## Tổng quan nghiên cứu

Trong bối cảnh an ninh thông tin ngày càng trở nên phức tạp và có nhiều nguy cơ đe dọa nghiêm trọng, việc nâng cấp và phát triển các công cụ kiểm thử an ninh hệ thống là nhu cầu cấp thiết. Theo thống kê, trung bình mỗi năm có hơn 850.000 tài liệu chiến tranh tâm lý, phản động và gần 750.000 tài liệu tuyên truyền chống Đảng, Nhà nước được phát tán qua các kênh thông tin tại Việt Nam. Đồng thời, có tới 744 lượt cổng thông tin, trang tin điện tử tên miền .vn bị tấn công, trong đó có 2.393 lượt thuộc các cơ quan Đảng, Nhà nước. Những con số này phản ánh mức độ nghiêm trọng của các mối đe dọa an ninh mạng hiện nay.

Luận văn tập trung nghiên cứu nâng cấp ứng dụng khai thác các lỗ hổng an ninh trên nền tảng Metasploit Framework, một công cụ mã nguồn mở phổ biến trong lĩnh vực kiểm thử xâm nhập (Penetration Testing). Mục tiêu chính là xây dựng công cụ lập lịch quét tự động, tuân thủ các tiêu chuẩn an toàn thông tin quốc tế ISO 27001, giúp doanh nghiệp và tổ chức quản lý, bảo vệ thông tin một cách hiệu quả và an toàn hơn. Nghiên cứu được thực hiện tại Việt Nam trong giai đoạn 2019-2020, với phạm vi tập trung vào các hệ thống sử dụng Metasploit Framework và các lỗ hổng phổ biến trên nền tảng Windows.

Việc nâng cấp này không chỉ giúp tăng cường khả năng phát hiện và khai thác lỗ hổng mà còn hỗ trợ tự động hóa kiểm thử, lập lịch quét định kỳ, từ đó giảm thiểu rủi ro an ninh và nâng cao uy tín cho các tổ chức trong môi trường số hóa hiện nay.

## Cơ sở lý thuyết và phương pháp nghiên cứu

### Khung lý thuyết áp dụng

Luận văn dựa trên hai khung lý thuyết chính:

- **Lý thuyết về kiểm thử xâm nhập (Penetration Testing):** Đây là phương pháp đánh giá an ninh hệ thống bằng cách mô phỏng các cuộc tấn công thực tế nhằm phát hiện các điểm yếu bảo mật. Metasploit Framework là công cụ tiêu biểu hỗ trợ kiểm thử này với các mô-đun khai thác (Exploit), payload, và auxiliary.

- **Tiêu chuẩn quản lý an toàn thông tin ISO/IEC 27001:** Tiêu chuẩn quốc tế này quy định các yêu cầu xây dựng và áp dụng hệ thống quản lý an toàn thông tin (ISMS), đảm bảo tính bảo mật, toàn vẹn và sẵn sàng của tài sản thông tin. Các yêu cầu kiểm soát trong ISO 27001 được cụ thể hóa thành các kịch bản kiểm thử trong nghiên cứu.

Các khái niệm chuyên ngành được sử dụng bao gồm: Exploit, Payload, Auxiliary Module, Task Chain, Resource Script, Compliance Chain, ISMS, và các thuật ngữ về giao diện người dùng như CLI, GUI.

### Phương pháp nghiên cứu

- **Nguồn dữ liệu:** Nghiên cứu sử dụng dữ liệu từ cơ sở dữ liệu Exploit của Metasploit Framework, các tài liệu tiêu chuẩn ISO 27001, và các báo cáo an ninh mạng tại Việt Nam.

- **Phương pháp phân tích:** Phân tích yêu cầu từ chuẩn ISO 27001 để lựa chọn và nhóm các Exploit phù hợp, thiết kế kịch bản kiểm thử tự động hóa dựa trên Task Chain và Resource Script trong Metasploit Framework. Phương pháp lập lịch quét tự động được xây dựng dựa trên Crontab với các chu kỳ hàng ngày, tuần, tháng.

- **Cỡ mẫu và timeline:** Nghiên cứu tập trung vào các lỗ hổng phổ biến trên hệ điều hành Windows, với hơn 15 mã khai thác được lựa chọn. Thời gian nghiên cứu kéo dài trong năm 2019-2020, bao gồm giai đoạn phân tích, thiết kế, triển khai và đánh giá.

Phương pháp nghiên cứu kết hợp giữa lý thuyết tiêu chuẩn quốc tế và thực tiễn khai thác lỗ hổng, nhằm tạo ra công cụ kiểm thử an ninh tự động, hiệu quả và tuân thủ quy định.

## Kết quả nghiên cứu và thảo luận

### Những phát hiện chính

- **Phát hiện 1:** Metasploit Framework phiên bản mã nguồn mở hiện chưa hỗ trợ các tính năng nâng cao như lập lịch quét tự động và kiểm thử theo kịch bản chuẩn ISO 27001. Việc nâng cấp bổ sung tính năng này giúp tăng khả năng tự động hóa kiểm thử, giảm thiểu sai sót thủ công.

- **Phát hiện 2:** Qua phân tích, hơn 15 mã khai thác (Exploit) liên quan đến các yêu cầu kiểm soát của ISO 27001 được nhóm thành các Chains kiểm thử riêng biệt, bao gồm các lỗ hổng về SMB, trình duyệt Internet Explorer, Chrome, và các dịch vụ hệ điều hành Windows. Ví dụ, các Exploit MS17-010, MS08-068 liên quan đến SMB có mức độ nghiêm trọng cao, ảnh hưởng trực tiếp đến an toàn hệ điều hành.

- **Phát hiện 3:** Công cụ lập lịch quét tự động dựa trên Crontab cho phép thực hiện quét định kỳ hàng ngày, tuần và tháng, đảm bảo hệ thống được kiểm thử liên tục và kịp thời phát hiện lỗ hổng mới. Tỷ lệ thành công khai thác các Exploit trong kịch bản đạt khoảng 85%, giúp quản trị viên nhanh chóng nhận biết và xử lý.

- **Phát hiện 4:** Việc tích hợp công cụ Compliance Chain dưới dạng Plugin trong Metasploit Framework giúp dễ dàng nạp kịch bản kiểm thử, tương tác trực tiếp với giao diện Console, nâng cao tính linh hoạt và khả năng mở rộng của hệ thống kiểm thử.

### Thảo luận kết quả

Kết quả nghiên cứu cho thấy việc nâng cấp Metasploit Framework với tính năng lập lịch quét tự động và tuân thủ chuẩn ISO 27001 là cần thiết và khả thi. So với các nghiên cứu trước đây chỉ tập trung vào khai thác lỗ hổng rời rạc, nghiên cứu này đã cụ thể hóa các yêu cầu quản lý an toàn thông tin thành các kịch bản kiểm thử có hệ thống, giúp tăng tính hiệu quả và độ tin cậy.

Dữ liệu có thể được trình bày qua biểu đồ thể hiện tỷ lệ thành công khai thác theo từng nhóm Exploit, bảng so sánh các tính năng giữa Metasploit Framework gốc và phiên bản nâng cấp, cũng như lịch trình quét tự động theo các chu kỳ.

Việc áp dụng tiêu chuẩn ISO 27001 trong kiểm thử giúp doanh nghiệp không chỉ phát hiện lỗ hổng kỹ thuật mà còn đảm bảo tuân thủ các yêu cầu quản lý, từ đó nâng cao mức độ an toàn tổng thể của hệ thống thông tin.

## Đề xuất và khuyến nghị

- **Phát triển và triển khai công cụ lập lịch quét tự động:** Tăng cường tự động hóa kiểm thử an ninh với mục tiêu giảm thiểu thời gian phát hiện lỗ hổng xuống dưới 24 giờ, thực hiện trong vòng 6 tháng, do các nhóm bảo mật và quản trị hệ thống thực hiện.

- **Tích hợp sâu hơn các tiêu chuẩn ISO 27001:** Mở rộng phạm vi kiểm thử để bao phủ toàn bộ các yêu cầu kiểm soát, nâng cao tỷ lệ tuân thủ lên trên 95% trong vòng 1 năm, phối hợp với bộ phận quản lý rủi ro và tuân thủ.

- **Đào tạo và nâng cao nhận thức cho nhân viên:** Tổ chức các khóa đào tạo về an toàn thông tin và sử dụng công cụ kiểm thử cho nhân viên IT, nhằm giảm thiểu rủi ro do lỗi con người, hoàn thành trong 3 tháng đầu năm.

- **Xây dựng hệ thống báo cáo và cảnh báo tự động:** Thiết lập hệ thống gửi thông báo chi tiết khi phát hiện lỗ hổng, giúp quản trị viên kịp thời xử lý, mục tiêu giảm thiểu thời gian phản ứng xuống dưới 2 giờ, triển khai trong 6 tháng.

## Đối tượng nên tham khảo luận văn

- **Nhà quản lý an ninh thông tin:** Giúp hiểu rõ về cách thức nâng cấp công cụ kiểm thử, áp dụng tiêu chuẩn ISO 27001 để quản lý rủi ro hiệu quả.

- **Chuyên gia kiểm thử xâm nhập (Pentester):** Cung cấp phương pháp và công cụ tự động hóa kiểm thử, nâng cao hiệu quả và độ chính xác trong phát hiện lỗ hổng.

- **Doanh nghiệp và tổ chức sử dụng hệ thống CNTT:** Hỗ trợ xây dựng quy trình kiểm thử an ninh định kỳ, bảo vệ tài sản thông tin và tuân thủ các quy định pháp luật.

- **Nhà nghiên cứu và sinh viên ngành An toàn Thông tin:** Là tài liệu tham khảo quý giá về ứng dụng thực tiễn của Metasploit Framework và tiêu chuẩn ISO trong kiểm thử an ninh.

## Câu hỏi thường gặp

1. **Metasploit Framework là gì và tại sao cần nâng cấp?**  
Metasploit Framework là công cụ mã nguồn mở dùng để kiểm thử xâm nhập. Phiên bản gốc thiếu các tính năng tự động hóa và lập lịch quét, do đó cần nâng cấp để đáp ứng yêu cầu kiểm thử theo tiêu chuẩn ISO 27001.

2. **ISO 27001 có vai trò gì trong kiểm thử an ninh?**  
ISO 27001 cung cấp khung quản lý an toàn thông tin toàn diện, giúp tổ chức xây dựng hệ thống kiểm soát phù hợp, từ đó kiểm thử an ninh có hệ thống và hiệu quả hơn.

3. **Lập lịch quét tự động hoạt động như thế nào?**  
Lập lịch quét tự động sử dụng Crontab để chạy các kịch bản kiểm thử theo chu kỳ định sẵn (hàng ngày, tuần, tháng), giúp phát hiện lỗ hổng kịp thời mà không cần can thiệp thủ công.

4. **Các Exploit được lựa chọn dựa trên tiêu chí nào?**  
Các Exploit được chọn dựa trên yêu cầu kiểm soát của ISO 27001, mức độ nghiêm trọng của lỗ hổng và tính phổ biến trên hệ điều hành Windows, đảm bảo kiểm thử toàn diện và hiệu quả.

5. **Làm thế nào để doanh nghiệp áp dụng kết quả nghiên cứu này?**  
Doanh nghiệp có thể tích hợp công cụ nâng cấp vào quy trình kiểm thử an ninh hiện tại, đào tạo nhân viên sử dụng và xây dựng chính sách tuân thủ ISO 27001 để nâng cao bảo mật hệ thống.

## Kết luận

- Nghiên cứu đã phát triển thành công công cụ lập lịch quét tự động cho Metasploit Framework, đáp ứng các yêu cầu kiểm soát của ISO 27001.  
- Công cụ giúp tự động hóa kiểm thử, nâng cao hiệu quả phát hiện và xử lý lỗ hổng an ninh.  
- Việc áp dụng tiêu chuẩn ISO 27001 trong kiểm thử an ninh góp phần nâng cao mức độ tuân thủ và bảo vệ tài sản thông tin.  
- Kết quả nghiên cứu có thể được triển khai rộng rãi trong các doanh nghiệp và tổ chức tại Việt Nam.  
- Đề xuất các bước tiếp theo bao gồm mở rộng phạm vi kiểm thử, đào tạo nhân sự và xây dựng hệ thống cảnh báo tự động để nâng cao hơn nữa hiệu quả bảo mật.

**Hành động tiếp theo:** Các tổ chức nên xem xét áp dụng công cụ nâng cấp này vào quy trình kiểm thử an ninh, đồng thời phối hợp với các chuyên gia để đảm bảo tuân thủ tiêu chuẩn ISO 27001 một cách toàn diện.