Pentest Grey-box là gì? 

Khi nghĩ về tấn công mạng, hình ảnh quen thuộc thường là một hacker vô danh ngồi ở đâu đó, cố gắng đột nhập từ bên ngoài vào hệ thống kín cổng cao tường. Nhưng thực tế cho thấy một bức tranh khác: phần lớn các sự cố bảo mật nghiêm trọng xuất phát từ việc lạm dụng quyền truy cập đã có sẵn – một tài khoản nhân viên bị đánh cắp, một tài khoản khách hàng bị chiếm đoạt, hoặc một đối tác được cấp quyền hạn chế nhưng tìm cách khai thác vượt quá phạm vi được phép.

Pentest Grey-box là phương pháp được thiết kế đặc biệt để mô phỏng chính xác nhóm rủi ro này. Đây cũng là lý do khiến grey-box trở thành phương pháp kiểm thử xâm nhập được lựa chọn phổ biến nhất trong thực tế, vượt qua cả black-box và white-box về tần suất áp dụng tại nhiều doanh nghiệp.

Pentest Grey-box hoạt động như thế nào?

Khác với black-box (không có thông tin gì) và white-box (có toàn bộ thông tin), grey-box cung cấp cho chuyên gia kiểm thử một lượng thông tin hạn chế, thường tương đương với những gì một người dùng thông thường hoặc một tài khoản có quyền hạn thấp trong hệ thống sẽ có. Điều này có thể là một tài khoản khách hàng thông thường, quyền truy cập ở mức nhân viên cơ bản, hoặc một số tài liệu kỹ thuật tổng quan không bao gồm mã nguồn chi tiết.

Với điểm khởi đầu này, chuyên gia không cần lãng phí thời gian cho việc trinh sát cơ bản từ con số không như trong black-box, mà có thể tập trung ngay vào câu hỏi quan trọng nhất: từ vị trí quyền hạn hiện tại, kẻ tấn công có thể leo thang đến đâu, truy cập được những gì vượt quá phạm vi được cấp phép, và gây ra thiệt hại gì cho hệ thống hoặc dữ liệu của người dùng khác.

Ba kịch bản thực tế mà Grey-box mô phỏng chính xác nhất

Kịch bản thứ nhất là nhân viên nội bộ có ý đồ xấu hoặc bị lợi dụng. Trong mọi tổ chức, luôn tồn tại một tỷ lệ nhân viên có quyền truy cập hệ thống ở mức độ nhất định nhưng không thuộc nhóm quản trị cấp cao. Grey-box giúp trả lời câu hỏi: nếu một trong số họ cố tình lạm dụng quyền hạn được cấp, họ có thể gây ra thiệt hại đến mức nào.

Kịch bản thứ hai là tài khoản khách hàng bị chiếm đoạt. Đây là tình huống cực kỳ phổ biến trong thực tế, khi mật khẩu người dùng bị rò rỉ từ một vụ vi phạm dữ liệu khác và bị tái sử dụng để đăng nhập trái phép. Grey-box kiểm tra xem từ một tài khoản khách hàng bình thường, kẻ tấn công có thể truy cập được dữ liệu của người dùng khác hay không, hay có thể thực hiện các hành động vượt quá phạm vi tài khoản cá nhân của mình hay không.

Kịch bản thứ ba là đối tác hoặc nhà cung cấp bên thứ ba có quyền truy cập giới hạn. Nhiều doanh nghiệp cấp quyền truy cập một phần hệ thống cho đối tác kỹ thuật, nhà cung cấp dịch vụ hoặc đơn vị outsource. Grey-box đánh giá liệu ranh giới quyền hạn đó có thực sự được thực thi nghiêm ngặt hay có thể bị vượt qua.

Vì sao Grey-box thường phát hiện được lỗi kiểm soát truy cập tốt nhất?

Lỗi kiểm soát truy cập bị hỏng (Broken Access Control) liên tục nằm trong nhóm rủi ro bảo mật web nghiêm trọng nhất theo các bảng xếp hạng an ninh mạng toàn cầu trong nhiều năm liền. Đây là loại lỗi mà một người dùng, dù chỉ có quyền hạn thấp nhất, vẫn có thể truy cập trái phép vào dữ liệu hoặc chức năng lẽ ra chỉ dành cho người dùng khác hoặc quản trị viên.

Loại lỗi này gần như không thể phát hiện hiệu quả bằng black-box, vì chuyên gia không có tài khoản nào để thử nghiệm việc truy cập chéo giữa các người dùng. Nó cũng khó phát hiện bằng white-box thuần túy nếu chỉ tập trung rà soát mã nguồn mà không thử nghiệm thực tế hành vi hệ thống với một tài khoản cụ thể. Grey-box, với một tài khoản thực có quyền hạn xác định, là phương pháp lý tưởng để phát hiện chính xác những lỗ hổng phân quyền này thông qua thử nghiệm trực tiếp.

Khi nào doanh nghiệp nên chọn Grey-box?

Grey-box là lựa chọn phù hợp nhất cho các ứng dụng có nhiều cấp độ người dùng khác nhau chẳng hạn nền tảng có cả tài khoản khách hàng thông thường, tài khoản đối tác và tài khoản quản trị viên. Đây cũng là phương pháp được khuyến nghị cho các đợt kiểm thử định kỳ hàng năm, vì mang lại sự cân bằng tối ưu giữa chi phí, thời gian và độ sâu phát hiện lỗ hổng thực tế.

Với những doanh nghiệp có ngân sách hạn chế nhưng vẫn muốn kiểm thử có chiều sâu hơn black-box thuần túy, grey-box thường là lựa chọn thực tế và hiệu quả nhất về mặt chi phí trên mỗi lỗ hổng có giá trị thực tiễn cao được phát hiện.

Dịch vụ Pentest từ 405CYSE

405CYSE triển khai dịch vụ kiểm thử xâm nhập Grey-box với quy trình được thiết kế riêng cho từng hệ thống, tùy chỉnh mức độ thông tin và quyền truy cập ban đầu để đảm bảo kết quả kiểm thử phản ánh đúng nhất kịch bản rủi ro mà doanh nghiệp thực sự lo ngại dù đó là rủi ro từ nhân viên nội bộ, tài khoản khách hàng bị chiếm đoạt hay đối tác bên thứ ba.

Với giải pháp Pentest NextGen ứng dụng AI, quá trình kiểm thử phân quyền và leo thang đặc quyền được thực hiện nhanh chóng và toàn diện hơn, giúp phát hiện những đường dẫn khai thác phức tạp mà kiểm thử thủ công đơn thuần dễ bỏ sót.

Liên hệ tư vấn dịch vụ Pentest 

Grey-box không phải là phương pháp kiểm thử “ở giữa” theo nghĩa thỏa hiệp, mà là phương pháp phản ánh chính xác nhất loại rủi ro phổ biến nhất trong thực tế: sự lạm dụng quyền hạn đã có sẵn. Với phần lớn doanh nghiệp có hệ thống phục vụ nhiều loại người dùng khác nhau, grey-box thường là điểm khởi đầu hợp lý nhất cho một chương trình kiểm thử xâm nhập định kỳ, mang lại tỷ lệ giá trị trên chi phí đầu tư cao nhất trong ba phương pháp.