Bài 100. Penetration testing: các loại, phạm vi, rules of engagement, red/blue/purple team

Khóa học CompTIA Security+ SY0-801 · Phần 5: Quản trị, rủi ro và tuân thủ · Bài 100 · 🎯 Objective 5.5 · ⏱️ Đọc khoảng 17 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Mô tả penetration testing (kiểm thử xâm nhập) và phân biệt với quét lỗ hổng.
• Nhận biết các loại: physical, offensive, defensive, integrated; và các mức hiểu biết về môi trường: known, partially known, unknown.
• Giải thích quy tắc tham gia (rules of engagement), phạm vi và việc ủy quyền bằng văn bản.
• Hiểu các giai đoạn ở mức khái niệm, reconnaissance thụ động và chủ động, và vai trò red, blue, purple, white team, bug bounty.

📎 Vị trí trong đề thi: Objective 5.5. Bài này dùng lại quét lỗ hổng (Bài 86), diễn tập (Bài 88) và audit (Bài 99). Bài sau, Bài 101, giới thiệu MITRE ATT&CK, Cyber Kill Chain và Diamond Model.

⚠️ Lưu ý đạo đức và pháp lý: bài này chỉ nói ở mức khái niệm và quy trình quản trị. Chỉ kiểm thử hệ thống mà bạn có ủy quyền bằng văn bản. Kiểm thử không phép là hành vi trái pháp luật, kể cả khi bạn có ý tốt.

💡 Liên hệ thực tế: quét xong rồi, vậy đã đủ chưa?

Nam đã quét lỗ hổng định kỳ và vá. Chị Lan hỏi: "Nếu có kẻ tấn công thật, họ vào được không?" Quét lỗ hổng trả lời "có những điểm yếu nào", nhưng chưa trả lời "kẻ tấn công nối các điểm yếu thành đường vào được không, và đội phòng thủ có phát hiện không". Nam đề xuất thuê một đơn vị penetration testing với phạm vi và quy tắc ghi rõ, thực hiện ngoài giờ cao điểm, có đầu mối liên lạc để dừng ngay nếu gây sự cố. Đây là tình huống minh họa, không phải vụ việc có thật.

🎯 Hình 100a. Physical, offensive, defensive, integrated.

📘 Kiến thức cốt lõi

🧪 Pentest và quét lỗ hổng

Hai việc bổ trợ, không thay thế nhau.

🗂️ Các loại kiểm thử

🔍 Mức hiểu biết về môi trường

Mẹo: chọn mức theo mục tiêu: muốn bao phủ sâu thì known; muốn mô phỏng kẻ tấn công bên ngoài thì unknown.

📜 Quy tắc tham gia (Rules of Engagement, ROE) và ủy quyền

Trước khi làm bất kỳ điều gì, hai bên phải thống nhất bằng văn bản:

Vượt phạm vi là lỗi nghiêm trọng, có thể là hành vi vi phạm pháp luật, vì thế phạm vi phải rõ và được tôn trọng.

🪜 Các giai đoạn (mức khái niệm)

Trinh sát thụ động và chủ động:

Báo cáo là sản phẩm quan trọng nhất: một pentest không có khuyến nghị khắc phục có ích thì chưa tạo giá trị. Báo cáo nên có tóm tắt cho lãnh đạo và chi tiết kỹ thuật cho đội xử lý.

🎨 Các đội màu

🟥🟦🟪⬜ Hình 100b. Đỏ tấn công, xanh phòng thủ, tím phối hợp, trắng điều phối.

Mục tiêu của diễn tập đội màu là cải thiện năng lực phát hiện và ứng phó, không phải phân thắng thua. Kết quả nên được đưa vào quy trình ứng phó (Bài 82) và điều chỉnh quy tắc phát hiện (Bài 85).

🐞 Bug bounty và khai báo lỗ hổng

Bug bounty bổ sung, không thay thế pentest theo hợp đồng, vì phạm vi, chất lượng và độ bao phủ có thể không đều.

🧭 Áp vào câu chuyện của Nam

🎯 Mẹo làm bài

"Chứng minh có thể khai thác" → pentest. "Liệt kê điểm yếu tự động" → quét lỗ hổng. "Vượt khóa, cổng, theo sau" → physical. "Đánh giá khả năng phát hiện và ứng phó" → defensive. "Kết hợp tất cả" → integrated. "Biết đầy đủ" → known / white box; "biết một phần" → partially known / gray box; "không biết" → unknown / black box. "Thỏa thuận về phạm vi, thời gian, kỹ thuật" → ROE. "OSINT, không tương tác trực tiếp" → trinh sát thụ động. "Quét cổng" → trinh sát chủ động. "Mô phỏng kẻ tấn công" → red; "phòng thủ" → blue; "phối hợp" → purple; "trọng tài" → white. "Ủy quyền bằng văn bản" → luôn cần.

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• Pentest chứng minh khả năng khai thác; quét lỗ hổng liệt kê điểm yếu; hai việc bổ trợ.
• Loại: physical, offensive, defensive, integrated; mức hiểu biết: known, partially known, unknown.
• ROE bằng văn bản: ủy quyền, phạm vi, thời gian, kỹ thuật, liên lạc, xử lý dữ liệu; vượt phạm vi là sai nghiêm trọng.
• Giai đoạn: kế hoạch, trinh sát (thụ động, chủ động), khai thác, sau khai thác, dọn dẹp, báo cáo.
• Red, blue, purple, white team nhằm cải thiện phát hiện và ứng phó; bug bounty bổ sung cho pentest.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Mục đích chính của penetration testing so với quét lỗ hổng là gì?

• A. Chứng minh các điểm yếu có thể bị khai thác và đánh giá tác động thực tế
• B. Chỉ liệt kê phiên bản phần mềm đang chạy
• C. Thay thế hoàn toàn việc vá lỗi
• D. Sao lưu dữ liệu

Câu 2. Người kiểm thử nhận đầy đủ sơ đồ mạng, tài khoản và tài liệu thiết kế trước khi bắt đầu. Đây là kiểu kiểm thử nào?

• A. Unknown environment
• B. Partially known environment
• C. Known environment
• D. Passive reconnaissance

Câu 3. Tài liệu nào xác định phạm vi, thời gian, kỹ thuật được phép và cách dừng khẩn cấp của một cuộc pentest?

• A. SLA
• B. NDA
• C. Rules of engagement
• D. BIA

Câu 4. Hoạt động nào sau đây là trinh sát thụ động?

• A. Quét cổng trực tiếp lên máy chủ mục tiêu
• B. Thu thập thông tin từ nguồn công khai (OSINT) mà không tương tác trực tiếp với mục tiêu
• C. Thử đăng nhập vào cổng quản trị
• D. Gửi thư giả mạo đến nhân viên

Câu 5. Đội nào có nhiệm vụ đặt luật, điều phối và làm trọng tài trong một cuộc diễn tập đội màu?

• A. White team
• B. Red team
• C. Blue team
• D. Purple team

👉 Đáp án

Câu 1: A — Pentest chứng minh khả năng khai thác và tác động; quét lỗ hổng chỉ liệt kê điểm yếu.

Câu 2: C — Biết đầy đủ thông tin là known environment (white box).

Câu 3: C — Rules of engagement quy định phạm vi, thời gian, kỹ thuật, liên lạc và dừng khẩn cấp.

Câu 4: B — Thu thập từ nguồn công khai mà không tương tác trực tiếp với mục tiêu là trinh sát thụ động (OSINT).

Câu 5: A — White team đặt luật, điều phối và làm trọng tài.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng