Nội dung bài viết này giảng giải False Positive trong Bảo mật thông tin Ứng dụng Web là gì và tác động tiêu cực của chúng khi đối chiếu với các Chuyên Viên bảo mật thông tin web. Song song, nội dung bài viết cũng giảng giải vì sao các dụng cụ bảo mật thông tin web tự động hóa phổ thông lại tạo ra các False Positive, mà dụng cụ Quét Bảo mật thông tin Ứng dụng Web của Netsparker thì hoàn toàn không.

Bạn Đang Xem: Vấn đề False Positive trong Bảo mật Ứng dụng Web và Cách giải quyết

Thuật ngữ “false positive” được hiểu như một báo động giả, giống như việc báo động nhà đất của bạn được kích hoạt mà lại không có một tên trộm nào cả. Trong bảo mật thông tin ứng dụng web, một False Positive được sử dụng khi khi một trình quét bảo mật thông tin ứng dụng web phát hiện một lỗ hổng trên website của bạn, ví dụ như SQL Injection, nhưng thực tế không hề có lỗi đó.

Các Chuyên Viên bảo mật thông tin web và kỹ sư kiểm thử (PenTester) sử dụng trình quét bảo mật thông tin ứng dụng web tự động hóa để dễ dàng thực hiện quá trình kiểm thử xâm nhập (Penetration Testing), như thể để đảm bảo tất cả tiến công mặt phẳng của ứng dụng web đều được kiểm tra nhanh chóng và đúng cách. Mặc dù vậy, các dụng cụ tự động hóa cũng luôn có thể gây ra một số vấn đề nhất định, như đã được giảng giải ở trên.

Không đủ chi trả cho Bảo mật thông tin Ứng dụng Web do False Positives

Xem Thêm : Phản Ứng Este Hóa Là Gì? Cách Giải Bài Tập Este Hóa

Các trình quét bảo mật thông tin ứng dụng web được nghe biết là đưa ra các false positive, do đó, quá trình PenTest ứng dụng web tiêu tốn thời kì đáng kể vì những PenTester phải xác minh tất cả những văn bản báo cáo lỗ hổng một cách thủ công bằng phương pháp nỗ lực khai thác chúng. Chính vì quá trình dông dài này, nhiều doanh nghiệp không thể chi trả cho bảo mật thông tin ứng dụng web. Tuy nhiên, ngân sách không phải là vấn đề duy nhất mà False Positive tạo ra.

Phớt lờ Lỗ hổng Bảo mật thông tin Web thực

Theo lẽ thường, tất cả chúng ta thường có xu hướng phớt lờ lỗi xác xác thực khá nhanh. Pentester cũng làm điều tương tự trong một lần thử nghiệm xâm nhập ứng dụng web. Ví dụ, một trình quét bảo mật thông tin ứng dụng web phát hiện 200 lỗ hổng cross-site scripting (XSS), nếu 20 biến thể trước nhất là False Positive, Pentester sẽ giả thiết rằng tất cả những biến thể khác cũng là False Positive và bỏ qua tất cả những biến thể còn sót lại. Như vậy, các lỗ hổng ứng dụng web thực có thể không bị phát hiện.

Pentester thiếu tri thức, đồng nghĩa với rất nhiều False Positive trong Báo cáo giải trình Rò quét

Khi một PenTester phải xác minh thủ công các phát hiện của trình quét, kết quả kiểm tra này chỉ tương đương với mức độ tri thức của người kiểm tra đó, chứ không phụ thuộc vào khả năng của trình quét bảo mật thông tin ứng dụng web. Mức độ tri thức của người kiểm tra thường được nhìn nhận và đánh giá dựa trên số năm nghiên cứu chuyên sâu của chính họ. Như tất cả chúng ta đã thấy, vì những Pentesters không tin vào trình quét bảo mật thông tin ứng dụng web, nên họ xác minh mọi lỗ hổng web được văn bản báo cáo mà trình quét web phát hiện.

Nếu người dùng sử dụng trình quét bảo mật thông tin web không thể khai thác một lỗ hổng ứng dụng web cụ thể nào đó do thiếu tri thức hoặc kinh nghiệm, thì lỗ hổng này được xem là False Positive và sẽ không còn bao giờ được sửa chữa.

Trình quét Bảo mật thông tin Ứng dụng Web so với Pentester

Xem Thêm : Faro Ls là gì? Làm thế nào để gỡ cài đặt Faro Ls?

Các chủ Doanh nghiệp và Giám đốc Bình an có thể đắn đo về lựa chọn tối ưu cho bảo mật thông tin ứng dụng web của họ, cụ thể là nên góp vốn đầu tư vào một trong những trình quét bảo mật thông tin ứng dụng web có thể được sử dụng bởi chính viên chức của doanh nghiệp, hay thuê một Chuyên Viên Pentester? Và nếu góp vốn đầu tư vào một trong những trình quét bảo mật thông tin ứng dụng web, liệu họ có viên chức phù hợp để xác minh các kết quả đã được phát hiện không?

Trước hết, phải chỉ ra rằng trình quét bảo mật thông tin ứng dụng web không bao giờ có thể thay thế được Chuyên Viên Pentester, nhưng Pentester cũng không bao giờ có thể đạt được hiệu quả cao như các trình quét tự động hóa. Trong một thử nghiệm xâm nhập website, cả phần mềm và yếu tố con người đều cấp thiết. Thông qua tự động hóa hóa và công nghệ tiến bộ, tất cả chúng ta có thể tự động hóa hóa nhiều hơn, từ đó con người cũng không nhiều phải can thiệp vào quá trình PenTest hơn rất nhiều.

Công nghệ Quét dựa trên Bằng cớ (Proof-Based Scanning)

Giải pháp bảo mật thông tin ứng dụng web hiệu quả và tiết kiệm ngân sách và chi phí ngân sách nhất là trình quét bảo mật thông tin ứng dụng web với công nghệ Proof-Based Scanning; trình quét này còn có thể tự động hóa xác minh các phát hiện của mình bằng phương pháp khai thác các lỗ hổng đã xác định và cung cấp cho những người dùng chứng cứ khai thác. Việc có một trình quét như vậy đem lại lợi ích gấp nhiều lần; kiểm tra bảo mật thông tin sẽ tiêu tốn ít thời kì hơn nhiều và viên chức không nhất thiết phải có nhiều năm kinh nghiệm hack để xác minh kết quả.

Netsparker là trình quét bảo mật thông tin ứng dụng web trước nhất trên thị trường có dụng cụ khai thác như vậy. Ngoài ra, việc khai thác rất an toàn và ở chính sách chỉ được phép đọc, nên không có khả năng làm hỏng tài liệu hoặc làm gián đoạn dịch vụ website. Với loại công nghệ tự động hóa và tự khám phá này, các doanh nghiệp có thể dễ dàng giảm ngân sách cho Khóa học bảo mật thông tin web trong những lúc cải thiện tình trạng bảo mật thông tin của tất cả những tài sản web của họ.

Để biết thêm thông tin về Netsparker, liên hệ với chúng tôi để được tư vấn trực tiếp tại nga@smartnet.net.vn hoặc hotline: 0942686492.