Penetration testing, hay còn được gọi là “pentest” là một phương pháp hoặc các bài thử nghiệm để đánh giá mức độ bảo mật của một tổ chức. Các bài thử nghiệm được thực hiện trong một phạm vi cho phép, mô phỏng lại các kịch bản tấn công của những kẻ tấn công trái phép. Khi phát hiện lỗ hổng bảo mật, sẽ thực hiện các kĩ thuật leo thang đặc quyền để truy cập vào các thông tin bí mật, các thông tin cá nhân, dữ liệu tài chính, tài sản trí tuệ hoặc bất cứ các thông tin nhạy cảm nào khác. Sau khi thực hiện pentest, các chuyên gia sẽ đưa ra một báo cáo chi tiết phương thức khai thác lỗ hổng bảo mật và khuyến cáo để vá lỗ hổng. Điều này sẽ làm giảm thiểu các nguy cơ cho hệ thống.

Hầu hết các tiêu chuẩn trên thế giới hiện nay đều yêu cầu phải có thực hiện pentest hệ thống. Pentest có thể xác định được các lỗ hổng vô tình xuất hiện trong khi thay đổi môi trường của hệ thống như nâng cấp hoặc cấu hình lại hệ thống Pentest cần được tích hợp vào quy trình phát triển phần mềm để ngăn chặn các lỗ hổng xảy đến ngay trong giai đoạn phát triển. Về góc nhìn của khách hàng, các tổ chức đã áp dụng các biện pháp pentest sẽ có uy tín và cam kết hơn về việc lưu trữ dữ liệu cá nhân của khách hàng một cách an toàn. Pentest giúp đánh giá được mức độ bảo mật của các công ty, tổ chức mà chuẩn bị được mua lại Pentest sẽ giúp tổ chức đánh giá được cả các lỗ hổng mới xuất hiện hoặc các lỗ hổng chưa được công bố rộng rãi. Pentest ngay ở giai đoạn phát triển phần mềm là rất quan trọng, vì nó sẽ giảm thiểu tối đa các lỗ hổng bảo mật và khắc phục vá lỗi cũng đơn giản hơn rất nhiều.

Cả Pentest và dùng các công cụ tự động để rà soát hệ thống đều đem lại những lợi ích cho hệ thống, mặc dù đây là các phương pháp khác nhau nhưng chúng sẽ bổ sung cho nhau và đều nên thực hiện cả 2 phương pháp Sử dụng các công cụ rà soát tự động sẽ có chi phí thấp và hiệu quả đối với các lỗ hổng phổ biến như: misconfiguration, missing patch và một số lỗ hổng khác. Tuy nhiên sẽ có các tỉ lệ phát hiện nhầm và chúng không xác định đầy đủ được các mức độ ảnh hưởng khi bị khai thác Khác với công cụ tự động, pentest bằng chuyên gia sẽ có cái nhìn tổng thể và toàn diện hơn về hệ thống, công cụ phục vụ pentest chủ yếu là các công cụ hỗ trợ chuyên gia thu thập thông tin hoặc khai thác một số thành phần, việc thực hiện pentest sẽ được các chuyên gia phân tích các luồng làm việc, các nghiệp vụ, chứng minh được leo thang đặc quyền và khả năng truy cập vào các thông tin nhạy cảm của tổ chức.

Thời gian thực hiện pentest phụ thuộc vào mức độ phức tạp và độ lớn của hệ thống, bao gồm các phần lập kế hoạch, phạm vi pentest, sau khi thực hiện pentest sẽ có lập báo cáo và thảo luận vá lỗ hổng. Hệ thống càng lớn thì càng đòi hỏi nhiều nhân lực và thời gian. Tuy nhiên, khoảng thời gian ước chừng sẽ từ 4 đến 6 tuần để hoàn tất một quá trình pentest. Nếu hệ thống quá phức tạp thì chúng ta nên chia ra làm nhiều giai đoạn.

Tóm lại, hệ thống rà soát khi thực hiện rà soát có thể gây ra một vài ảnh hưởng nhỏ đối với website của bạn, tuy nhiên chúng ta cần phải chấp nhận một vài ảnh hưởng đó để tìm ra lỗ hổng vì nếu những lỗ hổng đó được phát hiện bởi tin tặc thì rất có thể website của bạn sẽ bị phá hoại nặng nề hơn rất nhiều.