Dịch vụ Đánh giá An Toàn Thông Tin (X-SBox)

 1. Giới thiệu Dịch vụ

Đánh giá an toàn thông tin là quá trình xác định sự tồn tại của lỗ hổng bảo mật trong hệ điều hành, ứng dụng, cơ sở dữ liệu, thiết bị mạng,… bằng cách đánh giá hệ thống bằng nhiều kĩ thuật tấn công. Mục đích của việc đánh giá này là để bảo mật dữ liệu quan trọng khỏi những truy cập không được phép từ ngoài và nội bộ. Một khi lỗ hổng bảo mật được tìm thấy nó sẽ được dùng để khai thác hệ thống, chiếm quyền truy cập các thông tin nhạy cảm. Bên cạnh đó, việc đánh giá cấu hình cũng giúp đảm bảo an toàn thông tin hệ thống, tránh sai sót.

Giải pháp và dịch vụ An ninh mạng X-SBox giúp doanh nghiệp vẽ nên bức tranh tổng thể về thực trạng an ninh của toàn bộ hệ thống mạng, cảnh báo các khu vực yếu nhất và hướng dẫn khắc phục trước khi bị Hacker tấn công

Giải pháp và dịch vụ An ninh mạng X-SBox bao gồm các thành phần sau:

• X-SBox 4Network: Đánh giá An ninh mạng nội bộ
• X-SBox 4Website: Đánh giá An ninh Website
• X-SBox 4Serive Server: Đánh giá Hệ thống máy chủ dịch vụ
• X-SBox 4Database: Đánh giá Hệ thống CSDL
• X-SBox 4Mobile App: Đánh giá Ứng dụng Mobile và Desktop
• X-SBox 4Cloud: Đánh giá An toàn Điện toán đám mây – Cloud
• X-SBox 4Malware Analysis: Phân tích và Rà quét mã độc

2. Phạm vi Cung cấp và Tính năng 

a. Đánh giá An ninh mạng nội bộ: X-SBox 4Network

• Liên tục giám sát mạng nội bộ: 4Network giám sát mạng nội bộ 24/7 nhằm phát hiện tức thời các lỗ hổng và đảm bảo mạng nội bộ luôn ở trạng thái an toàn.
• Cảnh báo tức thời: Ngay khi nhận thấy dấu hiệu an ninh bất thường, 4Network sẽ gửi cảnh báo để quản trị viên có thể xử lý và khắc phục kịp thời.
• Gửi báo cáo định kỳ: Hàng tuần và hàng tháng, 4Network sẽ tổng hợp mọi thông tin để doanh nghiệp có thể nắm được hiện trạng an ninh mạng nội bộ của mình.
• Đề xuất phương án khắc phục: Các chuyên gia của X-SBox sẽ đưa ra hướng dẫn khắc phục lỗ hổng để quản trị viên có thể xử lý triệt để các lỗ hổng và điểm yếu đang tồn tại.

b. Đánh giá An ninh Website: X-SBox 4Website

• Giám sát hệ thống website 24/7: Bằng công nghệ hiện đại, 4 Website sẽ giám sát website 24/7 nhằm phát hiện tức thời các mối đe dọa đang ẩn náu trong hệ thống mạng của doanh nghiệp. 
• Cảnh báo tức thời: Khi phát hiện bất cứ điểm yếu hay lỗ hổng nghiêm trọng nào, 4Website sẽ ngay lập tức gửi cảnh báo để quản trị viên kịp thời xử lý và khắc phục. 
•  Gửi báo cáo định kỳ: 4Website sẽ gửi báo cáo hàng tuần và hàng tháng để doanh nghiệp có thể nắm bắt chi tiết về tình hình an ninh website của mình.
• Hướng dẫn khắc phục lỗ hổng: Các chuyên gia của X-SBox sẽ đưa ra hướng dẫn khắc phục lỗ hổng để quản trị viên có thể xử lý triệt để các lỗ hổng và điểm yếu đang tồn tại.

c. Đánh giá Hệ thống máy chủ Dịch vụ; X-SBox 4Service Server

Máy chủ và máy chủ ứng dụng (ứng dụng web, ứng dụng mail, ứng dụng Cơ sở dữ liệu…) là một trong những thành phần quan trọng nhất trong hệ thống Công nghệ thông tin của một tổ chức. Không chỉ đảm bảo cho các ứng dụng và dịch vụ hoạt động ổn định liên tục, hệ thống máy chủ còn chứa đựng những tài sản thông tin vô cùng quý giá. Do đó, máy chủ luôn là mục tiêu tấn công ưa thích của các Hacker, từ những tấn công chiếm đoạt thông tin đến tấn công từ chối dịch vụ.

Tính năng của dịch vụ

• Đánh giá sâu, kiểm tra các cấu hình, các bản vá lỗi và các ứng dụng.
• Dò quét với trên 60.000 bài test điểm yếu trên nhiều hệ điều hành khác nhau:
• Microsoft Windows, Unix, Cisco, Linux, VMWare, VPS,…
• Thực hiện quét đồng thời nhiều dải IP khác nhau.
• Phát hiện điểm yếu liên quan đến cấu trúc, thiết kế của hệ thống.
• Phát hiện những bản vá lỗi, hotfix chưa được vá trên các máy chủ.
• Phát hiện mã độc trên các máy chủ.
• Phát hiện điểm yếu liên quan đến mật khẩu: không đặt mật khẩu, mật khẩu yếu,dễ đoán.
• Giúp cho quản trị viên có bức tranh toàn cảnh hiện trạng hệ thống máy chủ mà mình đang quản trị.

Quy trình đánh giá

• Thu thập thông tin: Thu thập tất cả thông tin liên quan đến mục tiêu cần đánh giá.
• Nhận diện hệ thống máy chủ: Nhận diện loại hệ điều hành, phiên bản hệ điều hành trên hệ thống máy chủ.
• Dò quét tìm kiếm các lỗ hổng điểm yếu bảo mật trên hệ thống máy chủ: Dò quét, tìm kiếm các điểm yếu bảo mật như patch, hotfix, mã độc, điểm yếu mật khẩu … trên hệ thống máy chủ
• Tấn công, khai thác lỗ hổng: Từ danh sách các lỗ hổng và điểm yếu bảo mật xác định được từ bước trước chúng tôi thực hiện thử nghiệm tấn công, khai thác vào các hệ thống có điểm yếu bảo mật.
• Báo cáo và khuyến nghị khắc phục: Đưa ra báo cáo đánh giá các điểm yếu phát hiện được và đưa ra khuyến nghị, tư vấn phương án khắc phục các điểm yếu.

 Lợi ích khi sử dụng dịch vụ 

• Phát hiện các điểm yếu trong kiến trúc hệ thống.
• Phát hiện sớm điểm yếu trên hệ thống máy chủ.
• Kịp thời can thiệp, ngăn chặn kẻ tấn công khai thác điểm yếu.
• Kịp thời khắc phục điểm yếu.
• Đảm bảo hệ thống máy chủ luôn được vận hành ổn định và liên tục.

 d. Đánh giá Hệ thống Cơ Sở Dữ Liệu: X-SBox 4Database

 Sử dụng các công cụ dò quét và kinh nghiệm đánh giá của các chuyên gia Misoft, chúng tôi tự tin có thể cung cấp dịch vụ với những tính năng:

• Thực hiện hơn 1000 bài kiểm tra dựa theo yêu cầu của các tiêu chuẩn như PCIDSS, SOX , HIPAA, DISA STIG, CIS Benchmarks,…
• Hỗ trợ đánh giá những hệ quản trị cơ sở dữ liệu phổ biến như: Oracle, Microsoft SQL, IBM DB2, MySQL, Sybase, PostgreSQL,…
• Phát hiện những điểm yếu trên máy chủ CSDL (theo quy trình đánh giá Server Penetration Testing).
• Phát hiện những bán vá lỗi, hotfix của HQTCSDL chưa được cài đặt.
• Phát hiện những điểm yếu liên quan đến tài khoản, mật khẩu, phương thức xác thực trên CSDL.
• Phát hiện những điểm yếu liên quan đến quá trình lưu trữ và truyền dữ liệu, đặc biệt là các dữ liệu nhạy cảm, có giá trị.
• Giúp cho quản trị viên có bức tranh toàn cảnh hiện trạng hệ thống CSDL mà mình đang quản trị.

 Quy trình đánh giá của dịch vụ

• Quá trình đánh giá điểm yếu An toàn thông tin cho hệ thống CSDL bao gồm 4 bước chính sau:
• Thu thập thông tin: Thu thập các thông tin về HQTCSDL và máy chủ CSDL
• Đánh giá và rà soát tìm kiếm các lỗ hổng điểm yếu bảo mật: Đánh giá và tìm kiếm các điểm yếu trên HQTCSDL và máy chủ CSDL
• Tấn công, khai thác lỗ hổng: Từ danh sách các lỗ hổng và điểm yếu bảo mật xác định được từ bước trước, chúng tôi thực hiện thử nghiệm các tấn công, khai thác các điểm yếu nhằm chứng minh sự tồn tại của điểm yếu, lỗ hổng bảo mật.
• Báo cáo và khuyến nghị khắc phục: Đưa ra báo cáo đánh giá các điểm yếu phát hiện được. Đưa ra khuyến nghị, tư vấn phương án khắc phục các điểm yếu.

 Lợi ích của dịch vụ

• Phát hiện sớm các điểm yếu, lỗ hổng bảo mật trong hệ quản trị cơ sỡ dữ liệu(HQTCSDL).
• Phát hiện sớm các điểm yếu, lỗ hổng bảo mật trên máy chủ chứa CSDL.
• Phát hiện sớm các điểm yếu liên quan đến cấu hình quản trị HQTCSDL.
• Phát hiện khả năng đang bị hacker tấn công và trích xuất dữ liệu.
• Kịp thời can thiệp, ngăn chặn kẻ tấn công khai thác điểm yếu.
• Kịp thời khắc phục điểm yếu.

 e. Đánh giá Ứng dụng Mobile và các Ứng dụng Desktop: X-SBox 4Mobile App

• Mobile Application Penetration Test: Phương pháp đánh giá này thực hiện kiểm tra hoạt động, chức năng, các kết nối của ứng dụng thông qua việc cài đặt ứng dụng này lên các thiết bị thông minh nhằm phân tích và đánh giá các điểm yếu bảo mật tồn tại trên ứng dụng.
• Mobile Application Source Code Review: Phương pháp đánh giá này thực hiện việc biên dịch và phân tích mã nguồn của ứng dụng để đánh giá các điểm yếu bảo mật tồn tại trên ứng dụng.

Tính năng và quy trình thực hiện

 Sử dụng các công cụ đánh giá hàng đầu như: Verimatrix, Defensics, AppCheck,… và phương pháp đánh Quy trình tự động dưới sự thực hiện của các chuyên gia dựa trên tiêu chuẩn OWASP Mobile Security, OWASP MSTG (Mobile Security Testing Guide) v1.2 và OWASP API Security Top 10, Phương pháp kiểm tra an ninh mã nguồn mở thủ công Open Source Security Testing Methodology Manual (OSSTMM) để đánh giá các lỗ hổng có thể xảy ra đối với các ứng dụng và máy chủ API kết nối với ứng dụng di động 

• Kiểm tra việc bảo vệ dữ liệu của ứng dụng
• Kiểm tra các chức năng và kết nối mạng của ứng dụng
• Kiểm tra việc kiểm duyệt dữ liệu đầu vào
• Kiểm tra xác thực
• Kiểm tra quản lý phiên
• Kiểm tra quản lý thông tin cá nhân
• Thực hiện dịch ngược và phân tích
• Khai thác ứng dụng Web phía Client
• Kiểm tra ghi nhật ký

Lợi ích của dịch vụ

Đánh giá thực tế các lỗ hổng bảo mật trên ứng dụng di động; Xác thực phương thức thực hành tốt nhất cho thiết kế an toàn; Đảm bảo cơ chế xác thực, cấp quyền và mã hoá mạnh mẽ; Tìm ra các kẽ hở của ứng dụng hoặc thiết bị di động nhằm tránh việc rò rỉ hoặc đánh cắp dữ liệu

• Phát hiện các điểm yếu liên quan đến những thư viện được ứng dụng sử dụng.
• Phát hiện sớm các điểm yếu có thể bị hacker lợi dụng tấn công.
• Phát hiện các chức năng nguy hiểm của ứng dụng: tự động kết nối, nghe lén thông tin, ăn cắp tài khoản,…
• Phát hiện các mã độc tồn tại trên ứng dụng.
• Phát hiện điểm yếu liên quan đến mật khẩu: không đặt mật khẩu, mật khẩu yếu, dễ đoán.
• Hỗ trợ thực hiện đánh giá trên các nền tảng di động phổ biến: Android, iOS…

f. Đánh giá ATTT điện toán đám mây – Cloud: X-SBox 4Cloud 

Đi cùng với sự tiện lợi trong khả năng truy cập và triển khai (Availability) là những rủi ro liên quan đến các vấn đề bảo mật và toàn vẹn dữ liệu (Confidentiality, Integrity). X-SBox hiểu được điều cấp thiết trong các vấn đề đảm bảo an toàn thông tin cho các hệ thống triển khai trên cloud và đã thực hiện nghiên cứu, bổ sung và áp dụng các tiêu chuẩn an toàn cho nhóm các hệ thống này. Các tiêu chuẩn được xây dụng dựa trên các tiêu chuẩn mà các tổ chức trên thế giới công bố, kết hợp kinh nghiệm hoạt động trong lĩnh vực an toàn thông tin trong vòng thập kỷ qua. Với đội ngũ chuyên gia dày dặn kinh nghiệm, chúng tôi sẽ cung cấp cho khách hàng chất lượng dịch vụ tốt nhất, nâng cao rõ rệt chất lượng an toàn thông tin hệ thống đáp ứng theo đúng các tiêu chuẩn quốc tế.

Tính năng chính của dịch vụ

• Tri thức chuẩn hóa

Nền tảng của dịch vụ dựa trên sự đúc kết tri thức của các chuyên gia giàu kinh nghiệm. Quá trình đánh giá tuân thủ theo checklist chuẩn hóa quốc tế từ các tài liệu của hãng và đặc biệt là bộ tiêu chuẩn CIS Foundations Benchmark. Bao gồm cơ bản 3 tiêu chuẩn sau:

• Kết quả dựa trên rủi ro thực tế

Kết quả đánh giá không chỉ dựa hoàn toàn vào checklist mà còn được đánh giá thực tế với những thông tin và bằng chứng rủi ro cụ thể. Các nội dung đánh giá tập trung vào 4 nhóm:

• Kiến trúc triển khai 

• Tư vấn giải pháp Chuyên sâu

Kết quả đánh giá không chỉ dừng lại ở việc chỉ ra các vấn đề, sản phẩm cuối cùng sẽ đưa ra các khuyến nghị khắc phục, tư vấn chuyên sâu về phương pháp headerning và kiến trúc triển khai bền vững. Ngoài ra, đối với các hệ thống đã tích hợp CICD sẽ có thêm tư vấn về triển khai DevSecOps.

• ​Nhân sự chất lượng cao

Nhân sự triển khai dịch vụ có kinh nghiệm nhiều năm trong lĩnh vực an toàn thông tin với các chứng chỉ quốc về triển khai như CEH, OSCP, AWS Certification,…

• Bước 1: X-SBox Nghiên cứu khảo sát sơ bộ hệ thống, thống nhất phương án triển khai. Đầu vào cho ước lượng nỗ lực gồm số lượng services và số lượng instance trên từng services.
• Bước 2: X-SBox Đề xuất kế hoạch thực hiện dịch vụ, KH phê duyệt kế hoạch, các nội dung bao gồm nhưng không giới hạn: 

• Bước 3: Khách hàng chuẩn bị toàn bộ điều kiện đảm bảo gồm: danh sách chi tiết phạm vi, kết nối, tài khoản và môi trường để đảm bảo cho quá trình đánh giá.
• Bước 4: Theo kế hoạch, X-SBox thực hiện đánh giá các đối tượng trong phạm vi
• Bước 5: Sau khi đánh giá, X-SBox gửi kết quả đánh giá và hướng dẫn khắc phục các điểm yếu chỉ ra.
• Bước 6: Nếu kết quả đánh giá chứa các lỗ hổng, điểm yếu khách hàng thực hiện khắc phục theo hướng dẫn. Sau khi khắc phục xong, khách hàng gửi yêu cầu đánh giá lại các khắc phục, các bước tương tự yêu cầu đánh giá ban đầu. Quy trình kết thúc trong các trường hợp sau: 

Lợi ích mang lại 

• Đánh giá, tư vấn các vấn đề an toàn thông tin về mặt kiến trúc cho các hệ thống triển khai trên hạ tầng Public Cloud phổ biến (Amazon Web Service, Google Cloud, Microsoſt Azure). 
• Rà soát, đánh giá các vấn đề trong thiết lập phân quyền, phân nhóm. 
• Rà soát, đánh giá các vấn đề misconfiguration trong các dịch vụ sử dụng. 
• Review source code sử dụng trong các dịch vụ kịch bản của các dịch vụ (AWS Lambda, Google Cloud Function, Azure Functions) • Tư vấn các giải pháp, cách khắc phục cho từng vấn đề phát hiện.

g. Phân tích và rà quét Mã độc: X-Sbox 4Malware Analysis

• Phát hiện tối đa và chính xác các loại mã độc đang tồn tại trong hệ thống, bao gồm các loại mã độc mới nhất và nguy hiểm nhất như mã độc tấn công có chủ đích, mã độc nằm vùng (APT), mã độc mã hóa tống tiền (Ransomware).
• Thực hiện rà quét mã độc trên nhiều môi trường mạng khác nhau, cho các hệ điều hành khác nhau (Windows/Linux), cho mạng kín và mạng mở, đặc biệt cho các mạng IT và OT (công nghiệp).
• Tư vấn giải pháp tổng thể và toàn diện về phòng chống virus máy tính theo tiêu chuẩn Việt Nam và quốc tế.

Các sản phẩm sử dụng trong quá trình triển khai dịch vụ:

• PCAudit: Hệ thống kiểm tra chính sách an toàn thông tin cho máy tinh, máy chủ.
• EDR: Phần mềm rà quét và phát hiện các mối nguy hiểm (bao gồm cả mã độc) cho máy tính, máy chủ.
• DS SIEM: Hệ thống phát hiện mã độc truyền tin trên môi trường mạng.
• Network Detection: Hệ thống phát hiện lỗ hổng của các phần mềm, máy tính, máy chủ và các thiết bị mạng.
• Malware Analysis: Hệ thống phân tích Mã độc dựa trên công nghệ Sandbox và AI 

 X-SBox Center dành cho hệ thống mạng lớn, giữ nhiệm vụ quản lý tập trung các thiết bị X-SBox 4Network, 4Website, 4Server, 4Database, 4MobileApp, 4Cloud. Trong bài toán tổng thể này thì từng thành phần đóng vai trò Cảm biến

• Kết nối và quản lý các cảm biến đặt tại các mạng địa phương
• Cảnh báo tức thời các lỗ hổng và nguy cơ an ninh mạng
• Đồng bộ dữ liệu từ tất cả các cảm biến trong hệ thống
• Gửi kết quả đến hệ thống SIEM, tuân thủ quy trình của SOC
• Thống kê, báo cáo thực trạng an ninh mạng của toàn hệ thống
• Quản trị hệ thống theo vai trò, nhiệm vụ và phân cấp tài khoản

 4. Ưu điểm và Lợi Ích Dịch vụ mang lại

• Quản lý Lỗ hổng và nguy cơ theo cấu trúc phòng ban, tổ chức

• Quy trình khắc phục lỗ hổng thông minh

• Cảnh báo tức thời các dấu hiệu an ninh bất thường

• Hỗ trợ xuất báo cáo chuẩn quốc tế bằng tiếng Việt

• Huấn luyện Giải pháp thích nghi với hệ thống mạng

• Tích hợp cảnh báo thông qua SMS