Kiểm tra thâm nhập

Kiểm tra thâm nhập còn gọi là "kiểm thử thâm nhập" (tiếng Anh: "Penetration test", "pen test" hay "ethical hacking") là quá trình thực thiện mô phỏng tấn công an ninh mạng vào một hệ thống máy tính hoặc phần mềm định trước nhằm mục đích kiểm tra, đánh giá mức độ an toàn của hệ thống cũng như tìm các lỗ hổng bảo mật (nếu có).
Lịch sử.
Vào giữa những năm 1960, sự phổ biến ngày càng tăng của các hệ thống máy tính chia sẻ thời gian và tài nguyên dẫn đến các tài nguyên có thể truy cập dễ dàng qua đường truyền thông đã tạo ra những lo ngại mới về bảo mật. Như các học giả Deborah Russell và G. T. Gangemi Sr. đã nhận định, "Những năm 1960 đánh dấu sự khởi đầu thực sự của kỷ nguyên bảo mật máy tính."
Vào tháng 6 năm 1965, một số chuyên gia bảo mật máy tính hàng đầu của Hoa Kỳ đã tổ chức một trong những hội nghị lớn đầu tiên về bảo mật hệ thống - được tổ chức bởi nhà thầu chính phủ, "Công ty Phát triển Hệ thống" (SDC). Trong hội nghị, có người đã lưu ý rằng một nhân viên SDC có thể dễ dàng phá hoại các biện pháp bảo vệ hệ thống khác nhau được thêm vào hệ thống máy tính chia sẻ thời gian AN/FSQ-32 của SDC. Với hy vọng rằng việc nghiên cứu thêm về bảo mật hệ thống sẽ hữu ích, những người tham dự đã yêu cầu "... các nghiên cứu phải được thực hiện trong các lĩnh vực như phá vỡ bảo vệ an ninh trong hệ thống chia sẻ thời gian." Nói cách khác, những người tham gia hội nghị đã khởi xướng một trong những yêu cầu chính thức đầu tiên về việc sử dụng sự thâm nhập của máy tính như một công cụ để nghiên cứu bảo mật hệ thống.
Tại Hội nghị máy tính chung mùa xuân năm 1967, nhiều chuyên gia máy tính hàng đầu đã gặp lại nhau để thảo luận về những lo ngại về bảo mật hệ thống. Trong hội nghị này, các chuyên gia bảo mật máy tính Willis Ware, Harold Petersen và Rein Turn, tất cả thuộc Tập đoàn RAND và Bernard Peters của Cơ quan An ninh Quốc gia (NSA), đều sử dụng cụm từ "thâm nhập" để mô tả một cuộc tấn công nhằm vào hệ thống máy tính. Trong một bài báo, Ware đã đề cập đến các hệ thống chia sẻ thời gian có thể truy cập từ xa của quân đội, và cảnh báo rằng "Phải lường trước được những nỗ lực cố ý xâm nhập vào các hệ thống máy tính như vậy". Các đồng nghiệp của ông là Petersen và Turn cũng có cùng quan điểm, họ nhận thấy rằng các hệ thống liên lạc trực tuyến "... rất dễ bị đe dọa đối với quyền riêng tư", bao gồm cả "sự thâm nhập có chủ ý". Bernard Peters của NSA cũng đưa ra quan điểm này, nhấn mạnh rằng đầu vào và đầu ra của máy tính "... có thể cung cấp một lượng lớn thông tin cho một chương trình thâm nhập". Trong hội nghị này, việc xâm nhập vào hệ thống máy tính đã được chính thức xác định là một mối đe dọa lớn đối với các hệ thống máy tính trực tuyến.
Quy trình thực hiện.
Quy trình thực hiện kiểm tra đánh giá an toàn bảo mật thông tin bằng Kiểm tra thâm nhập thông thường có 5 bước chính:
Khi một kẻ tấn công đã khai thác được một lỗ hổng, chúng có thể tiếp tục chiếm quyền quyền truy cập vào các máy khác và quá trình này lại lặp lại, tức là chúng tìm kiếm các lỗ hổng mới và cố gắng khai thác chúng.
Công cụ.
Có rất nhiều công cụ đánh giá bảo mật có sẵn để hỗ trợ kiểm tra thâm nhập, bao gồm cả các phần mềm miễn phí và phần mềm thương mại. Một số nền tảng phần mềm phổ biến phải kể đến như:
Ngoài ra một số bản phân phối hệ điều hành hướng tới thử nghiệm thâm nhập có sẵn nhiều công cụ đặc biệt như:
Dịch vụ kiểm tra thâm nhập.
Dịch vụ kiểm tra thâm nhập là một trong các dịch vụ kiểm tra, đánh giá an toàn thông tin là được các cá nhân, nhóm an ninh mạng hoặc một số công ty chuyên về bảo mật và an ninh mạng cung cấp. Ở nhiều nước trên thế giới, dịch vụ này đã được tiêu chuẩn hoá và quy định chị tiết.
Tại Mỹ, Cơ quan Quản lý Dịch vụ Tổng hợp (GSA) đã tiêu chuẩn hóa dịch vụ "kiểm tra thâm nhập" như một dịch vụ hỗ trợ kiểm tra trước, để nhanh chóng giải quyết các lỗ hổng tiềm ẩn và ngăn chặn tấn công trước khi chúng tác động đến hệ thống của chính quyền liên bang, tiểu bang và địa phương. Các dịch vụ này thường được gọi là Dịch vụ an ninh mạng thích ứng cao (HACS) và được liệt kê tại trang web GSA Advantage của Hoa Kỳ.
Tại Vương quốc Anh, các dịch vụ kiểm tra khả năng thâm nhập được tiêu chuẩn hóa thông qua các cơ quan chuyên môn phối hợp với Trung tâm An ninh mạng Quốc gia (NCSC).
Tại Việt Nam, dịch vụ Kiểm tra thâm nhập cũng như các dịch vụ bảo mật và an toàn thông tin khác chưa được chuẩn hoá và quy định rõ ràng. Ngày 8 tháng 12 năm 2021, vấn đề về "quy định về điều kiện kinh doanh sản phẩm dịch vụ an ninh mạng" mới được đưa ra bàn thảo ở quốc hội để xem xét.