Tìm hiểu về Security Testing

Tại sao phải kiểm tra bảo mật?

Điều gì xảy ra nếu tất cả các tài liệu mật của tổ chức bạn bị đánh cắp, hoặc điều đó xảy ra với một trong những khách hàng của bạn? Một lỗ hổng trong ứng dụng của bạn hoàn toàn có thể làm tê liệt kinh doanh của bạn và danh tiếng của mình trên thị trường. Tất nhiên, điều này có thể dẫn đến thảm họa khi một lỗ hổng trong ứng dụng của bạn được khai thác bởi một bên thứ ba với những hậu quả như:

• Thiệt hại to lớn đến thương hiệu của tổ chức
• Vĩnh viễn mất niềm tin của khách hàng
• Thời gian chết của phần mềm tàn phá năng suất tổ chức - năng suất của tổ chức thời gian sau khi khắc phục thiệt hại
• Chi phí khắc phục lỗ hổng tốn kém
• Các vụ kiện dân sự và hình phạt pháp lý.

Do đó, một phần mềm mà không có khả năng bảo vệ dữ liệu và không có khả năng duy trì các dữ liệu theo yêu cầu là không thê sử dụng. Security Testing là có thể coi là một trong những thử nghiệm quan trọng nhất đối với một ứng dụng.

I. Tìm hiểu chung

Security là gì?

Security là các biện pháp được thiết lập để bảo vệ một ứng dụng chống lại các hành động không lường trước được rằng các hành động đó sẽ ảnh hưởng hoặc phá hủy ứng dụng. Hành động không lường trước có thể là cố ý hoặc vô ý.

Security testing là gì?

Security Testing là việc tìm kiếm tất cả cá lỗ hổng có thể và điểm yếu của hệ thống mà có thể dẫn đến mất thông tin trong tay nhân viên hoặc người ngoài của tổ chức. Security Testing rất quan trọng trong ngành công nghiệp CNTT để bảo vệ dữ liệu của tất cả các phương tiện.

Mục đích của Security Testing?

Mục đích của Security Testing là để xác định các mối đe dọa trong hệ thống và đo lường rủi ro tiềm năng của nó. Nó cũng giúp trong việc phát hiện các nguy cơ bảo mật có thể có trong hệ thống và giúp các developer trong việc sửa chữa những vấn đề này thông qua code

Phương pháp

Dưới đây là các phương pháp khác nhau cho Security Testing:

• Tiger Box: được thực hiện trên một máy tính xách tay trong đó có một bộ sưu tập của các hệ điều hành và các công cụ hack. Thử nghiệm này giúp kiểm tra sự thâm nhập và kiểm tra bảo mật để tiến hành đánh giá các lỗ hổng và các cuộc tấn công.
• Black Box: Tester được ủy quyền để làm thử nghiệm trên tất cả mọi thứ về các cấu trúc liên kết mạng lưới và công nghệ.
• Grey Box: là sự kết hợp của mô hình black box và white box

Những khái niệm bạn nên biết trong Security!

• "Lỗ hổng" là gì?

Lỗ hổng là một điểm yếu trong các ứng dụng web. Các nguyên nhân gây ra như một "điểm yếu" có thể là lỗi trong ứng dụng, tiêm (mã SQL / script) hoặc sự hiện diện của virus.

• Hacker : là người thâm nhập vào hệ thống máy tính hoặc truy cập mạng mà không cần ủy quyền
• Cracker: là người đột nhập vào hệ thống để ăn cắp hoặc phá hủy dữ liệu
• Ethical Hacker: là người thực hiện hầu hết các hoạt động vi phạm nhưng với sự cho phép từ chủ sở hữu
• Script Kiddies – Hacker: là người ít kinh nghiệm với các kỹ năng ngôn ngữ lập trình

II. Các loại Security testing

Có bảy loại chính trong Security testing :

III. Tích hợp các quy trình bảo mật với các SDLC:

Các Test scenarios mẫu cho Security Testing:

Các kịch bản thử nghiệm mẫu để cung cấp một cái nhìn thoáng hơn trong Security Testing

• Mật khẩu phải ở trong định dạng mã hóa
• Ứng dụng hoặc hệ thống không nên cho phép người dùng không hợp lệ
• Kiểm tra thời gian cookie và session cho ứng dụng
• Đối với các trang web tài chính, nút Back của Browser lại không nên được hoạt động.

Tham khảo bởi nguồn: http://www.guru99.com/what-is-security-testing.html