Cách kiểm tra và công cụ kiểm tra bảo mật

1. Cách kiểm tra bảo mật

Luôn luôn đồng ý, chi phí đó sẽ cao hơn nếu chúng tôi hoãn kiểm tra bảo mật sau giai đoạn triển khai phần mềm hoặc sau khi triển khai. Vì vậy, cần phải liên quan đến thử nghiệm bảo mật trong vòng đời SDLC (Vòng đời phát triển hệ thống (Systems development life cycle)) trong các giai đoạn trước.

Hãy xem xét các quy trình Bảo mật tương ứng được áp dụng cho mọi giai đoạn trong SDLC

(Vòng đời phát triển hệ thống (Systems development life cycle)

* Kế hoạch kiểm tra nên bao gồm

• Các trường hợp hoặc tình huống kiểm tra liên quan đến bảo mật
• Kiểm tra dữ liệu liên quan đến kiểm tra bảo mật
• Công cụ kiểm tra cần thiết để kiểm tra bảo mật
•  Phân tích các thử nghiệm đầu ra khác nhau từ các công cụ bảo mật khác nhau 

* Kịch bản thử nghiệm để kiểm tra bảo mật: Các kịch bản thử nghiệm mẫu để cung cấp cho bạn cái nhìn tổng quan về các trường hợp thử nghiệm bảo mật 

• Mật khẩu phải ở dạng mã hóa
• Ứng dụng hoặc Hệ thống không được phép người dùng không hợp lệ
• Kiểm tra cookie và thời gian phiên cho ứng dụng
• Đối với các trang web tài chính, nút quay lại Trình duyệt không hoạt động.

* Phương pháp / Phương pháp / Kỹ thuật kiểm tra bảo mật: Trong thử nghiệm bảo mật, các phương pháp khác nhau được tuân theo và chúng như sau:

• Tiger Box : Việc hack này thường được thực hiện trên máy tính xách tay có bộ sưu tập HĐH và công cụ hack. Thử nghiệm này giúp người kiểm tra thâm nhập và người kiểm tra bảo mật tiến hành đánh giá và tấn công lỗ hổng.
• Hộp đen : Tester được ủy quyền để thử nghiệm mọi thứ về cấu trúc liên kết mạng và công nghệ.
• Hộp màu xám : Thông tin một phần được cung cấp cho người kiểm tra về hệ thống và nó là sự kết hợp của các mô hình hộp trắng và đen.

* Vai trò kiểm tra bảo mật

• Tin tặc - Truy cập hệ thống máy tính hoặc mạng mà không được phép
• Crackers - Đột nhập vào hệ thống để đánh cắp hoặc phá hủy dữ liệu
• Hacker đạo đức - Thực hiện hầu hết các hoạt động vi phạm nhưng được sự cho phép của chủ sở hữu
• Script Kiddies hoặc gói khỉ - Tin tặc thiếu kinh nghiệm với kỹ năng ngôn ngữ lập trình

2. Công cụ kiểm tra bảo mật

T1) Owasp (sử hữu)
Dự án bảo mật ứng dụng web mở ( OWASP ) là một tổ chức phi lợi nhuận trên toàn thế giới tập trung vào việc cải thiện tính bảo mật của phần mềm. Dự án có nhiều công cụ để kiểm tra các môi trường và giao thức phần mềm khác nhau. Các công cụ hàng đầu của dự án bao gồm

Zed Attack Proxy (ZAP - một công cụ kiểm tra thâm nhập tích hợp)
Kiểm tra phụ thuộc OWASP (nó quét các phụ thuộc của dự án và kiểm tra các lỗ hổng đã biết)
Dự án môi trường thử nghiệm web OWASP (bộ sưu tập các công cụ và tài liệu bảo mật)
T2) Dây điện (WireShark)
Wireshark là một công cụ phân tích mạng trước đây được gọi là Ethereal. Nó chụp gói tin trong thời gian thực và hiển thị chúng ở định dạng có thể đọc được. Về cơ bản, nó là một bộ phân tích gói mạng - cung cấp các chi tiết nhỏ nhất về các giao thức mạng, giải mã, thông tin gói, v.v ... Nó là một nguồn mở và có thể được sử dụng trên Linux, Windows, OS X, Solaris, NetBSD, FreeBSD và nhiều các hệ thống khác. Thông tin được truy xuất thông qua công cụ này có thể được xem qua GUI hoặc TShark Utility ở chế độ TTY.

T3) W3af
w3af là một khung kiểm toán và tấn công ứng dụng web. Nó có ba loại plugin; phát hiện, kiểm toán và tấn công liên lạc với nhau về bất kỳ lỗ hổng nào trong trang web, ví dụ: plugin khám phá trong w3af tìm kiếm các url khác nhau để kiểm tra các lỗ hổng và chuyển tiếp đến plugin kiểm toán, sau đó sử dụng các URL này để tìm kiếm các lỗ hổng.

Kết luận:

Kiểm tra bảo mật là kiểm tra quan trọng nhất đối với một ứng dụng và kiểm tra xem dữ liệu bí mật có được giữ bí mật hay không. Trong loại thử nghiệm này, người kiểm tra đóng vai trò của kẻ tấn công và chơi xung quanh hệ thống để tìm các lỗi liên quan đến bảo mật. Kiểm tra bảo mật là rất quan trọng trong Kỹ thuật phần mềm để bảo vệ dữ liệu bằng mọi cách.

Nguồn: https://www.guru99.com/what-is-security-testing.html

Cám ơn