Kiểm tra và phát hiện lỗ hổng bảo mật Website với Acunetix

Công nghệ & ngân hàng số 09:34 | 20/06/2022

Trong thời đại công nghệ số phát triển mạnh mẽ trên toàn cầu hiện nay, bảo mật nói chung và bảo mật Website của doanh nghiệp nói riêng là điều rất cần thiết và không thể xem nhẹ. Acunetix là phần mềm quét lỗ hổng Website hiệu quả nhất hiện nay và đặc biệt hiệu quả đối với việc quét các lỗ hổng như SQL Injection, Cross Site Scripting (XSS)... Trong đó, SQL Injection là kỹ thuật tấn công sửa đổi toàn bộ các truy vấn SQL để có thể truy cập dữ liệu của hệ thống cơ sở dữ liệu của Website. Còn XSS là kỹ thuật tấn công cho phép một hacker có thể thực hiện một kịch bản độc hại ở trên trình duyệt mà người dùng truy cập. Công cụ Acunetix có thể quét các lỗ hổng này ở trên trang Web của người dùng, việc phát hiện lỗ hổng này đòi hỏi cần phải có một công cụ rất tinh vi. Điều tối quan trọng của kỹ thuật quét bảo mật Web không phải ở số lượng những cuộc tấn công máy quét có thể phát hiện mà ở sự phức tạp và triệt để khi quét lỗi. Có rất nhiều công cụ trên thị trường và Acunetix là một trong số những công cụ được sử dụng nhiều. Vậy Acunetix là gì? Acunetix đem lại những lợi ích gì cho người sử dụng?

Khái niệm Acunetix

Acunetix là một trình quét bảo mật trang Web tất cả trong một, với mục tiêu chống lại các lỗ hổng bảo mật trên Web, Acunetix cung cấp một công cụ tự động quét các ứng dụng Web để xác định và giải quyết những vấn đề bảo mật.

Acunetix có một bộ kỹ thuật phát hiện lỗ hổng Website hàng đầu hiện nay cùng với Acunetix AcuSensor giúp thực hiện các cuộc tấn công tự động và hiển thị các lỗ hổng được phát hiện. Đó cũng là một công nghệ bảo mật có thể tìm thấy lỗ hổng nhanh với số lượng cảnh báo giả thấp. Điều này cũng cho thấy, lỗ hổng trong mã nguồn và báo cáo thông tin gỡ lỗi hiệu quả, đồng thời xác định được các lỗ hổng Website như: File inclusion, CRLF, Code execution, Directory Traversal, lỗ hổng khi xác thực...

Acunetix cung cấp một công cụ tự động quét các ứng dụng Web để xác định và giải quyết những vấn đề bảo mật

Lợi ích và sự cần thiết của việc sử dụng Acunetix

Quét lỗ hổng bảo mật

Công nghệ điện toán đám mây và trình duyệt đã có sự phát triển rất mạnh trong thời gian gần đây. Trong môi trường kinh doanh, đây thường là những thành phần quan trọng. Chính vì vậy, tin tặc tiếp tục tập trung vào khu vực này.

Tường lửa và áp dụng tiêu chuẩn công nghệ bảo mật (SSL) có thể giúp tăng cường bảo mật ứng dụng Web. Nhưng những biện pháp này chỉ là cơ bản. Đại diện Công ty cổ phần Công nghệ an ninh không gian mạng Việt Nam cho biết, Acunetix có khả năng phát hiện hơn 4.500 lỗ hổng ứng dụng Web. Nó cũng có thể quét phần mềm mã nguồn mở và các ứng dụng tùy chỉnh.

Có đến 75% cuộc tấn công mạng được thực hiện thông qua các ứng dụng Web hoặc Website. Đa phần các công ty đều muốn đảm bảo dữ liệu của họ ở mức độ cao. Tuy nhiên, họ đã bỏ qua các thao tác quan trọng trong việc đảm bảo các ứng dụng Web. Khi các Website hoàn toàn không được bảo vệ bởi tường lửa thì rất dễ làm mồi cho những kẻ tấn công.

Những người làm phần mềm Acunetix hiểu được cách duy nhất để chống lại những cuộc tấn công vào các trang Web đó là phát triển một công cụ tự động giúp công ty quét ứng dụng Web. Từ đó, xác định cũng như giải quyết các lỗ hổng có thể bị khai thác một cách hiệu quả nhất.

Trình quét lỗ hổng Acunetix được trang bị DeepScan (quét sâu), điều này cho phép thu thập dữ liệu các SPA (Single Page Application). Công cụ AcuSensor kết hợp phương pháp quét hộp đen với phản hồi từ các cảm biến được đặt bên trong mã nguồn. Công ty cũng tuyên bố, “Thử nghiệm SQL Injection và XSS tiên tiến nhất bao gồm phát hiện nâng cao XSS dựa trên DOM”. Hơn nữa, trình tự đăng nhập của nó còn tạo điều kiện thuận lợi cho việc quét tự động những khu vực phức tạp được bảo vệ bằng mật khẩu.

Phần mềm Pentest

Acunetix cho phép nhân viên bảo mật kiểm tra lỗ hổng SQL injection, XSS và các lỗ hổng khác. Nó cũng cho phép quét tự động theo lịch trình. Ngoài ra, công cụ cũng có khả năng cung cấp hỗ trợ đầy đủ cho các SPA hiện đại.

Các công cụ kiểm thử thâm nhập có thể hiểu và kiểm tra những ứng dụng phụ thuộc vào các nền tảng lập trình JavaScript như Angular và React. Điều này có nghĩa là các công cụ kiểm thử thâm nhập có thể quét mọi thứ từ những ứng dụng Web cũ được xây dựng từ các ứng dụng truyền thống đến những ứng dụng Web hiện đại.

Yếu tố báo cáo cũng là một sự bổ sung có giá trị cho doanh nghiệp. Phần mềm có thể tạo ra một loạt các báo cáo như PCI DSS, HIPAA, OWASP... Ngoài ra, nếu người dùng phát hiện ra bất kỳ lỗ hổng nào, họ có thể xuất chúng để phát hành các trình theo dõi như Atlassian JIRA, GitHub và Microsoft Team Foundation Server.

Bảo mật ứng dụng Web

Nói đến bảo mật ứng dụng Web, một trong những điều đầu tiên cần làm là quét các lỗ hổng đã biết. Acunetix sẽ cho phép xác định nhanh chóng và dễ dàng các lỗ hổng đã biết. Điều này bao gồm các trang Web khó quét được xây dựng bằng HTML5 và JavaScript Single Page Applications.

Nói đến các phương pháp kiểm thử, Acunetix không giới hạn ở các kỹ thuật kiểm thử hộp đen. Công nghệ quét hộp xám AcuSensor là một trong số nhiều yếu tố của Acunetix. Điều này cho phép người dùng tự động đánh giá Code phía máy chủ Java, ASP.NET và PHP đã thực thi.

Quét bảo mật mạng

Nói đến bảo mật mạng, các mạng không bảo mật vẫn là nguyên nhân của nhiều vụ rò rỉ dữ liệu (chu vi của một mạng bao gồm những thiết bị nằm ở vòng ngoài và cũng có những thiết bị nằm ở vòng trong của mạng đó). Qua đó, công cụ này giúp người dùng phát hiện ra các cổng đang mở và những dịch vụ đang chạy, đồng thời kiểm tra hơn 50.000 lỗ hổng mạng và cấu hình sai đã biết. Acunetix cũng cho phép người dùng phân tích tính bảo mật của Router, Switch, bộ cân bằng tải và những thứ tương tự. Ngoài ra, thành phần quét bảo mật mạng được trang bị thêm một số khả năng như kiểm tra mật khẩu yếu: FTP, IMAP, Database Server, POP3, Socks, SSH, Telnet; Proxy server được cấu hình không hợp lệ; truy cập FTP ẩn danh và các thư mục có thể ghi qua FTP; mật mã TLS/SSL yếu.

Quét lỗ hổng WordPress

WordPress là một trong những hệ thống quản lý nội dung phổ biến nhất hiện nay. Người ta nói rằng, có khoảng trên 75.000.000 trang Web WordPress đang hoạt động tính đến thời điểm hiện tại. Nhiều cơ chế của hệ thống như thiết bị gắn vào (Plugin), chủ đề (Theme) và quản lý nội dung thân thiện với người dùng khiến WordPress trở thành lựa chọn hàng đầu cho hầu hết mọi người. Nhưng, điều này cũng khiến WordPress trở thành mục tiêu của các Hacker. Trình quét lỗ hổng Acunetix WordPress có khả năng:

- Phát hiện các phiên bản WordPress lỗi thời, bao gồm WordPress Core và Plugin không có các bản vá bảo mật quan trọng.

- Xác định phần mềm độc hại đôi khi nằm dưới vỏ bọc của các Theme và Plugin WordPress của bên thứ ba.

- Phát hiện tên người dùng WordPress có thể được sử dụng để xâm phạm tài khoản.

- Khám phá các file wp-config.php có sẵn công khai được tiết lộ.

- Xác định xem có dễ bị tấn công brute force XML-RPC hay không.

Kết luận

Acunetix là một công cụ hoàn toàn tự động, giúp giải phóng tài nguyên nhóm bảo mật của doanh nghiệp. Công cụ báo cáo rất ít trường hợp không chính xác, vì vậy, nhóm bảo mật sẽ không mất thời gian cố gắng tìm ra các vấn đề không tồn tại.

Acunetix có thể phát hiện các lỗ hổng mà những công nghệ khác thường bỏ sót, vì nó kết hợp những công nghệ quét tĩnh và động tốt nhất, sử dụng một tác nhân giám sát riêng biệt.

Acunetix cung cấp chức năng quản lý lỗ hổng bảo mật và báo cáo tuân thủ. Người dùng có thể phân loại, xếp hạng và kiểm tra lại các vấn đề. Ngoài ra, cũng có thể tích hợp những trình theo dõi vấn đề và các giải pháp tích hợp liên tục.

Phần mềm Acunetix cũng có những tùy chọn phù hợp, người sử dụng có thể tận dụng để kiểm soát nhiều hơn các trang Web mà người dùng muốn hoặc không thu thập dữ liệu quét. Người dùng có thể lựa chọn các trang mà mình muốn loại trừ bằng cách kiểm tra sau khi thu thập thông tin và lựa chọn File để tùy chọn quét. Thậm chí là nhập các kết quả từ những công cụ khác như: Portswigger’s BurpSuite, Telerik’s Fiddler và Acunetix WVS.

Acunetix là một máy quét hộp đen, nên chúng có thể quét bất kỳ một trang Web hoặc ứng dụng Web nào. Quy trình quét này không phụ thuộc vào công nghệ hoặc các ngôn ngữ lập trình mà Website người dùng đang sử dụng. Nó chủ yếu thực hiện việc kiểm thử một trang Web hoặc ứng dụng Web mà không cần bất cứ kiến thức về cách thức một trang Web làm việc.

Ngoài những tính năng trên, Acunetix còn đi kèm với một loạt các công cụ thử nghiệm thâm nhập tích hợp bằng tay khác. Các công cụ này cho phép người dùng quét tự động và kiểm tra kết quả bằng tay mà không cần phải chuyển đổi các công cụ.

Có thể nói rằng, Acunetix có một số thủ thuật thông minh để có thể tùy biến việc quét cho một công nghệ cụ thể. Phần mềm này sẽ cố gắng in dấu vết trên ứng dụng Web để có thể phát hiện các công nghệ đang sử dụng, nó được sử dụng để cắt giảm thời gian quét. Cụ thể như việc người dùng đang kiểm tra một trang Web được xây dựng bằng ngôn ngữ lập trình PHP (Hypertext Preprocessor), tuy nhiên, sẽ không có bất cứ lý do gì để có thể tìm kiếm các lỗ hổng tồn tại trong các ứng dụng Web nếu như Website đó hoạt động ổn định và an toàn.

Nguyễn Minh Dũng
Cục Công nghệ thông tin -NHNN

https://tapchinganhang.gov.vn

Tin bài khác

Khung pháp lý về quản trị dữ liệu cá nhân trong ngân hàng: Giải pháp quản lý hiệu quả và đảm bảo quyền lợi khách hàng

Công nghệ & ngân hàng số

Bài viết phân tích khung pháp lý về bảo vệ dữ liệu cá nhân và thực tiễn quản trị dữ liệu trong lĩnh vực ngân hàng tại Việt Nam, trên cơ sở tham chiếu đến Quy định chung về bảo vệ dữ liệu cá nhân của Liên minh châu Âu từ đó, đề xuất một số kiến nghị nhằm nâng cao hiệu lực quản lý và tăng cường bảo vệ quyền lợi hợp pháp của khách hàng đối với quá trình xử lý dữ liệu cá nhân nói chung trong lĩnh vực ngân hàng.

Quản lý và giám sát tài sản mã hóa: Kinh nghiệm Thái Lan và bài học đối với Việt Nam

Công nghệ & ngân hàng số

Bài viết phân tích kinh nghiệm quản lý tài sản mã hóa của Thái Lan, qua đó gợi mở định hướng hoàn thiện khung pháp lý và nâng cao hiệu quả giám sát thị trường tài sản số tại Việt Nam.

Tích hợp thanh toán không dùng tiền mặt và quản lý thuế thương mại điện tử tại Việt Nam: Khung phân tích và hàm ý chính sách

Công nghệ & ngân hàng số

Bài viết xây dựng khung phân tích tích hợp để khảo sát mối quan hệ giữa thanh toán không dùng tiền mặt (TTKDTM) và quản lý thuế thương mại điện tử (TMĐT) tại Việt Nam, từ đó đề xuất các trụ cột chính sách về dữ liệu số và cải cách thể chế nhằm hiện đại hóa hệ thống thuế trong kỷ nguyên kinh tế nền tảng.

Ứng dụng học tập liên kết trong chấm điểm tín dụng và an ninh tài chính tại Việt Nam

Công nghệ & ngân hàng số

Bài viết phân tích giải pháp Học tập liên kết như một hạ tầng công nghệ thiết yếu giúp ngành Ngân hàng tối ưu hóa việc chấm điểm tín dụng và phát hiện gian lận, đồng thời đảm bảo tuân thủ nghiêm ngặt Luật Bảo vệ dữ liệu cá nhân năm 2025 và cơ chế thử nghiệm có kiểm soát tại Việt Nam.

Từ hệ thống thanh toán truyền thống đến tài sản kỹ thuật số: Cách tiếp cận từ Đạo luật về Hiện đại hóa hệ thống thanh toán năm 2025 của Úc

Công nghệ & ngân hàng số

Bài viết phân tích sự chuyển dịch tư duy lập pháp của Úc trong điều chỉnh hệ thống thanh toán số và tài sản kỹ thuật số thông qua Luật sửa đổi Luật Ngân khố về Payments System Modernisation Act 2025 (Đạo luật về Hiện đại hóa hệ thống thanh toán năm 2025) của Úc, làm rõ cách tiếp cận quản lý dựa trên chức năng và rủi ro, cơ chế phối hợp giám sát liên cơ quan và những hàm ý chính sách cho quá trình hoàn thiện pháp luật tại Việt Nam.

Những xu hướng tái định hình ngành công nghiệp an ninh mạng toàn cầu

Công nghệ & ngân hàng số

An ninh mạng toàn cầu đang trở thành một trong những vấn đề cấp bách và mang tính chiến lược hàng đầu đối với mọi quốc gia, tổ chức và cá nhân. Sự phát triển vượt bậc của công nghệ số, trí tuệ nhân tạo (AI) và kết nối Internet đã mở ra nhiều cơ hội mới, nhưng đồng thời cũng làm gia tăng các mối đe dọa tinh vi và khó lường trong không gian mạng. Các cuộc tấn công mạng không còn chỉ nhằm vào dữ liệu cá nhân mà đã mở rộng sang hạ tầng trọng yếu, hệ thống tài chính và cả an ninh quốc gia. Trong bối cảnh đó, việc tăng cường hợp tác quốc tế, nâng cao nhận thức và đầu tư vào các giải pháp bảo mật hiện đại trở thành yếu tố then chốt để đảm bảo một môi trường số an toàn, bền vững.

Nhận tài sản số để bảo đảm thực hiện nghĩa vụ trả nợ trong hoạt động cấp tín dụng của tổ chức tín dụng

Công nghệ & ngân hàng số

Bài viết phân tích cơ sở pháp lý và rủi ro đặc thù khi nhận tài sản số làm tài sản bảo đảm, từ đó đề xuất các giải pháp quản trị giúp tổ chức tín dụng an toàn trong việc cấp tín dụng và thu hồi nợ.

Ứng dụng trí tuệ nhân tạo tác nhân khi ra quyết định tài chính trong ngân hàng hiện đại

Công nghệ & ngân hàng số

Bài viết phân tích vai trò của trí tuệ nhân tạo tác nhân (Agentic AI) như một thế hệ trí tuệ nhân tạo tự chủ trong nâng cao chất lượng ra quyết định tài chính, với ba ứng dụng trọng tâm gồm lập hồ sơ rủi ro khách hàng, phê duyệt khoản vay dự đoán và quản lý kho quỹ tự động, qua đó mở ra tiềm năng chuyển đổi sâu sắc hoạt động ngân hàng trong kỷ nguyên số.

Xem thêm

Ấn phẩm in

Chuyên đề đặc biệt Quý 1 năm 2026

TCNH số 6 năm 2026

TCNH số 5 năm 2026

Multimedia

Infographic Video Longform Emagazine

Đại hội XIV của Đảng - Đại hội của niềm tin và khát vọng phát triển

Pháp luật Liên minh châu Âu về bảo vệ dữ liệu cá nhân trong hoạt động thương mại điện tử

Infographics

Từ “thế trận lòng dân” đến “thế trận số” - Sức mạnh mới của Đảng trong kỷ nguyên số hiện nay (Kỳ 3)

Từ bài viết “Không để một khe hở” đến vận dụng tư tưởng Hồ Chí Minh trong phòng, chống tham nhũng hiện nay

Chính sách

Dự báo tác động của căng thẳng tại khu vực Trung Đông tới kinh tế Việt Nam và một số gợi ý chính sách

Bài viết chỉ ra rằng, căng thẳng Trung Đông thông qua cú sốc giá năng lượng và logistics, có thể khuếch đại áp lực lạm phát, tỉ giá và tăng trưởng của Việt Nam, qua đó đặt ra yêu cầu điều hành chính sách vĩ mô linh hoạt nhằm nâng cao khả năng chống chịu của nền kinh tế.

Phân mảnh thương mại trong bối cảnh xung đột tại Trung Đông và hàm ý đối với Việt Nam

Bài viết phân tích xu hướng phân mảnh thương mại trong bối cảnh xung đột Trung Đông đầu năm 2026, chỉ ra các áp lực ngắn hạn đối với kinh tế Việt Nam, đồng thời làm rõ vai trò hạ tầng chiến lược của hệ thống ngân hàng và gợi mở các giải pháp chính sách nhằm nâng cao khả năng chống chịu của nền kinh tế.

Nâng cao chất lượng, hiệu quả truyền thông chính sách ngành Ngân hàng trong bối cảnh mới

Chiều 02/4/2026, tại Hà Nội, Thời báo Ngân hàng tổ chức Tọa đàm với chủ đề “Vai trò của truyền thông chính sách ngành Ngân hàng trong bối cảnh mới”, kết hợp Hội nghị Cộng tác viên và Hội đồng biên tập Tạp chí Ngân hàng.

Hoàn thiện khung pháp lý về điều kiện, tiêu chuẩn nhân sự của ngân hàng tại Việt Nam

Trong bài viết này, các quy định về tiêu chuẩn, điều kiện đối với nhân sự của ngân hàng được phân tích theo Thông tư số 20/2025/TT-NHNN ngày 31/7/2025 của Thống đốc Ngân hàng Nhà nước Việt Nam (NHNN) hướng dẫn về hồ sơ, thủ tục chấp thuận danh sách dự kiến nhân sự của ngân hàng thương mại (NHTM), chi nhánh ngân hàng nước ngoài và tổ chức tín dụng (TCTD) phi ngân hàng, qua đó nhóm tác giả gợi mở định hướng hoàn thiện khung pháp lý theo chuẩn mực quốc tế và nâng cao chất lượng quản trị tại Việt Nam.

Danh mục xanh quốc gia và phát triển tín dụng xanh tại Việt Nam: Vai trò đối với hệ thống ngân hàng và hàm ý chính sách

Bài viết phân tích vai trò của Danh mục xanh quốc gia trong việc thúc đẩy phát triển tín dụng xanh tại Việt Nam, làm rõ những chuyển biến trong khung chính sách và thực tiễn triển khai trong hệ thống ngân hàng, đồng thời đề xuất các giải pháp nhằm nâng cao hiệu quả áp dụng, góp phần định hướng dòng vốn phục vụ mục tiêu tăng trưởng xanh và phát triển bền vững.

Quốc tế

Cú sốc giá dầu và phản ứng của ngân hàng trung ương: Tổng quan lý thuyết, bằng chứng lịch sử và hàm ý chính sách

Bài viết phân tích một cách hệ thống mối quan hệ giữa cú sốc giá dầu và phản ứng chính sách của ngân hàng trung ương (NHTW), qua đó nhấn mạnh vai trò của việc nhận diện đúng nguồn gốc cú sốc và tăng cường phối hợp chính sách nhằm nâng cao hiệu quả điều hành chính sách tiền tệ trong bối cảnh biến động năng lượng toàn cầu.

Từ hệ thống thanh toán truyền thống đến tài sản kỹ thuật số: Cách tiếp cận từ Đạo luật về Hiện đại hóa hệ thống thanh toán năm 2025 của Úc

Vai trò của các yếu tố phi ngôn ngữ trong hoạt động truyền thông của Cục Dự trữ Liên bang Mỹ và hàm ý đối với thị trường tài chính toàn cầu

Bài viết phân tích bằng chứng thực nghiệm mới về vai trò của các yếu tố phi ngôn ngữ trong truyền thông chính sách tiền tệ của Cục Dự trữ Liên bang Mỹ (Fed), qua đó thảo luận các hàm ý sâu sắc đối với công tác hoạch định và truyền tải chính sách tiền tệ trong bối cảnh toàn cầu hóa và sự bùng nổ của công nghệ thông tin.

Tăng cường quản trị rủi ro trong chính sách tiền tệ tại Ngân hàng Trung ương Canada và một số bài học kinh nghiệm đối với Việt Nam

Bài viết phân tích cách tiếp cận quản trị rủi ro trong hoạch định và truyền thông chính sách tiền tệ (CSTT) của Ngân hàng Trung ương Canada (Bank of Canada - BoC), qua đó rút ra một số bài học kinh nghiệm có giá trị tham khảo đối với Việt Nam trong bối cảnh bất định kinh tế ngày càng gia tăng.

Nâng hạng có điều kiện trong tiến trình hội nhập tài chính quốc tế của Việt Nam

Việc nâng hạng tín nhiệm có điều kiện của Việt Nam cho thấy cách tiếp cận mới của thị trường quốc tế trong đánh giá rủi ro tín dụng, cho phép các công cụ nợ có bảo đảm được xếp hạng cao hơn trần tín nhiệm quốc gia. Động thái này phát đi tín hiệu tích cực tới nhà đầu tư và mở rộng dư địa huy động vốn trong giai đoạn chuyển tiếp trước khi Việt Nam đạt hạng tín nhiệm chủ quyền hạng đầu tư.