Security testing là gì?

Question

Accepted Answer

**Security testing** (kiểm thử bảo mật) đánh giá phần mềm về **lỗ hổng và điểm yếu bảo mật** — xác minh nó bảo vệ dữ liệu và chống lại tấn công. Nó bao gồm nhiều kỹ thuật (SAST, DAST, penetration testing, dependency scanning) và là thiết yếu vì lỗ hổng bảo mật có thể gây hậu quả nghiêm trọng.

## Security testing kiểm tra gì

```text
Security testing tìm LỖ HỔNG và xác minh phòng thủ:
  → lỗ hổng phổ biến: injection (SQL, v.v.), XSS, authentication/authorization hỏng,
    lộ dữ liệu nhạy cảm, cấu hình sai, dependency có lỗ hổng (OWASP Top 10)
  → app có authenticate, authorize, validate input, mã hóa dữ liệu đúng cách không?
→ đảm bảo phần mềm chống lại tấn công và bảo vệ dữ liệu/người dùng.
```

## Các loại/kỹ thuật security testing

```text
SAST (Static) → phân tích MÃ NGUỒN tìm lỗ hổng (không chạy nó) — trong CI
DAST (Dynamic) → test app ĐANG CHẠY tìm lỗ hổng (tấn công nó từ bên ngoài)
DEPENDENCY scanning (SCA) → tìm lỗ hổng đã biết trong thư viện (Snyk, Dependabot)
PENETRATION testing → ethical hacker chủ động cố ĐỘT NHẬP (tìm lỗ hổng khai thác được thật)
SECRET scanning → phát hiện secret bị commit; quét CẤU HÌNH/IaC
```

## Tích hợp bảo mật (shift left)

```text
✓ SHIFT SECURITY LEFT → test lỗ hổng SỚM (trong phát triển/CI), không chỉ ở cuối
✓ Tự động hóa SAST/dependency scanning trong CI/CD (bắt vấn đề mỗi thay đổi)
✓ Pen testing định kỳ cho app quan trọng; threat modeling; security code review
✓ LÝ DO: vi phạm bảo mật NGHIÊM TRỌNG (rò rỉ dữ liệu, thiệt hại tài chính/pháp lý/danh tiếng) →
  tìm lỗ hổng trước kẻ tấn công là then chốt
```

## Tại sao điều này quan trọng

Hiểu security testing là kiến thức cấp senior có giá trị vì **lỗ hổng bảo mật có thể gây hậu quả nghiêm trọng** (vi phạm, rò rỉ dữ liệu, thiệt hại tài chính và danh tiếng), nên test chúng là thiết yếu, làm cho đây là kiến thức quan trọng.

Security testing đánh giá phần mềm về **lỗ hổng** (injection, XSS, authentication/authorization hỏng, lộ dữ liệu, dependency có lỗ hổng — các loại lỗ hổng kiểu OWASP Top 10) và xác minh phòng thủ của nó — đảm bảo phần mềm chống lại tấn công và bảo vệ dữ liệu và người dùng, một chất lượng then chốt do mức độ tai hại của các thất bại bảo mật.

Hiểu **các loại và kỹ thuật** là then chốt: **SAST** (phân tích tĩnh mã nguồn tìm lỗ hổng, chạy được trong CI), **DAST** (test động app đang chạy bằng cách tấn công nó), **dependency scanning/SCA** (tìm lỗ hổng đã biết trong thư viện — ngày càng quan trọng do rủi ro supply-chain), **penetration testing** (ethical hacker chủ động cố đột nhập để tìm lỗ hổng khai thác được thật), và secret/configuration scanning — mỗi cái giải quyết các khía cạnh khác nhau của bảo mật.

Hiểu **tích hợp bảo mật (shift left)** — test lỗ hổng sớm trong phát triển và CI (không chỉ ở cuối), tự động hóa SAST và dependency scanning trong CI/CD, làm pen testing định kỳ cho app quan trọng, và lý do (tìm lỗ hổng trước kẻ tấn công, vì vi phạm nghiêm trọng) — phản ánh cách tiếp cận hiện đại của việc tích hợp security testing vào quy trình phát triển.

Bảo mật là một chiều chất lượng thiết yếu, thường bị xem nhẹ, và hiểu cách test lỗ hổng ngày càng quan trọng khi các mối đe dọa bảo mật tăng.

Vì lỗ hổng bảo mật gây hậu quả nghiêm trọng và security testing (SAST, DAST, dependency scanning, pen testing, tích hợp sớm qua shift-left) là cách lỗ hổng được tìm thấy trước khi kẻ tấn công khai thác, và vì hiểu các kỹ thuật và cách tiếp cận là quan trọng để xây dựng phần mềm bảo mật, hiểu security testing là kiến thức cấp senior có giá trị — quan trọng để giải quyết chiều bảo mật then chốt của chất lượng, tìm lỗ hổng trước khi chúng bị khai thác, và phản ánh nhận thức bảo mật được kỳ vọng ở các vai trò senior trong một môi trường với các mối đe dọa bảo mật đáng kể và đang tăng.