.
Tài khoản quản trị.
Chính sách phân quyền và xác thực.

Hạ tầng Cloud

Đối với môi trường Cloud, rủi ro không chỉ đến từ lỗ hổng phần mềm mà còn xuất phát từ cấu hình sai. Ví dụ thường gặp gồm kho lưu trữ bị công khai, quyền truy cập quá rộng, khóa truy cập không được luân chuyển hoặc workload mở dịch vụ không cần thiết ra Internet.

Doanh nghiệp cần phân biệt giữa quét lỗ hổng trên máy chủ Cloud và đánh giá cấu hình an toàn của toàn bộ môi trường Cloud. Hai hoạt động này có liên quan nhưng không có cùng phạm vi.

Quy trình kiểm tra đánh giá lỗ hổng an toàn thông tin

Một quy trình đánh giá hiệu quả thường gồm 7 bước chính.

1. Xác định mục tiêu đánh giá

Doanh nghiệp cần làm rõ lý do thực hiện:

Rà soát định kỳ.
Chuẩn bị đưa hệ thống vào vận hành.
Kiểm tra sau một thay đổi lớn.
Đáp ứng yêu cầu của khách hàng hoặc đối tác.
Chuẩn bị cho hoạt động tuân thủ.
Đánh giá sau sự cố.
Kiểm tra trước khi thực hiện Pentest.

Mục tiêu quyết định độ sâu, phương pháp và loại báo cáo cần cung cấp.

2. Xây dựng danh mục tài sản

Danh mục tài sản cần ghi nhận tối thiểu:

Địa chỉ IP và tên miền.
Website, API và ứng dụng.
Máy chủ và hệ điều hành.
Thiết bị mạng.
Môi trường Cloud.
Chủ sở hữu tài sản.
Mức độ quan trọng đối với hoạt động kinh doanh.
Trạng thái Internet-facing hoặc nội bộ.

Nếu danh mục tài sản không đầy đủ, doanh nghiệp có thể bỏ sót những hệ thống đang công khai ngoài dự kiến.

3. Thống nhất phạm vi và quy tắc kiểm tra

Trước khi bắt đầu, hai bên cần thống nhất:

Tài sản được phép kiểm tra.
Tài sản bị loại khỏi phạm vi.
Thời gian thực hiện.
Ngưỡng tải cho phép.
Tài khoản được cung cấp.
Đầu mối liên hệ khi phát hiện bất thường.
Hoạt động nào cần phê duyệt riêng.
Yêu cầu bảo mật dữ liệu đánh giá.

Bước này đặc biệt quan trọng đối với hệ thống production hoặc các dịch vụ không được phép gián đoạn.

4. Thu thập thông tin và quét lỗ hổng

Công cụ chuyên dụng được sử dụng để phát hiện:

Phiên bản phần mềm có lỗ hổng.
Bản vá còn thiếu.
Cổng dịch vụ mở.
Cấu hình yếu.
Giao thức không an toàn.
Chứng thư số có vấn đề.
Lỗi bảo mật ứng dụng phổ biến.

Quét tự động giúp bao phủ số lượng tài sản lớn nhưng kết quả ban đầu chưa nên được sử dụng trực tiếp làm kết luận.

5. Xác minh và loại bỏ cảnh báo sai

Chuyên gia cần kiểm tra những phát hiện quan trọng để xác định:

Lỗ hổng có thực sự tồn tại không.
Phiên bản hoặc cấu hình có bị nhận diện sai không.
Tài sản có cơ chế kiểm soát bù trừ hay không.
Lỗ hổng có thể tiếp cận từ Internet hay chỉ tồn tại trong mạng nội bộ.
Điều kiện cần thiết để khai thác là gì.
Phát hiện có ảnh hưởng đến dữ liệu hoặc hoạt động kinh doanh không.

Việc xác minh giúp doanh nghiệp tránh mất thời gian xử lý các false positive và tập trung vào rủi ro thực tế.

6. Phân loại và ưu tiên khắc phục

CVSS có thể được sử dụng để biểu thị đặc điểm và mức độ nghiêm trọng kỹ thuật của lỗ hổng. CVSS 4.0 phân tách các nhóm Base, Threat, Environmental và Supplemental nhằm bổ sung thêm bối cảnh về mối đe dọa và môi trường sử dụng.

Tuy nhiên, doanh nghiệp không nên chỉ sắp xếp công việc theo điểm CVSS. Thứ tự ưu tiên còn cần dựa trên:

Lỗ hổng có bị khai thác thực tế không.
Tài sản có công khai trên Internet không.
Tài sản có chứa dữ liệu nhạy cảm không.
Hệ thống có vai trò quan trọng trong vận hành không.
Có biện pháp kiểm soát bù trừ hay không.
Việc khắc phục có ảnh hưởng đến hoạt động kinh doanh không.

Ví dụ, một lỗ hổng mức cao trên máy chủ thử nghiệm đã được cô lập có thể ít cấp bách hơn một lỗ hổng mức trung bình đang bị khai thác trên cổng VPN của doanh nghiệp.

7. Báo cáo, khắc phục và tái kiểm tra

Sau khi báo cáo được bàn giao, doanh nghiệp cần phân công người chịu trách nhiệm, đặt thời hạn khắc phục và theo dõi trạng thái từng phát hiện.

Sau khi sửa lỗi, nên thực hiện retest để xác nhận:

Lỗ hổng đã được xử lý đúng.
Thay đổi không tạo ra lỗi mới.
Biện pháp giảm thiểu hoạt động như dự kiến.
Phát hiện có thể được đóng chính thức.

Doanh nghiệp có thể tham khảo hướng dẫn đọc báo cáo và khắc phục lỗ hổng sau Pentest. Bài viết tập trung vào Pentest, cách quản lý phát hiện, phân công xử lý và tái kiểm tra cũng hữu ích đối với kết quả Vulnerability Assessment.

Báo cáo đánh giá lỗ hổng cần có những gì?

Một báo cáo kiểm tra đánh giá lỗ hổng an toàn thông tin có giá trị phải phục vụ được cả đội kỹ thuật và người quản lý.

Phần dành cho lãnh đạo

Phần tổng quan nên thể hiện:

Phạm vi đánh giá.
Mức độ rủi ro chung.
Các tài sản có rủi ro cao.
Nhóm vấn đề nổi bật.
Tác động tiềm năng đến hoạt động kinh doanh.
Ưu tiên xử lý trong ngắn hạn.
Những giới hạn của cuộc đánh giá.

Phần này không nên chứa quá nhiều chi tiết kỹ thuật khiến người ra quyết định khó xác định việc cần làm tiếp theo.

Phần dành cho đội kỹ thuật

Mỗi phát hiện nên có:

Tên lỗ hổng.
Tài sản bị ảnh hưởng.
Mức độ nghiêm trọng.
Mô tả kỹ thuật.
Điều kiện phát hiện.
Bằng chứng phù hợp.
Tác động tiềm năng.
Khuyến nghị khắc phục.
Nguồn tham chiếu như CVE hoặc khuyến cáo của nhà cung cấp.
Trạng thái retest.

Báo cáo cũng cần ghi rõ những giới hạn như tài sản không truy cập được, hệ thống bị loại khỏi phạm vi hoặc một số hoạt động không được phép thực hiện.

Phân biệt quét lỗ hổng, đánh giá lỗ hổng và Pentest

Tiêu chí	Quét lỗ hổng	Đánh giá lỗ hổng	Pentest
Mục tiêu	Phát hiện nhanh điểm yếu phổ biến	Xác định, xác minh và ưu tiên lỗ hổng	Kiểm tra khả năng khai thác và tác động thực tế
Phương pháp	Chủ yếu tự động	Công cụ kết hợp phân tích chuyên gia	Kiểm thử thủ công và mô phỏng tấn công
Độ bao phủ	Rộng	Rộng, có phân tích bối cảnh	Hẹp hơn nhưng sâu hơn
Xác minh thủ công	Hạn chế	Có	Có, chuyên sâu
Khai thác lỗ hổng	Không	Thường không hoặc chỉ xác minh an toàn	Có kiểm soát trong phạm vi cho phép
Đầu ra	Danh sách cảnh báo	Báo cáo rủi ro và ưu tiên khắc phục	Bằng chứng khai thác, chuỗi tấn công và tác động
Trường hợp phù hợp	Kiểm tra thường xuyên	Đánh giá và quản lý lỗ hổng	Xác minh khả năng chống chịu trước tấn công

IPSIP cũng có bài phân tích riêng về sự khác biệt giữa kiểm thử xâm nhập và quét lỗ hổng bảo mật, giúp doanh nghiệp tránh lựa chọn sai phương pháp.

Khi cần xác minh khả năng khai thác, chuỗi tấn công hoặc ảnh hưởng thực tế của một điểm yếu, doanh nghiệp nên cân nhắc dịch vụ Pentest thay vì chỉ mở rộng phạm vi quét. IPSIP mô tả Pentest là hoạt động mô phỏng tấn công có kiểm soát, kết hợp công cụ và kỹ thuật thủ công để đánh giá khả năng khai thác.

Dịch vụ đánh giá xâm nhập hệ thống PENTEST | Chuẩn ISO 27001, OWASP | IPSIP

Khi nào doanh nghiệp nên kiểm tra đánh giá lỗ hổng?

Doanh nghiệp nên thực hiện đánh giá trong các trường hợp sau:

Trước khi đưa website, ứng dụng hoặc hệ thống mới vào vận hành.
Sau khi nâng cấp hạ tầng, thay đổi mã nguồn hoặc chuyển đổi lên Cloud.
Khi triển khai thêm VPN, cổng truy cập từ xa hoặc dịch vụ public-facing.
Sau khi phát hiện dấu hiệu xâm nhập hoặc xảy ra sự cố.
Khi doanh nghiệp chưa có danh mục tài sản và tình trạng bản vá đáng tin cậy.
Trước khi thực hiện Pentest chuyên sâu.
Khi khách hàng, đối tác hoặc bộ phận kiểm toán yêu cầu bằng chứng đánh giá.
Theo chu kỳ quản trị rủi ro nội bộ.

Tần suất không nên được áp dụng giống nhau cho mọi tài sản. Website thường xuyên cập nhật, hệ thống truy cập từ Internet và tài sản quan trọng cần được kiểm tra thường xuyên hơn hệ thống nội bộ ít thay đổi.

Cần đánh giá an toàn thông tin toàn diện hơn?

Đánh giá lỗ hổng chủ yếu tập trung vào các điểm yếu kỹ thuật trên website, ứng dụng, máy chủ và hạ tầng. Trong khi đó, rủi ro an toàn thông tin còn có thể đến từ con người, quy trình vận hành, phân quyền truy cập, khả năng giám sát, sao lưu dữ liệu, ứng phó sự cố và yêu cầu tuân thủ.

IPSIP cung cấp dịch vụ kiểm tra đánh giá an toàn thông tin giúp doanh nghiệp rà soát tổng thể hiện trạng, nhận diện khoảng trống bảo mật và xây dựng lộ trình cải thiện phù hợp với hệ thống thực tế.

Xem chi tiết dịch vụ kiểm tra đánh giá an toàn thông tin hoặc liên hệ IPSIP để được tư vấn phạm vi đánh giá phù hợp.

Cần chuẩn bị gì trước khi đánh giá lỗ hổng?

Để quá trình đánh giá có phạm vi rõ ràng và báo giá sát nhu cầu, doanh nghiệp nên chuẩn bị:

Danh sách IP, domain, website và API.
Số lượng máy chủ, thiết bị mạng và endpoint.
Sơ đồ hệ thống ở mức cần thiết.
Danh sách tài sản public-facing.
Môi trường production, staging hoặc testing.
Khung thời gian được phép kiểm tra.
Tài khoản kiểm tra nếu áp dụng phương pháp authenticated scan.
Đầu mối kỹ thuật và đầu mối xử lý sự cố.
Yêu cầu bảo mật dữ liệu.
Mong muốn về hỗ trợ khắc phục và retest.

Phạm vi càng rõ, doanh nghiệp càng dễ so sánh đề xuất của các nhà cung cấp và tránh phát sinh chi phí ngoài dự kiến.

Tiêu chí lựa chọn đơn vị đánh giá lỗ hổng

Không nên lựa chọn nhà cung cấp chỉ dựa trên số lượng công cụ hoặc số trang của báo cáo.

Doanh nghiệp cần đánh giá các yếu tố sau:

Có xác minh thủ công hay chỉ xuất kết quả từ máy quét.
Có phân tích bối cảnh tài sản và tác động kinh doanh hay không.
Có quy trình loại bỏ false positive.
Có thỏa thuận rõ về phạm vi và hoạt động được phép.
Có cơ chế bảo vệ dữ liệu thu thập trong quá trình đánh giá.
Báo cáo có hướng dẫn khắc phục cụ thể.
Có buổi giải trình kết quả cho đội kỹ thuật.
Có hỗ trợ retest.
Có phân biệt rõ Vulnerability Assessment và Pentest.
Không cam kết phát hiện 100% lỗ hổng hoặc bảo đảm an toàn tuyệt đối.

Một báo cáo dài không đồng nghĩa với một cuộc đánh giá tốt. Giá trị thực nằm ở việc doanh nghiệp có thể dựa vào kết quả để sắp xếp công việc, giảm bề mặt tấn công và theo dõi tiến độ xử lý.

Kiểm tra đánh giá lỗ hổng an toàn thông tin giúp doanh nghiệp trả lời ba câu hỏi quan trọng: hệ thống đang có điểm yếu nào, lỗ hổng nào cần ưu tiên và phải làm gì để giảm rủi ro.

Để đạt được mục tiêu đó, doanh nghiệp không nên dừng ở hoạt động quét tự động. Quá trình đánh giá cần có phạm vi rõ ràng, xác minh chuyên gia, phân tích theo bối cảnh tài sản, báo cáo có thể hành động và tái kiểm tra sau khắc phục.

Doanh nghiệp cần rà soát nhanh website có thể tham khảo dịch vụ quét lỗ hổng bảo mật website của IPSIP.
Với hệ thống cần kiểm chứng khả năng khai thác chuyên sâu, dịch vụ Pentest sẽ phù hợp hơn.

----------------

Nguồn tham khảo