Các chuyên viên của Đồng Lợi cùng chuyên gia của các hãng Security sẽ thực hiện đánh giá hệ thống hệ thống dựa trên tiêu chuẩn đánh giá an ninh hệ thống CIS Security Benchmarks, đây là một tiêu chuẩn được được khuyến cáo sử dụng trong các hệ thống yêu cầu thắt chặt các vấn đề về an ninh ở mức độ từ trung bình đến cao. Các hệ thống mà chúng tôi thực hiện đánh giá đa dạng, phục vụ được những yêu cầu đa dạng của khách hàng.
I. Các hạng mục cần đánh giá
1. Hệ điều hành
- Kiểm tra các bảng cập nhật, vá lỗi và các phần mềm bảo mật.
- Kiểm tra cấu hình tập tin hệ thống (Ext3, NTFS).
- Kiểm tra các dịch vụ hệ điều hành.
- Kiểm tra các dịch vụ đặc biệt.
- Kiểm tra log và các dịch vụ theo dõi sự kiện hệ thống (auditing services).
- Kiểm tra cấu hình mạng và tường lửa.
- Kiểm tra vấn đề phân quyền truy cập hệ thống, xác thực.
- Kiểm tra các tài khoản và các môi trường.
- Kiểm tra các cấu hình cảnh báo về quyền.
- Kiểm tra các vấn đề bảo trì hệ thống.
2. Cơ sở dữ liệu
- Kiểm tra cấp độ hệ điều hành.
- Kiểm tra phân quyền tập tin hệ thống.
- Kiểm tra log.
- Kiểm tra các vấn đề chung liên quan đến cơ sở dữ liệu.
- Kiểm tra quyền truy cập cơ sở dữ liệu.
- Kiểm tra các cấu hình tùy chỉnh.
- Kiểm tra các cấu hình SSL.
- Kiểm tra các cấu hình sao lưu và phục hồi sau thảm họa.
3. Máy chủ Web
- Kiểm tra quá trình cài đặt máy chủ web.
- Kiểm tra cấu hình hệ điều hành và quản lý truy cập.
- Kiểm tra các cấu hình bảo mật thư mục lưu trữ mã nguồn web.
- Kiểm tra các cấu hình xác thực và giải pháp mã hóa.
- Kiểm tra các cấu hình SSL/TLS.
- Kiểm tra các cấu hình logging.
- Kiểm tra các cấu hình sao lưu hệ thống.
- Kiểm tra các cấu hình truy cập từ xa và cập nhật nội dung mã nguồn.
4. Network – Security
- Kiểm tra các yêu cầu truy cập thiết bị (AAA, Access rule, Banner rule, Password…).
- Kiểm tra các yêu cầu quản trị thiết bị (Clock, Service, Log, NTP…).
- Kiểm tra các yêu cầu truyền dẫn số liệu (Border routing, Neighbor authentication, Routing rule….).
II. Quy trình đánh giá
Các chuyên viên thực hiện đánh giá thử nghiệm hệ thống mục tiêu bằng các phương pháp tiêm nhiễm, thu thập thông tin mạng hệ thống và khai thác thử nghiệm những lỗ hổng bảo mật được cho là tồn tại trong hệ thống mạng mục tiêu. Toàn bộ quá trình được thực hiện theo 05 nhóm hạng mục bao gồm: Thu thập thông tin, Quét hệ thống, Khai thác tự động, Khai thác thủ công và Phân tích/ Báo cáo.
1. Thu thập thông tin
- Thu thập thông tên miền, danh mục IP, hệ thống đăng nhập, hệ thống máy chủ….
- Thu thập mô hình kinh doanh, thông tin email, DNS, rDNS
2. Quét thông tin
- Thực hiện quét chủ động hệ thống mạng, máy chủ đã thu thập tại bước 01.
- Quét IP, cổng dịch vụ, giao thức sử dụng.
- Quét phiên bản sử dụng dịch vụ hệ thống.
3. Khai thác tự động
- Thực hiện khai thác các lỗ hổng tại hệ thống bằng công cụ tự động.
- Thực hiện tấn công hệ thống mạng bên ngoài, bên trong hệ thống.
- Thực hiện nghe lén chủ động các kết nối trong hệ thống.
- Thực hiện Hijack các kết nối trong hệ thống.
- Thực hiện khai thác vào dịch vụ chủ động.
4. Khai thác thủ công
- Thực hiện phân tích các kết quả tự động và viết khai thác thủ công nếu cần thiết.
- Kết hợp các phương pháp khai thác khác nhau tấn công sâu vào hệ thống.
5. Phân tích và báo cáo
- Thực hiện ghi nhận toàn bộ quá trình thực hiện.
- Thực hiện viết báo cáo tổng quát, phân tích mức độ an toàn hệ thống.