Phương pháp kiểm thử xâm nhập

Cập nhật lần cuối: 14 tháng 10, 2026.

Trang này giải thích cách chúng tôi kiểm tra bảo mật hệ thống của bạn, từ thỏa thuận ban đầu đến lần kiểm tra lại.

Trước khi bắt đầu kiểm thử

Phạm vi bằng văn bản. Hai bên thống nhất những địa chỉ, ứng dụng và máy chủ nào được kiểm thử, và những gì tuyệt đối không được động đến.
Sự cho phép bằng văn bản từ bên có thẩm quyền đối với các hệ thống đó. Nếu hệ thống chạy trên dịch vụ của bên khác (cloud, hosting hoặc ứng dụng SaaS), chúng tôi đảm bảo việc kiểm thử tuân theo quy định của nhà cung cấp đó.
Quy tắc thực hiện. Lịch kiểm thử, người liên hệ khẩn cấp của cả hai bên, các địa chỉ IP chúng tôi dùng để kiểm thử và những việc bị cấm.
Thỏa thuận bảo mật trước khi chúng tôi xem bất cứ thứ gì trong hệ thống của bạn.

Thiếu một trong bốn điều này, việc kiểm thử sẽ không bắt đầu.

Các tiêu chuẩn chúng tôi áp dụng

Ứng dụng web và API: OWASP Web Security Testing Guide và OWASP Top 10. Chúng tôi kiểm tra xác thực, phân quyền, logic nghiệp vụ, xử lý dữ liệu đầu vào và cấu hình.
Hạ tầng và mạng: lập bản đồ các dịch vụ đang mở ra ngoài, kiểm tra cấu hình và bản vá bảo mật, sau đó kiểm thử thủ công ở những phần rủi ro nhất.
Mức độ nghiêm trọng của từng phát hiện được đánh giá theo CVSS, kèm giải thích tác động đến doanh nghiệp bằng ngôn ngữ dễ hiểu.

Công cụ tự động chỉ hỗ trợ. Mọi phát hiện đều được kiểm tra và chứng minh thủ công, nên báo cáo của bạn không đầy cảnh báo sai.

Trong quá trình kiểm thử

Chúng tôi chỉ kiểm thử những gì nằm trong phạm vi, từ các địa chỉ IP đã thông báo trước cho bạn.
Việc kiểm thử được thiết kế để doanh nghiệp của bạn vẫn vận hành: không tấn công nhằm làm sập hệ thống, không xóa hay thay đổi dữ liệu thật. Nếu một bước có rủi ro, chúng tôi hỏi bạn trước.
Nếu phát hiện lỗ hổng nghiêm trọng, ví dụ dữ liệu khách hàng ai cũng mở được, chúng tôi báo ngay cho bạn mà không chờ đến báo cáo cuối cùng.
Nếu có dấu hiệu hệ thống của bạn đã từng bị người khác xâm nhập, chúng tôi dừng kiểm thử ở phần đó và báo cho bạn ngay lập tức.

Dữ liệu của bạn

Dữ liệu chúng tôi thấy trong quá trình kiểm thử chỉ dùng để chứng minh lỗ hổng. Chúng tôi chỉ lấy những gì cần thiết, ví dụ một mẫu chứ không phải cả cơ sở dữ liệu, và mẫu đó được che đi trong báo cáo.
Toàn bộ dữ liệu và bằng chứng kiểm thử (mẫu dữ liệu, ảnh chụp màn hình và kết quả công cụ) được xóa chậm nhất 30 ngày sau khi kiểm tra lại xong. Báo cáo cuối cùng được lưu mã hóa trong một năm để làm tham chiếu cho lần kiểm thử sau, trừ khi bạn yêu cầu xóa sớm hơn.
Chúng tôi không bao giờ công bố phát hiện về hệ thống của bạn. Nghiên cứu chúng tôi công bố chỉ đến từ website của chính mình và từ các lỗ hổng đã được công bố chính thức.

Nội dung báo cáo

Tóm tắt cho ban lãnh đạo: các rủi ro chính và thứ tự ưu tiên khắc phục, không dùng thuật ngữ kỹ thuật quá mức.
Danh sách phát hiện, xếp từ rủi ro cao nhất. Mỗi phát hiện gồm mức độ nghiêm trọng, tác động đến doanh nghiệp, các bước để chứng minh và cách khắc phục.
Những gì đã tốt cũng được ghi lại, để bạn biết phần nào không cần thay đổi.
Báo cáo có bằng tiếng Indonesia hoặc tiếng Anh.

Kiểm tra lại

Sau khi bạn vá xong, chúng tôi kiểm tra lại các phát hiện đó một lần miễn phí, trong vòng 60 ngày kể từ khi bàn giao báo cáo. Kết quả được bổ sung vào báo cáo, để bạn có bằng chứng rằng lỗ hổng đã được khắc phục.

Những việc chúng tôi không làm

Kiểm thử khi chưa có sự cho phép bằng văn bản, hoặc ngoài phạm vi đã thống nhất.
Tấn công nhằm làm sập hệ thống (DoS).
Tấn công phi kỹ thuật nhắm vào nhân viên của bạn, như email lừa đảo hay cuộc gọi giả mạo. Việc này hiện chưa nằm trong dịch vụ của chúng tôi.
Lưu giữ, bán hay chia sẻ dữ liệu của bạn.

Câu hỏi

Bạn muốn biết việc kiểm thử có phù hợp với hệ thống của mình không? Hãy liên hệ qua trang liên hệ. Nếu bạn phát hiện lỗ hổng bảo mật trên website của chúng tôi, hãy báo cho chúng tôi tại security@digimasi.com.