# Đánh giá cấp độ
Source: https://docs.cystack.net/vi/basecheck/grades
Bộ tiêu chí đánh giá cấp độ an ninh của BaseCheck
CyStack BaseCheck chia hệ thống thành 4 cấp độ bảo mật: A, B, C, D. Áp dụng được cho hệ thống web hoặc hạ tầng công khai (Internet-facing)
### 🟢 Cấp độ A - An toàn cao
> Hệ thống được cấu hình chuẩn, không phát hiện rủi ro rõ rệt
* Không có tài khoản/email bị rò rỉ
* TLS chỉ hỗ trợ chuẩn mạnh (TLS 1.2+ với cipher hiện đại, không có CBC/RSA)
* Không có lỗ hổng bảo mật nào được phát hiện
* Không bị liệt vào blacklist nào
* Các subdomain đều bảo mật tốt (HTTPS, không lộ panel)
* Chỉ mở cổng phổ biến và hợp lệ (80, 443, 22…)
* Phát hiện có WAF hoặc firewall bảo vệ
***
### 🟡 Cấp độ B - Tốt, cần cải thiện nhẹ
> Có một vài điểm yếu nhỏ, nhưng chưa ảnh hưởng nghiêm trọng
* Có ít hơn 5 tài khoản/email bị rò rỉ
* TLS còn chứa cipher yếu (CBC) nhưng vẫn có Forward Secrecy
* Có lỗ hổng mức độ **thấp (Low)**
* Một vài subdomain có lỗi nhỏ (VD: cert hết hạn, redirect lỗi)
* Các cổng mở đều hợp lý, không có dịch vụ lạ
* Có dấu hiệu WAF (VD: header, Cloudflare...)
***
### 🟠 Cấp độ C - Trung bình, tiềm ẩn rủi ro
> Có lỗ hổng cấu hình rõ rệt, cần xử lý sớm
* Có nhiều hơn 10 tài khoản/email bị rò rỉ
* TLS hỗ trợ CBC/RSA hoặc TLS 1.0/1.1
* Có lỗ hổng mức **Low/Medium**
* Subdomain có dấu hiệu nguy hiểm (dev., admin., không có auth, exposed IP)
* Mở cổng không phổ biến (VD: 11308, 11310)
* Không phát hiện có WAF hoặc firewall
***
### 🔴 Cấp độ D - Rủi ro cao
> Hệ thống có nhiều điểm yếu nghiêm trọng, có thể bị khai thác
* Bị liệt vào các blacklist (spam, malware, abuse…)
* TLS certificate hết hạn hoặc lỗi nghiêm trọng
* Subdomain lộ thông tin nhạy cảm: admin panel, debug interface
* Có lỗ hổng mức **Cao (High/CRITICAL)**
* Mở cổng vào dịch vụ nhạy cảm không có bảo vệ (FTP, DB, RDP…)
* Không có firewall/WAF, không có cơ chế bảo vệ nào phát hiện được
# Giới thiệu
Source: https://docs.cystack.net/vi/basecheck/overview
Tổng quan và mục tiêu của CyStack BaseCheck
CyStack BaseCheck là một hệ thống đánh giá tự động, giúp phân loại mức độ an ninh của các hệ thống công nghệ thông tin đang hoạt động trên Internet (ví dụ: website, API, server, hạ tầng DNS, email...).
Hệ thống sử dụng dữ liệu được thu thập hoàn toàn từ **nguồn công khai** (được xây dựng từ [CyStack Threat Intelligence](https://cystack.net/data-leak-detection) và [CyStack VulnScan](https://cystack.net/vulnscan)) mà attacker cũng có thể tiếp cận, từ đó phản ánh **bức tranh thực tế về bề mặt tấn công** của hệ thống.
## Mục tiêu của CyStack BaseCheck
* **Đánh giá nhanh mức độ rủi ro** của một hệ thống bất kỳ, chỉ qua tên miền hoặc địa chỉ IP
* **Ưu tiên xử lý** các hệ thống có nguy cơ cao (D) trước
* **Giúp chủ hệ thống hiểu rõ vấn đề**, từ rò rỉ thông tin, cấu hình sai, đến lỗ hổng bảo mật
* Tạo ra một **ngôn ngữ chung và dễ hiểu** để báo cáo mức độ an ninh cho cả kỹ thuật lẫn quản lý
# Hướng dẫn sử dụng
Source: https://docs.cystack.net/vi/basecheck/quickstart
Hướng dẫn chi tiết cách sử dụng CyStack BaseCheck
Tại địa chỉ [https://cystack.net/vi/basecheck](https://cystack.net/vi/basecheck)
*ví dụ: yourcompany.com* và bấm nút **Quét ngay**
![basecheck-scan]()
Bạn có thể sử dụng tài khoản Google để đăng nhập nhanh
Hệ thống sẽ yêu cầu bạn xác minh quyền sở hữu đối với tên miền muốn kiểm tra. Đây là bước giúp hệ thống xác nhận
chủ sở hữu thật sự của tên miền, tránh các thông tin nhạy cảm của tên miền rơi vào tay kẻ xấu.
Hệ thống sẽ yêu cầu bạn xác minh quyền sở hữu đối với tên miền muốn kiểm tra. Đây là bước giúp hệ thống xác nhận
chủ sở hữu thật sự của tên miền, tránh các thông tin nhạy cảm của tên miền rơi vào tay kẻ xấu.
Để xác minh, bạn thực hiện một trong 2 cách theo hướng dẫn có sẵn tại trang yêu cầu xác minh: Sử dụng file .TXT
hoặc sử dụng bản ghi DNS.
![verify-ownership]()
Sau khi làm xong các bước, bấm vào nút **Tôi đã hoàn thành, xác thực ngay**, và hệ thống sẽ xác minh quyền sở
hữu. ***Lưu ý**: quá trình xác minh có thể kéo dài tới 48 tiếng tùy vào nhà cung cấp DNS của bạn.*
Nếu xác minh thành công, hệ thống sẽ tự động quét tên miền. Hệ thống sẽ gửi thông báo cho bạn qua email khi quá
trình quét tên miền hoàn tất.
Bấm vào đường link trong email để được dẫn sang trang kết quả, và xem các thông tin nổi bật về hệ thống của bạn.
# Thông tin tổng quan
Source: https://docs.cystack.net/vi/dataleak/dashboard-overview
Màn hình Tổng quan về tình hình rò rỉ dữ liệu trong tổ chức
## Xem thông tin tổng quan
Màn **Tổng quan** cung cấp thông tin chung về tình hình rò rỉ dữ liệu trong tổ chức, bao gồm:
* Rò rỉ theo phân loại: theo 3 phân loại chính
* Tài khoản
* Email
* Mã nguồn
* Danh sách từ khoá bị rò rỉ hàng đầu
![top-leaked-keywords]()
* Khu vực quản lý từ khoá:
* Ô tìm kiếm các từ khoá đã được thêm vào
* Danh sách các từ khoá đã được thêm vào:
* Mỗi từ khoá sẽ thuộc một gói riêng trong các gói: Gói miễn phí, gói cơ bản, gói chuyên nghiệp và gói doanh nghiệp
* Đối với các từ khoá chưa được xác minh, giao diện dashboard sẽ hiển thị nút “Xác minh quyền sở hữu” để hỗ trợ xác minh theo quy trình [Xác minh từ khoá](https://www.notion.so/X-c-minh-t-kho-1dcfb45532ff80a68b19da035138566b?pvs=21)
**Chú ý:** các từ khoá chưa được xác minh sẽ không được hỗ trợ quét rò rỉ dữ liệu
![keyword-management]()
* Các cập nhật mới về rò rỉ dữ liệu:
* Số lỗ hổng mới phát hiện ở lần quét mới nhất
* Số từ khoá cần được xác minh
* Số từ khoá cần được gia hạn trong tháng
![latest-updates]()
* Các cập nhật mới về rò rỉ dữ liệu
* Số lỗ hổng mới phát hiện ở lần quét mới nhất
* Số từ khóa cần được xác minh
# Giám sát rò rỉ dữ liệu
Source: https://docs.cystack.net/vi/dataleak/data-leak-monitoring
Xem, quản lý, rà quét và xuất báo cáo các rò rỉ dữ liệu được phát hiện
## Danh sách rò rỉ dữ liệu
Sản phẩm Phát hiện rò rỉ dữ liệu của **CyStack** hỗ trợ doanh nghiệp xem **danh sách các rò rỉ dữ liệu** được tìm thấy từ trước đến nay. Danh sách này được chia thành **3 bảng**:
1. Tài khoản
2. Email
3. Mã nguồn
### Các loại rò rỉ dữ liệu
Tất cả rò rỉ dữ liệu đều có các cột thông tin:
* **Từ khoá trùng khớp**: từ khóa liên quan đến dữ liệu bị rò rỉ
* **Thời gian phát hiện**: thời điểm lần đầu tiên **CyStack** ghi nhận về rò rỉ dữ liệu
* **Nguồn thu thập rò rỉ dữ liệu**:
* Đối với loại **Tài khoản và Cookie**, nguồn thu thập là nguồn kín cho nên Doanh nghiệp cần gửi yêu cầu đến **CyStack** để được bổ sung thêm thông tin
* Đối với loại **Email và Mã nguồn**, thông tin nguồn sẽ được thể hiện trên giao diện
Để hỗ trợ doanh nghiệp kiểm soát và quản lý các rò rỉ dữ liệu khoa học hơn, Danh sách rò rỉ dữ liệu được chia thành các tab nhỏ hơn tương ứng với 3 loại rò rỉ dữ liệu nói trên, và các loại rò rỉ PPI khác nếu khách hàng có nhu cầu truy vấn nâng cao.
#### Tài khoản
Rò rỉ dữ liệu có các trường thông tin sau:
* **Thông tin đăng nhập**:
* URL đăng nhập
* Tên đăng nhập
* Mật khẩu
![verify keyword]()
Đối với loại dữ liệu bị rò rỉ là tài khoản, giao diện dashboard sẽ hiển thị thêm **thông tin chi tiết rò rỉ** để cung cấp bối cảnh chi tiết phục vụ cho điều tra sự cố. Khi bấm vào một tài khoản, quản trị viên sẽ được dẫn sang trang chi tiết, và có thể xem thêm các thông tin IOC như sau:
* **Thông tin nạn nhân**: tên user, quyền user, IP, thời gian máy nạn nhân bị dump data, múi giờ
* **Thông tin thiết bị**: thông tin kỹ thuật CPU, GPU, tên thiết bị, hệ điều hành, Hardware ID, RAM, AV sử dụng
* **Mã độc**: tên, họ và loại mã độc, bản build, nguồn gốc
![verify keyword]()
![verify keyword]()
![verify keyword]()
#### Email
Rò rỉ loại Email sẽ bao gồm thêm **2 thông tin**:
* email
* nguồn thu thập rò rỉ
#### Mã nguồn
Rò rỉ loại Mã nguồn bao gồm đường dẫn đầy đủ tới dòng code chứa dữ liệu bị lộ lọt trên internet.\
Trong đó, giao diện cũng đã tự động xử lý và tách ra thành các trường:
* Repo
* Path
* Commit
***
### Quản lý trạng thái dữ liệu bị rò rỉ
Quản trị viên hoặc đội ngũ điều tra sự cố có thể **báo cáo 1 rò rỉ nghiêm trọng thành ticket** để có thể trao đổi, làm việc nhóm, cùng tìm hiểu thông tin rỏ rỉ và điều tra sự cố.
#### Xem thông tin về dữ liệu bị rò rỉ
![ticket-view]()
Giao diện quản lý ticket được bố cục theo **4 phần**:
* **Khu vực chính giữa**: trình bày thông tin của rò rỉ dữ liệu
* **Khu vực bên phải**: thể hiện các thông tin và trạng thái của ticket
* **Trạng thái xử lý ticket**
* **Mã hệ thống**: mỗi ticket đều có mã độc nhất để định danh
* **Thời điểm báo cáo**
* **Thời điểm phát hiện**
* **Chuyên viên phụ trách**
* **Chi tiết lỗ hổng**
* Loại lỗ hổng: Ticket rò rỉ dữ liệu ban đầu được mặc định đánh dấu với phân loại: `Sensitive Data Exposure > Disclosure of Secrets > For Publicly Accessible Asset`
* Điểm CVSS3
* **Khu vực bên trái**: danh sách các ticket khớp bộ lọc hiện tại
* **Khu vực header**: bộ lọc ticket
* Thời điểm tạo ticket
* Thời điểm cập nhật
* Trạng thái ticket
* Mức độ nghiêm trọng
* 4 bộ lọc tắt: Đang mở, Đã chấp nhận, Từ chối, Tất cả
#### Cộng tác để xử lý dữ liệu rò rỉ
Quản trị viên có thể giao lại ticket xử lý rò rỉ cho một thành viên cụ thể bằng cách click vào mục **Chuyên viên phụ trách** ở thanh bên phải màn hình chọn **người phụ trách**.
![ticket-assign]()
Các thành viên cũng có thể trao đổi với nhau về ticket bằng **tính năng Bình luận**. Ở khu vực giữa màn hình, người dùng kéo xuống đáy trang để tạo bình luận.
![ticket-comment]()
***
## Rà quét dữ liệu mới nhất
Hệ thống quét rò rỉ dữ liệu mặc định cho phép **tối đa 3 lần quét trong 1 ngày**. Trong đó, hệ thống sẽ tự động quét 1 lần bắt đầu từ 0h hàng ngày. Và lượt tự động này sẽ được tính là 1 lượt trong 3 lượt cho phép quét nói trên.
### Rà quét rò rỉ dữ liệu thủ công
Để quét thủ công, quản trị viên truy cập tab **Phát hiện rò rỉ dữ liệu** trên menu sidebar **Danh sách rò rỉ** bấm nút Rà quét dữ liệu mới nhất
### Trạng thái rà quét
Mỗi lượt quét sẽ có 3 trạng thái:
1. **Trạng thái đang quét**
2. **Trạng thái lượt quét đã hoàn thành và không tìm thấy rò rỉ dữ liệu mới**
3. **Trạng thái lượt quét đã hoàn thành và tìm thấy các rò rỉ dữ liệu mới**
![scan-status-1]()
Các trạng thái này được hiển thị trong bảng **Danh sách rò rỉ dữ liệu**
![scan-status-2]()
### Kết quả rà quét
Sau khi lượt quét hoàn thành, nếu có rò rỉ dữ liệu mới được tìm thấy, hệ thống sẽ **gửi email cảnh báo** cho **Chủ sở hữu Workspace**.
Trong trường hợp quản trị viên quét thủ công, họ cũng được nhận cảnh báo về rò rỉ dữ liệu mới giống như **Chủ sở hữu Workspace**.
![verify keyword]()
***
## Xuất báo cáo rò rỉ dữ liệu
Hệ thống phát hiện rò rỉ dữ liệu của **CyStack** hỗ trợ doanh nghiệp **xuất dữ liệu rò rỉ** theo 3 loại: **Tài khoản**, **Email**, **Mã nguồn**.
Để xuất báo cáo, quản trị viên truy cập tab **Phát hiện rò rỉ dữ liệu** trên menu sidebar **Danh sách rò rỉ** bấm nút Xuất báo cáo
Quản trị viên có thể chọn các loại rò rỉ dữ liệu đã hỗ trợ để xuất báo cáo.
![export-leak]()
Sau khi hoàn thành thao tác xuất báo cáo, hệ thống sẽ **gửi lại kết quả rò rỉ qua email** cho người dùng tạo yêu cầu.\
File chứa kết quả rò rỉ có định dạng **CSV**.
![export-result]()
# Quản lý từ khoá
Source: https://docs.cystack.net/vi/dataleak/keyword-management
Thêm, sửa và quản lý gói đăng ký của các từ khoá dùng để phát hiện rò rỉ dữ liệu
## Quản lý từ khoá (Keyword Management)
**Chú ý:** Để có thể quản lý (thêm, sửa, xoá) các từ khoá, người sử dụng phải là **Chủ sở hữu Workspace**.
### Thêm từ khoá
Truy cập tab **Phát hiện rò rỉ dữ liệu** trên menu sidebar **Tổng quan** nút Thêm từ khoá (ô bên tay phải)
![verify keyword]()
Ở màn **Nhập từ khoá**, người dùng nhập từ khoá dạng **tên miền** (hoặc một từ khoá nói chung)
Bảng giá của sản phẩm **Phát hiện rò rỉ dữ liệu** được thể hiện chi tiết tại trang [CyStack Data Leak Detection](https://cystack.net/data-leak-detection/pricing)
![verify keyword]()
Để trải nghiệm sản phẩm nhanh chóng, người dùng có thể chọn **gói miễn phí** và tiếp tục.
Tuy nhiên, để có thể quét được rò rỉ dữ liệu, các từ khoá **đều phải được xác minh**, theo quy trình ở **Xác minh từ khoá**.
### Quản lý gói đăng ký
Để quản lý **gói đăng ký** cho các từ khoá đang được sử dụng để rò quét rò rỉ dữ liệu, người sử dụng có thể truy cập theo **2 cách**:
* **Cách 1:**
Tab **Phát hiện rò rỉ dữ liệu** (trên menu sidebar) **Tổng quan** nút Quản lý đăng ký (ô bên tay phải)
* **Cách 2:**
**Biểu tượng cấu hình ⚙️** (trên menu sidebar) **Thanh toán** (trên menu sidebar) tab **Giải pháp**
# Giới thiệu chung
Source: https://docs.cystack.net/vi/dataleak/overview
Tổng quan về dịch vụ Phát hiện và ngăn chặn lộ lọt dữ liệu của **CyStack**
## Giới thiệu sản phẩm
Dịch vụ **Phát hiện và ngăn chặn lộ lọt dữ liệu** của **CyStack** là một giải pháp bền vững và chủ động được thiết kế chi tiết để xác định, giám sát và ứng phó nhanh chóng với các sự cố rò rỉ dữ liệu tiềm ẩn trong doanh nghiệp.
Trọng tâm của **CyStack** là bảo vệ dữ liệu nhạy cảm và tài sản kỹ thuật số của doanh nghiệp thông qua khả năng phát hiện tân tiến, đảm bảo tính bảo mật và tuân thủ của tổ chức.
Dữ liệu nhạy cảm và tài sản kỹ thuật số được dịch vụ **Phát hiện rò rỉ dữ liệu** của **CyStack** giám sát bao gồm:
* **Email công việc**
* **Mã nguồn**
* **Khóa bí mật**
* **Tài khoản và thông tin đăng nhập của khách hàng**
* **Thông tin thẻ**
* **Thông tin nhận dạng cá nhân (PII)**
* **Dữ liệu cá nhân khác**
***
### Phát hiện lộ lọt tài khoản, thẻ và thông tin đăng nhập của khách hàng
**Tài khoản**, **thẻ** và **thông tin xác thực** của khách hàng có thể bị rò rỉ thông qua nhiều phương pháp và lỗ hổng bảo mật khác nhau, thường do vi phạm dữ liệu, mối đe dọa nội bộ, phần mềm độc hại và các kỹ thuật lừa đảo. Để hỗ trợ các tổ chức giảm thiệt hại do rò rỉ tài khoản, thẻ và thông tin xác thực của khách hàng, **CyStack** phát triển **giải pháp tình báo mối đe dọa** nhằm thu thập thông tin về các sự cố lộ lọt dữ liệu hoặc giao dịch dữ liệu cá nhân bất hợp pháp trên Internet.
Quá trình hoạt động như sau:
Công cụ của **CyStack** quét và giám sát nhiều nguồn khác nhau, ví dụ, thị trường web đen, diễn đàn rao bán dữ liệu lộ lọt, nhóm trò chuyện kín, v.v. để phát hiện và lọc thông tin về sự cố rò rỉ dữ liệu hoặc các giao dịch dữ liệu cá nhân bất hợp pháp. Sau đó, các vị trí có khả năng xảy ra lộ lọt dữ liệu cá nhân được lưu trữ trong cơ sở dữ liệu của CyStack.
Các từ khóa cho tổ chức của khách hàng được kiểm tra chéo với cơ sở dữ liệu của CyStack. Nếu kết quả trả lại cho thấy có thể xảy ra rò rỉ, **CyStack** sẽ liên hệ ngay và tư vấn các giải pháp loại bỏ và phục hồi sau sự cố.
***
### Phát hiện lộ lọt email nhân viên
Công nghệ tiên tiến của **CyStack** quét và thu thập dữ liệu từ Internet, tìm kiếm địa chỉ **email** khớp với các miền được liên kết với tổ chức của khách hàng.
Quá trình này hoạt động như sau:
Công cụ của **CyStack** liên tục thu thập dữ liệu từ nhiều nguồn trực tuyến khác nhau, bao gồm các trang web, diễn đàn, thị trường web đen có thể truy cập công khai và các kho lưu trữ dữ liệu khác.
Công cụ này tham chiếu chéo các địa chỉ email đã thu thập với các tên miền được liên kết với tổ chức của khách hàng. Bước này đảm bảo rằng **CyStack** chỉ tập trung cụ thể vào địa chỉ email nhân viên của khách hàng và thông tin liên quan.
Đối với mỗi địa chỉ email trùng khớp, hệ thống phát hiện và ngăn chặn lộ lọt dữ liệu của **CyStack** sẽ đánh giá xem địa chỉ đó có bị rò rỉ hoặc lộ trên Internet hay không. Các thuật toán, nguồn cấp dữ liệu thông minh về mối đe dọa và cơ sở dữ liệu về lộ lọt dữ liệu được sử dụng kết hợp để xác minh xem địa chỉ email có liên quan đến bất kỳ sự cố xâm phạm dữ liệu nào không.
***
### Phát hiện lộ lọt mã nguồn và khóa bí mật
Rò rỉ **mã nguồn** và **khóa bí mật** có thể gây ra hậu quả đặc biệt nghiêm trọng và lâu dài. Thông qua mã nguồn và khóa bí mật, kẻ tấn công có thể hiểu rõ hơn về hoạt động bên trong của hệ thống, nhờ đó xác định và khai thác các lỗ hổng dễ dàng hơn. Điều này có thể dẫn đến nhiều sự cố bảo mật nghiêm trọng khác nhau, bao gồm truy cập trái phép, lộ lọt dữ liệu, khai thác tài nguyên và dữ liệu của người dùng bị xâm phạm.
Ngoài ra, việc rò rỉ mã nguồn có thể dẫn đến mất lợi thế cạnh tranh. Các doanh nghiệp có thể phải đối mặt với sự gián đoạn hoạt động, tổn thất tài chính, tổn hại danh tiếng và các hậu quả pháp lý và quy định. **CyStack** có thể giúp các tổ chức **phát hiện rò rỉ mã nguồn và khóa bí mật trong thời gian thực** để ứng phó nhanh chóng và hiệu quả khi xảy ra sự cố liên quan nhằm giảm thiểu thiệt hại tiềm ẩn.
Quá trình phát hiện và ngăn chặn lộ lọt mã nguồn và khóa bí mật hoạt động như sau:
Công cụ của **CyStack** quét và thu thập mã nguồn từ nhiều hệ thống kiểm soát phiên bản (VCS) khác nhau, như GitHub, GitLab và Bitbucket. Các ứng dụng cũng được tải xuống từ các dịch vụ phân phối kỹ thuật số khác nhau, chẳng hạn như Google Play Store, Apple AppStore.
Công cụ của **CyStack** kiểm tra mọi phát hiện có thể liên quan đến tổ chức của khách hàng. Sau đó, công cụ này quét các dự án mã và ứng dụng liên quan để **trích xuất khóa bí mật, khóa API, mật khẩu được mã hóa cứng** và dữ liệu nhạy cảm khác.
Công cụ này sẽ tiếp tục quét các dự án mã và ứng dụng liên quan để **trích xuất khóa bí mật, khóa API, mật khẩu được mã hóa cứng** và dữ liệu nhạy cảm khác.
Dữ liệu nhạy cảm được trích xuất sẽ được xác minh để xác nhận xem việc lộ thông tin có thể dẫn đến các tác động bảo mật nghiêm trọng hay không. **CyStack** sẽ ngay lập tức liên hệ với khách hàng để hỗ trợ gỡ bỏ các kho lưu trữ công khai hoặc thu hồi khóa bí mật.
# Bắt đầu sử dụng
Source: https://docs.cystack.net/vi/dataleak/quickstart
Hướng dẫn sử dụng sản phẩm Phát hiện rò rỉ dữ liệu của CyStack
## Xác minh từ khoá
Trước khi tiến hành quét rò rỉ dữ liệu, khách hàng cần xác minh từ khóa đã thêm vào. Để bắt đầu thực hiện xác minh từ khoá (là tên miền), quản trị viên truy cập:
**Phát hiện rò rỉ dữ liệu** (trên menu sidebar) **Tổng quan** **Xác minh quyền sở hữu** (trong khu vực **Từ khoá**)
![verify keyword]()
Khi click vào nút **“Xác minh quyền sở hữu”**, giao diện sẽ mở ra form xác minh. Quản trị viên cần tạo **bản ghi TXT vào DNS** của tên miền mà doanh nghiệp muốn xác thực với các giá trị **HOST** và **VALUE** đã được điền sẵn.
Chi tiết hướng dẫn có trên form yêu cầu xác thực.
![verify keyword dns]()
***
## Phân quyền sử dụng
Hiện tại, vì mức độ nhạy cảm của dữ liệu, hệ thống chỉ cho phép **Chủ sở hữu Workspace** và **các quản trị viên (Admin)** có thể sử dụng sản phẩm **Phát hiện rò rỉ dữ liệu** của CyStack.
# Tạo tài khoản
Source: https://docs.cystack.net/vi/endpoint/account-setup
Bắt đầu sử dụng **CyStack Platform**
**CyStack Platform** là nền tảng quản lý bảo mật tập trung cung cấp thông tin trực quan, giúp đội ngũ kỹ thuật và lãnh đạo nắm bắt nhanh tình trạng bảo mật và đưa ra quyết định kịp thời.
Nền tảng của CyStack tích hợp đầy đủ công cụ bảo vệ dữ liệu cho doanh nghiệp: giám sát thiết bị, quản lý mật khẩu và secret keys, phát hiện rò rỉ dữ liệu, quét lỗ hổng tự động, và quản lý dự án. Tất cả trong một nền tảng duy nhất.
## Tạo tài khoản CyStack
Để bắt đầu với **CyStack Platform**, truy cập trang [Đăng ký](https://id.cystack.net/register?SERVICE_URL=%2Fdevices%2Fhosts\&SERVICE_SCOPE=whitehub\&ENVIRONMENT\&INNER_SERVICE=endpoint). Người dùng có thể tạo tài khoản bằng một trong hai cách:
* **SSO**: Đăng ký nhanh bằng tài khoản Google hoặc GitHub liên kết với email doanh nghiệp.
* **Email doanh nghiệp**: Nhập email doanh nghiệp để tạo tài khoản mới.
![account-register]()
***
## Tạo workspace và bắt đầu sử dụng
Sau khi tạo tài khoản thành công, thực hiện các bước sau để bắt đầu sử dụng:
Nhập thông tin và bấm nút Khởi tạo workspace.
![create-workspace]()
Sau khi tạo workspace thành công, vào màn **Tất cả giải pháp** bấm nút Bắt đầu ngay tương ứng với sản phẩm **Phần mềm quản lý thiết bị - CyStack Endpoint**.
![all-solutions]()
Trên màn sản phẩm Endpoint, chọn gói Dùng thử hoặc Mua gói, sau đó điền thông tin để bắt đầu sử dụng.
![endpoint-plans]()
Sau khi đăng ký thành công, người dùng sẽ nhận email hướng dẫn các bước để bắt đầu trải nghiệm sản phẩm.
CyStack sẽ tạo file cài công cụ Agent dành riêng cho doanh nghiệp (quá trình mất 3-5 phút). Quản trị viên sẽ được thông báo qua email khi file cài đặt sẵn sàng.
Tìm file cài đặt tại: **Quản lý thiết bị** **Thiết bị** bấm nút Cài đặt agent
![install-agent]()
Quản trị viên yêu cầu người dùng tải và cài đặt công cụ Agent trên thiết bị cần quản lý. [Xem hướng dẫn chi tiết](/endpoint/agent)
# Cài đặt agent trên thiết bị
Source: https://docs.cystack.net/vi/endpoint/agent
Hướng dẫn cài đặt Endpoint agent để quản lý thiết bị
**CyStack Agent** là công cụ cần được cài đặt trên thiết bị của người dùng để phục vụ cho việc quản lý thiết bị.
Cài đặt agent trên thiết bị chỉ mất vài phút, giúp doanh nghiệp nhanh chóng bảo vệ và quản lý tài sản IT hiệu quả. Các bước bao gồm:
***
## 1. Cài đặt agent trên thiết bị
Bấm nút Cài đặt agent và chọn hệ điều hành Windows. Người dùng có thể:
* Bấm nút Tải xuống để tải file cài đặt, hoặc
* Bấm nút Copy để sao chép link và gửi cho nhân viên khác trong doanh nghiệp
Khi bắt đầu sử dụng Endpoint, người dùng có thể cần chờ 3-5 phút để hệ thống chuẩn bị file cài đặt.
![agent-window-install-popup]()
![agent-installed]()
Bấm nút Cài đặt agent và chọn hệ điều hành macOS. Người dùng sẽ thấy lệnh cài như sau:
```bash title="Lệnh cài cho macOS" theme={null}
curl -s "https://id.cystack.net/scripts/endpoint-macos-installer.sh" | bash -s [workspace-id]
```
Bấm nút Copy để sao chép lệnh cài và gửi cho nhân viên trong doanh nghiệp.} />
Trên máy tính, nhân viên mở thanh tìm kiếm, gõ Terminal và mở chương trình.} />
Nhân viên dán lệnh vào Terminal, nhấn Enter để bắt đầu cài đặt.} />
![agent-install-mac]()
Bấm nút Cài đặt agent và chọn hệ điều hành Linux. Người dùng có thể:
* Bấm nút Tải xuống để tải file cài đặt, hoặc
* Bấm nút Copy để sao chép link và gửi cho nhân viên khác trong doanh nghiệp
Khi bắt đầu sử dụng Endpoint, người dùng có thể cần chờ 3-5 phút để hệ thống chuẩn bị file cài đặt.
![popup-install-linux]()
Mở Terminal, gõ lệnh bên dưới và nhấn Enter:}>
```bash theme={null}
sudo dpkg -i
```
## 2. Đăng nhập và xác thực thiết bị
Sau khi cài đặt hoàn tất, một cửa sổ giao diện desktop sẽ hiển thị yêu cầu đăng nhập.}>
![agent-login-popup]()
Bấm nút Đăng nhập, trình duyệt sẽ tự động mở trang đăng nhập.}>
![login-CSid]()
* **SSO (Single Sign-On)**: Đăng nhập nhanh bằng tài khoản Google, GitHub sử dụng email của tổ chức.
* **Email**:
* Nhập địa chỉ email của tổ chức
* Nhận link đăng nhập một lần (one-time login link) qua email
* Bấm vào link để xác thực
Sau khi đăng nhập, trình duyệt sẽ tự động mở app. Người dùng vui lòng nhấn đồng ý.
![open-agent]()
Đối với server hoặc truy cập từ xa vào thiết bị, người dùng có thể đăng nhập thông qua terminal:
Mở Terminal/CMD, nhập dòng lệnh tương ứng với hệ điều hành của máy (chưa cần nhấn Enter):}>
| **Hệ điều hành** | **Đường dẫn** |
| ---------------- | ------------------------------------------------------------------------------------------ |
| Windows | `C:\Program Files\CyStack\bin\cystack_agent\windows\stable\cystack_agent login --deeplink` |
| macOS | `/opt/cystack/bin/cystack_agent/macos/stable/cystack_agent login --deeplink` |
| Linux | `/opt/cystack/bin/cystack_agent/linux/stable/cystack_agent login --deeplink` |
[https://id.cystack.net/?SERVICE\_URL=%2F\&SERVICE\_SCOPE=whitehub\&lang=en\&CLIENT=desktop](https://id.cystack.net/?SERVICE_URL=%2F\&SERVICE_SCOPE=whitehub\&lang=en\&CLIENT=desktop)
Ở trang điều hướng sau khi đăng nhập, bấm Copy link address ở cụm từ "click here".}>
![login-without-UI]()
Link vừa copy sẽ có dạng `cystack://?token=...`
Dán link vừa copy vào sau dòng lệnh trong terminal. Chú ý: cần thêm dấu ngoặc kép (") vào trước và sau khi dán link.}>
Ví dụ trên hệ điều hành Linux:
```bash theme={null}
/opt/cystack/bin/cystack_agent/linux/stable/cystack_agent login --deeplink "cystack://?token=..."
```
## 3. Hoàn tất và kiểm tra kết nối
Admin có thể kiểm tra trạng thái kết nối và các thông tin của thiết bị, bật chính sách cho thiết bị và người dùng.
* **Với người dùng mới:** Một ổ đĩa mới sẽ được tạo ra.
* **Với người dùng đã từng sử dụng CyStack Endpoint trên thiết bị khác, và có bản sao lưu:** Người dùng có thể chọn khôi phục dữ liệu từ bản sao lưu; hoặc thiết lập một ổ đĩa mới từ đầu.
* **Trên Windows:** Sau khi tạo ổ đĩa mới thành công, người dùng cần **lưu lại khóa BitLocker** để sử dụng cho việc khôi phục dữ liệu sau này.
**Lưu ý:** Trên thiết bị Windows, dữ liệu trong ổ đĩa này sẽ được mã hóa với tính năng bảo mật [BitLocker](https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/). Trên thiết bị macOS và Linux, chúng tôi đang nghiên cứu tính năng bảo vệ dữ liệu trong ổ đĩa.
## 4. Tạo local user không có quyền Admin
Quản trị viên có thể tạo một tài khoản local user không có quyền Admin trên thiết bị đã cài đặt agent, và cấp cho nhân viên sử dụng tài khoản này. Tài khoản này bị hạn chế quyền truy cập hệ thống, không thể cài đặt/chạy phần mềm trái phép hoặc thay đổi cấu hình bảo mật, đảm bảo nhân viên tuân thủ các chính sách, quy tắc được áp dụng trên thiết bị.
Thực hiện các bước dưới đây để tạo local user không có quyền Admin:
Tìm kiếm chương trình Command Prompt {'\u2192'} nhấp chuột phải {'\u2192'} chọn Run as administrator.} />
Tại cửa sổ CMD, gõ dòng lệnh bên dưới và bấm Enter:}>
```bash theme={null}
net user [tên_local_user] [mật_khẩu] /add
```
Sử dụng một local user có quyền Admin trên thiết bị và truy cập Cài đặt hệ thống.} />
Tìm kiếm và truy cập màn Users & Groups (Người dùng & Nhóm).} />
Bấm nút Add User (Thêm người dùng).} />
* **Loại tài khoản:** Chọn Standard (Tiêu chuẩn)
* Nhập **Tên tài khoản** và **Mật khẩu**
Hoàn tất thông tin và bấm Tạo người dùng.} />
# Sao lưu dữ liệu
Source: https://docs.cystack.net/vi/endpoint/backup
Hướng dẫn thiết lập kho lưu trữ và sao lưu dữ liệu
**Trường hợp sử dụng**
* Trường hợp laptop bị hỏng ổ cứng hoặc bị đánh cắp, có bản sao dữ liệu mới nhất để phục hồi, giúp nhân viên quay lại làm việc nhanh chóng.
* Thiết bị bị mã hóa dữ liệu hoặc file bị xóa hàng loạt bởi mã độc, dữ liệu sạch có thể được khôi phục từ bản sao lưu trước đó, hạn chế thất thoát cho doanh nghiệp.
* Công ty cấp mới hoặc nhân viên đổi sang thiết bị làm việc khác, các dữ liệu quan trọng đã sao lưu có thể được chuyển sang nhanh chóng và dễ dàng từ bản sao lưu.
Để sao lưu dữ liệu của doanh nghiệp, người dùng cần thiết lập kho lưu trữ. Các kho lưu trữ khả dụng gồm có AWS S3, Google Drive (sắp ra mắt).
Thực hiện theo hướng dẫn dưới đây để thiết lập kho lưu trữ, và bắt đầu sao lưu dữ liệu.
***
## Sao lưu với kho lưu trữ AWS S3
### Hướng dẫn cấu hình AWS cho CyStack Endpoint
* Chuẩn bị trước account có quyền với các service IAM, S3. Sau đó tạo security key, sử dụng lệnh sau để cấu hình thông tin xác thực cho AWS CLI, giúp CLI có thể tương tác với các service AWS:
```bash theme={null}
aws configure
```
* Thay thế các biến như `[USER_NAME]`, `[REGION]`, `[ACCOUNT_ID]`, `[BUCKET_NAME]`, `[ROLE_NAME]`, `[POLICY_NAME]` thành giá trị của bạn.
#### 1. User
```bash theme={null}
aws iam create-user --user-name [USER_NAME]
```
```bash theme={null}
aws iam create-access-key --user-name [USER_NAME]
```
Lưu lại AccessKeyId và SecretAccessKey từ output:}>
```json theme={null}
{
"AccessKey": {
"AccessKeyId": "AKIA...",
"SecretAccessKey": "wJalrX...",
...
}
}
```
```bash theme={null}
aws iam get-user --user-name [USER_NAME]
```
```json theme={null}
{
"User": {
"Path": "/",
"UserName": "[USER_NAME]",
"UserId": "AIA...",
"Arn": "arn:aws:iam::[ACCOUNT_ID]:user/[USER_NAME]",
"CreateDate": "2025-04-22T04:30:31Z"
}
}
```
#### 2. Bucket
```bash theme={null}
aws s3 mb s3://[BUCKET_NAME]
```
```bash theme={null}
aws s3api put-bucket-versioning --bucket [BUCKET_NAME] --versioning-configuration Status=Enabled
```
Tạo file bucket-policy.json với nội dung sau: ()}>
giá trị AWS lấy từ user ARN được lưu bên trên
```json theme={null}
{
"Version": "2012-10-17",
"Id": "Policy1745394942216",
"Statement": [
{
"Sid": "Stmt1745394940328",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[ACCOUNT_ID]:user/[USER_NAME]"
},
"Action": [
"s3:ListBucket",
"s3:ListBucketVersions"
],
"Resource": "arn:aws:s3:::[USER_NAME]"
}
]
}
```
```bash theme={null}
aws s3api put-bucket-policy --bucket [BUCKET_NAME] --policy file://bucket-policy.json --region [REGION]
```
#### 3. Tạo các role cần thiết
Tạo file trust-policy.json để cho phép user mới có quyền "assume role":}>
```json theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[ACCOUNT_ID]:user/[USER_NAME]"
},
"Action": "sts:AssumeRole"
}
]
}
```
Tạo role để gọi AssumeRole. Role này sẽ có "IAM policy" tối thiểu, kết hợp với "session policy" để kiểm soát quyền:}>
```bash theme={null}
aws iam create-role ^
--role-name [ROLE_NAME] ^
--assume-role-policy-document file://trust-policy.json
```
```bash theme={null}
aws iam create-role \
--role-name [ROLE_NAME] \
--assume-role-policy-document file://trust-policy.json
```
Tạo file generic-backup-policy.json với "IAM policy" như sau:}>
```json theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:GetObjectAttributes",
"s3:GetObjectVersion",
"s3:PutObject",
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::[BUCKET_NAME]",
"arn:aws:s3:::[BUCKET_NAME]/*"
]
}
]
}
```
```bash theme={null}
aws iam create-policy ^
--policy-name [POLICY_NAME] ^
--policy-document file://generic-backup-policy.json
```
```bash theme={null}
aws iam attach-role-policy ^
--role-name [ROLE_NAME] ^
--policy-arn arn:aws:iam::[ACCOUNT_ID]:policy/[POLICY_NAME]
```
```bash theme={null}
aws iam create-policy \
--policy-name [POLICY_NAME] \
--policy-document file://generic-backup-policy.json
```
```bash theme={null}
aws iam attach-role-policy \
--role-name [ROLE_NAME] \
--policy-arn arn:aws:iam::[ACCOUNT_ID]:policy/[POLICY_NAME]
```
Tạo file central-server-policy.json:}>
```json theme={null}
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "sts:AssumeRole",
"Resource": "arn:aws:iam::[ACCOUNT_ID]:role/[ROLE_NAME]"
}
]
}
```
Gán policy cho phép user mới gọi AssumeRole trên [ROLE_NAME]:}>
```bash theme={null}
aws iam put-user-policy ^
--user-name [USER_NAME] ^
--policy-name STSPolicy ^
--policy-document file://central-server-policy.json
```
```bash theme={null}
aws iam put-user-policy \
--user-name [USER_NAME] \
--policy-name STSPolicy \
--policy-document file://central-server-policy.json
```
#### 4. Thiết lập kết nối từ CyStack Endpoint đến kho lưu trữ
Trên giao diện quản lý CyStack Endpoint, truy cập tab "Bảo vệ dữ liệu" {'\u2192'} "Cài đặt sao lưu".} />
Tại danh sách "Bộ nhớ sao lưu", chọn "Dịch vụ lưu trữ S3":}>
![s3-config-1]()
Tại cửa sổ bật lên xuất hiện, điền thông tin lấy được từ việc thiết lập cấu hình vào, và bấm Lưu:}>
![s3-config-2]()
Sau khi thiết lập kết nối thành công, chuyển sang tab danh sách "Thiết bị" {'\u2192'} Bấm vào checkbox tương ứng với thiết bị muốn sao lưu {'\u2192'} bấm nút Bật sao lưu:}>
![s3-config-3]()
Dữ liệu thuộc ổ đĩa doanh nghiệp trên các thiết bị đã chọn sẽ được tự động sao lưu 6 tiếng một lần. Việc sao lưu áp dụng với các loại file sau:
`.doc`, `.docx`, `.odt`, `.ott`, `.pages`, `.xls`, `.xlsx`, `.csv`, `.ods`, `.numbers`, `.pdf`, `.ppt`, `.pptx`, `.odp`, `.key`
***
## Khôi phục dữ liệu
Khi thiết bị xảy ra lỗi, hoặc mất dữ liệu bởi ransomware, người dùng doanh nghiệp có thể yêu cầu Chủ sỡ hữu workspace hoặc Quản trị viên khôi phục dữ liệu trong thiết bị của mình. Khi đó, Chủ sở hữu hoặc Quản trị viên khôi phục dữ liệu theo hướng dẫn sau:
Bấm vào biểu tượng {'\u22EE'} cạnh thiết bị cần được sao lưu dữ liệu, và chọn Quản lý bản sao lưu:}>
![restore-snapshots-access]()
Tại hộp thoại "Quản lý bản sao", chọn nút Khôi phục:}>
![restore-snapshots-manage]()
Hệ thống sẽ yêu cầu người dùng thiết bị xác nhận yêu cầu khôi phục dữ liệu.} />
Trên thiết bị của mình, người dùng bấm nút Xác nhận:}>
![restore-client-confirmation]()
Trong một số trường hợp (trên hệ điều hành Windows), người dùng thiết bị cần nhập khóa BitLocker (đã lưu trước đó) để giải mã dữ liệu sau khi khôi phục:}>
![restore-client-bitlocker]()
Sau khi khôi phục thành công, người dùng có thể truy cập được dữ liệu trên ổ đĩa của thiết bị.} />
# Bảng điều khiển
Source: https://docs.cystack.net/vi/endpoint/dashboard
Hướng dẫn sử dụng Bảng điều khiển
## Tổng quan
Thanh menu nằm bên tay trái giúp người dùng có thể truy cập các sản phẩm theo từng chức năng. Trong đó sản phẩm **Quản lý thiết bị** được chia thành các đề mục:
**Tổng quan**
* Tổng quan
* Phần mềm
* Chính sách
* Hoạt động
**Thiết bị**
* Danh sách thiết bị
**Nhân viên**
* Danh sách nhân viên
* Phòng ban
**Chính sách**
* Quản lý chính sách
**Ngăn chặn**
* Địa chỉ web
* Địa chỉ IP
* Cổng mạng
* Phần mềm
**Bảo vệ dữ liệu**
* Sao lưu
* Theo dõi
* Hoạt động
![endpoint-menu]()
***
## Chức năng điều hướng trên thanh menu
### Mục Tất cả giải pháp
Mục **Tất cả giải pháp** ở trên cùng của thanh menu chứa tất cả các sản phẩm và dịch vụ mà CyStack cung cấp, được quản lý tập trung trong nền tảng CyStack Platform. Người dùng có thể tìm kiếm CyStack Endpoint tại trang này để bắt đầu sử dụng.
![menu-all-solutions]()
Các sản phẩm/dịch vụ được nhóm lại theo **4 nhóm** sau để người dùng dễ dàng tìm kiếm theo mục đích sử dụng:
***
### Mục Cài đặt
Khi nhấn vào mục **Tài khoản** ở góc dưới phải của màn hình, các chức năng sau sẽ xuất hiện:
* Thông tin cá nhân
* Cài đặt workspace: bao gồm chỉnh sửa thông tin cơ bản của doanh nghiệp, điều chỉnh thành viên sử dụng workspace, và thông tin thanh toán
* Xem tài liệu hướng dẫn chi tiết
* Đổi workspace và Tạo workspace mới
* Đăng xuất
![menu-settings]()
***
### Mục Thanh toán
Mục thanh toán bao gồm **4 tab**:
* **Giải pháp:** chứa danh sách các gói sản phẩm/dịch vụ đang được Doanh nghiệp sử dụng.
* **Đơn hàng:** chứa danh sách các đơn hàng đã thanh toán và đang chờ thanh toán.
* **Hợp đồng:** chứa các hợp đồng ký giữa hai bên Doanh nghiệp và CyStack.
* **Cài đặt:** chỉnh sửa thông tin người thanh toán của bên Doanh nghiệp.
![menu-payment]()
***
### Hỗ trợ
Khi nhấn vào nút “Hỗ trợ” ở góc dưới bên phải của thanh menu, 1 ô chat sẽ được mở ra ở góc bên tay phải. Người dùng có thể nhắn tin với đội ngũ CyStack thông qua ô chat này hoặc liên lạc qua email **[support@cystack.net](mailto:support@cystack.net)**
![menu-payment]()
# Theo dõi hành trình dữ liệu (Sắp ra mắt)
Source: https://docs.cystack.net/vi/endpoint/data-lineage
Hướng dẫn sử dụng tính năng Theo dõi hành trình dữ liệu
**Theo dõi hành trình dữ liệu (Data Lineage)** là khả năng theo dõi **hành trình và vòng đời** của một tệp dữ liệu trong ổ đĩa doanh nghiệp trên thiết bị người dùng – từ lúc được tạo, sửa đổi, sao chép, di chuyển cho đến khi bị xóa hoặc chia sẻ ra ngoài.
Tính năng này đóng vai trò quan trọng trong việc:
* **Ghi nhận lịch sử thay đổi dữ liệu**: ai đã chỉnh sửa tệp, chỉnh sửa nội dung gì, thay đổi diễn ra khi nào.
* **Theo dõi di chuyển dữ liệu giữa các thiết bị**: dữ liệu có bị sao chép sang USB, tải lên cloud hoặc gửi qua email không?
* **Phát hiện rủi ro rò rỉ dữ liệu**: nếu dữ liệu quan trọng bị sao chép hoặc gửi ra bên ngoài phạm vi doanh nghiệp, hệ thống có thể cảnh báo hoặc chặn hành động đó.
* **Đáp ứng yêu cầu tuân thủ**: doanh nghiệp có thể chứng minh rằng dữ liệu được bảo vệ đúng cách theo các tiêu chuẩn bảo mật như GDPR, ISO 27001.
Một file thuộc doanh nghiệp được giám sát như sau:
* Tên file (hoặc regex pattern: `report_*.xlsx`, `confidential_*.pdf`, v.v.)
* Định dạng (file extension như `.docx`, `.zip`…)
* Các tệp khớp với khuôn mẫu, gồm các hành động:
* Thay đổi đối với tệp trong nội bộ máy (local machine): Tạo, sửa đổi, sao chép, di chuyển, đổi tên, xóa
* Tải tệp ra ngoài (gửi qua email, tải lên web, đồng bộ lên cloud…)
* Các tệp nối tiếp chuỗi sự kiện của tệp theo khuôn mẫu. Ví dụ: File A trùng pattern được đổi tên sang tên File B (có thể tên B không theo khuôn mẫu) hành vi của file B vẫn được theo dõi tiếp.
* Ai thao tác (người dùng)
* Ở đâu (thiết bị, folder)
* Khi nào (mốc thời gian)
* Hành vi gì (sao chép, sửa đổi, tải lên…)
* Tìm kiếm, lọc theo file, người dùng, thiết bị, loại hành vi
* Xuất dữ liệu để điều tra hoặc kiểm toán
# Yêu cầu Khởi động lại/Tắt thiết bị từ xa
Source: https://docs.cystack.net/vi/endpoint/device-control
Hướng dẫn sử dụng tính năng Yêu cầu khởi động lại hoặc tắt thiết bị từ xa
**Trường hợp sử dụng:**
* Bảo trì hệ thống ngoài giờ: Tự động khởi động lại máy sau khi cập nhật Windows hoặc cài đặt bản vá bảo mật vào bất kỳ thời gian nào
* Ứng phó sự cố bảo mật: Khi phát hiện máy bị nhiễm malware hoặc ransomware, bộ phận IT có thể tắt hoặc ngắt kết nối máy ngay lập tức để tránh lây lan
## Khởi động lại thiết bị từ xa
Ở màn "Thiết bị", bấm vào nút {'\u22EE'} cạnh thiết bị muốn khởi động lại {'\u2192'} chọn Khởi động lại.}>
![device-control-device-menu-restart]()
***
## Tắt thiết bị từ xa
Ở màn "Thiết bị", bấm vào nút {'\u22EE'} cạnh thiết bị muốn khởi động lại {'\u2192'} chọn Tắt máy.}>
![device-control-device-menu-shutdown]()
# Quản lý thiết bị của tổ chức
Source: https://docs.cystack.net/vi/endpoint/device-management
Hướng dẫn sử dụng tính năng Quản lý thiết bị của tổ chức
**Trường hợp sử dụng:**
* Quản lý tài sản: Công ty có quản lý được tất cả thiết bị do công ty cấp phát, biết được máy nào đang chạy hệ điều hành gì, cấu hình ra sao, nhằm mục đích thống kê, lập kế hoạch nâng cấp hoặc thay thế.
* Theo dõi thiết bị thất lạc: Trong trường hợp thiết bị bị đánh cắp hoặc thất lạc, bộ phận IT có thể xác định vị trí cuối cùng của máy để hỗ trợ truy hồi.
* Đảm bảo tuân thủ phần mềm: Kiểm tra máy tính có cài đúng phiên bản phần mềm được phép, tránh việc cài phần mềm lậu hoặc chưa được cấp phép.
## Xem danh sách thiết bị
Quản trị viên có thể xem danh sách thiết bị bằng cách truy cập **Endpoint** **Thiết bị** từ menu bên trái.
Các thông tin trên danh sách thiết bị giúp quản trị viên nắm bắt nhanh được:
* Số lượng thiết bị đã được quản lý, hoặc nằm trong mạng của tổ chức nhưng chưa được quản lý
* Thông tin quan trọng về phần cứng, hoạt động của mỗi thiết bị
* Các vi phạm nổi bật của mỗi thiết bị (vi phạm chính sách, lỗ hổng nghiêm trọng trong các phần mềm mà thiết bị cài đặt)
![device-management-device-list]()
***
## Thông tin của từng thiết bị
Để xem thông tin của từng thiết bị, tại màn Danh sách, bấm vào thiết bị muốn xem. Có thể chọn nút Xem chi tiết để theo dõi thông tin chi tiết của từng thiết bị.
### Thông tin tổng quan
Mỗi thiết bị hiển đã cài agent đều được lưu thông tin chi tiết lên giao diện, giúp Chủ workspace và Quản trị viên theo dõi tình trạng bảo mật, hoạt động và thông tin phần cứng của thiết bị đó.
Để xem thông tin thiết bị, truy cập màn **Quản lý thiết bị** **Thiết bị** bấm vào thiết bị muốn xem thông tin chọn Xem chi tiết
Các thông tin chính bao gồm:
* Biểu đồ về tình hình tuân thủ chính sách và các lỗ hổng có trong phần mềm
![device-management-device-detail-overview]()
* Các thông tin chi tiết về tình hình cài đặt Endpoint agent, phần cứng, hoạt động, chủ sở hữu, vị trí lần cuối
![device-management-device-detail-details]()
### Kiểm tra phần mềm đã cài đặt trên thiết bị
Để kiểm tra phần mềm đã cài đặt trên thiết bị, điều hướng vào tab **Phần mềm**.
**Chủ workspace (Owner)** hoặc **Quản trị viên (Admin)** có thể xem danh sách phần mềm được cài đặt trên từng thiết bị để kiểm tra các phần mềm dính lỗ hổng, hoặc phần mềm nào thuộc danh sách không được cài đặt của tổ chức.
![device-management-device-detail-softwares]()
Tính năng còn cho phép người dùng xem danh sách lỗ hổng chi tiết của mỗi phần mềm, từ đó giúp có các biện pháp phòng ngừa hoặc khắc phục hiệu quả cho thiết bị.
![device-management-device-detail-softwares-vuln]()
### Kiểm tra tình hình tuân thủ chính sách của thiết bị
Để kiểm tra tình hình tuân thủ chính sách của thiết bị, điều hướng vào tab **Chính sách**.
Tính năng này cho phép **Chủ workspace (Owner)** hoặc **Quản trị viên (Admin)** xem chi tiết tình hình tuân thủ chính sách của một thiết bị cụ thể, bao gồm tên chính sách, trạng thái tuân thủ chính sách của thiết bị (Đạt hay Không đạt).
### Kiểm tra nhật ký hoạt động của thiết bị
Để kiểm tra tình hình tuân thủ chính sách của thiết bị, điều hướng vào tab **Hoạt động**.
Màn Nhật ký hoạt động ghi lại các hoạt động trên một thiết bị của người dùng tổ chức. Các hoạt động bao gồm:
* Người dùng đăng nhập vào thiết bị
* Người dùng đăng xuất khỏi thiết bị
* Truy cập từ xa vào thiết bị
# Lịch sử chỉnh sửa, chia sẻ tài liệu
Source: https://docs.cystack.net/vi/endpoint/file-activity
Hướng dẫn sử dụng Lịch sử chỉnh sửa, chia sẻ tài liệu
## Theo dõi lịch sử hoạt động tệp
Để theo dõi lịch sử chỉnh sửa, chia sẻ tài liệu của nhân viên, quản trị viên truy cập menu **Quản lý thiết bị** **Lịch sử hoạt động** **Hoạt động tệp**.
Trang sẽ thu thập các thông tin bao gồm:
* Người thực hiện, hành động, tài liệu được chỉnh sửa/chia sẻ, IP thiết bị
Riêng đối với hoạt động chia sẻ tài liệu:
* Nếu người dùng chia sẻ tài liệu qua một ứng dụng bị chặn theo chính sách đã thiết lập, quản trị viên sẽ thấy một nhãn báo Đã chặn tương ứng với hoạt động đó
![history-file-activity-list]()
## Cài đặt nâng cao: theo dõi người nhận tệp
Tính năng này cho phép quản trị viên theo dõi tệp được gửi cho ai, qua nền tảng nào. Hiện tại, phần mềm hỗ trợ theo dõi người nhận khi gửi tệp qua các kênh `Zalo (web, desktop app)`, `Gmail (web)`, `Outlook (web)`.
Để bật tính năng này, quản trị viên vào màn **Lịch sử hoạt động** **Cài đặt** bật nút Theo dõi người nhận file lên.
![history-track-file-settings]()
Khi đó, nếu người dùng gửi tài liệu qua các kênh trên, ở bảng **Hoạt động tệp** sẽ lưu lại thông tin về người nhận tệp là ai.
# Quản lý phòng ban
Source: https://docs.cystack.net/vi/endpoint/groups
Hướng dẫn sử dụng tính năng Quản lý phòng ban trong tổ chức
**Trường hợp sử dụng**
* Phân quyền theo phòng ban: Thêm nhân viên vào các phòng ban để dễ dàng thiết lập và áp dụng chính sách tùy chỉnh theo các phòng ban cụ thể.
* Đảm bảo nguyên tắc "least privilege": Giới hạn quyền của từng phòng ban để giảm rủi ro lộ thông tin nhạy cảm khi một tài khoản bị xâm nhập.
## Tạo phòng ban
Từ menu bên trái của ứng dụng, chọn "Quản lý thiết bị" {'\u2192'} "Nhân viên" {'\u2192'} "Phòng ban".} />
Bấm nút Tạo phòng ban trên giao diện.} />
![iam-department-edit-name]()
Để tạo thêm phòng ban mới trực thuộc nhánh chính hoặc một phòng ban bất kỳ, trỏ chuột vào phòng ban mà phòng ban mới sẽ trực thuộc {'\u2192'} chọn biểu tượng {'\uFF0B'}.}>
![iam-department-add]()
***
## Sắp xếp phòng ban
Để sắp xếp phòng ban bất kỳ sang một vị trí khác, nhấn giữ chuột vào biểu tượng của phòng ban đó di chuyển đến vị trí mong muốn.
![iam-department-move]()
# Quản trị truy cập IP/CIDR
Source: https://docs.cystack.net/vi/endpoint/ip-control
Kiểm soát và chặn truy cập theo IP, dải IP hoặc CIDR để bảo vệ hệ thống
**Trường hợp sử dụng:**
* Khi phát hiện IP thuộc hạ tầng điều khiển botnet, admin cấu hình chặn mọi thiết bị truy cập IP này để tránh lây nhiễm
Tương tự kiểm soát truy cập website, chính sách cho IP hỗ trợ:
Chọn chính sách: Chặn hoặc Cho phép kết nối.} />
* Một IP duy nhất (ví dụ: `192.168.1.0`).
* Một dải IP (ví dụ: `192.168.1.0 – 192.168.1.13`).
* Hoặc theo dạng CIDR (ví dụ: `192.168.1.0/24`).
* `Outbound`: thiết bị **kết nối ra ngoài** tới IP đó.
* `Inbound`: IP đó **kết nối vào** thiết bị.
* Áp dụng cho nhóm thiết bị (theo nhãn).
* Hoặc từng thiết bị riêng lẻ.
# Gán nhãn tài liệu và áp dụng chính sách
Source: https://docs.cystack.net/vi/endpoint/labeling
Hướng dẫn sử dụng tính năng Gán nhãn cho tài liệu và áp dụng chính sách theo nhãn
**Trường hợp sử dụng**
* Phân loại tài liệu nào được gửi, không được gửi.
* Tự động gán nhãn cho các tài liệu theo quy tắc của doanh nghiệp.
* Các dữ liệu đã được gán nhãn sẽ được tự động chặn/cho phép gửi theo chính sách tương ứng.
## Hiểu về nhãn tài liệu
Trong CyStack Endpoint, quản trị viên có thể thiết lập các nhãn với quy tắc cụ thể, để tự động gán cho các tài liệu trên máy người dùng. Ví dụ: doanh nghiệp chuyên về thiết kế muốn chặn nhân viên gửi tài liệu thiết kế ra ngoài, sẽ chặn gửi các tệp có loại .psd, .psb, .ai,…
Nhãn dữ liệu gồm các thành phần:
* **Quy tắc dữ liệu**: được quy định dựa trên tên tệp, loại tệp, nội dung tệp. Các tệp có tên, nội dung hoặc loại tệp theo quy tắc do quản trị viên thiết kế sẽ được tự động áp dụng nhãn tương ứng.
* **Chính sách của nhãn**: giúp quy định tài liệu nào được cho phép gửi, gửi qua kênh nào, hay sẽ bị chặn gửi hoàn toàn. Quản trị viên có thể quy định chính sách cho từng nhãn; khi đó, tài liệu được gán nhãn nào sẽ được cho phép hoặc bị chặn gửi tương ứng.
* **Một tài có thể được gán nhiều nhãn** nếu thuộc tính của tài liệu phù hợp với quy tắc của nhiều nhãn khác nhau. Tuy nhiên, tệp sẽ được áp dụng chính sách của nhãn nào có chính sách gửi dữ liệu nghiêm ngặt nhất.
***VD:** tệp được gán cả nhãn A với chính sách `Chặn gửi hoàn toàn` và nhãn B với chính sách `Cho phép gửi qua một số kênh` thì tệp sẽ được áp dụng chính sách `Chặn gửi hoàn toàn` .*
***
## Tạo và áp dụng nhãn tài liệu
Quản trị viên có thể tạo nhãn tài liệu theo luồng sau:
Truy cập trang quản trị, tại màn "Quản lý thiết bị" {'\u2192'} "Bảo vệ dữ liệu" {'\u2192'} "Nhãn dữ liệu".} />
Bấm nút Nhãn mới {'\u2192'} màn "Tạo nhãn mới" được hiển thị.} />
Quản trị viên nhập Tên nhãn, Mô tả, Thiết bị áp dụng nhãn, Chính sách của nhãn và bấm Tiếp tục.}>
![labeling-create-label]()
Có thể đặt quy tắc theo `Tên tệp` hoặc `Loại tệp` là gì, hoặc kết hợp cả điều kiện về `Tên tệp` và `Loại tệp`. Các tệp có thuộc tính trùng với quy tắc thì sẽ được gán nhãn này.
![labeling-config-rule]()
Bấm nút Tạo nhãn {'\u2192'} nhãn sẽ được tạo và hiển thị ở danh sách.}>
![labeling-completed-label]()
**Lưu ý:** Quản trị viên cũng có thể quy định chính sách cho các tài liệu chưa được gán nhãn, ví dụ: mặc định chặn người dùng gửi các tài liệu chưa được gán nhãn, để đảm bảo kiểm soát dữ liệu tốt nhất.
Để thực hiện, quản trị viên tiến hành:
Tại mục Chưa gán nhãn được tạo mặc định, bấm nút Chỉnh sửa nhãn.}>
![labeling-edit-label]()
![labeling-edit-rule]()
***
## Tự động áp dụng chính sách trên máy người dùng
Trên thiết bị người dùng, các tài liệu sẽ tự động được áp dụng chính sách theo nhãn đã gán. Chính sách của nhãn theo thông tin dưới đây:
* **Chặn gửi hoàn toàn:** tài liệu gán nhãn có chính sách này sẽ không được gửi qua bất kỳ kênh nào.
* **Chặn gửi trực tiếp, chỉ cho phép tạo link để chia sẻ tài liệu:** tài liệu gán nhãn có chính sách này sẽ không được gửi qua bất kỳ kênh nào. Nếu muốn gửi, người dùng cần tạo một link của tài liệu, và gửi cho người nhận. Với cách này, quản trị viên có thể dễ dàng kiểm soát bằng việc phê duyệt khi ngừoi dùng muốn chia sẻ một tài liệu.
* **Cho phép gửi qua kênh được cấp phép:** tài liệu gán nhãn có chính sách này sẽ chỉ được gửi qua các website hoặc ứng dụng do quản trị viên chỉ định.
* **Cho phép gửi qua mọi kênh:** tài liệu gán nhãn có chính sách này sẽ được gửi qua mọi kênh.
# Thiết lập & Kiểm duyệt chia sẻ tài liệu
Source: https://docs.cystack.net/vi/endpoint/link-sharing
Dành cho Quản trị viên và Người phê duyệt
**Tài liệu này dành cho ai?**
* **Quản trị viên:** Thiết lập cấu hình tính năng chia sẻ tài liệu qua link cho toàn workspace.
* **Người phê duyệt:** Kiểm duyệt yêu cầu chia sẻ và quản lý quyền truy cập tài liệu.
***
## Thiết lập tính năng (Quản trị viên)
Thao tác này chỉ cần thực hiện một lần duy nhất trước khi triển khai cho nhân viên.
### Bước 1: Chặn gửi tệp qua các kênh không kiểm soát
Để đảm bảo dữ liệu chỉ được chia sẻ qua link hệ thống, Quản trị viên cần kích hoạt tính năng chặn upload tệp tự do.
Truy cập: **Quản lý thiết bị** → **Bảo vệ dữ liệu** → **Chặn gửi tệp** → Bật nút Chặn gửi tệp.
![bat-chan-gui-tep]()
***
### Bước 2: Cấu hình chế độ quản lý chia sẻ
Quản trị viên lựa chọn một trong hai cơ chế kiểm soát:
1. **Chế độ tự do:** Nhân viên chủ động tạo link. Quản trị viên thực hiện hậu kiểm thông qua **Logs** (theo dõi danh tính, thời gian và số lượt truy cập).
2. **Chế độ phê duyệt:** Link chỉ có hiệu lực sau khi yêu cầu của nhân viên được Người phê duyệt chấp thuận.
**Cách kích hoạt chế độ phê duyệt:**
![kich-hoat-phe-duyet-toggle]()
![them-nguoi-phe-duyet]()
![popup-chon-nguoi-phe-duyet]()
***
## Kiểm duyệt yêu cầu (Người phê duyệt)
> Phần này áp dụng khi Quản trị viên đã kích hoạt **Chế độ yêu cầu phê duyệt**.
### Bước 1: Tạo Khóa bảo mật (lần đầu sử dụng)
**Khóa bảo mật** là mật khẩu riêng của từng tài khoản, dùng để giải mã nội dung tài liệu khi Preview hoặc tải file trực tiếp từ hệ thống. Chỉ người sở hữu khóa mới có thể xem nội dung - ngay cả các tài khoản khác trong cùng workspace cũng không thể xem thay.
Khóa bảo mật gắn liền với tài khoản người dùng, không thay đổi theo Workspace.
Khi lần đầu truy cập vào **Quản lý thiết bị** → **Bảo vệ dữ liệu** → **Chia sẻ tệp qua link**, hệ thống sẽ tự động hiển thị popup yêu cầu tạo khóa.
![tao-khoa-bao-mat]()
Ghi nhớ Khóa bảo mật. Nếu đóng popup mà chưa tạo, bạn sẽ không thể truy cập màn Chia sẻ tệp qua link cho đến khi hoàn tất tạo khóa.
***
### Bước 2: Nhận thông báo và xem yêu cầu chờ duyệt
Khi nhân viên tạo yêu cầu chia sẻ, Người phê duyệt sẽ nhận Email thông báo.
![email-thong-bao-phe-duyet]()
***
### Bước 3: Preview tài liệu trước khi phê duyệt
Trước khi cấp phép, Người phê duyệt nên xem trước nội dung tài liệu để đảm bảo không có thông tin nhạy cảm bị chia sẻ ra ngoài.
![bieu-tuong-preview-file]()
![popup-nhap-khoa-bao-mat]()
![giao-dien-preview-file]()
Chỉ cần nhập Khóa bảo mật một lần mỗi phiên làm việc. Sau đó có thể Preview các file khác mà không cần nhập lại.
**Định dạng hỗ trợ Preview:**
| Loại | Định dạng |
| ---------------- | -------------------------------------------------------------- |
| Văn bản / Code | txt, md, json, csv, log, xml, yaml, yml, js, ts, css, html, go |
| Hình ảnh | png, jpg, jpeg, gif, webp, svg |
| Tài liệu | pdf |
| Âm thanh / Video | mp3, wav, ogg, mp4, webm |
***
### Bước 4: Phê duyệt hoặc Từ chối yêu cầu
Sau khi cấp phép, nhân viên sẽ nhận Email thông báo và link tài liệu sẽ tự động hiển thị trên màn hình máy tính của họ.
***
### Quản lý link sau khi phê duyệt
Người phê duyệt có thể điều chỉnh quyền truy cập hoặc thu hồi link bất cứ lúc nào tại tab **Link đã tạo**.
**Cập nhật người xem:**
![nut-cap-nhat-nguoi-xem]()
![popup-cap-nhat-email]()
**Dừng chia sẻ:**
![nut-dung-chia-se]()
![thong-bao-link-het-han]()
Nếu thiết bị bị gỡ (**Remove**) khỏi Workspace, toàn bộ link chia sẻ liên quan sẽ bị xóa vĩnh viễn.
***
## Quản lý Khóa bảo mật
### Đổi Khóa bảo mật
Truy cập: **Cài đặt tài khoản** → **Bảo mật** → **Khóa bảo mật cho Quản lý thiết bị** → Bấm Đổi khóa bảo mật.
![doi-khoa-bao-mat]()
Sau khi đổi khóa, bạn không thể Preview hoặc tải xuống từ Preview đối với các tài liệu được tạo trước thời điểm thay đổi.
***
### Quên Khóa bảo mật
Bạn có thể đặt lại khóa thông qua xác thực OTP qua Email.
![nut-quen-khoa-bao-mat]()
![xac-nhan-dat-lai-khoa]()
![thiet-lap-khoa-moi-otp]()
Việc đặt lại khóa qua OTP cũng sẽ làm mất khả năng Preview và tải xuống đối với các tài liệu được chia sẻ trước đó.
# Chia sẻ & Xem tài liệu qua link
Source: https://docs.cystack.net/vi/endpoint/link-sharing-2
Dành cho Nhân viên và Người xem tài liệu
**Tài liệu này dành cho ai?**
* **Nhân viên:** Tạo link để chia sẻ tài liệu từ máy tính cá nhân.
* **Người xem:** Nhận link và truy cập tài liệu được chia sẻ.
***
## Tạo link chia sẻ tài liệu (Nhân viên)
Yêu cầu: Đã đăng nhập ứng dụng **Endpoint** trên thiết bị.
![nut-chia-se-windows]()
![popup-thiet-lap-chia-se]()
* **Không cần phê duyệt:** Link khởi tạo ngay lập tức (hạn dùng mặc định 30 ngày).
* **Cần phê duyệt:** Hệ thống gửi yêu cầu tới Người phê duyệt. Sau khi được duyệt, link sẽ hiển thị trên màn hình và thông báo qua Email.
![ket-qua-tao-link]()
Để lấy lại link cũ, thực hiện lại từ Bước 2 trên cùng file đó. Link vẫn giữ hiệu lực nếu chưa hết hạn hoặc chưa bị dừng chia sẻ.
Trên macOS, tính năng này chỉ hỗ trợ các tài liệu nằm trong ổ đĩa ảo do phần mềm Endpoint quản lý.
![chia-se-endpoint-macos]()
![chon-file-macos]()
![popup-thiet-lap-chia-se-macos]()
* **Không cần phê duyệt:** Link khởi tạo ngay lập tức (hạn dùng mặc định 30 ngày).
* **Cần phê duyệt:** Hệ thống gửi yêu cầu tới Người phê duyệt. Sau khi được duyệt, link sẽ hiển thị trên màn hình và thông báo qua Email.
![ket-qua-tao-link]()
Để lấy lại link cũ, thực hiện lại từ Bước 1 trên cùng file đó. Link vẫn giữ hiệu lực nếu chưa hết hạn hoặc chưa bị dừng chia sẻ.
Nếu workspace đang bật **Chế độ yêu cầu phê duyệt**, link chỉ được tạo sau khi Người phê duyệt chấp thuận. Xem thêm: [Thiết lập & Kiểm duyệt chia sẻ tài liệu](/endpoint/thiet-lap-kiem-duyet).
***
## Xem tài liệu được chia sẻ (Người xem)
![xac-thuc-email-nguoi-xem]()
Link chia sẻ có hạn dùng mặc định 30 ngày. Nếu link hết hạn hoặc bị thu hồi, hãy liên hệ lại người chia sẻ để tạo link mới.
# Giới thiệu chung
Source: https://docs.cystack.net/vi/endpoint/overview
Thông tin cơ bản về phần mềm quản lý thiết bị đầu cuối **CyStack Endpoint**
**CyStack Endpoint** là nền tảng bảo mật thiết bị đầu cuối dành cho doanh nghiệp, giúp bạn:
* **Kiểm soát toàn diện** mọi thiết bị trong hệ thống (laptop, máy tính bàn, thiết bị di động)
* **Giám sát** tình trạng bảo mật của thiết bị theo thời gian thực
* **Phát hiện và ngăn chặn** các mối đe dọa trước khi chúng gây ra hậu quả
Thay vì các phương pháp quản lý thiết bị rời rạc, **CyStack Endpoint** cung cấp một giải pháp tập trung, giúp đội ngũ IT và đội ngũ bảo mật dễ dàng quản lý.
***
## 1. Quản lý tài sản và thiết bị
**CyStack Endpoint** cung cấp khả năng quản lý tập trung toàn bộ thiết bị trong tổ chức:
* Tự động phát hiện và ghi nhận tất cả thiết bị kết nối vào hệ thống, từ thiết bị sở hữu bởi doanh nghiệp tới thiết bị cá nhân (BYOD).
* Theo dõi chi tiết thông tin phần cứng, phần mềm, tình trạng bảo mật và lịch sử hoạt động của từng thiết bị.
* Cảnh báo khi có thiết bị mới, thiết bị trái phép hoặc thiết bị không tuân thủ chính sách truy cập hệ thống.
**Mục tiêu:** Giúp doanh nghiệp nắm chắc mọi thiết bị, giảm thiểu nguy cơ bị tấn công từ các thiết bị "ẩn danh".
***
## 2. Quản lý truy cập và định danh
Giải quyết bài toán **ai đang sử dụng thiết bị, và họ được phép làm gì.**
* Xác thực người dùng khi truy cập vào thiết bị và tài nguyên nội bộ.
* Quản lý quyền truy cập dựa trên vai trò (RBAC - Role-Based Access Control), đảm bảo nhân sự chỉ tiếp cận thông tin cần thiết.
* Hỗ trợ đa yếu tố xác thực (MFA), bảo vệ tài khoản khỏi bị xâm nhập trái phép.
* Kiểm soát truy cập theo ngữ cảnh: vị trí địa lý, thiết bị sử dụng, thời gian truy cập.
**CyStack Endpoint** không chỉ quản lý thiết bị, mà còn gắn chặt với **người dùng** và **quyền truy cập**, xây dựng lớp bảo vệ đầu tiên trước các mối đe dọa từ bên trong lẫn bên ngoài.
***
## 3. Bảo vệ dữ liệu
Dữ liệu là tài sản giá trị nhất của doanh nghiệp, và **CyStack Endpoint** đảm bảo dữ liệu luôn an toàn ngay cả khi thiết bị gặp sự cố:
* Mã hóa ổ đĩa và dữ liệu trên thiết bị để ngăn chặn rò rỉ thông tin nếu thiết bị bị mất hoặc đánh cắp.
* Sao lưu dữ liệu quan trọng định kỳ, ngăn chặn mã độc tống tiền (ransomware).
* Giám sát và cảnh báo khi có hành vi đáng ngờ liên quan tới truy cập hoặc sao chép dữ liệu.
* Tích hợp sẵn các cơ chế chống rò rỉ dữ liệu (DLP - Data Loss Prevention).
**CyStack Endpoint** giúp doanh nghiệp yên tâm rằng dữ liệu luôn trong vùng an toàn, ngay cả khi thiết bị không còn trong tay.
***
## 4. Quản lý chính sách
Giảm thiểu lỗi vận hành và đảm bảo tuân thủ tiêu chuẩn bảo mật bằng cách tự động hóa việc áp dụng và giám sát chính sách bảo mật:
* Định nghĩa và triển khai chính sách bảo mật theo chuẩn CIS v8 cho từng nhóm thiết bị hoặc người dùng.
* Tự động kiểm tra mức độ tuân thủ và phát hiện vi phạm chính sách trong thời gian thực.
* Hỗ trợ audit và ghi nhận log đầy đủ, phục vụ điều tra sự cố hoặc kiểm toán bảo mật.
* Cập nhật chính sách linh hoạt theo nhu cầu vận hành và thay đổi trong môi trường an ninh mạng.
Với cơ chế quản lý chính sách tập trung, **CyStack Endpoint** giúp doanh nghiệp chủ động kiểm soát an toàn thiết bị mà không cần phụ thuộc vào thao tác thủ công.
# Passport
Source: https://docs.cystack.net/vi/endpoint/passport
Hướng dẫn Truy cập mạng nội bộ với Passport
**Trường hợp sử dụng**
* Các nhân sự Dev Team cần được truy cập vào máy chủ git để thực hiện `git pull/clone/push` trong khi các nhân sự khác không được phép truy cập máy chủ này.
* Một số thành viên SRE Team được SSH/RDP vào một máy chủ cụ thể, nhưng bạn không cho phép điều này với các nhân sự khác.
* Bạn có một số trang web nội bộ, và không muốn người ngoài công ty có thể truy cập được nó.
* Không cần mất thời gian thiết lập cấu hình VPN truyền thống phức tạp, giúp truy cập mạng nội bộ nhanh chóng và giảm thời gian nghẽn tại server tập trung.
## Tổng quan
**Passport** là một tính năng quan trọng trong CyStack Endpoint giúp bảo vệ mạng nội bộ và các thiết bị đầu cuối bằng cách sử dụng mô hình Zero Trust Network Access (ZTNA). Passport tận dụng sức mạnh của [**Tailscale**](https://github.com/tailscale/tailscale) — một mạng riêng ảo (VPN) dựa trên **WireGuard** — để đảm bảo kết nối an toàn, mã hóa đầu-cuối và kiểm soát truy cập chặt chẽ giữa các thiết bị trong hệ thống.
Passport giúp doanh nghiệp:
* Kết nối an toàn các thiết bị (endpoint) với nhau qua mạng riêng tư.
* Xác thực mạnh mẽ bằng danh tính thiết bị và người dùng.
* Áp dụng chính sách kiểm soát truy cập linh hoạt.
* Giám sát và ghi nhận toàn bộ hoạt động mạng.
***
## Kiến trúc giải pháp
![passport-structure]()
### 1. Thiết bị Endpoint
* Laptop, điện thoại, server, hoặc bất kỳ thiết bị nào cần bảo vệ và quản lý.
* Cài đặt CyStack Endpoint, tự động tham gia vào mạng riêng Passport.
* Xác thực người dùng qua Identity Provider (Google Workspace, Microsoft Entra ID, Okta, v.v.)
### 2. Tailscale Control Plane
* Là dịch vụ quản lý trung tâm (SaaS) của Passport.
* Không truyền dữ liệu người dùng, chỉ hỗ trợ thiết lập phiên kết nối ngang hàng (peer-to-peer).
* Quản lý:
* Xác thực thiết bị
* Xác thực người dùng
* Phân phối chính sách ACL (Access Control List)
### 3. Data Plane (Peer-to-Peer Encrypted Mesh VPN)
* Sử dụng WireGuard để mã hóa đầu cuối.
* Dữ liệu chảy trực tiếp giữa các thiết bị mà không qua server trung gian.
* Tận dụng NAT traversal và relay server (DERP) của Tailscale khi cần thiết.
### 4. Passport Policy Engine
Tầng chính sách riêng của Passport, bổ sung trên Tailscale:
* Phân nhóm thiết bị theo vai trò (VD: nhân viên, quản trị viên, server, CI/CD runner).
* Định nghĩa quyền truy cập chi tiết (chặn hoặc cho phép theo service, port, hoặc device).
* Kết hợp với giải pháp SIEM/SOC để ghi nhận log và cảnh báo.
### 5. Identity Provider (IdP)
* Kết nối với hệ thống xác thực hiện tại của doanh nghiệp.
* Hỗ trợ SSO và xác thực đa yếu tố (MFA).
### 6. Monitoring & Logging
* Passport tích hợp logging toàn bộ hoạt động của Tailscale network.
* Kết nối với hệ thống giám sát bảo mật (SIEM) để phân tích hành vi và phát hiện sớm xâm nhập.
***
## Định danh và kiểm soát thiết bị theo người dùng
Một trong những năng lực cốt lõi của **Passport** là khả năng **liên kết chặt chẽ giữa người dùng và thiết bị mà họ sở hữu**, tạo nền tảng cho chính sách bảo mật theo ngữ cảnh.
* Khi thiết bị được đăng ký vào hệ thống Passport, thiết bị sẽ được gán định danh người sở hữu dựa trên quá trình xác thực.
* Passport duy trì bản đồ **user-to-machine**, giúp biết chính xác mỗi thiết bị thuộc về ai trong tổ chức.
* Chính sách bảo mật được xây dựng trên mối liên kết này:
* Cho phép hoặc hạn chế quyền truy cập không chỉ dựa trên thiết bị, mà còn dựa trên người sở hữu thiết bị đó.
* *Ví dụ: Chỉ những thiết bị thuộc sở hữu của nhóm* Finance *mới có quyền truy cập vào hệ thống kế toán nội bộ.*
* Khi quyền sở hữu thiết bị thay đổi hoặc người dùng bị thu hồi quyền truy cập, chính sách cũng được cập nhật tương ứng, giảm thiểu rủi ro và tăng cường kiểm soát.
* Passport ghi nhận đầy đủ hoạt động theo cả **thiết bị** và **người dùng**, giúp điều tra sự cố và phân tích bảo mật có ngữ cảnh đầy đủ hơn.
***
## Chính sách truy cập và bảo mật
Có 2 loại chính sách trong doanh nghiệp:
* Chính sách kết nối **machine-to-machine**: quy định khả năng kết nối của một thiết bị nguồn đến một thiết bị đích
* Chính sách kết nối **user-to-machine**: quy định khả năng kết nối của các thiết bị của một nhân viên đến một thiết bị đích
### Thêm chính sách
Quản trị viên truy cập vào tab "Quản lý thiết bị" {'\u2192'} "Passport" {'\u2192'} bấm nút Thêm chính sách kết nối mới.} />
Chọn loại kết nối Người dùng - Thiết bị hoặc Thiết bị - Thiết bị.} />
Chọn hành động Chặn hoặc Cho phép.} />
Chọn người dùng / thiết bị nguồn và thiết bị đích.} />
**Ví dụ:** DNS (53), FTP (21), HTTPS (443), SSH (22), Telnet (23),…
Có thể chọn thêm khung thời gian muốn **Chặn**/**Cho phép** kết nối bằng cách bấm vào lựa chọn Cho phép kết nối theo khung thời gian đặt tần suất và thời gian cụ thể cho chính sách.
![passport-policy-config]()
Khi bấm Thêm, chính sách sẽ được tạo ra, và áp dụng cho người dùng hoặc thiết bị đã chọn.} />
**Lưu ý:** mặc định mọi kết nối đều bị chặn. Do đó, để cho phép kết nối giữa người dùng tới thiết bị, hoặc giữa 2 thiết bị, **Quản trị viên** cần tạo chính sách `Cho phép` theo các bước ở trên
# Quản lý chính sách & bảo vệ thiết bị
Source: https://docs.cystack.net/vi/endpoint/policy-management
Tổng quan về Policy Management và các tính năng tuân thủ thiết bị
## Quản lý chính sách
### Tổng quan
CyStack Endpoint cho phép tổ chức dễ dàng thiết lập và thực thi các chính sách bảo mật tùy chỉnh trên toàn bộ thiết bị trong hệ thống, đảm bảo rằng mọi thiết bị trong hệ thống mạng của tổ chức đều tuân thủ các quy tắc đã được định nghĩa trước, góp phần bảo vệ dữ liệu và hạn chế nguy cơ tấn công từ bên ngoài.
Doanh nghiệp cũng có thể chủ động kiểm soát các điểm ra vào mạng của thiết bị đầu cuối, ngăn ngừa các hành vi truy cập trái phép hoặc nguy hiểm thông qua:
* **Quản lý truy cập phần mềm**
* **Quản lý truy cập website**
* **Kiểm soát kết nối IP/CIDR**
* **Giới hạn cổng giao tiếp (port)**
**Trường hợp sử dụng:**
* Áp dụng tự động các chính sách trên thiết bị để nâng cao bảo mật, giúp bảo vệ thiết bị khỏi các rủi ro từ trong và ngoài tổ chức
* Admin có thể dễ dàng theo dõi mức độ tuân thủ và yêu cầu các thiết bị tuân thủ nếu phát hiện vi phạm, hiệu quả hơn so với chính sách giấy truyền thống
## Tính năng chi tiết
### 1. Đọc hiểu giao diện quản lý chính sách
Mỗi chính sách bao gồm:
* **Tên chính sách**
* **Loại hệ điều hành áp dụng:** Windows/macOS/Linux
* **Mô tả**: Giải thích mục tiêu và yêu cầu của chính sách.
* **Hướng dẫn tuân thủ**: Chi tiết hướng dẫn cách cấu hình thiết bị để tuân thủ chính sách.
* **Tình trạng tuân thủ**: Hiển thị phần trăm số thiết bị hiện tại đã đạt yêu cầu.
* Từ **0** đến **50%**: màu đỏ đậm
* Từ **51** đến **85%**: màu vàng cam
* Trên **85%**: màu xanh lá cây
* **Trạng thái áp dụng**: Đang áp dụng / Chưa kích hoạt
* Quản trị viên có thể nhấn vào nút Toggle để áp dụng / huỷ kích hoạt ngay lập tức
![policy-management-overview]()
### 2. Yêu cầu thiết bị tuân thủ
#### Áp dụng hàng loạt (bulk enforce)
Admin có thể chọn nhiều chính sách cùng lúc và click nút Yêu cầu nhân viên tuân thủ để gửi yêu cầu đến các thiết bị vi phạm.
#### Thông báo cho thiết bị
Trên các thiết bị chưa tuân thủ, agent sẽ hiển thị popup yêu cầu người dùng thực hiện điều chỉnh để tuân thủ chính sách.
Nội dung popup bao gồm:
* Mô tả chính sách
* Hướng dẫn cách tuân thủ
![policy-popup-1]()
Người sử dụng thiết bị có thể chọn nhắc nhở lại sau các khoảng thời gian sau:
* 15 phút
* 30 phút
* 1 giờ
* 4 giờ
#### Cảnh báo và hành vi bổ sung
Hiện tại, agent chỉ thiết lập Cảnh báo mềm đối với các thiết bị chưa tuân thủ.\
Tổ chức có thể yêu cầu cấu hình thêm các hành vi cảnh báo khác như:
* Giới hạn truy cập: không được truy cập mạng nội bộ
* Vô hiệu hóa thiết bị
#### Hoàn thành tuân thủ
Sau khi người sử dụng thiết bị đã hoàn thành các bước để tuân thủ 1 chính sách, trạng thái chính sách đó sẽ có tích xanh trên popup nhắc nhở.
![policy-popup-2]()
#### Cập nhật trạng thái
* Agent trên thiết bị liên tục kiểm tra trạng thái tuân thủ của thiết bị và cập nhật về server.
* Khi thiết bị đã khắc phục theo đúng yêu cầu chính sách, trạng thái sẽ tự động chuyển sang Đạt.
Tương tự, khi thiết bị vi phạm chính sách, quản trị viên cũng thấy được sự thay đổi trên giao diện dashboard là Không đạt.
### 3. Theo dõi trạng thái tuân thủ của các thiết bị
Để theo dõi tình hình các thiết bị tuân thủ một chính sách cụ thể, người dùng có thể làm các bước sau:
Quản trị viên nhấn nút {'\u22EE'} ở cuối mỗi hàng của bảng} />
Chọn Xem thiết bị chưa tuân thủ}>
![policy-view-noncompliant]()
![policy-filter-devices]()
# Kiểm soát cổng truy cập
Source: https://docs.cystack.net/vi/endpoint/port-control
Chặn và kiểm soát các cổng giao tiếp để bảo vệ thiết bị trước hoạt động trái phép
**Trường hợp sử dụng:**
* Chặn các cổng không cần thiết để giảm nguy cơ bị hacker tấn công (ví dụ, chặn cổng 3389 để chặn truy cập từ xa từ bên ngoài)
* Chặn các cổng không cần thiết để ngăn chặn nhân viên cố tình thực hiện hành vi không được phép (tải phần mềm trái phép, chia sẻ dữ liệu ra ngoài…)
Tính năng này giúp hạn chế các dịch vụ chạy trên thiết bị, tránh để lộ cổng mạng không cần thiết. Các bước tạo chính sách chặn theo Port:
Nhập số cổng cụ thể (ví dụ: 443, 22) hoặc dải cổng (ví dụ: 8000-8080)} />
Chọn hướng kết nối Outbound, Inbound} />
# Truy cập từ xa vào thiết bị
Source: https://docs.cystack.net/vi/endpoint/remote-access
Hướng dẫn sử dụng tính năng Truy cập từ xa vào các thiết bị nội bộ
**Trường hợp sử dụng:**
* Hỗ trợ kỹ thuật nhanh chóng từ xa mà không cần di chuyển
* Khắc phục sự cố ngay thời điểm phát hiện nhanh chóng mà không cần có mặt tại vị trí thiết bị
* Cài đặt hoặc cập nhật phần mềm từ xa
* Giám sát bảo mật và đảm bảo tuân thủ chính sách của tổ chức
Để yêu cầu truy cập từ xa, làm theo hướng dẫn sau:
Ở màn "Thiết bị", bấm vào nút {'\u22EE'} cạnh thiết bị muốn truy cập từ xa {'\u2192'} chọn Truy cập từ xa.}>
![remote-access-device-menu-remote]()
Tại cửa sổ bật lên xuất hiện, quản trị viên làm theo hướng dẫn để cài đặt ứng dụng RustDesk (phần mềm cho phép truy cập vào thiết bị người dùng).}>
Có thể bỏ qua bước này nếu máy đã cài RustDesk.
Yêu cầu truy cập từ xa vào thiết bị:}>
![remote-access-request]()
Trên thiết bị được yêu cầu, người dùng bấm nút Đồng ý.}>
![remote-access-response]()
Quản trị viên sẽ thấy ID và mật khẩu truy cập hiển thị trên màn hình. Quản trị viên nhập ID, mật khẩu vào RustDesk và bắt đầu truy cập vào thiết bị để thực hiện các tác vụ cần thiết từ xa.} />
# Chặn gửi dữ liệu qua bộ nhớ ngoài
Source: https://docs.cystack.net/vi/endpoint/removable-drive-blocking
Hướng dẫn sử dụng tính năng Chặn gửi dữ liệu qua bộ nhớ ngoài
**Trường hợp sử dụng**
* Chặn nhân viên cắm USB ngoài vào để copy tài liệu quan trọng, gửi ra ngoài doanh nghiệp
* USB không được kiểm soát chứa virus, gây nhiễm mã virus cho thiết bị của doanh nghiệp cần được ngăn chặn
## Luồng chi tiết tính năng
Quản trị viên truy cập sản phẩm "Quản lý thiết bị" {'\u2192'} "Bảo vệ dữ liệu" {'\u2192'} "Thiết bị lưu trữ ngoài".} />
Để chặn USB, HDD/SSD hoặc ổ đĩa CD/DVD, bấm nút Bật chính sách tương ứng với loại thiết bị lưu trữ muốn chặn.}>
![usb-block-toggle]()
Chọn loại chính sách chặn:}>
Tại cửa sổ bật lên, chọn loại chính sách chặn:
* **Đọc:** Chặn máy người dùng trong doanh nghiệp đọc dữ liệu từ thiết bị lưu trữ ngoài. Người dùng vẫn có thể ghi dữ liệu vào thiết bị.
* **Ghi:** Chặn người dùng ghi dữ liệu vào thiết bị lưu trữ ngoài. Người dùng vẫn có thể đọc dữ liệu.
* **Đọc và Ghi:** Chặn tất cả hành động hai chiều giữa máy người dùng và thiết bị lưu trữ ngoài.
![usb-block-config-options]()
Chọn thiết bị/nhóm thiết bị theo nhãn để áp dụng chính sách, và có thể chọn thiết bị được loại trừ. Các thiết bị được loại trừ sẽ không bị áp dụng chính sách chặn tương ứng.}>
![usb-block-config-device]()
Bấm nút Lưu để lưu chính sách đã chỉnh, chính sách chặn với quyền cụ thể sẽ được áp dụng cho các thiết bị áp dụng đã chọn.} />
Khi người dùng cắm thiết bị lưu trữ ngoài (VD: USB) vào máy, popup thông báo sẽ bật lên như hình dưới:}>
![usb-block-noti]()
# Chặn chụp màn hình
Source: https://docs.cystack.net/vi/endpoint/screenshot-blocking
Hướng dẫn sử dụng tính năng Chặn chụp màn hình thiết bị
**Trường hợp sử dụng**
* Chặn nhân viên cố ý chụp màn hình tài liệu quan trọng để gửi ra ngoài, gây rò rỉ dữ liệu cho doanh nghiệp
## Luồng chi tiết tính năng
Quản trị viên truy cập sản phẩm "Quản lý thiết bị" {'\u2192'} "Bảo vệ dữ liệu" {'\u2192'} "Chặn chụp màn hình".} />
Tại menu, bật nút tương ứng với mục "Chặn chụp màn hình":}>
![upload-block-toggle]()
Một pop-up sẽ hiện lên, yêu cầu quản trị viên chọn thiết bị cần chặn chụp màn hình:}>
![upload-block-config-device]()
Quản trị viên chọn áp dụng cho tất cả thiết bị, hoặc chọn một số thiết bị mong muốn, và ấn Lưu.} />
Khi lưu thành công, người dùng sẽ thấy chính sách được bật.}>
Nhân viên sử dụng các thiết bị đã chọn sẽ không thể chụp ảnh màn hình trên thiết bị.
# Cài đặt Endpoint Server
Source: https://docs.cystack.net/vi/endpoint/server
Cài đặt Endpoint trên máy chủ (Dành cho bản Self-hosted)
Doanh nghiệp có thể tự triển khai và quản lý phần mềm CyStack Endpoint trên máy chủ của Doanh nghiệp theo hướng dẫn dưới đây.
**Lưu ý**: Hiện tại Endpoint Server chỉ hỗ trợ máy chủ Linux.
***
## Yêu cầu hệ thống
**Lưu ý chung**:
* Máy chủ cần có IP công khai (Public IP).
* Người dùng không nên ấn Ctrl + C trong quá trình cài đặt.
* Mở các port để kết nối đến API của CyStack: 80, 443, 9900.
### Trường hợp quản lý ít hơn 100 thiết bị
Cài tất cả các dịch vụ phụ thuộc redis, mySQL trực tiếp trên Server thì cần Server đáp ứng tối thiểu những yêu cầu như sau:
| **Số máy chủ** | **CPU (core)** | **RAM** | **Ổ đĩa (SSD)** |
| -------------- | -------------- | ------- | --------------- |
| 1 | 2 | 4GB | 75GB |
### Trường hợp quản lý từ 100 - 1000 thiết bị
**Trường hợp 1**: Cài tất cả các dịch vụ phụ thuộc redis, mySQL trực tiếp trên Server thì cần Server đáp ứng tối thiểu những yêu cầu như sau:
| Số máy chủ | CPU (core) | RAM | Ổ đĩa SSD |
| ---------- | ---------- | ----- | ------------ |
| 1 | 16 | 18 GB | 200 – 300 GB |
**Trường hợp 2**: Đối với các dịch vụ phụ thuộc redis, mySQL mà triển khai trong các Container thì yêu cầu tối thiểu về cấu hình của Container như sau:
| Thành phần | Số container | CPU/container | RAM/container | Ổ đĩa SSD |
| ------------------------- | ------------ | ------------- | ------------- | --------- |
| Fleet | 1 | 1 | 4 GB | - |
| Redis 6 | 3 | 2 | 2 GB | - |
| MySQL 8.0 (Aurora 3.07.1) | 2 | 2 | 5 GB | 10 GB |
***
## Hướng dẫn cài đặt
Khách hàng có thể cài đặt tự động CyStack\_Endpoint sử dụng **endpointCtl** (một file Binary).
```bash theme={null}
mkdir -p ~/endpoint && cd ~/endpoint
wget https://d.cystack.net/endpointctl/endpointctl
ls -l
```
![install-server-1]()
![install-server-2]()
```bash theme={null}
chmod +x endpointctl
```
```bash theme={null}
./endpointctl start
```
Khi được yêu cầu, nhập mật khẩu root. Quá trình cài đặt mất khoảng 1–3 phút.
**Tùy chọn 1:** Sử dụng cấu hình mặc định
* Hệ thống tự tạo cơ sở dữ liệu, người dùng không cần can thiệp.
* Nhập 1 và nhấn Enter.
![install-server-4]()
**Tùy chọn 2:** Dùng MySQL có sẵn của doanh nghiệp
* Nhập 2 và nhấn Enter.
* Chuẩn bị sẵn thông tin sau:
| Trường | Ví dụ |
| -------------------------------------- | ------------------------------------------- |
| MySQL Host | localhost |
| MySQL Port | 3306 |
| Database/User/Password cho các dịch vụ | ces\_fleet / ces\_api / ces\_data\_labeling |
Sau khi MySQL cấu hình xong, hệ thống yêu cầu nhập:
```
Work Space ID
Work Space Secret
```
(CyStack sẽ cung cấp 2 giá trị này)
Thời gian cài đặt: 3–10 phút (tùy cấu hình server).
Khi hoàn tất, chương trình sẽ hiển thị danh sách dịch vụ đang chạy.
![install-server-5]()
✅ Kiểm tra file agent
Sau khi hoàn tất, file agent được tạo tự động:
```bash theme={null}
cystack-endpoint__amd64.deb
```
✅ Tự động cập nhật định kỳ
Chạy:
```
nohup ./endpointctl update > endpoint_updater.log 2>&1 &
```
***
## Hướng dẫn sử dụng endpointctl
### Danh sách các tham số và cờ
| Lệnh | Mô tả |
| ------------------------------ | ------------------------------------------------------------------------------------------------- |
| `./endpointctl start` | Cài đặt Endpoint. Có thể thêm `--config` (đường dẫn file cấu hình) hoặc `--re-config` để cài lại. |
| `./endpointctl stop` | Dừng toàn bộ service. |
| `./endpointctl status` | Xem trạng thái các service. |
| `./endpointctl backup` | Tạo file `.zip` chứa bản sao cơ sở dữ liệu tại `~/.cystack/endpoint_server/backupdb/`. |
| `./endpointctl restore ` | Phục hồi cơ sở dữ liệu từ file `.zip`. |
| `./endpointctl update` | Cập nhật tự động hàng ngày. Có thể chạy nền bằng `nohup`. |
### Một số trường hợp lỗi
#### ❌ Container báo “Unhealthy”
* Nguyên nhân: server yếu hoặc lỗi cấu hình database.
* Cách xử lý:
* Kiểm tra log container:
```bash theme={null}
docker logs -f ces_fleet_container
```
* Nếu migrate xong chạy lại:
```bash theme={null}
./endpointctl start --re-config
```
* Nếu lỗi database xóa config và cài lại từ đầu.
#### ⚠️ Lỗi thiếu config
Chạy `./endpointctl start` để tạo file config gốc, sau đó chỉnh sửa và dùng lại.
#### ⚙️ Backup lâu
Do cấu hình server yếu. Hãy kiên nhẫn chờ hoàn tất.
#### 🔑 Lỗi khi lấy Token
Liên hệ **CyStack Support**.
#### 🌐 Lỗi domain (Caddy)
* Kiểm tra log:
```bash theme={null}
docker logs -f caddy_container
```
* Nếu:
* Domain chưa trỏ đúng IP cập nhật DNS.
* Domain bị giới hạn SSL đổi domain khác.
# Quản lý truy cập phần mềm
Source: https://docs.cystack.net/vi/endpoint/software-restriction
Theo dõi và kiểm soát phần mềm được cài đặt trên thiết bị
**Trường hợp sử dụng:**
* Theo dõi được trên máy nhân viên đang cài những phần mềm gì, hỗ trợ lập kế hoạch nâng cấp hoặc chuẩn hóa phần mềm, phục vụ tuân thủ các tiêu chuẩn như ISO 27001, PCI-DSS, HIPAA
* Xác định các phần mềm không được phép dùng (ví dụ phần mềm chia sẻ file, chat không an toàn) để gỡ bỏ
* Phát hiện nhanh các phần mềm chứa lỗ hổng quan trọng để gỡ bỏ kịp thời, giảm thiểu nguy cơ thiết bị bị tấn công
## Chi tiết tính năng
### Kiểm tra phần mềm được cài đặt trên thiết bị
Quản trị viên có thể kiểm tra các phần mềm đã được cài đặt trên thiết bị bất kỳ bằng cách:
Truy cập ứng dụng "Quản lý thiết bị" {'\u2192'} "Thiết bị".} />
Nhấn vào thiết bị muốn kiểm tra {'\u2192'} chọn nút Xem chi tiết {'\u2192'} sau đó mở tab "Phần mềm".} />
Tại đây, bạn có thể xem danh sách các phần mềm đã cài đặt trên thiết bị, hoặc tìm kiếm phần mềm cụ thể.
![software-installed-list.png]()
### Chặn phần mềm
Để chặn phần mềm, Quản trị viên thực hiện theo các bước sau:
Truy cập ứng dụng "Quản lý thiết bị" {'\u2192'} "Ngăn chặn" {'\u2192'} "Phần mềm".} />
Bấm nút Thêm chính sách phần mềm.} />
* **Đường dẫn**: là đường dẫn tới phần mềm trên thiết bị. Có thể chọn toán tử bất kỳ: Đường dẫn là …, Đường dẫn bắt đầu bằng …, hoặc Đường dẫn kết thúc bằng … để chọn được phần mềm cần chặn.
* **Hash**: là mã băm của phần mềm (sử dụng SHA-256). Cần nhập chính xác giá trị của Hash để chặn được phần mềm.
* **Tên tiến trình**: là tên tiến trình của phần mềm khi chạy. Có thể chọn toán tử bất kỳ: Tên tiến trình là …, Tên tiến trình bắt đầu bằng …, hoặc Tên tiến trình kết thúc bằng … để chọn được phần mềm cần chặn.
**1.** Thông thường, tên tiến trình của phần mềm sẽ trùng với tên của phần mềm. Quản trị viên có thể nhập tên phần mềm vào ô nhập Tên tiến trình để chặn.
**2.** Nếu không chặn được, có thể do tên tiến trình khác với tên phần mềm. Lúc này, quản trị viên cần tìm đúng tên tiến trình bằng cách:
* Mở phần mềm cần chặn
* Bật **Task Manager** tìm phần mềm đang chạy
* Tên tiến trình của phần mềm sẽ là giá trị cần nhập vào
* **Chữ ký**: có thể chọn chặn các phần mềm không có chữ ký (bao gồm: phần mềm chưa được ký, phần mềm tự ký và không được tổ chức uy tín trên chứng nhận).\
**Lưu ý:** Chữ ký không áp dụng cho các phần mềm thuộc HĐH Linux.
![software-block-rules.png]()
Kết hợp nhiều quy tắc bằng toán tử "VÀ" hoặc "HOẶC"}>
Ngoài ra, có thể kết hợp nhiều quy tắc với nhau để tạo ra một chính sách chặn, sử dụng toán tử VÀ và HOẶC:
* VÀ: cho phép nhóm 2 hoặc nhiều quy tắc với nhau. Phần mềm chỉ được chặn khi các quy tắc này đều thỏa mãn.
* HOẶC: nối các quy tắc, hoặc nhóm quy tắc với nhau. Phần mềm được chặn khi thỏa mãn một quy tắc hoặc một nhóm quy tắc bất kỳ được nối bởi phép HOẶC.
Sau khi chọn quy tắc, chọn nhãn hoặc thiết bị áp dụng.Thiết bị được chọn, hoặc thiết bị thuộc nhãn được chọn sẽ bị chặn phần mềm theo chính sách được tạo.} />
Bấm Lưu để tạo chính sách. Chính sách sẽ được hiển thị tại danh sách như trong ảnh.}>
![software-policy-list.png]()
Quản trị viên có thể tạm thời tắt chính sách, chỉnh sửa hoặc xóa chính sách đã tạo theo ý muốn.
# Gỡ cài đặt Agent
Source: https://docs.cystack.net/vi/endpoint/uninstall-agent
Hướng dẫn gỡ cài đặt Agent khỏi thiết bị an toàn và triệt để
## Hướng dẫn gỡ CyStack Agent khỏi thiết bị
Khi thiết bị không còn thuộc phạm vi quản lý của doanh nghiệp (do thiết bị hỏng, thay mới, nhân sự nghỉ việc hoặc hết hạn gói dịch vụ), Quản trị viên có thể thực hiện gỡ Agent trực tiếp từ trang quản trị (Dashboard).
**Tránh thực hiện gỡ cài đặt trực tiếp trên thiết bị** thông qua Control Panel hoặc các công cụ gỡ bỏ thông thường. Phương thức này có thể không loại bỏ hoàn toàn các thành phần bảo vệ được cài đặt kèm theo Agent.
Đây là **Cơ chế tự bảo vệ** nhằm ngăn chặn việc người dùng cuối tự ý gỡ bỏ phần mềm quản lý. Mọi thao tác gỡ bỏ bắt buộc phải được thực hiện từ Dashboard để đảm bảo tính triệt để.
Để thực hiện gỡ Agent, vui lòng làm theo các bước sau:
Truy cập vào mục Thiết bị trên thanh điều hướng.} />
Nhấn vào biểu tượng tùy chọn {'\u22EE'} tương ứng với thiết bị đó.} />
Chọn lệnh Gỡ cài đặt.}>
![uninstall-agent-from-dash]()
Trong trường hợp thiết bị đang ở trạng thái ngoại tuyến (offline), lệnh gỡ cài đặt sẽ được thực thi ngay khi thiết bị kết nối lại với Internet.
**Lưu ý sau khi thiết bị được gỡ khỏi Workspace:**
* Thiết bị sẽ ngừng tiếp nhận các chính sách (policy) quản lý từ hệ thống.
* Toàn bộ liên kết chia sẻ (share links) và liên kết xem trước (preview links) đã khởi tạo từ thiết bị này sẽ bị hủy bỏ và không thể truy cập lại.
# Chặn tải dữ liệu qua mạng
Source: https://docs.cystack.net/vi/endpoint/upload-blocking
Hướng dẫn sử dụng tính năng chặn gửi tệp qua mạng
**Trường hợp sử dụng**
* Chặn nhân viên cố ý gửi dữ liệu quan trọng của doanh nghiệp cho đối thủ.
* Chặn người dùng vô tình gửi dữ liệu lên các kênh giả mạo, hoặc các kênh không an toàn, gây rò rỉ dữ liệu của doanh nghiệp.
**Trên trình duyệt:** CyStack cho phép thiết lập chính sách chặn gửi tệp qua bất kỳ website nào bằng cách nhập tên miền của website.
**Đối với ứng dụng máy tính:** CyStack hỗ trợ chặn gửi tệp qua danh sách ứng dụng sau:
Ứng dụng chat và Email:}>
* Zalo
* Discord
* Slack
* Outlook
* Facebook
* Whatsapp
* Zoom
Ứng dụng lưu trữ:}>
* Cloudflare
* Fshare
* Google Drive
* OneDrive
* MediaFire
* Icloud
* Mega
Ứng dụng quản lý quy trình:}>
* Base.vn
* Salework (Zalo)
***
## Luồng chi tiết tính năng
Quản trị viên truy cập sản phẩm "Quản lý thiết bị" {'\u2192'} "Bảo vệ dữ liệu" {'\u2192'} "Chặn tải tệp"}>
![block-upload-toggle]()
Bấm nút Chặn gửi tệp {'\u2192'} thấy thông báo chính sách được bật lên.}>
Khi bật chính sách, mặc định tất cả các website, và ứng dụng thuộc danh sách trên sẽ bị chặn gửi tệp.
**Ví dụ:** nhân viên sử dụng Zalo sẽ không gửi được tệp, tệp sẽ bị tag là gửi lỗi như hình.
![block-upload-blocked-example]()
***
## Nếu muốn cho phép gửi tệp qua một ứng dụng, quản trị viên có thể:
Bấm vào nút Thêm dịch vụ.}>
![block-upload-add-rule]()
Tại cửa sổ bật lên, nhập tên ứng dụng hoặc tên miền của ứng dụng muốn cho phép và chọn các thiết bị/nhóm thiết bị được cho phép gửi tệp.}>
![block-upload-config-rule]()
Khi lưu chính sách, các thiết bị/nhóm thiết bị được chọn sẽ được cho phép tải tệp lên các ứng dụng này.}>
![block-upload-rules]()
# Quản lý nhân viên
Source: https://docs.cystack.net/vi/endpoint/users
Hướng dẫn sử dụng tính năng Quản lý danh sách nhân viên
**Trường hợp sử dụng:**
Quản lý danh sách nhân viên hỗ trợ quy trình onboarding/offboarding:
* Đối với nhân viên mới, chỉ cần cài CyStack endpoint agent, và thêm email nhân viên vào phòng ban, các chính sách của phòng ban tự động được áp dụng.
* Khi nhân sự nghỉ: xóa agent và email nhân viên để nhanh chóng thu hồi quyền truy cập của nhân viên vào tài nguyên hệ thống.
## Chi tiết tính năng
Danh sách nhân viên có thể được đồng bộ từ Google Suite của doanh nghiệp.
**Lưu ý:** Chỉ có quản trị viên của Google Suite có thể liên kết tài khoản và đồng bộ dữ liệu từ Google Suite sang CyStack.
Để thực hiện đồng bộ danh sách nhân viên, thực hiện theo các bước sau:
Điều hướng đến "Quản lý thiết bị" {'\u2192'} "Nhân viên" {'\u2192'} chọn tab "Danh sách nhân viên".} />
Bấm nút Đồng bộ với Google.} />
Người dùng sẽ được điều hướng sang màn xác nhận với Google, và cấp quyền truy cập để "Giải pháp Quản lý thiết bị" có thể lấy danh sách người dùng.} />
Để xuất danh sách nhân viên cho mục đích thống kê, người dùng bấm nút `Xuất dữ liệu`.
# Lịch sử truy cập web
Source: https://docs.cystack.net/vi/endpoint/web-activity
Hướng dẫn sử dụng Lịch sử truy cập web
**Trường hợp sử dụng**
* Kiểm tra sự tuân thủ của nhân viên đối với quy tắc làm việc chung để nhắc nhở/cảnh báo khi nhân viên truy cập các trang gây xao lãng trong giờ làm việc.
* Là cơ sở để điều tra nguồn sự cố trong trường hợp nhân viên vô tình truy cập trang web chứa mã độc, gây ảnh hưởng đến thiết bị.
Để theo dõi lịch sử truy cập web của nhân viên, quản trị viên truy cập menu **Quản lý thiết bị** **Lịch sử hoạt động** **Hoạt động truy cập web**.
Trang sẽ thu thập các thông tin bao gồm:
* Người thực hiện, trang web được truy cập, IP của thiết bị người dùng, thời gian truy cập
* Nếu người dùng truy cập một web bị chặn theo chính sách đã thiết lập, quản trị viên sẽ thấy một nhãn báo Đã chặn tương ứng với trang web đó.
![history-web-access]()
# Quản trị truy cập website
Source: https://docs.cystack.net/vi/endpoint/web-control
Chặn và cho phép truy cập website theo chính sách doanh nghiệp
## Quản lý truy cập website
**Trường hợp sử dụng:**
* Chặn truy cập mạng xã hội hoặc các trang giải trí trong giờ làm việc để đảm bảo tập trung công việc.
* Giới hạn truy cập một số trang web nội bộ cho nhân viên nhất định, hạn chế việc tài nguyên nội bộ bị truy cập trái phép.
### Chặn website thuộc danh mục phổ biến
Phần mềm cung cấp sẵn các danh mục phổ biến để quản trị viên có thể thiết lập nhanh chóng những website muốn chặn. Để chặn nhân viên truy cập các website thuộc danh mục phổ biến, thực hiện các bước sau:
Truy cập "Quản lý thiết bị" {'\u2192'} "Ngăn chặn" {'\u2192'} "Địa chỉ web".} />
Bật chính sách tương ứng với danh mục muốn chặn, ví dụ: Mạng xã hội} />
Ở popup hiện lên, chọn thiết bị muốn áp dụng chính sách chặn, và chọn khung giờ mong muốn chặn.} />
Khi lưu chính sách, các thiết bị đã chọn sẽ không truy cập được website thuộc danh mục đã chọn
![web-category-block.png]()
### Chặn/cho phép website tuỳ chỉnh
Ngoài việc chặn các website theo danh mục, quản trị viên có thể chặn/cho phép nhân viên truy cập một trang web bất kỳ, ví dụ:
* Chỉ cho phép một số nhân viên Marketing sử dụng mạng xã hội TikTok để xây dựng kênh cho doanh nghiệp, trong khi chặn toàn bộ nhân viên truy cập các mạng xã hội
Để tạo chính sách, quản trị viên thực hiện các bước:
Tại tab Web tuỳ chỉnh, bấm nút Thêm chính sách web.} />
Chọn hành động Chặn/Cho phép, nhập tên miền của trang muốn chặn/cho phép truy cập và chọn thiết bị áp dụng}>
![custom-web-policy.png]()
**Ví dụ:**
* máy ping-PC thuộc nhãn Dev được áp dụng chính sách “chặn facebook.com” có mức độ ưu tiên là 2.
* Bên cạnh đó, máy ping-PC thuộc nhãn Lead được áp dụng chính sách “cho phép truy cập facebook.com” có độ ưu tiên là 1.
Máy ping-PC sẽ được truy cập facebook.com
# Chính sách đăng nhập web
Source: https://docs.cystack.net/vi/endpoint/web-login
Chặn nhân viên đăng nhập vào website bằng tài khoản không thuộc doanh nghiệp, ngăn chặn rò rỉ dữ liệu doanh nghiệp
**Trường hợp sử dụng:**
Ngăn chặn các trường hợp nhân viên vô tình hoặc cố ý đăng nhập vào các tài khoản cá nhân và gửi dữ liệu, gây lộ lọt/mất kiểm soát dữ liệu của doanh nghiệp, ví dụ:
* Đăng nhập vào kho lưu trữ đám mây cá nhân (Google Drive, OneDrive, Dropbox, iCloud,...)
* Đăng nhập vào email, ứng dụng chat
* Đăng nhập vào các dịch vụ, nền tảng khác
Quản trị viên có thể yêu cầu nhân viên chỉ được phép đăng nhập vào các website bằng tài khoản thuộc doanh nghiệp (ví dụ: email công ty) trên trình duyệt.
Lưu ý: Khi áp dụng tính năng, nhân viên sẽ tự động bị đăng xuất khỏi các trang web một lần, và sẽ chỉ được đăng nhập lại bằng các tài khoản doanh nghiệp
Quản trị viên thực hiện các bước sau để cấu hình chính sách:
Tại trang quản trị, chọn "Quản lý thiết bị" {'\u2192'} "Ngăn chặn" {'\u2192'} "Đăng nhập web"}>
![web-login]()
Bấm nút Chỉnh sửa để cấu hình chính sách} />
* Trang web áp dụng chính sách: nhập tên miền của trang web cần áp dụng chính sách giới hạn đăng nhập (ví dụ: google.com, adobe.com,...)
* Tên miền email được phép đăng nhập: nhập tên miền email công ty (ví dụ: cystack.net) để chỉ cho phép đăng nhập bằng các tài khoản email thuộc tên miền này
* Check-box Đăng xuất hồ sơ trình duyệt không hợp lệ: Khi bật, nhân viên cũng sẽ bị đăng xuất khỏi các tài khoản hồ sơ trình duyệt (Google Chrome, Microsoft Edge) nếu không thuộc tên miền đã cấu hình ở trên (Khuyến khích quản trị viên chọn mục này)
* Chọn Thiết bị áp dụng: cho toàn bộ thiết bị, hoặc theo từng thiết bị, phòng ban
![web-login-edit]()
Bấm nút Lưu để lưu cấu hình} />
Lưu ý: Để ngăn chặn nhân viên đăng nhập qua cổng đăng nhập Google, Facebook, Apple bằng tài khoản không thuộc doanh nghiệp, quản trị viên có thể thêm domain các trang này (google.com, id.apple.com, microsoftonline.com,...)
Sau khi cấu hình, trên các thiết bị áp dụng chính sách:
1. Khi người dùng truy cập vào các trang web đã cấu hình, nhân viên sẽ bị đăng xuất khỏi trang web một lần đầu tiên
2. Nhân viên chỉ có thể đăng nhập lại bằng các tài khoản email thuộc tên miền đã cấu hình
3. Khi người dùng cố gắng đăng nhập vào trang web bằng tài khoản không thuộc tên miền đã cấu hình, phần mềm sẽ hiển thị popup thông báo như hình bên dưới:
![web-login-warning]()
# Quét bảo mật hỗ trợ bởi AI và mở rộng quy mô
Source: https://docs.cystack.net/vi/vulnscan/ai-and-scale
Cách VulnScan dùng AI để hỗ trợ phát hiện lỗ hổng, giảm cảnh báo nhầm, ưu tiên xử lý và quét quy mô lớn
CyStack VulnScan là nền tảng quét lỗ hổng được tăng cường bởi AI. Quy trình quét cốt lõi vẫn thu thập bằng chứng kỹ thuật thông qua phát hiện tài sản, nhận diện dịch vụ, thu thập điểm truy cập, kiểm tra chủ động và dữ liệu tình báo lỗ hổng. AI có thể được bật như một lớp phân tích bổ sung để tăng chất lượng phát hiện, giảm cảnh báo nhầm và giúp kết quả dễ xử lý hơn.
AI là tính năng tùy chọn, phụ thuộc gói sử dụng và cấu hình. Tổ chức có thể chạy VulnScan không dùng AI, kết nối với nhà cung cấp AI đám mây đã được phê duyệt, dùng điểm cuối AI nội bộ/cục bộ hoặc triển khai thành phần xử lý AI riêng cho môi trường hạn chế.
## AI hỗ trợ ở đâu
AI có thể hỗ trợ nhiều giai đoạn trong vòng đời quét:
| Giai đoạn | Giá trị AI mang lại |
| ------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------- |
| Rà soát phát hiện tài sản | Nhận diện tên điểm truy cập đáng ngờ, tham số nhạy cảm, bề mặt quản trị lộ ra ngoài và mẫu API cần kiểm tra sâu hơn. |
| Thu thập điểm truy cập và ngữ cảnh tham số | Hỗ trợ phân loại form, tham số yêu cầu, route API và mẫu phản hồi để ưu tiên kiểm tra phù hợp. |
| Phát hiện lỗ hổng | Hỗ trợ nhận diện mẫu bất thường trong bằng chứng HTTP, khác biệt phản hồi, dấu hiệu truy cập yếu và tín hiệu theo từng nhóm lỗi. |
| Giảm cảnh báo nhầm | Đánh giá bằng chứng có đủ mạnh hay không, kết quả dựa trên phiên bản có đủ ngữ cảnh hay không, hoặc phát hiện nào cần người dùng xác minh thêm. |
| Gộp và giải thích kết quả | Hỗ trợ giải thích các phát hiện liên quan xuất hiện trên nhiều điểm truy cập, máy chủ hoặc dịch vụ tương tự. |
| Ưu tiên xử lý | Kết hợp mức độ nghiêm trọng, khả năng khai thác, KEV, EPSS, mức độ lộ ra ngoài, trạng thái xác thực và ngữ cảnh tài sản. |
| Hướng dẫn khắc phục | Chuyển bằng chứng kỹ thuật thành hướng xử lý thực tế cho đội bảo mật, hạ tầng và phát triển ứng dụng. |
| Báo cáo song ngữ | Tạo diễn giải, tóm tắt và nội dung điều hành rõ ràng hơn bằng tiếng Anh và tiếng Việt. |
AI không thay thế bằng chứng. Mỗi phát hiện vẫn phải gắn với dữ liệu quét như URL bị ảnh hưởng, máy chủ, cổng, dịch vụ, yêu cầu/phản hồi HTTP, phiên bản phát hiện được, CVE, CWE, CVSS, EPSS, trạng thái KEV và điểm tin cậy.
## Cách cấu hình AI
Quản trị viên có thể chọn mô hình AI phù hợp với chính sách dữ liệu:
| Tùy chọn | Phù hợp với | Ghi chú |
| -------------------------- | -------------------------------------------- | -------------------------------------------------------------------------------------------------- |
| API token AI đám mây | Bật nhanh và có khả năng mở rộng linh hoạt. | Dùng nhà cung cấp đã được tổ chức phê duyệt. Cần xem xét ngữ cảnh quét nào được phép gửi ra ngoài. |
| Điểm cuối AI nội bộ/cục bộ | Môi trường nhạy cảm hoặc triển khai tại chỗ. | Lưu lượng phân tích nằm trong môi trường do khách hàng kiểm soát. |
| Thành phần xử lý AI riêng | Triển khai lớn hoặc mạng hạn chế. | Tách tải quét khỏi tải phân tích AI và cho phép kiểm soát tài nguyên độc lập. |
Khi cấu hình AI, nên dùng token hoặc tài khoản dịch vụ riêng. Hãy thay đổi thông tin xác thực theo chính sách của tổ chức.
## Xử lý dữ liệu khi dùng AI
Trước khi bật AI, hãy xác định ngữ cảnh quét nào được phép xử lý:
* Tiêu đề lỗ hổng, mức độ nghiêm trọng, CWE/CVE và ngữ cảnh khắc phục.
* URL, máy chủ, cổng, dịch vụ, công nghệ và bằng chứng phiên bản.
* Trích đoạn yêu cầu/phản hồi HTTP khi cần cho phân tích.
* Trạng thái có xác thực hay không, nhưng không gửi token hoặc mật khẩu thật.
* Nhãn nghiệp vụ như môi trường vận hành chính, môi trường thử nghiệm, hệ thống hướng khách hàng hoặc hệ thống quan trọng.
Không gửi thông tin đăng nhập thật, dữ liệu cá nhân, bí mật, token phiên hoặc dữ liệu khách hàng nhạy cảm tới nhà cung cấp bên ngoài. Với yêu cầu nghiêm ngặt về bảo mật dữ liệu, nên dùng chế độ AI nội bộ hoặc cục bộ.
## Mô hình mở rộng
VulnScan mở rộng bằng cách xử lý song song và tách các lớp công việc:
| Lớp | Cơ chế mở rộng |
| ---------------------- | ------------------------------------------------------------------------------------------------------------------- |
| Phát hiện tài sản | Tìm máy chủ, tên miền con, kiểm tra máy chủ đang hoạt động và quét cổng song song với giới hạn tốc độ. |
| Nhận diện | Nhận diện dịch vụ, HTTP, TLS, công nghệ và giao thức theo nhiều tiến trình xử lý. |
| Thu thập điểm truy cập | Thu thập điểm truy cập web/API, form, tham số và đường dẫn phổ biến trong giới hạn an toàn. |
| Kiểm tra lỗ hổng | Chạy tiến trình xác minh song song và chọn kiểm tra theo ngữ cảnh thay vì chạy mọi kiểm tra một cách mù quáng. |
| Phân tích AI | Phân tích tùy chọn qua nhà cung cấp đám mây, điểm cuối cục bộ hoặc thành phần xử lý riêng. |
| Bổ sung dữ liệu | Dữ liệu cục bộ cho CVE, CVSS, EPSS, KEV, CWE, OWASP Top 10 và WSTG. |
| Lưu trữ | Lịch sử quét, phát hiện, nguồn quét, trạng thái xử lý và tác vụ báo cáo được lưu trong cơ sở dữ liệu. |
| Báo cáo | CSV/JSON cho tự động hóa và PDF chạy bằng tác vụ nền. |
| Tự động hóa | CLI hỗ trợ file mục tiêu, nhiều mục tiêu, mở rộng tên miền con, thư mục đầu ra, ngôn ngữ báo cáo và tích hợp CI/CD. |
## Cấu hình song song mặc định
Cấu hình mặc định được cân bằng giữa tốc độ và độ an toàn:
| Hạng mục | Mặc định |
| ----------------------------------------- | ------------------ |
| Tiến trình phát hiện tài sản | 256 |
| Giới hạn tốc độ quét cổng | 1000 |
| Hồ sơ quét cổng | Top 1000 TCP ports |
| Tiến trình nhận diện | 50 |
| Mức song song nhận diện phiên bản dịch vụ | 4 |
| Tiến trình kiểm tra chủ động | 25 |
| Tiến trình bổ sung dữ liệu | 10 |
Với môi trường lớn, nên bắt đầu bằng lô nhỏ, xác nhận mạng ổn định rồi tăng phạm vi dần. Giới hạn tốc độ cần phù hợp với phạm vi được phê duyệt, băng thông và khả năng chịu tải của mục tiêu.
## Chiến lược quét quy mô lớn
Với workspace lớn:
1. Thêm tên miền gốc và dải CIDR thuộc sở hữu trước.
2. Chạy phát hiện tài sản để hiểu số lượng tài sản thực tế trước khi quét rộng.
3. Chia danh mục theo đội phụ trách, môi trường hoặc mức độ rủi ro.
4. Dùng lịch quét cho tài sản vận hành chính quan trọng.
5. Dùng CLI cho CI/CD, tự động hóa theo lô và các tác vụ định kỳ có kiểm soát.
6. Bật quét có xác thực cho ứng dụng có chức năng quan trọng nằm sau đăng nhập.
7. Bật AI khi tổ chức cần phân tích bằng chứng sâu hơn, ưu tiên xử lý rõ hơn và diễn giải khuyến nghị tốt hơn.
8. Xuất CSV/JSON cho SIEM, hệ thống ticket, kho dữ liệu hoặc quy trình tự động.
9. Dùng PDF cho báo cáo đọc bởi con người và báo cáo điều hành.
10. Cấu hình email để thông báo hoàn tất quét và báo cáo PDF sẵn sàng mà không phụ thuộc vào tab trình duyệt.
## Nhất quán dữ liệu ở quy mô lớn
Các lượt quét chuẩn từ Web UI, CLI hoặc lịch quét được ghi vào cùng cơ sở dữ liệu. Điều này giúp:
* Tự động hóa CLI có thể chạy ban đêm.
* Chuyên viên phân tích xem kết quả trên Web UI vào sáng hôm sau.
* Báo cáo được tạo từ cùng một lịch sử quét đã lưu.
* Nguồn quét vẫn hiển thị để phục vụ kiểm tra.
* Trạng thái xử lý phát hiện nhất quán dù lượt quét đến từ Web UI hay CLI.
## Môi trường ngoại tuyến hoặc hạn chế Internet
Với môi trường không có Internet ổn định, hãy chuẩn bị trước dữ liệu quét và dữ liệu tình báo lỗ hổng:
```bash theme={null}
vulnscan prep-offline
```
Môi trường hạn chế có thể kết hợp kích hoạt ngoại tuyến, dữ liệu tình báo đã chuẩn bị, báo cáo nội bộ và AI nội bộ/cục bộ khi dữ liệu không được phép rời khỏi mạng.
# Quản lý tài sản
Source: https://docs.cystack.net/vi/vulnscan/asset-management
Thêm mục tiêu được cấp phép, kiểm tra phát hiện tài sản và quản lý phạm vi quét
Tài sản xác định phạm vi CyStack VulnScan được phép phát hiện, quét, báo cáo và tính vào giới hạn sử dụng. Quản lý tài sản tốt giúp tăng độ chính xác vì phát hiện được gắn đúng hệ thống, tên máy chủ, dịch vụ và đội phụ trách.
## Loại tài sản hỗ trợ
| Loại tài sản | Ví dụ | Khi nào dùng |
| -------------------------- | ----------------------------------- | -------------------------------------------------------------------------- |
| Tên miền gốc | `acme.com` | Tìm tên miền con, ứng dụng web, DNS, WAF/CDN, TLS và rủi ro theo tên miền. |
| URL | `https://portal.acme.com` | Quét một điểm truy cập ứng dụng cụ thể. |
| Địa chỉ IP | `203.0.113.21` | Kiểm tra dịch vụ lộ ra ngoài trên một máy chủ. |
| CIDR | `203.0.113.0/28` | Lập danh sách và quét một dải mạng nhỏ thuộc quyền sở hữu. |
| Ứng dụng yêu cầu đăng nhập | Cookie, header hoặc HTTP Basic Auth | Kiểm tra các khu vực chỉ thấy được sau khi đăng nhập. |
Giấy phép hiện tại quyết định mục tiêu nào được thêm và số lượng mục tiêu được quét. Nếu tài sản nằm ngoài phạm vi, VulnScan sẽ thông báo trước khi lượt quét bắt đầu.
## Thêm tài sản
1. Mở **Tài sản**.
2. Chọn **Thêm tài sản**.
3. Nhập tên miền, URL, IP hoặc CIDR.
4. Đặt tên dễ hiểu nếu giá trị gốc không đủ rõ với đội xử lý.
5. Thêm nhãn như môi trường vận hành chính, môi trường thử nghiệm, PCI, hệ thống hướng khách hàng hoặc tên đơn vị phụ trách.
6. Lưu tài sản.
![Form thêm tài sản]()
## Xem chi tiết tài sản
Mở trang chi tiết tài sản trước khi chạy lượt quét đầu tiên.
![Chi tiết tài sản]()
Cần xem:
* **Tóm tắt phát hiện tài sản**: mục tiêu có phân giải DNS, phản hồi và lộ dịch vụ hay không.
* **Tên miền con**: danh sách tên miền con phát hiện được từ tên miền gốc.
* **Cổng và dịch vụ**: dịch vụ TCP, web server và điểm truy cập ứng dụng.
* **Công nghệ**: framework, CMS, thư viện JavaScript, phần mềm máy chủ và thành phần ứng dụng.
* **WAF/CDN**: dịch vụ bảo vệ hoặc phân phối nội dung nếu có dấu hiệu nhận diện.
* **TLS**: giao thức, chứng chỉ, issuer, ngày hết hạn và trạng thái cấu hình.
* **Lượt quét gần đây**: liên kết tài sản với lịch sử quét và xu hướng phát hiện.
## Tín hiệu phát hiện tài sản
VulnScan dùng nhiều kỹ thuật:
* Liệt kê DNS và tên miền con.
* Kiểm tra máy chủ đang hoạt động.
* Quét cổng và nhận diện dịch vụ.
* Kiểm tra HTTP/HTTPS.
* Nhận diện công nghệ.
* Kiểm tra chứng chỉ TLS.
* Phát hiện WAF/CDN.
* Thu thập banner dịch vụ.
* Tìm dữ liệu mô tả an toàn khi điểm truy cập lộ ra ngoài.
Mục tiêu không chỉ là tìm máy chủ, mà là tạo ngữ cảnh đủ tốt để kiểm tra lỗ hổng chính xác hơn.
## Quản lý tên miền con
Với tên miền gốc như `acme.com`, bật phát hiện tên miền con khi muốn đánh giá bề mặt tấn công rộng hơn. Tên miền con có thể lộ ứng dụng bị quên, môi trường tạm, trang quản trị, API thử nghiệm, website marketing cũ hoặc hệ thống do đơn vị khác triển khai.
Với tên miền lớn:
* Bắt đầu bằng phát hiện tài sản và xem lại danh sách.
* Loại trừ hệ thống ngoài phạm vi kiểm thử.
* Dùng nhãn để tách môi trường vận hành chính, môi trường thử nghiệm, hệ thống nội bộ và hệ thống do bên thứ ba lưu trữ.
* Kiểm tra giới hạn giấy phép trước khi quét toàn bộ máy chủ phát hiện được.
## Chuẩn hóa mục tiêu
VulnScan chuẩn hóa mục tiêu trước khi lưu và quét:
* URL được tách thành scheme, host và path.
* Tên miền được đưa về dạng tên máy chủ chữ thường.
* IP và CIDR được kiểm tra định dạng.
* Mục tiêu trùng được gộp nếu đại diện cùng một tài sản.
* Phát hiện được liên kết với bản ghi tài sản thống nhất để lịch sử không bị rời rạc.
## Khi nào nên tách tài sản
Nên tách tài sản khi đội phụ trách, mức độ quan trọng, tần suất quét hoặc thông tin xác thực khác nhau.
Ví dụ:
* `www.acme.com` và `admin.acme.com` thuộc hai đội khác nhau.
* `api.acme.com` cần API token, còn `www.acme.com` là hệ thống công khai.
* `203.0.113.0/28` chứa cả hệ thống vận hành chính và dịch vụ thử nghiệm.
* Ứng dụng thuộc PCI cần quy trình báo cáo riêng.
## Checklist tài sản
* Mục tiêu thuộc phạm vi giấy phép.
* Tên tài sản dễ hiểu với người không làm bảo mật.
* Nhãn thể hiện môi trường và đội phụ trách.
* Kết quả phát hiện tài sản khớp với kỳ vọng.
* Dịch vụ bất thường được xem lại trước khi quét.
* Thông tin xác thực đã chuẩn bị nếu ứng dụng cần đăng nhập.
* Lượt quét đầu tiên giới hạn phạm vi trước khi mở rộng toàn bộ tên miền con.
# Quét có xác thực
Source: https://docs.cystack.net/vi/vulnscan/authenticated-scanning
Cấu hình VulnScan để kiểm tra ứng dụng yêu cầu đăng nhập, API có token và khu vực sau xác thực
Nhiều lỗ hổng quan trọng chỉ xuất hiện sau khi người dùng đăng nhập: lỗi phân quyền, API xử lý dữ liệu nhạy cảm, chức năng tải tệp, trang quản trị, luồng thanh toán hoặc khu vực dành cho nhân viên. Quét không xác thực chỉ nhìn thấy phần công khai của ứng dụng, vì vậy kết quả có thể bỏ sót rủi ro nằm phía sau màn hình đăng nhập.
CyStack VulnScan hỗ trợ quét có xác thực bằng cách gửi kèm ngữ cảnh truy cập do người dùng cung cấp, chẳng hạn cookie phiên đăng nhập, header tùy chỉnh, token API hoặc thông tin HTTP Basic Authentication.
![Cấu hình quét có xác thực]()
## Khi nào nên dùng quét có xác thực
Nên dùng quét có xác thực khi:
* Ứng dụng chỉ hiển thị chức năng quan trọng sau đăng nhập.
* API yêu cầu bearer token, API key hoặc header định tuyến tenant.
* Trang thử nghiệm được bảo vệ bằng HTTP Basic Authentication.
* Bạn muốn kiểm tra khu vực quản trị, khu vực khách hàng hoặc khu vực nhân viên bằng tài khoản thử nghiệm.
* Kết quả quét công khai chưa phản ánh đúng mức độ phơi nhiễm của ứng dụng.
Không nên dùng tài khoản cá nhân có quyền quản trị cao nếu không có phê duyệt rõ ràng. Nên tạo tài khoản kiểm thử riêng, cấp quyền vừa đủ và thu hồi sau khi hoàn tất đánh giá nếu cần.
## Các phương thức xác thực được hỗ trợ
| Phương thức | Dùng cho | Ví dụ |
| ------------------------- | ---------------------------------------------------------------------- | --------------------------- |
| Cookie phiên đăng nhập | Ứng dụng web truyền thống sau khi đăng nhập trên trình duyệt. | `session=...; tenant=acme` |
| Header tùy chỉnh | API, bearer token, API key, header tenant, cổng môi trường thử nghiệm. | `Authorization: Bearer ...` |
| HTTP Basic Authentication | Trang thử nghiệm hoặc hệ thống nội bộ được bảo vệ bằng Basic Auth. | `scanner:password` |
## Quy trình trên Web UI
1. Đăng nhập ứng dụng mục tiêu bằng tài khoản kiểm thử.
2. Lấy cookie hoặc token cần thiết bằng công cụ dành cho nhà phát triển của trình duyệt.
3. Mở VulnScan và vào trang chi tiết tài sản.
4. Chọn **Bắt đầu quét**.
5. Dán cookie, header hoặc thông tin Basic Auth vào phần xác thực.
6. Kiểm tra lại phạm vi quét và bắt đầu lượt quét.
7. Sau khi quét xong, mở chi tiết lượt quét để xem các phát hiện trong khu vực sau đăng nhập.
## Ví dụ dùng cookie
Cookie phù hợp với ứng dụng web dùng phiên đăng nhập:
```bash theme={null}
vulnscan scan --target https://portal.acme.com --cookie "session=REDACTED; tenant=acme" --output ./reports --format json,csv
```
Lưu ý:
* Dùng cookie của tài khoản kiểm thử.
* Đảm bảo cookie còn hiệu lực trong suốt thời gian quét.
* Không chia sẻ cookie thật trong ticket hoặc kênh chat không được bảo vệ.
## Ví dụ dùng header và token API
API thường dùng bearer token hoặc API key:
```bash theme={null}
vulnscan scan --target https://api.acme.com -H "Authorization: Bearer REDACTED" -H "X-Tenant: acme" --output ./reports --format json,csv
```
Nên tạo token riêng cho VulnScan để dễ thu hồi và theo dõi hoạt động.
## Ví dụ dùng HTTP Basic Authentication
```bash theme={null}
vulnscan scan --target https://staging.acme.com --basic-auth "scanner:REDACTED" --output ./reports --format json,csv
```
Basic Authentication chỉ bảo vệ lớp truy cập ban đầu. Nếu ứng dụng phía sau vẫn có màn hình đăng nhập riêng, bạn có thể cần kết hợp thêm cookie hoặc header phù hợp.
## Những nhóm lỗi có thể phát hiện tốt hơn
Quét có xác thực giúp tăng khả năng phát hiện:
* Lỗi phân quyền và truy cập tài nguyên không đúng vai trò.
* Lỗi API trong các điểm truy cập yêu cầu token.
* Lỗi tải tệp, xử lý biểu mẫu và luồng nghiệp vụ sau đăng nhập.
* SQL injection, XSS, SSRF, CSRF hoặc lỗi cấu hình chỉ xuất hiện ở khu vực riêng tư.
* Thư viện, plugin, trang quản trị hoặc điểm truy cập debug không hiển thị công khai.
## Thực hành an toàn
* Dùng môi trường và tài khoản đã được phê duyệt.
* Cấp quyền tối thiểu cần thiết cho tài khoản quét.
* Không dùng tài khoản của người dùng thật.
* Không dùng token có quyền ghi/xóa dữ liệu nếu không cần.
* Đặt giới hạn dữ liệu thử nghiệm để tránh ảnh hưởng hệ thống sản xuất.
* Thu hồi hoặc đổi token sau khi hoàn tất nếu token có quyền nhạy cảm.
## Xử lý sự cố thường gặp
| Vấn đề | Cách kiểm tra |
| --------------------------------- | ----------------------------------------------------------------------------------------------------- |
| Không thấy nội dung sau đăng nhập | Cookie hoặc token có thể hết hạn, sai tên miền hoặc thiếu header bắt buộc. |
| Ứng dụng trả về 401/403 | Kiểm tra quyền tài khoản, tenant, IP allowlist và cơ chế chống tự động hóa. |
| Lượt quét quá chậm | Giảm phạm vi quét, dùng tài khoản có ít dữ liệu thử nghiệm hơn hoặc chạy ngoài giờ cao điểm. |
| Phát hiện ít hơn kỳ vọng | Kiểm tra xem ứng dụng có yêu cầu bước đăng nhập nhiều lớp, CSRF token động hoặc header bổ sung không. |
# Năng lực sản phẩm
Source: https://docs.cystack.net/vi/vulnscan/capabilities
Các lớp xử lý giúp VulnScan phát hiện, xác minh và ưu tiên lỗ hổng
CyStack VulnScan được xây dựng như một quy trình đánh giá bề mặt tấn công: tìm tài sản, hiểu tài sản đang chạy gì, kiểm tra rủi ro, bổ sung dữ liệu tình báo, giảm nhiễu, lưu vào cơ sở dữ liệu và trình bày thành các bước xử lý rõ ràng cho người dùng.
## Quy trình kỹ thuật
| Giai đoạn | Mục tiêu | Kết quả |
| ------------------- | --------------------------------------------------------------------------------------- | --------------------------------------------------- |
| Chuẩn hóa mục tiêu | Kiểm tra định dạng tên miền, URL, IP hoặc CIDR. | Tránh trùng lặp và giúp lịch sử quét nhất quán. |
| Kiểm tra phạm vi | Xác nhận mục tiêu thuộc phạm vi được cấp phép. | Giúp người dùng chỉ quét các tài sản được cho phép. |
| Phát hiện tài sản | Tìm máy chủ đang hoạt động, tên miền con, cổng, dịch vụ, TLS, WAF/CDN và điểm truy cập. | Có đủ ngữ cảnh trước khi kiểm tra lỗ hổng. |
| Nhận diện công nghệ | Nhận diện sản phẩm, phiên bản, framework, CMS, plugin, banner dịch vụ và CPE. | Là cơ sở để đối chiếu CVE và chọn kiểm tra phù hợp. |
| Kiểm tra chủ động | Kiểm tra lỗ hổng web, API, dịch vụ và cấu hình sai. | Tạo phát hiện có bằng chứng kỹ thuật. |
| Đối chiếu CVE | So khớp sản phẩm/phiên bản/CPE với cơ sở dữ liệu CVE. | Phát hiện thành phần có lỗ hổng đã biết. |
| Bổ sung ngữ cảnh | Thêm CVSS, EPSS, KEV, CWE, OWASP, WSTG và hướng dẫn khắc phục. | Giúp đội vận hành biết cần xử lý vấn đề nào trước. |
| Gộp kết quả | Gộp các phát hiện trùng và giữ bằng chứng tốt nhất. | Danh sách phát hiện sạch hơn, dễ xử lý hơn. |
| Lưu trữ | Ghi lượt quét, nguồn quét, phát hiện và báo cáo vào cơ sở dữ liệu. | Web UI và CLI dùng cùng một nguồn dữ liệu. |
## Phát hiện tài sản và nhận diện công nghệ
VulnScan kết hợp nhiều nguồn tín hiệu:
* Liệt kê DNS và tên miền con.
* Kiểm tra máy chủ đang hoạt động.
* Quét cổng có giới hạn tốc độ.
* Kiểm tra HTTP/HTTPS.
* Nhận diện công nghệ máy chủ, framework, CMS, plugin/theme và thư viện JavaScript.
* Kiểm tra chứng chỉ, giao thức và thời hạn TLS.
* Phát hiện WAF/CDN.
* Thu thập banner dịch vụ.
* Tìm dữ liệu mô tả ứng dụng như Swagger/OpenAPI, GraphQL, trang debug hoặc điểm truy cập actuator khi chúng lộ ra ngoài.
Kết quả của giai đoạn này quyết định kiểm tra nào nên chạy, CVE nào có cơ sở để đối chiếu và phát hiện nào đủ độ tin cậy để hiển thị cho người dùng.
## Các lớp phát hiện lỗ hổng
VulnScan kết hợp nhiều lớp kiểm tra:
* **Kiểm tra tích hợp sẵn**: các module kiểm tra trực tiếp nhóm lỗi web, API, giao thức và cấu hình sai.
* **Bộ kiểm tra CyStack**: các kiểm tra được CyStack duy trì cho những tình huống thường gặp trong thực tế.
* **Đối chiếu CVE**: so khớp sản phẩm, phiên bản và CPE với cơ sở dữ liệu CVE cục bộ.
* **Kiểm tra truy cập yếu**: phát hiện dịch vụ không yêu cầu xác thực hoặc thông tin đăng nhập mặc định/yếu.
* **Kiểm tra cấu hình**: TLS, security header, CORS, CSP, tệp lộ ra ngoài, trang quản trị và điểm truy cập nhạy cảm.
* **Phân tích AI tùy chọn**: hỗ trợ nhận diện mẫu bất thường, đánh giá chất lượng bằng chứng, gợi ý khu vực cần kiểm tra sâu hơn và giảm cảnh báo nhầm khi được cấu hình.
## Vì sao kết quả ít nhiễu hơn
VulnScan giảm cảnh báo nhầm bằng nhiều cơ chế:
* Ưu tiên bằng chứng về phiên bản hoặc hành vi, không chỉ dựa vào tên sản phẩm.
* Hỗ trợ so khớp phiên bản chính xác hoặc theo khoảng.
* Hạn chế kết quả quá chung chung khi thiếu bằng chứng.
* Gộp kết quả theo CVE, máy chủ, cổng hoặc tiêu đề phát hiện.
* Khi nhiều nguồn cùng phát hiện một vấn đề, hệ thống ưu tiên kết quả có bằng chứng tốt hơn.
* Hiển thị điểm tin cậy để người dùng biết phát hiện nào cần xem xét thêm.
* Khi bật AI, hệ thống có thêm lớp phân tích ngữ cảnh để hỗ trợ phân biệt phát hiện có bằng chứng mạnh với phát hiện cần xác minh thủ công.
## Tính năng vận hành
Các tính năng vận hành giúp VulnScan phù hợp với môi trường doanh nghiệp:
* Quản lý thành viên theo hai vai trò: Quản trị viên và Thành viên.
* Web UI cho thao tác hằng ngày, xử lý phát hiện và tạo báo cáo.
* CLI cho tự động hóa và tích hợp CI/CD.
* Phân biệt nguồn quét từ Web UI, CLI hoặc lịch quét.
* Email thông báo cho lời mời thành viên, lượt quét hoàn tất và báo cáo sẵn sàng.
* Báo cáo PDF chạy nền để không phụ thuộc vào việc người dùng giữ trình duyệt mở.
* Hỗ trợ triển khai online, offline hoặc trong mạng hạn chế.
# Tích hợp CI/CD
Source: https://docs.cystack.net/vi/vulnscan/ci-cd-integration
Dùng VulnScan trong quy trình kiểm thử bảo mật, môi trường thử nghiệm và quy trình phát hành
VulnScan có thể chạy bằng CLI trong quy trình CI/CD để phát hiện sớm lỗ hổng trước khi ứng dụng được đưa ra môi trường sản xuất. Cách triển khai phổ biến là quét môi trường thử nghiệm hoặc bản triển khai xem trước sau khi ứng dụng đã được dựng và triển khai tạm thời.
## Khi nào nên tích hợp CI/CD
Nên tích hợp VulnScan vào CI/CD khi:
* Ứng dụng có môi trường thử nghiệm hoặc bản triển khai xem trước ổn định.
* Đội phát triển muốn phát hiện lỗi web/API trước khi phát hành.
* Quy trình phát hành cần bằng chứng kiểm tra bảo mật.
* Bạn muốn tạo báo cáo JSON/CSV để đưa vào hệ thống quản lý lỗi.
* Bạn muốn quét định kỳ các điểm truy cập quan trọng sau mỗi bản dựng.
Không nên quét trực tiếp môi trường sản xuất trong mỗi commit nếu chưa có kiểm soát tải, phạm vi và thời gian chạy phù hợp.
## Mô hình tích hợp khuyến nghị
1. Build ứng dụng.
2. Triển khai lên môi trường thử nghiệm hoặc môi trường xem trước.
3. Chạy smoke test để đảm bảo ứng dụng hoạt động.
4. Chạy VulnScan CLI trên URL của môi trường thử nghiệm.
5. Xuất kết quả JSON/CSV vào thư mục artifacts.
6. Đẩy kết quả sang hệ thống quản lý lỗi hoặc kho lưu trữ báo cáo.
7. Tùy chính sách, chặn phát hành nếu có phát hiện Critical hoặc High.
## Ví dụ lệnh CLI
```bash theme={null}
vulnscan scan --target https://staging.acme.com --output ./security-reports --format json,csv --lang en
```
Với API cần token:
```bash theme={null}
vulnscan scan --target https://api-staging.acme.com -H "Authorization: Bearer $VULNSCAN_API_TOKEN" --output ./security-reports --format json,csv
```
Với danh sách nhiều mục tiêu:
```bash theme={null}
vulnscan scan --target-file ./ci-targets.txt --output ./security-reports --format json,csv
```
## GitHub Actions
```yaml theme={null}
name: Security Scan
on:
workflow_dispatch:
push:
branches: [main]
jobs:
vulnscan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Run VulnScan
env:
VULNSCAN_TOKEN: ${{ secrets.VULNSCAN_TOKEN }}
run: |
./vulnscan scan \
--target https://staging.acme.com \
-H "Authorization: Bearer $VULNSCAN_TOKEN" \
--output ./security-reports \
--format json,csv \
--lang en
- name: Upload reports
uses: actions/upload-artifact@v4
with:
name: vulnscan-reports
path: security-reports/
```
## GitLab CI
```yaml theme={null}
vulnscan:
stage: test
script:
- ./vulnscan scan --target https://staging.acme.com --output ./security-reports --format json,csv --lang en
artifacts:
when: always
paths:
- security-reports/
```
## Jenkins Pipeline
```groovy theme={null}
pipeline {
agent any
stages {
stage('VulnScan') {
steps {
sh './vulnscan scan --target https://staging.acme.com --output ./security-reports --format json,csv --lang en'
}
}
}
post {
always {
archiveArtifacts artifacts: 'security-reports/**', fingerprint: true
}
}
}
```
## Chính sách chặn phát hành
Mỗi tổ chức có ngưỡng khác nhau. Một chính sách thực tế có thể là:
* Chặn phát hành nếu có phát hiện Critical.
* Yêu cầu phê duyệt bảo mật nếu có phát hiện High mới.
* Cho phép Medium/Low đi tiếp nếu đã có kế hoạch xử lý.
* Luôn lưu JSON/CSV để phục vụ truy vết.
Nếu dùng chính sách chặn tự động, hãy bắt đầu ở chế độ chỉ cảnh báo trong vài sprint đầu để giảm rủi ro làm gián đoạn phát hành vì cấu hình chưa ổn định.
## Bảo mật bí mật truy cập
* Lưu token trong secret store của hệ thống CI/CD.
* Không in token ra log.
* Dùng token riêng cho môi trường thử nghiệm.
* Thu hồi token khi quy trình CI/CD không còn dùng.
* Giới hạn quyền của token ở mức chỉ đủ cho kiểm thử.
## Kết nối với Web UI
Khi CLI dùng cùng cấu hình không gian làm việc với Web UI, kết quả quét có thể được lưu vào cùng cơ sở dữ liệu để đội bảo mật xem lại trong giao diện. Cách này giúp kết quả từ quy trình CI/CD, lượt quét thủ công và lịch quét định kỳ nằm trong cùng lịch sử kiểm tra.
# CLI Reference
Source: https://docs.cystack.net/vi/vulnscan/cli-reference
Hướng dẫn chi tiết CLI cho kích hoạt, quét, báo cáo, Web UI, phát hiện tên miền con, cập nhật và tự động hóa
CLI của VulnScan dùng cùng lõi quét với Web UI. CLI phù hợp cho tự động hóa, lượt quét theo lịch, tích hợp CI/CD, quy trình lặp lại của đội bảo mật, chuẩn bị môi trường hạn chế Internet và xuất báo cáo bằng script. Với xử lý phát hiện và cộng tác nhóm, nên bắt đầu bằng Web UI rồi tự động hóa các quy trình đã ổn định.
## Tổng quan command
| Command | Mục đích |
| -------------- | -------------------------------------------------------------------------- |
| `activate` | Kích hoạt khóa giấy phép hoặc file kích hoạt offline. |
| `license` | Hiển thị trạng thái và giới hạn giấy phép. |
| `fingerprint` | In mã định danh máy cho kích hoạt offline. |
| `deactivate` | Gỡ kích hoạt khỏi máy hiện tại. |
| `web` | Khởi động Web UI server. |
| `scan` | Chạy quét lỗ hổng và xuất CSV, JSON hoặc PDF. |
| `subdomain` | Liệt kê tên miền con cho một tên miền. |
| `prep-offline` | Chuẩn bị dữ liệu quét và dữ liệu tình báo cho môi trường hạn chế Internet. |
| `update` | Cập nhật VulnScan và dữ liệu nếu bản triển khai hỗ trợ. |
| `version` | In thông tin phiên bản. |
## Global flags
| Flag | Mô tả |
| --------------- | ------------------------------------------------------------ |
| `-c, --config` | Đường dẫn file cấu hình. Mặc định: `./configs/default.yaml`. |
| `--log-level` | Mức log: `debug`, `info`, `warn` hoặc `error`. |
| `-v, --verbose` | Bật đầu ra chi tiết hơn. |
Dùng cùng file cấu hình cho Web UI và CLI nếu muốn kết quả CLI nằm trong cùng cơ sở dữ liệu của không gian làm việc.
## Activate
Kích hoạt online:
```bash theme={null}
vulnscan activate --license CYSTACK-XXXX-XXXX-XXXX-XXXX
```
Kích hoạt offline:
```bash theme={null}
vulnscan fingerprint
vulnscan activate --file activation.dat
```
Flags:
| Flag | Mô tả |
| ----------- | ------------------------------------------- |
| `--license` | Khóa giấy phép do CyStack cung cấp. |
| `--file` | File kích hoạt offline do CyStack cung cấp. |
Sau khi kích hoạt, chạy:
```bash theme={null}
vulnscan license
```
để kiểm tra phạm vi mục tiêu, ngày hết hạn, số lượt kích hoạt và tính năng được cấp phép.
## License, fingerprint và deactivate
Xem trạng thái giấy phép:
```bash theme={null}
vulnscan license
```
In mã định danh máy:
```bash theme={null}
vulnscan fingerprint
```
Gỡ kích hoạt trên máy hiện tại:
```bash theme={null}
vulnscan deactivate
```
Nên deactivate trước khi chuyển hẳn VulnScan sang máy chủ khác để lượt kích hoạt được sử dụng đúng theo chính sách giấy phép.
## Khởi động Web UI
Chạy với địa chỉ cục bộ mặc định:
```bash theme={null}
vulnscan web
```
Bind ra interface dùng chung và đặt thư mục dữ liệu:
```bash theme={null}
vulnscan web --bind 0.0.0.0:8080 --data-dir /var/lib/cystack-vulnscan
```
Flags:
| Flag | Mô tả |
| ------------ | --------------------------------------------------------------------------------------------------------- |
| `--bind` | Địa chỉ và cổng của Web UI server. |
| `--data-dir` | Thư mục dữ liệu của không gian làm việc cho cơ sở dữ liệu, báo cáo, trạng thái giấy phép và file runtime. |
Ở lần chạy đầu tiên, mở URL hiển thị trong terminal và tạo tài khoản quản trị viên đầu tiên.
## Scan
`scan` chạy phát hiện tài sản, nhận diện công nghệ, kiểm tra lỗ hổng, bổ sung dữ liệu, gộp kết quả, chấm điểm rủi ro, lưu trữ và xuất báo cáo.
### Quét một mục tiêu
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format json,csv --lang en
```
### Quét nhiều mục tiêu
```bash theme={null}
vulnscan scan --target https://app.acme.com --target https://api.acme.com --output ./reports --format json,csv
```
### Quét từ file mục tiêu
Tạo `targets.txt`:
```text theme={null}
https://app.acme.com
https://api.acme.com
203.0.113.21
203.0.113.0/28
```
Chạy:
```bash theme={null}
vulnscan scan --target-file ./targets.txt --output ./reports --format json,csv
```
### Bao gồm tên miền con
```bash theme={null}
vulnscan scan --target acme.com --include-subdomains --output ./reports --format json,csv
```
Dùng khi tên miền gốc nằm trong giấy phép và cần đánh giá bề mặt tấn công rộng hơn.
### Quét ứng dụng yêu cầu đăng nhập
Cookie phiên đăng nhập:
```bash theme={null}
vulnscan scan --target https://portal.acme.com --cookie "session=REDACTED; tenant=acme" --output ./reports --format json,csv
```
Bearer token hoặc API key:
```bash theme={null}
vulnscan scan --target https://api.acme.com -H "Authorization: Bearer REDACTED" -H "X-Tenant: acme" --output ./reports --format json,csv
```
HTTP Basic Auth:
```bash theme={null}
vulnscan scan --target https://staging.acme.com --basic-auth "scanner:REDACTED" --output ./reports --format json,csv
```
Dùng tài khoản kiểm thử riêng và tránh dùng phiên quản trị cá nhân nếu kế hoạch đánh giá không cho phép.
### Tạo báo cáo
CSV và JSON:
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format csv,json
```
PDF tiếng Anh:
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format pdf --lang en
```
PDF tiếng Việt nếu hỗ trợ:
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format pdf --lang vi
```
### Scan flags
| Flag | Mô tả |
| ---------------------- | ------------------------------------------------------------------ |
| `--target` | Mục tiêu IP, CIDR, dải địa chỉ, tên miền hoặc URL. Có thể lặp lại. |
| `--target-file` | File chứa mỗi dòng một mục tiêu. |
| `--include-subdomains` | Phát hiện và quét tên miền con cho mục tiêu dạng tên miền. |
| `--cookie` | Cookie string cho quét web có xác thực. |
| `--basic-auth` | HTTP Basic Auth credential dạng `user:password`. |
| `-H, --header` | HTTP header tùy chỉnh. Có thể lặp lại. |
| `-o, --output` | Thư mục lưu file báo cáo. |
| `--format` | Danh sách định dạng: `json`, `csv`, `pdf`. |
| `--lang` | Ngôn ngữ báo cáo: `en` hoặc `vi`. |
## Phát hiện tên miền con
Liệt kê tên miền con:
```bash theme={null}
vulnscan subdomain --target acme.com
```
Trả về JSON:
```bash theme={null}
vulnscan subdomain --target acme.com --json
```
Flags:
| Flag | Mô tả |
| ---------- | ------------------------- |
| `--target` | Tên miền gốc cần liệt kê. |
| `--json` | Xuất kết quả dạng JSON. |
Dùng phát hiện tên miền con trước khi quét rộng để hiểu phạm vi và số lượng mục tiêu.
## Offline preparation
Chuẩn bị dữ liệu quét và dữ liệu tình báo cho môi trường offline hoặc pre-baked:
```bash theme={null}
vulnscan prep-offline
```
Chạy lệnh này trước khi đưa package vào mạng hạn chế. Deployment offline vẫn cần giấy phép hợp lệ và quy trình cập nhật riêng.
## Update và version
In version:
```bash theme={null}
vulnscan version
```
Cập nhật VulnScan:
```bash theme={null}
vulnscan update
```
Tuân thủ quy trình quản lý thay đổi của tổ chức trước khi cập nhật bộ quét trong môi trường vận hành chính.
## Mẫu tự động hóa
### Quét Internet-facing hằng đêm
```bash theme={null}
vulnscan scan --target-file ./production-targets.txt --include-subdomains --output ./nightly-reports --format json,csv --lang en
```
### Kiểm tra bảo mật trong CI
```bash theme={null}
vulnscan scan --target https://staging.acme.com -H "Authorization: Bearer REDACTED" --output ./ci-reports --format json --log-level warn
```
### Báo cáo khách hàng tiếng Việt
```bash theme={null}
vulnscan scan --target https://customer-portal.acme.com --output ./customer-report --format pdf --lang vi
```
## Checklist CLI
* Chỉ quét mục tiêu thuộc giấy phép.
* Giữ cấu hình CLI đồng bộ với Web UI nếu cần nhất quán dữ liệu.
* Dùng file mục tiêu cho tự động hóa lặp lại.
* Dùng tài khoản kiểm thử riêng cho quét có xác thực.
* Lưu báo cáo trong thư mục có kiểm soát.
* Dùng JSON cho tích hợp và CSV cho theo dõi khắc phục.
* Review kết quả nghiêm trọng cao trên Web UI khi cần xử lý theo nhóm.
# Triển khai
Source: https://docs.cystack.net/vi/vulnscan/deployment
Triển khai file thực thi VulnScan cho Web UI, CLI, online và môi trường hạn chế Internet
CyStack VulnScan được phân phối dưới dạng file thực thi cho **Windows**, **macOS** và **Linux**. Cùng một file có thể chạy Web UI, chạy CLI, quản lý giấy phép, chuẩn bị dữ liệu offline và xuất báo cáo.
## Mô hình triển khai
| Mô hình | Phù hợp với | Ghi chú |
| --------------------------- | ----------------------------------------------------------------------- | ------------------------------------------------------------------------------ |
| Máy cá nhân của analyst | Đánh giá nhỏ, dùng CLI cục bộ, thử nghiệm. | Dễ bắt đầu nhưng không tối ưu cho làm việc nhóm. |
| Máy chủ Web UI dùng chung | Đội bảo mật sử dụng chung, quét định kỳ, báo cáo tập trung. | Khuyến nghị cho môi trường vận hành chính. |
| Máy chạy tự động hóa | Lượt quét CLI theo lịch, tích hợp CI/CD hoặc quy trình bảo mật tự động. | Dùng cùng cấu hình không gian làm việc nếu muốn kết quả hiển thị trong Web UI. |
| Môi trường hạn chế Internet | Hệ thống không có kết nối Internet trực tiếp. | Cần kích hoạt offline và chuẩn bị dữ liệu quét/tình báo trước. |
## Bố cục môi trường vận hành chính khuyến nghị
1. Cài file thực thi VulnScan trên server ổn định.
2. Tạo thư mục dữ liệu riêng, ví dụ `/var/lib/cystack-vulnscan`.
3. Kích hoạt giấy phép.
4. Khởi động Web UI với địa chỉ lắng nghe rõ ràng.
5. Đặt VulnScan sau reverse proxy nội bộ nếu cần HTTPS và kiểm soát truy cập.
6. Cấu hình email.
7. Tạo tài khoản quản trị viên và thành viên.
8. Thêm tài sản và kiểm tra kết quả phát hiện trước khi quét rộng.
```bash theme={null}
vulnscan web --bind 0.0.0.0:8080 --data-dir /var/lib/cystack-vulnscan
```
## Thư mục dữ liệu
Thư mục dữ liệu lưu trạng thái không gian làm việc:
* Cơ sở dữ liệu của không gian làm việc.
* Tài sản, lượt quét, phát hiện và dữ liệu mô tả tác vụ báo cáo.
* Báo cáo đã xuất.
* Trạng thái giấy phép.
* Cấu hình email.
* Log và trạng thái chạy.
Sao lưu thư mục này theo chính sách khôi phục của tổ chức. Nếu tự động hóa CLI cần ghi kết quả vào cùng không gian làm việc, hãy chạy CLI với cùng cấu hình và vị trí dữ liệu.
## Yêu cầu mạng
Máy chủ VulnScan cần:
* Kết nối tới tài sản mục tiêu trên các cổng cần kiểm tra.
* Phân giải DNS cho tên miền và tên miền con.
* Kết nối ra ngoài để kích hoạt giấy phép và cập nhật, trừ bản triển khai offline.
* Kết nối tới nhà cung cấp email nếu bật thông báo.
* Kết nối từ trình duyệt người dùng tới Web UI.
Với mục tiêu bên ngoài, bảo đảm IP đi ra của VulnScan được chủ sở hữu mục tiêu cho phép và không bị tường lửa môi trường thử nghiệm chặn.
## Kích hoạt online và offline
Online:
```bash theme={null}
vulnscan activate --license CYSTACK-XXXX-XXXX-XXXX-XXXX
```
Offline:
```bash theme={null}
vulnscan fingerprint
vulnscan activate --file activation.dat
```
Môi trường offline cũng cần chuẩn bị dữ liệu quét và dữ liệu tình báo trước khi đưa vào mạng hạn chế:
```bash theme={null}
vulnscan prep-offline
```
## Hiệu năng và mở rộng
VulnScan được thiết kế cho bề mặt tấn công Internet lớn. Cấu hình mặc định có xử lý song song cho phát hiện tài sản, quét cổng, nhận diện công nghệ, kiểm tra lỗ hổng và bổ sung dữ liệu. Tốc độ thực tế phụ thuộc CPU, bộ nhớ, độ trễ mạng, độ phản hồi của mục tiêu, giới hạn giấy phép và chính sách quét an toàn.
Khuyến nghị:
* Bắt đầu bằng phát hiện tài sản cho tên miền gốc trước khi quét toàn bộ tên miền con.
* Chia danh mục lớn theo đội phụ trách, môi trường hoặc mức độ rủi ro.
* Dùng lịch quét cho các tài sản vận hành chính quan trọng.
* Để báo cáo PDF lớn chạy bằng tác vụ nền.
* Dùng CSV/JSON cho tích hợp số lượng lớn.
* Theo dõi thời lượng quét và giảm phạm vi nếu mục tiêu nhạy cảm.
## Hardening bảo mật
* Chạy VulnScan bằng tài khoản hệ điều hành riêng.
* Giới hạn quyền truy cập thư mục dữ liệu.
* Đặt Web UI sau HTTPS trong môi trường vận hành chính.
* Chỉ cho mạng tin cậy hoặc identity-aware proxy truy cập Web UI.
* Dùng tài khoản cá nhân thay vì tài khoản dùng chung.
* Thay đổi định kỳ thông tin xác thực email.
* Gỡ thành viên không còn hoạt động.
* Hủy kích hoạt giấy phép trước khi chuyển hẳn bản cài sang máy chủ mới.
## Cập nhật
Cập nhật khi chính sách triển khai cho phép:
```bash theme={null}
vulnscan update
```
Môi trường hạn chế Internet nên dùng gói cập nhật hoặc quy trình offline do CyStack cung cấp theo ghi chú triển khai.
# Độ phủ phát hiện
Source: https://docs.cystack.net/vi/vulnscan/detection-coverage
Số liệu độ phủ, OWASP mapping, nhóm lỗ hổng và cơ chế giảm cảnh báo nhầm
Độ phủ của CyStack VulnScan đến từ hai lớp: các module phát hiện được tích hợp trong sản phẩm và dữ liệu tình báo lỗ hổng được cập nhật. Vì vậy, tổng số CVE có thể nhận diện không phải một con số cố định; nó mở rộng theo dữ liệu CPE-to-CVE và gói dữ liệu tình báo tại thời điểm quét.
## Số liệu độ phủ hiện tại
| Hạng mục | Số liệu |
| ---------------------------- | -------------------------------------------------------------------------------- |
| Module xác minh tích hợp sẵn | 69 module kiểm tra bao phủ web, API, giao thức, TLS, dịch vụ và cấu hình. |
| Bộ kiểm tra CyStack | 51 kiểm tra độ tin cậy cao do CyStack duy trì cho các tình huống phổ biến. |
| OWASP Top 10 2021 | Bao phủ đủ 10/10 nhóm OWASP Top 10 2021 thông qua detector, CWE và nhóm lỗ hổng. |
| Mapping CWE | 196 mapping từ CWE sang OWASP Top 10. |
| Mapping OWASP WSTG | 70+ mapping sang OWASP Web Security Testing Guide. |
| Độ phủ CVE | Phụ thuộc cơ sở dữ liệu NVD CPE-to-CVE cục bộ và ngày cập nhật dữ liệu tình báo. |
## Độ phủ OWASP Top 10
| OWASP 2021 | Ví dụ VulnScan có thể phát hiện |
| ----------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- |
| A01: Broken Access Control | Path traversal, LFI/RFI, open redirect, mass assignment, tài nguyên lộ ra ngoài, dấu hiệu lỗi phân quyền. |
| A02: Cryptographic Failures | TLS yếu, cipher không an toàn, chứng chỉ lỗi, JWT và cấu hình mã hóa yếu. |
| A03: Injection | SQL injection, XSS, command/code injection, NoSQL, LDAP/XPath, SSTI, CSTI, CRLF. |
| A04: Insecure Design | Rủi ro tải tệp, mass assignment, luồng API không an toàn, thiết kế chức năng dễ bị lạm dụng. |
| A05: Security Misconfiguration | Header, CORS/CSP, debug panel, điểm truy cập actuator, API lộ ra ngoài, HTTP method không an toàn, cloud storage. |
| A06: Vulnerable and Outdated Components | Đối chiếu CPE-to-CVE, nhận diện CMS/framework/plugin và CVE đã biết. |
| A07: Identification and Authentication Failures | Tài khoản mặc định, xác thực yếu, dấu hiệu brute-force, vấn đề phiên đăng nhập và mật khẩu. |
| A08: Software and Data Integrity Failures | Deserialization, prototype pollution, phụ thuộc phần mềm và thành phần không an toàn khi có bằng chứng. |
| A09: Security Logging and Monitoring Failures | Phân loại theo CWE khi phát hiện dấu hiệu liên quan đến log, debug hoặc giám sát. |
| A10: Server-Side Request Forgery | SSRF và các tình huống truy cập dữ liệu mô tả hoặc kênh ngoài có thể kiểm tra an toàn. |
## Nhóm lỗ hổng trọng yếu
VulnScan tập trung vào các lỗi có tác động thực tế cao:
* SQL injection, command injection, code injection, NoSQL injection.
* Reflected XSS, stored XSS và DOM-based XSS.
* SSRF, CSRF, open redirect.
* LFI/RFI, path traversal, lộ tệp nhạy cảm.
* SSTI, CSTI và template injection.
* Tải tệp không an toàn.
* HTTP request smuggling và cache poisoning.
* CORS, CSP, clickjacking và cấu hình security header sai.
* Lộ trang quản trị, điểm truy cập debug, Swagger/OpenAPI, GraphQL và actuator.
* Lộ cloud storage và rủi ro chiếm quyền tên miền con.
* TLS yếu, chứng chỉ hết hạn, giao thức/cipher không an toàn.
* Tài khoản mặc định và dịch vụ không yêu cầu xác thực.
* CVE trong web server, application server, CMS, plugin, framework, thư viện JavaScript và dịch vụ mạng.
## Đối chiếu CVE
VulnScan không chỉ dò CVE theo chuỗi banner thô. Quy trình đối chiếu dùng:
* Sản phẩm và phiên bản phát hiện được.
* Ứng viên CPE từ công nghệ hoặc dịch vụ.
* Cơ sở dữ liệu NVD CPE-to-CVE cục bộ.
* So khớp phiên bản chính xác hoặc theo khoảng.
* Hạn chế kết quả quá chung chung khi thiếu bằng chứng.
* Bổ sung CVSS, EPSS, CISA KEV và tín hiệu khai thác công khai.
Nhờ đó, kết quả CVE có ngữ cảnh rõ hơn: thành phần nào bị ảnh hưởng, vì sao được đối chiếu, mức độ khai thác ra sao và nên ưu tiên thế nào.
## AI hỗ trợ phát hiện và giảm nhiễu
Khi gói sử dụng và cấu hình cho phép, AI trong VulnScan được dùng như một lớp phân tích bổ sung trong quá trình quét. AI không thay thế bằng chứng kỹ thuật, nhưng có thể hỗ trợ phát hiện dấu hiệu bất thường, đánh giá ngữ cảnh, giảm cảnh báo nhầm và diễn giải kết quả để đội kỹ thuật xử lý nhanh hơn.
* Nhận diện mẫu hành vi đáng ngờ trong phản hồi, header, điểm truy cập, tham số và bằng chứng HTTP.
* Gợi ý điểm cần kiểm tra sâu hơn khi ứng dụng có nhiều API hoặc nhiều luồng sau đăng nhập.
* Hỗ trợ đánh giá liệu một phát hiện có đủ bằng chứng hay có khả năng là cảnh báo nhầm.
* Tóm tắt tác động, nguyên nhân và hướng xử lý bằng tiếng Anh hoặc tiếng Việt.
* Ưu tiên xử lý dựa trên bằng chứng, mức độ nghiêm trọng, khả năng khai thác và ngữ cảnh tài sản.
Người dùng có thể cấu hình AI qua API token của dịch vụ AI đám mây tương thích, điểm cuối AI nội bộ/cục bộ hoặc thành phần xử lý AI riêng trong môi trường triển khai có yêu cầu kiểm soát dữ liệu cao.
## Đọc độ phủ đúng cách
Độ phủ không có nghĩa là một công cụ có thể thay thế toàn bộ kiểm thử thủ công. VulnScan mạnh nhất ở bề mặt tấn công bên ngoài, CVE đã biết, cấu hình sai, lỗ hổng web/API phổ biến và các rủi ro có thể xác minh tự động. Các lỗi logic nghiệp vụ phức tạp, luồng gian lận nhiều bước hoặc phân quyền sâu theo nghiệp vụ vẫn có thể cần kiểm thử thủ công.
# Phát hiện
Source: https://docs.cystack.net/vi/vulnscan/findings
Hiểu bằng chứng, mức độ nghiêm trọng, điểm rủi ro, mapping tiêu chuẩn và quy trình xử lý
Phát hiện là đối tượng xử lý chính trong CyStack VulnScan. Mỗi phát hiện liên kết một điểm yếu với tài sản bị ảnh hưởng, bằng chứng, mức độ nghiêm trọng, mapping tiêu chuẩn, tín hiệu rủi ro và hướng dẫn khắc phục.
Để hiểu kỹ CVE, CWE, CVSS, EPSS, CISA KEV, OWASP Top 10, OWASP WSTG và mức độ nghiêm trọng, xem [Chuẩn bảo mật và điểm số](/vi/vulnscan/security-standards).
![Chi tiết phát hiện]()
## Trường thông tin trong phát hiện
| Trường | Ý nghĩa |
| -------------------- | ------------------------------------------------------------------------------------------------------------------ |
| Tiêu đề | Tên lỗ hổng hoặc điểm yếu. |
| Mức độ nghiêm trọng | Critical, High, Medium, Low hoặc Informational. |
| Điểm rủi ro | Điểm 0-100 kết hợp mức độ nghiêm trọng, khả năng khai thác, dữ liệu tình báo, điểm tin cậy và bằng chứng xác minh. |
| Điểm tin cậy | Mức độ chắc chắn của bằng chứng. |
| Tài sản bị ảnh hưởng | Domain, tên miền con, URL, IP, cổng, dịch vụ hoặc thành phần bị ảnh hưởng. |
| Bằng chứng | Request/response, banner, phiên bản đối chiếu được, hành vi dịch vụ, thông tin TLS hoặc kết quả xác minh. |
| Nguồn phát hiện | Nhãn nguồn đã được chuẩn hóa để người dùng hiểu loại kiểm tra, không lộ chi tiết triển khai. |
| CVE/CWE | Mã lỗ hổng và nhóm điểm yếu nếu có. |
| CVSS | Điểm mức độ nghiêm trọng chuẩn nếu có. |
| EPSS | Xác suất bị khai thác nếu có. |
| CISA KEV | Cho biết lỗ hổng có nằm trong danh mục Known Exploited Vulnerabilities hay không. |
| OWASP Top 10 | Nhóm rủi ro ứng dụng mapping từ detector, CWE hoặc nhóm lỗ hổng. |
| OWASP WSTG | Mapping sang Web Security Testing Guide. |
| Khắc phục | Hướng dẫn xử lý cho đội kỹ thuật, hạ tầng hoặc chủ sở hữu ứng dụng. |
| Tham chiếu | Advisory, trang tiêu chuẩn hoặc nguồn dữ liệu tình báo liên quan. |
## Mức độ nghiêm trọng và điểm rủi ro
Mức độ nghiêm trọng thể hiện tác động kỹ thuật. Điểm rủi ro giúp ưu tiên xử lý.
Một phát hiện High có thể có điểm rủi ro cao hơn nếu có khai thác công khai, CISA KEV, điểm tin cậy cao hoặc bằng chứng đã xác minh. Một phát hiện Critical có thể có điểm rủi ro thấp hơn nếu điểm tin cậy còn hạn chế hoặc thành phần bị ảnh hưởng không khai thác được trong ngữ cảnh quan sát.
Điểm rủi ro dùng các tín hiệu:
* CVSS base score nếu có.
* EPSS probability nếu có.
* CISA KEV.
* Public exploit hoặc proof-of-concept indicator.
* Điểm tin cậy của phát hiện.
* Phát hiện có được xác minh chủ động hay không.
* Ngữ cảnh tài sản và dịch vụ từ giai đoạn phát hiện tài sản.
## Loại bằng chứng
Bằng chứng phụ thuộc nhóm lỗ hổng:
* Hành vi HTTP request/response.
* Payload được phản chiếu hoặc lưu trữ.
* Banner dịch vụ và phản hồi giao thức.
* Bằng chứng sản phẩm/phiên bản.
* So khớp phiên bản chính xác hoặc theo khoảng với CPE/CVE.
* Chi tiết chứng chỉ và giao thức TLS.
* Tệp, thư mục, trang quản trị, điểm truy cập hoặc dữ liệu mô tả bị lộ.
* Dấu hiệu cloud storage hoặc chiếm quyền tên miền con.
* Hành vi xác thực hoặc phân quyền.
VulnScan ưu tiên bằng chứng cụ thể và hạn chế kết quả quá chung chung gây nhiễu.
## Quy trình xử lý
1. Xem Critical và High trước.
2. Xác nhận tài sản và đội phụ trách.
3. Đọc bằng chứng và hướng dẫn khắc phục.
4. Tạo ticket xử lý trong hệ thống quản lý công việc của tổ chức.
5. Đánh dấu đang xử lý nếu quy trình có theo dõi trạng thái.
6. Quét lại sau khi đội phụ trách báo đã khắc phục.
7. Chỉ đóng phát hiện khi lượt quét xác nhận hành vi đã thay đổi.
8. Nếu chấp nhận rủi ro hoặc đánh dấu cảnh báo nhầm, cần ghi chú lý do rõ ràng.
## Mapping tiêu chuẩn
VulnScan mapping phát hiện tới các chuẩn bảo mật:
* **OWASP Top 10 2021**: bao phủ đủ 10 nhóm thông qua detector, CWE và nhóm lỗ hổng.
* **OWASP WSTG**: 70+ mapping giúp người dùng hiểu cách kiểm thử thủ công tương ứng.
* **CWE**: 196 mapping tới nhóm điểm yếu chuẩn hóa.
* **CVE**: thành phần có lỗ hổng đã biết được mapping qua dữ liệu tình báo cục bộ.
## Nhóm phát hiện phổ biến
* Injection: SQL, command, code, NoSQL, template và client-side template injection.
* XSS: reflected, stored và DOM-based.
* Lỗi phân quyền và xác thực.
* SSRF, open redirect, CSRF và tải tệp không an toàn.
* LFI/RFI, path traversal và lộ tệp nhạy cảm.
* HTTP request smuggling và cache poisoning.
* Header, CORS, CSP và clickjacking.
* Lộ trang quản trị, điểm truy cập debug, Swagger/OpenAPI, GraphQL và actuator.
* Lộ cloud storage và rủi ro chiếm quyền tên miền con.
* TLS yếu, chứng chỉ hết hạn và giao thức không an toàn.
* Tài khoản mặc định và dịch vụ mạng không yêu cầu xác thực.
* CVE đã biết trong web, network, CMS, plugin, framework và thành phần máy chủ.
## Giảm cảnh báo nhầm
* So khớp phiên bản ưu tiên exact hoặc range rõ ràng.
* Kết quả CPE quá chung chung bị hạn chế khi thiếu bằng chứng sản phẩm/phiên bản.
* Phát hiện trùng được gộp theo lỗ hổng, máy chủ, cổng và tiêu đề.
* Bằng chứng đã xác minh được ưu tiên hơn bằng chứng yếu.
* Điểm tin cậy giúp người dùng biết phát hiện nào cần xem xét thêm.
* Quét lại giúp xác nhận khắc phục thay vì chỉ dựa vào ticket đã đóng.
# Bắt đầu sử dụng
Source: https://docs.cystack.net/vi/vulnscan/getting-started
Thiết lập CyStack VulnScan và chạy lượt quét Web UI đầu tiên theo từng bước
Tài liệu này hướng dẫn luồng sử dụng đầu tiên được khuyến nghị cho **CyStack VulnScan**. Người dùng nên bắt đầu bằng Web UI vì đây là nơi quản lý tài sản, lịch sử quét, phát hiện, báo cáo, thành viên, email thông báo và giấy phép trong cùng một không gian làm việc. Phần CLI được tách riêng tại [CLI Reference](/vi/vulnscan/cli-reference).
Nếu đây là lần triển khai VulnScan đầu tiên, hãy đọc [Khái niệm chính](/vi/vulnscan/key-concepts) trước khi quét. Trang này giải thích mối liên hệ giữa không gian làm việc, tài sản, mục tiêu, lượt quét, phát hiện, bằng chứng, báo cáo và phân tích hỗ trợ bởi AI.
## Bước 1: Nhận file thực thi và giấy phép
CyStack VulnScan được phân phối dưới dạng file thực thi cho **Windows**, **macOS** và **Linux**. Để nhận file chương trình và giấy phép tương ứng, liên hệ đội ngũ kinh doanh của CyStack qua [sales@cystack.net](mailto:sales@cystack.net).
CyStack sẽ cung cấp:
* Binary VulnScan cho hệ điều hành cần triển khai.
* Khóa giấy phép hoặc file kích hoạt offline.
* Phạm vi mục tiêu được cấp phép, giới hạn số lượng mục tiêu, giới hạn kích hoạt và ghi chú triển khai.
* Gói cập nhật offline nếu hệ thống chạy trong mạng hạn chế.
## Bước 2: Chuẩn bị máy chạy VulnScan
Chọn máy chủ có thể kết nối tới các tài sản được phép kiểm tra. Với môi trường vận hành chính, cần chuẩn bị:
* Thư mục dữ liệu ổn định để lưu cơ sở dữ liệu, báo cáo, log và trạng thái chạy.
* Kết nối ra ngoài để kích hoạt giấy phép và cập nhật dữ liệu tình báo, trừ khi dùng kích hoạt/cập nhật offline.
* Kết nối từ máy chủ VulnScan tới tên miền, IP, CIDR và ứng dụng web cần quét.
* SMTP, SendGrid hoặc AWS SES nếu muốn gửi email mời thành viên, thông báo quét xong và thông báo báo cáo sẵn sàng.
## Bước 3: Kích hoạt giấy phép
Kích hoạt online:
```bash theme={null}
vulnscan license activate --key CYSTACK-XXXX-XXXX-XXXX-XXXX
```
Kích hoạt offline:
```bash theme={null}
vulnscan fingerprint
vulnscan activate --file activation.dat
```
Kiểm tra trạng thái giấy phép:
```bash theme={null}
vulnscan license
```
## Bước 4: Khởi động Web UI
Chạy Web UI với địa chỉ mặc định:
```bash theme={null}
vulnscan web
```
Với server dùng chung, cấu hình địa chỉ lắng nghe và thư mục dữ liệu rõ ràng:
```bash theme={null}
vulnscan web --bind 0.0.0.0:8080 --data-dir /var/lib/cystack-vulnscan
```
Mở URL hiển thị trong terminal. Ở lần chạy đầu tiên, tạo tài khoản quản trị viên đầu tiên. Tài khoản này có quyền thêm thành viên, cấu hình email, quản lý giấy phép và bắt đầu quét.
![Bảng điều khiển VulnScan sau khi thiết lập]()
## Bước 5: Hoàn thiện thông tin cá nhân
Mở menu người dùng và kiểm tra cài đặt cá nhân:
* Cập nhật tên hiển thị dùng trong danh sách thành viên, lời mời và email thông báo.
* Kiểm tra email nhận thông báo báo cáo sẵn sàng và quét hoàn tất.
* Chọn ngôn ngữ giao diện.
* Đổi mật khẩu nếu tài khoản được tạo bằng mật khẩu tạm.
* Dùng **Đăng xuất** khi rời máy dùng chung.
Cài đặt cá nhân chỉ ảnh hưởng tới người dùng hiện tại. Cài đặt không gian làm việc như email, giấy phép và thành viên được quản lý riêng bởi quản trị viên.
## Bước 6: Thêm tài sản đầu tiên
Vào **Tài sản** và chọn **Thêm tài sản**. Nên bắt đầu với tên miền gốc, IP công khai hoặc CIDR đã được cấp phép.
![Thêm tài sản]()
Ví dụ tài sản đầu tiên:
| Loại tài sản | Ví dụ | Khi nào dùng |
| ------------ | ---------------------- | ------------------------------------------------------------------------ |
| Tên miền | `acme.com` | Cần phát hiện tên miền con, kiểm tra web, TLS và ứng dụng theo tên miền. |
| URL | `https://app.acme.com` | Cần tập trung vào một ứng dụng cụ thể. |
| IP | `203.0.113.21` | Cần kiểm tra dịch vụ lộ ra ngoài trên một máy chủ. |
| CIDR | `203.0.113.0/28` | Cần lập danh sách và quét một dải mạng công khai nhỏ. |
Sau khi lưu, VulnScan chuẩn hóa mục tiêu, kiểm tra phạm vi giấy phép và lưu vào danh sách tài sản.
## Bước 7: Kiểm tra kết quả phát hiện tài sản
Mở trang chi tiết tài sản trước khi quét. Trang này giúp xác nhận VulnScan đã hiểu đúng ngữ cảnh mục tiêu:
* Tên miền con và máy chủ đang hoạt động đã phát hiện.
* Dịch vụ web và dịch vụ giao thức đang mở.
* WAF/CDN như Cloudflare nếu phát hiện được.
* Phiên bản TLS, trạng thái chứng chỉ, issuer, ngày hết hạn và cấu hình.
* Công nghệ, framework, CMS, plugin, theme và banner dịch vụ.
![Chi tiết tài sản với tín hiệu phát hiện]()
Nếu kết quả có máy chủ không mong muốn, kiểm tra lại phạm vi trước khi quét. Nếu thiếu máy chủ dự kiến, kiểm tra DNS, firewall và khả năng kết nối từ server VulnScan.
## Bước 8: Bắt đầu quét
Từ trang chi tiết tài sản, chọn **Bắt đầu quét**. Kiểm tra tên lượt quét, danh sách mục tiêu và tùy chọn trước khi chạy.
![Bắt đầu quét]()
Với ứng dụng cần đăng nhập, thêm thông tin xác thực trước khi quét:
* Cookie của phiên đăng nhập.
* Header tùy chỉnh cho API key, bearer token, định tuyến theo tenant hoặc truy cập môi trường thử nghiệm.
* HTTP Basic Auth nếu ứng dụng dùng Basic Auth.
Nên dùng tài khoản kiểm thử có quyền tối thiểu đủ để kiểm tra. Không dùng phiên quản trị cá nhân trong môi trường vận hành chính nếu chính sách nội bộ không cho phép.
Xem chi tiết hơn tại [Quét có xác thực](/vi/vulnscan/authenticated-scanning).
## Bước 9: Theo dõi tiến trình quét
Mở trang chi tiết lượt quét trong khi hệ thống chạy. Trang này hiển thị mục tiêu, nguồn quét, trạng thái, dịch vụ phát hiện được, phát hiện, phân bố mức độ nghiêm trọng và dữ liệu mô tả.
![Chi tiết lượt quét]()
Các lượt quét chuẩn từ Web UI, lịch quét và CLI được ghi vào cùng cơ sở dữ liệu. Nguồn quét được lưu để phân biệt kết quả đến từ Web UI, CLI hay lịch quét.
## Bước 10: Xử lý phát hiện
Bắt đầu với Critical và High, sau đó xử lý Medium/Low theo mức độ ảnh hưởng kinh doanh. Mở chi tiết phát hiện để xem bằng chứng, điểm truy cập bị ảnh hưởng, mức độ nghiêm trọng, điểm rủi ro, điểm tin cậy, CWE, OWASP, tham chiếu và hướng dẫn khắc phục.
![Chi tiết phát hiện]()
Khi đọc phát hiện, cần trả lời:
* Hệ thống, URL, cổng hoặc thành phần nào bị ảnh hưởng?
* VulnScan thu được bằng chứng gì?
* Có CVE, CVSS, EPSS hoặc CISA KEV không?
* Phát hiện thuộc OWASP Top 10 và OWASP WSTG nào?
* Đội phụ trách cần khắc phục cụ thể ra sao?
* Phát hiện nên để mở, đánh dấu đã khắc phục, chấp nhận rủi ro hay cảnh báo nhầm sau khi rà soát?
## Bước 11: Xuất báo cáo
Mở **Báo cáo** hoặc dùng hành động xuất báo cáo trong trang chi tiết lượt quét. VulnScan hỗ trợ **CSV**, **JSON** và **PDF**.
![Xuất báo cáo]()
CSV và JSON phục vụ quy trình kỹ thuật. PDF được tạo bằng tác vụ nền vì lượt quét lớn có thể mất thời gian render. Khi PDF đang chạy, nút xuất PDF cho báo cáo đó bị khóa. Khi hoàn tất, VulnScan gửi email cho người tạo báo cáo nếu email đã được cấu hình.
## Bước 12: Cấu hình không gian làm việc
Trước khi dùng cho nhiều người:
* Thêm thành viên với vai trò **Quản trị viên** hoặc **Thành viên**.
* Cấu hình SendGrid, AWS SES hoặc SMTP tùy chỉnh.
* Kiểm tra phạm vi mục tiêu, giới hạn sử dụng, giới hạn kích hoạt và ngày hết hạn của giấy phép.
* Thống nhất quy trình rà soát kết quả quét và xác nhận khắc phục.
* Lập lịch quét định kỳ cho các tài sản Internet-facing quan trọng.
## Checklist trước khi quét môi trường vận hành chính
* Giấy phép đã kích hoạt và phạm vi mục tiêu đúng.
* Tài khoản quản trị viên có tên hiển thị thật.
* Email đã kiểm thử thành công.
* Ít nhất một tài sản đã được thêm và xem lại kết quả phát hiện.
* Thông tin xác thực đã chuẩn bị nếu ứng dụng cần đăng nhập.
* Người nhận báo cáo và đội phụ trách xử lý đã thống nhất.
* CSV/JSON/PDF đã được kiểm thử trên một lượt quét nhỏ.
* Tự động hóa CLI chỉ cấu hình sau khi quy trình Web UI đã được xác nhận.
# Khái niệm chính
Source: https://docs.cystack.net/vi/vulnscan/key-concepts
Không gian làm việc, tài sản, lượt quét, phát hiện, bằng chứng, báo cáo và phân tích AI
Trang này giải thích các khái niệm cốt lõi được dùng trong CyStack VulnScan. Khi hiểu thống nhất các khái niệm này, đội bảo mật có thể đọc kết quả quét rõ ràng hơn, so sánh luồng Web UI với CLI và xây dựng quy trình quản lý lỗ hổng lặp lại được.
## Không gian làm việc
Mỗi bản cài VulnScan hoạt động như một không gian làm việc. Không gian làm việc lưu thành viên, tài sản, lịch sử quét, phát hiện, báo cáo, cấu hình email, trạng thái giấy phép và dữ liệu chạy.
Quản trị viên quản lý các cấu hình dùng chung như:
* Quyền truy cập và vai trò thành viên.
* Gửi email qua SendGrid, AWS SES hoặc SMTP tùy chỉnh.
* Kích hoạt giấy phép, ngày hết hạn, phạm vi mục tiêu, giới hạn mục tiêu và tính năng được bật.
* Danh sách tài sản và lịch sử quét dùng chung.
Cài đặt cá nhân được tách riêng. Tên hiển thị, email, mật khẩu, ngôn ngữ và thao tác đăng xuất nằm trong menu người dùng.
## Tài sản
Tài sản là mục tiêu được cấp phép mà VulnScan được phép phát hiện, quét, đưa vào báo cáo và tính vào giới hạn sử dụng.
Các loại tài sản phổ biến:
| Loại tài sản | Ví dụ | Khi nào dùng |
| ------------ | ---------------------- | ---------------------------------------------------------------------------------------------------------------------- |
| Tên miền | `acme.com` | Phát hiện tên miền con, dịch vụ web, TLS, WAF/CDN, công nghệ và thành phần có lỗ hổng trong một tên miền doanh nghiệp. |
| URL | `https://app.acme.com` | Tập trung vào một điểm vào ứng dụng cụ thể. |
| Địa chỉ IP | `203.0.113.21` | Kiểm tra dịch vụ lộ ra ngoài và CVE đã biết trên một máy chủ. |
| CIDR | `203.0.113.0/28` | Lập danh sách và đánh giá một dải mạng công khai nhỏ. |
Tài sản không chỉ là nhãn. Tài sản là ranh giới phạm vi giúp liên kết phát hiện tài sản, lượt quét, phát hiện lỗ hổng, báo cáo và kiểm soát giấy phép.
## Mục tiêu quét
Mục tiêu quét là giá trị cụ thể được truyền vào lượt quét, ví dụ URL, tên máy chủ, địa chỉ IP, dải CIDR hoặc một dòng trong file mục tiêu.
Một tài sản có thể sinh ra nhiều mục tiêu quét. Ví dụ tài sản `acme.com` có thể dẫn tới các mục tiêu như `app.acme.com`, `api.acme.com`, `vpn.acme.com` và `203.0.113.21` sau giai đoạn phát hiện.
Trước khi quét, VulnScan chuẩn hóa mục tiêu và kiểm tra mục tiêu với phạm vi giấy phép đang hoạt động.
## Kết quả phát hiện tài sản
Kết quả phát hiện tài sản mô tả những gì VulnScan thu được trước và trong quá trình kiểm tra lỗ hổng:
* Tên miền con và máy chủ đang hoạt động.
* Cổng mở và dịch vụ giao thức.
* Trạng thái HTTP, chuyển hướng, tiêu đề trang, header và dữ liệu mô tả của phản hồi.
* Issuer, subject, SAN, ngày hết hạn, giao thức và cipher của chứng chỉ TLS.
* Tín hiệu WAF/CDN như Cloudflare khi phát hiện được.
* Công nghệ, framework, CMS, plugin, theme, banner dịch vụ và ứng viên CPE.
* URL đã thu thập, form, route API, tham số và điểm truy cập đáng chú ý.
Kết quả phát hiện tài sản giúp người dùng xác nhận phạm vi và giải thích vì sao một phát hiện được tạo ra hoặc không được tạo ra.
## Lượt quét
Lượt quét là một lần chạy bộ quét trên một hoặc nhiều mục tiêu.
Mỗi lượt quét chuẩn lưu:
* Liên kết tài sản và mục tiêu.
* Nguồn quét: Web UI, CLI hoặc lịch quét.
* Loại thông tin xác thực nếu có dùng.
* Trạng thái, tiến trình, thời gian bắt đầu, thời gian kết thúc và thời lượng.
* Metadata phát hiện tài sản, công nghệ, dịch vụ và phát hiện lỗ hổng.
* Tác vụ báo cáo và lịch sử xuất báo cáo.
Vì Web UI, CLI và lịch quét dùng cùng lịch sử trong cơ sở dữ liệu, đội vận hành có thể chạy tự động hóa bằng CLI và xem kết quả sau đó trên Web UI.
## Phát hiện
Phát hiện là một vấn đề bảo mật hoặc quan sát thông tin gắn với mục tiêu.
Các trường quan trọng:
| Trường | Ý nghĩa |
| ------------------- | ---------------------------------------------------------------------------------------------------------------- |
| Tiêu đề | Tên vấn đề dễ đọc. |
| Mức độ nghiêm trọng | Critical, High, Medium, Low hoặc Info. |
| Điểm rủi ro | Điểm 0-100 kết hợp mức độ nghiêm trọng, khả năng khai thác, độ tin cậy, mức độ lộ ra ngoài và tín hiệu tình báo. |
| Độ tin cậy | Mức độ mạnh của bằng chứng đã thu thập. |
| Vị trí bị ảnh hưởng | URL, host, cổng, dịch vụ, đường dẫn, tham số, thành phần hoặc gói bị ảnh hưởng. |
| Bằng chứng | Dữ liệu kỹ thuật dùng để tạo phát hiện. |
| Chuẩn tham chiếu | CVE, CWE, OWASP Top 10, OWASP WSTG, CVSS, EPSS và CISA KEV khi có. |
| Khắc phục | Hướng dẫn xử lý hoặc giảm rủi ro. |
| Trạng thái | Trạng thái xử lý của đội, ví dụ đang mở, đã khắc phục, chấp nhận rủi ro hoặc cảnh báo nhầm. |
Phát hiện nên được xử lý dựa trên cả mức độ kỹ thuật và bối cảnh kinh doanh. Một lỗi High trên điểm đăng nhập công khai có thể khẩn cấp hơn một lỗi Critical trên máy thử nghiệm không truy cập được.
## Bằng chứng và độ tin cậy
VulnScan tách chất lượng bằng chứng khỏi mức độ nghiêm trọng.
Bằng chứng có thể đến từ:
* Xác minh chủ động trực tiếp.
* So sánh phản hồi an toàn.
* Nhận diện sản phẩm và phiên bản.
* Đối chiếu CPE/CVE đã biết.
* File, header, panel, dịch vụ hoặc trạng thái giao thức bị lộ.
* Rà soát bằng AI khi được bật.
Độ tin cậy giúp đội vận hành quyết định phát hiện nào cần tạo ticket khắc phục ngay, phát hiện nào cần xem xét thêm và phát hiện nào nên ghi nhận là rủi ro được chấp nhận.
## Ngữ cảnh xác thực
Ngữ cảnh xác thực là thông tin truy cập do người dùng cung cấp để VulnScan kiểm tra các khu vực sau đăng nhập.
Các loại được hỗ trợ:
* Cookie phiên đăng nhập.
* Header HTTP tùy chỉnh.
* Bearer token hoặc API key.
* Thông tin HTTP Basic Authentication.
Nên dùng tài khoản kiểm thử riêng với quyền tối thiểu cần thiết. Hãy xoay vòng hoặc thu hồi token nhạy cảm sau khi kiểm thử nếu chính sách yêu cầu.
## Tác vụ báo cáo
Tác vụ báo cáo là tác vụ xuất báo cáo được lưu trong cơ sở dữ liệu.
CSV và JSON phù hợp cho quy trình kỹ thuật và tự động hóa. PDF chạy dưới dạng tác vụ nền vì báo cáo lớn có thể cần nhiều thời gian để render. Người dùng có thể đóng trình duyệt trong khi tác vụ vẫn tiếp tục. Nếu đã cấu hình email, người tạo báo cáo sẽ nhận thông báo khi PDF sẵn sàng.
## Phân tích hỗ trợ bởi AI
AI có thể được bật như một lớp phân tích bổ sung khi giấy phép và cấu hình cho phép. AI có thể hỗ trợ:
* Nhận diện điểm truy cập và tham số đáng chú ý.
* Diễn giải bằng chứng.
* Hỗ trợ phát hiện lỗ hổng.
* Giảm cảnh báo nhầm.
* Gộp và nhóm các phát hiện liên quan.
* Diễn giải hướng khắc phục.
* Tạo nội dung báo cáo tiếng Anh và tiếng Việt.
AI không thay thế bằng chứng kỹ thuật. Phát hiện vẫn cần dữ liệu quét như vị trí bị ảnh hưởng, request/response, phiên bản sản phẩm, mapping CVE/CWE, CVSS, EPSS, trạng thái KEV và độ tin cậy.
## Khái niệm WAF
Ngoài quét lỗ hổng, VulnScan còn cung cấp tường lửa ứng dụng web (WAF) hoạt động tại lớp biên. Các khái niệm WAF cốt lõi:
| Khái niệm | Ý nghĩa |
| --------------------- | -------------------------------------------------------------------------------------------------- |
| Máy chủ biên (Node) | Tiến trình `cywall` do tổ chức tự cài, tiếp nhận lưu lượng thật và chạy bộ máy WAF. |
| Website (Site) | Tên miền được WAF bảo vệ, gắn với một hoặc nhiều origin, có trạng thái xác minh riêng. |
| Origin | Máy chủ gốc chứa ứng dụng thật, nơi node chuyển tiếp request hợp lệ. |
| Luật (Rule) | Bộ luật OWASP được quản lý, luật tùy chỉnh, giới hạn tần suất, kiểm soát truy cập và chuyển hướng. |
| Sự kiện (Event) | Bản ghi một request bị chặn hoặc được xử lý, kèm IP, đường dẫn và luật đã khớp. |
| Vá ảo (Virtual patch) | Luật do AI sinh ra từ một lỗ hổng đã phát hiện, chặn đúng dấu hiệu tấn công mà không sửa mã nguồn. |
Đây là khái niệm độc lập với việc **phát hiện WAF/CDN** của mục tiêu trong giai đoạn quét. Xem chi tiết tại [Tổng quan WAF](/vi/vulnscan/waf-overview).
## Nhãn nguồn
VulnScan chuẩn hóa nhãn nguồn hiển thị cho người dùng. Mục tiêu là giải thích loại kiểm tra hoặc nguồn dữ liệu tình báo mà không lộ chi tiết triển khai nội bộ.
Ví dụ:
| Nhãn hiển thị | Ý nghĩa |
| ---------------------- | ------------------------------------------------------------------- |
| VulnScan Verification | Kiểm tra chủ động hoặc kiểm tra độ tin cậy cao do CyStack duy trì. |
| VulnScan Intelligence | Phát hiện được bổ sung hoặc đối chiếu từ dữ liệu tình báo lỗ hổng. |
| Web Application Check | Kiểm tra bảo mật web hoặc API. |
| Service Exposure Check | Kiểm tra dịch vụ mạng, giao thức hoặc bề mặt lộ ra ngoài. |
| AI-Assisted Review | Phân tích AI tùy chọn có đóng góp vào diễn giải hoặc ưu tiên xử lý. |
# Tổng quan
Source: https://docs.cystack.net/vi/vulnscan/overview
Giới thiệu CyStack VulnScan, giá trị sử dụng và mô hình vận hành
**CyStack VulnScan** là sản phẩm quét và quản lý lỗ hổng bảo mật được phát triển và sở hữu bởi CyStack. Sản phẩm giúp tổ chức theo dõi bề mặt tấn công bên ngoài, phát hiện lỗ hổng có khả năng bị khai thác, ưu tiên xử lý theo mức độ rủi ro và tạo báo cáo có bằng chứng cho đội bảo mật, công nghệ thông tin, kỹ thuật, tuân thủ và ban lãnh đạo.
CyStack VulnScan đã được cấp **Giấy chứng nhận đăng ký quyền tác giả số 10694/2025/QTG** bởi Cục Bản quyền tác giả, Bộ Văn hóa, Thể thao và Du lịch Việt Nam.
![Bảng điều khiển CyStack VulnScan]()
## Vì sao doanh nghiệp cần VulnScan
Bề mặt tấn công Internet thay đổi liên tục: tên miền con mới, API tạm thời, trang quản trị bị lộ, dịch vụ cũ chưa tắt, kho lưu trữ cloud cấu hình sai, chứng chỉ TLS hết hạn, thư viện có CVE hoặc ứng dụng chỉ kiểm tra được sau khi đăng nhập. Một lần kiểm thử thủ công không đủ để duy trì khả năng quan sát liên tục, trong khi kết quả quét thô thường nhiễu và khó chuyển thành hành động.
VulnScan giúp giải quyết vấn đề này bằng cách:
* **Tăng khả năng phát hiện rủi ro thực tế** thông qua phát hiện tài sản, nhận diện dịch vụ, nhận diện công nghệ, kiểm tra chủ động, đối chiếu phiên bản với CVE, dữ liệu tình báo lỗ hổng và lớp phân tích AI tùy chọn.
* **Giảm cảnh báo nhầm** bằng bằng chứng kỹ thuật, so khớp phiên bản chính xác hoặc theo khoảng, điểm tin cậy, ưu tiên kết quả đã xác minh, gộp kết quả trùng lặp và AI hỗ trợ đánh giá bằng chứng khi được bật.
* **Ưu tiên xử lý rõ ràng** bằng mức độ nghiêm trọng, CVSS, EPSS, CISA KEV, tín hiệu khai thác công khai, điểm tin cậy và điểm rủi ro 0-100.
* **Hỗ trợ cả Web UI và CLI** để đội bảo mật làm việc trực quan, đồng thời vẫn tự động hóa được các lượt quét lặp lại.
* **Tạo báo cáo dễ chia sẻ** bằng tiếng Anh hoặc tiếng Việt, hỗ trợ xuất CSV, JSON, PDF và gửi email thông báo khi cần.
* **Phù hợp nhiều mô hình triển khai** từ máy cá nhân, máy chủ dùng chung, môi trường hạn chế Internet đến quy trình CI/CD.
## VulnScan kiểm tra được những gì
VulnScan tập trung vào tài sản có thể truy cập từ Internet và các dịch vụ bên ngoài:
| Phạm vi | Ví dụ | Nội dung kiểm tra |
| -------------------------- | ------------------------------- | ----------------------------------------------------------------------------------------------- |
| Tên miền gốc | `acme.com` | DNS, tên miền con, ứng dụng web, WAF/CDN, TLS, lỗ hổng web, tệp nhạy cảm, cấu hình sai. |
| Tên miền con | `api.acme.com` | Rủi ro API/ứng dụng, điểm truy cập, CVE, kiểm tra có xác thực nếu được cung cấp quyền truy cập. |
| Địa chỉ IP | `203.0.113.21` | Cổng mở, banner dịch vụ, kiểm tra giao thức, truy cập mặc định/yếu, TLS và CVE dịch vụ. |
| Dải CIDR | `203.0.113.0/28` | Phát hiện máy chủ đang hoạt động, dịch vụ lộ ra ngoài và lịch sử quét theo từng máy chủ. |
| Ứng dụng yêu cầu đăng nhập | Cookie, header, HTTP Basic Auth | Kiểm tra sâu hơn các khu vực sau đăng nhập bằng tài khoản hoặc token do người dùng cung cấp. |
## Năng lực chính
| Nhóm | Năng lực |
| --------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Phát hiện tài sản | Tìm tên miền con, kiểm tra máy chủ đang hoạt động, quét cổng, nhận diện dịch vụ, nhận diện công nghệ, phát hiện WAF/CDN và kiểm tra TLS. |
| Phát hiện lỗ hổng | Kiểm tra DAST tích hợp sẵn, kiểm tra do CyStack duy trì, đối chiếu CVE, kiểm tra tài khoản mặc định, dịch vụ không yêu cầu xác thực, lỗi cấu hình HTTP và AI hỗ trợ phân tích bằng chứng khi được bật. |
| Bảo vệ chủ động (WAF) | Tường lửa ứng dụng web tại lớp biên trên máy chủ biên tự vận hành: bộ luật OWASP được quản lý, luật tùy chỉnh, vá ảo do AI, giới hạn tần suất, kiểm soát truy cập theo IP/quốc gia/ASN và giám sát lưu lượng. Xem [WAF](/vi/vulnscan/waf-overview). |
| Dữ liệu tình báo | Cơ sở dữ liệu CPE-to-CVE từ NVD, CVSS, EPSS, CISA KEV, CWE, OWASP Top 10, OWASP WSTG và tín hiệu khai thác công khai. |
| Độ chính xác | So khớp phiên bản, điểm tin cậy, ưu tiên bằng chứng đã xác minh, gộp kết quả trùng và hạn chế các kết quả quá chung chung. |
| Vận hành | Web UI, CLI, lịch quét, quản lý thành viên, phân biệt nguồn quét, tác vụ báo cáo PDF và email thông báo. |
| AI và ngôn ngữ | AI tùy chọn hỗ trợ phát hiện, giảm cảnh báo nhầm, ưu tiên xử lý, giải thích khuyến nghị, tóm tắt điều hành và nội dung tiếng Anh/tiếng Việt khi gói sử dụng cho phép. |
## Một lượt quét hoạt động như thế nào
1. **Xác định phạm vi**: VulnScan chuẩn hóa mục tiêu và kiểm tra mục tiêu có nằm trong phạm vi được cấp phép hay không.
2. **Phát hiện tài sản**: hệ thống tìm máy chủ đang hoạt động, tên miền con, cổng mở, dữ liệu mô tả máy chủ, WAF/CDN, chứng chỉ TLS và điểm truy cập web/API.
3. **Nhận diện công nghệ**: hệ thống nhận diện dịch vụ, framework, CMS, plugin/theme, banner giao thức, thông tin TLS và ứng viên CPE.
4. **Kiểm tra lỗ hổng**: VulnScan chạy các kiểm tra phù hợp với ngữ cảnh tài sản, bao gồm lỗi web/API, dịch vụ, cấu hình sai, đối chiếu CVE và phân tích AI tùy chọn khi được cấu hình.
5. **Bổ sung ngữ cảnh**: phát hiện được bổ sung CVSS, EPSS, CISA KEV, CWE, OWASP Top 10, OWASP WSTG, hướng dẫn khắc phục và tín hiệu khai thác.
6. **Gộp và chấm điểm**: kết quả trùng được gộp lại, bằng chứng mạnh nhất được giữ lại và điểm rủi ro được tính toán.
7. **Lưu trữ**: các lượt quét từ Web UI, CLI và lịch quét được ghi vào cùng cơ sở dữ liệu để bảo đảm nhất quán.
8. **Báo cáo**: người dùng xem kết quả trên Web UI hoặc xuất CSV, JSON, PDF.
## Quét để phát hiện, WAF để bảo vệ
VulnScan kết hợp hai năng lực bổ trợ trong cùng một không gian làm việc:
* **Quét lỗ hổng** giúp *tìm ra* rủi ro: phát hiện tài sản, nhận diện công nghệ, kiểm tra chủ động, đối chiếu CVE và ưu tiên xử lý.
* **CyStack WAF** giúp *chủ động ngăn chặn* khai thác tại lớp biên: tổ chức trỏ tên miền qua các máy chủ biên tự vận hành, bật bộ luật OWASP được quản lý và bổ sung luật tùy chỉnh.
Hai năng lực này liên kết trực tiếp: một lỗ hổng web vừa được quét phát hiện có thể được **vá ảo** ngay tại WAF trong khi đội phát triển xử lý triệt để ở mã nguồn, thu hẹp khoảng thời gian rủi ro. Xem [Tổng quan WAF](/vi/vulnscan/waf-overview).
Cần phân biệt hai cách dùng từ "WAF" trong tài liệu: **phát hiện WAF/CDN** là việc lượt quét nhận biết tổ chức mục tiêu có đang dùng WAF/CDN (ví dụ Cloudflare) hay không; còn **CyStack WAF** là sản phẩm tường lửa do chính tổ chức triển khai để bảo vệ website của mình.
## Mô hình triển khai
CyStack VulnScan được phân phối dưới dạng file thực thi tương thích **Windows**, **macOS** và **Linux**. Để nhận file chương trình và giấy phép tương ứng, liên hệ đội ngũ kinh doanh của CyStack qua [sales@cystack.net](mailto:sales@cystack.net).
Một file thực thi hỗ trợ hai chế độ:
* **Web UI**: quản lý tài sản, chạy quét, xử lý phát hiện, tạo báo cáo, quản lý thành viên, cấu hình email và xem thông tin giấy phép.
* **CLI**: tự động hóa, chạy theo lịch, tích hợp CI/CD, chuẩn bị môi trường hạn chế Internet và xuất báo cáo bằng script.
Mỗi bản cài được xem như một không gian làm việc. Dữ liệu của không gian làm việc được lưu trong thư mục dữ liệu đã cấu hình, bao gồm thành viên, tài sản, lượt quét, phát hiện, báo cáo, cấu hình email và trạng thái giấy phép.
# Báo cáo
Source: https://docs.cystack.net/vi/vulnscan/reports
Xuất báo cáo CSV, JSON và PDF từ Web UI và CLI
Báo cáo CyStack VulnScan chuyển kết quả quét thành tài liệu có thể chia sẻ cho xử lý kỹ thuật, quản trị và kiểm toán. VulnScan hỗ trợ ba định dạng: **CSV**, **JSON** và **PDF**.
![Xuất báo cáo]()
## Chọn định dạng
| Định dạng | Phù hợp với | Ghi chú |
| --------- | ---------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------- |
| CSV | Theo dõi khắc phục, bảng tính, nhập vào hệ thống ticket, sổ đăng ký lỗ hổng. | Dữ liệu dạng hàng cho phát hiện, tài sản, mức độ nghiêm trọng, điểm rủi ro và hướng dẫn khắc phục. |
| JSON | SIEM, SOAR, kho dữ liệu, tích hợp tùy chỉnh, xử lý bằng chứng tự động. | Giữ cấu trúc lượt quét, tài sản, phát hiện, dữ liệu tình báo và bằng chứng. |
| PDF | Tóm tắt điều hành, báo cáo cho khách hàng, hồ sơ kiểm toán, rà soát quản lý. | Tạo bằng tác vụ nền với lượt quét lớn. |
Các định dạng khác không được hỗ trợ để giữ chất lượng báo cáo, mapping trường dữ liệu và hành vi tự động hóa nhất quán.
## Xuất từ Web UI
1. Mở **Lượt quét** và chọn lượt quét đã hoàn tất, hoặc mở **Báo cáo**.
2. Chọn **Xuất báo cáo**.
3. Chọn `CSV`, `JSON` hoặc `PDF`.
4. Chọn ngôn ngữ báo cáo nếu có.
5. Xác nhận xuất báo cáo.
CSV và JSON được tạo để tải xuống nhanh. PDF chạy bằng tác vụ nền vì quá trình render có thể lâu với lượt quét lớn.
## Tác vụ nền cho PDF
Việc tạo PDF không phụ thuộc vào tab trình duyệt.
Khi người dùng xuất PDF:
1. VulnScan tạo tác vụ báo cáo trong cơ sở dữ liệu.
2. Nút xuất PDF bị khóa cho báo cáo đó trong khi tác vụ chạy.
3. Người dùng có thể rời trang hoặc đóng trình duyệt.
4. Khi PDF sẵn sàng, VulnScan đánh dấu tác vụ hoàn tất.
5. Nếu email đã cấu hình, người tạo báo cáo nhận email thông báo.
6. Người dùng quay lại Web UI để tải file. Một số bản triển khai có thể đính kèm PDF trong email nếu chính sách dung lượng cho phép.
Mô hình này tránh mất báo cáo khi phiên trình duyệt kết thúc.
## Nội dung báo cáo
Tùy lượt quét và định dạng, báo cáo thường bao gồm:
* Metadata không gian làm việc và lượt quét.
* Mục tiêu, tài sản và nguồn quét.
* Thời gian bắt đầu, kết thúc và thời lượng.
* Tóm tắt mức độ nghiêm trọng và phân bố phát hiện.
* Phát hiện với tiêu đề, mức độ nghiêm trọng, điểm rủi ro, điểm tin cậy, vị trí bị ảnh hưởng và trạng thái.
* CVE, CWE, CVSS, EPSS, CISA KEV, OWASP Top 10 và OWASP WSTG nếu có.
* Bằng chứng và hướng dẫn khắc phục.
* Tham chiếu.
* Ngữ cảnh phát hiện tài sản như công nghệ, dịch vụ, TLS và WAF/CDN khi liên quan.
## Xuất từ CLI
Tạo JSON và CSV:
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format json,csv --lang en
```
Tạo báo cáo tiếng Việt nếu hỗ trợ:
```bash theme={null}
vulnscan scan --target https://app.acme.com --output ./reports --format json,csv,pdf --lang vi
```
Quét mục tiêu từ file và bao gồm tên miền con:
```bash theme={null}
vulnscan scan --target-file ./targets.txt --include-subdomains --output ./reports --format json,csv
```
## Khuyến nghị sử dụng báo cáo
| Người nhận | Định dạng khuyến nghị | Lý do |
| ---------------------------- | --------------------- | ---------------------------------------------------------------- |
| Đội kỹ thuật | CSV | Dễ sắp xếp, lọc, gán người xử lý và nhập vào hệ thống công việc. |
| Tự động hóa bảo mật | JSON | Giữ bằng chứng và dữ liệu tình báo dạng có cấu trúc. |
| Ban lãnh đạo hoặc khách hàng | PDF | Dễ đọc, có tóm tắt, tác động và hướng dẫn khắc phục. |
| Kiểm toán/tuân thủ | PDF + CSV | PDF cho phần trình bày, CSV cho bằng chứng chi tiết. |
## Checklist trước khi gửi báo cáo
* Mục tiêu và nguồn quét đúng.
* Phát hiện Critical/High đã được rà soát để tránh nhầm phạm vi hoặc đội phụ trách.
* Đã dùng thông tin xác thực nếu ứng dụng cần đăng nhập.
* Ngôn ngữ báo cáo đúng.
* Cảnh báo nhầm hoặc rủi ro được chấp nhận đã có ghi chú.
* Email hoạt động nếu PDF được tạo bất đồng bộ.
# Điểm rủi ro
Source: https://docs.cystack.net/vi/vulnscan/risk-score
Điểm rủi ro của workspace nghĩa là gì, điều gì ảnh hưởng đến nó, và cách hạ điểm
**Điểm rủi ro** là một con số từ **0 đến 100** tóm tắt mức độ phơi nhiễm của workspace ở thời điểm hiện tại. **Điểm càng cao = càng rủi ro.** Nó hiển thị trên dashboard dưới dạng vòng tròn có màu kèm mức an toàn, và tự cập nhật khi các lượt quét hoàn tất hoặc khi bạn xử lý lỗ hổng.
Điểm này trả lời nhanh một câu hỏi: *hôm nay mình cần lo lắng đến mức nào?* Thay vì chỉ đếm số lỗ hổng, nó cân nhắc mức độ nghiêm trọng, việc lỗ hổng có đang bị khai thác thực tế hay không, các tài sản có được bảo vệ không, và thông tin đăng nhập của bạn có đang bị rò rỉ ngoài kia hay không.
## Các mức an toàn
| Điểm | Mức | Ý nghĩa |
| ------------ | ---------------- | --------------------------------------------------------------- |
| **0 – 19** | **An toàn** | Không có phơi nhiễm đáng kể. Tiếp tục quét để duy trì. |
| **20 – 39** | **Cần theo dõi** | Có vài lỗ hổng đang mở — nên rà soát và xử lý khi có thể. |
| **40 – 69** | **Rủi ro cao** | Nhiều lỗ hổng nghiêm trọng trên các tài sản. Ưu tiên khắc phục. |
| **70 – 100** | **Nguy hiểm** | Phơi nhiễm nặng, nhiều khả năng bị khai thác. Xử lý ngay. |
Di chuột vào điểm trên dashboard để xem chi tiết các yếu tố bên dưới, giúp bạn hiểu *vì sao* điểm lại như vậy.
## Điều gì ảnh hưởng đến điểm
**Lỗ hổng đang mở — nền tảng.** Càng nhiều lỗ hổng đang mở và càng nghiêm trọng thì điểm càng cao. Lỗ hổng mức *nghiêm trọng* và *cao* tác động mạnh hơn nhiều so với *trung bình* và *thấp*. Khi một lỗ hổng được xử lý hoặc loại bỏ, nó ngừng được tính.
**Lỗ hổng đang bị khai thác làm điểm tăng mạnh.** Lỗ hổng nằm trong danh mục CISA *Known Exploited Vulnerabilities* (KEV) đang bị dùng trong các cuộc tấn công thực tế, nên nặng hơn nhiều so với chỉ xét mức độ nghiêm trọng.
**Có WAF giúp giảm điểm.** Các tài sản web nằm sau Tường lửa Ứng dụng Web được che chắn một phần nên làm giảm điểm. **CyStack WAF** và các **WAF bên thứ ba uy tín** (Cloudflare, Akamai, Imperva, AWS WAF, …) được tính ngang nhau.
**Truy cập đã xác nhận làm điểm tăng thêm.** Một số phát hiện không phải *suy đoán* từ số phiên bản — mà là truy cập trực tiếp đã được *chứng minh*, ví dụ một dịch vụ truy cập được bằng **mật khẩu mặc định** hoặc **không cần xác thực**. Những trường hợp này làm điểm tăng thêm.
**Rò rỉ dữ liệu đang mở làm điểm tăng.** Nếu một domain bạn giám sát có thông tin đăng nhập bị rò rỉ vẫn đang lưu hành (qua **Giám sát rò rỉ dữ liệu**), đó là phơi nhiễm trực tiếp bất kể tình trạng lỗ hổng, nên làm điểm tăng.
**Quy tắc "không thể hiện An toàn".** Nếu bạn có *bất kỳ* lỗ hổng đang bị khai thác, một dịch vụ mở với mật khẩu mặc định/không xác thực, hoặc một rò rỉ dữ liệu chưa xử lý, điểm bị giữ ở mức **Rủi ro cao** trở lên. Một workspace đang có lỗ hổng bị khai thác hoặc mật khẩu bị lộ ngoài kia thì không bao giờ nên hiển thị "An toàn".
## Cách hạ điểm
* Khắc phục lỗ hổng **nghiêm trọng** và **cao** trước — chúng có trọng số lớn nhất.
* Xử lý ngay những gì bị gắn nhãn **KEV**, **truy cập đã xác nhận**, hoặc **rò rỉ dữ liệu đang mở**; chúng giữ điểm không xuống dưới mức Rủi ro cao.
* Đưa các tài sản web public ra sau **WAF** (CyStack hoặc bên thứ ba) để được hưởng phần giảm điểm.
* Đổi mật khẩu và xử lý các tài khoản bị lộ để chúng không còn bị tính.
* Đánh dấu các **dương tính giả** thực sự là đã xử lý để chúng không khiến điểm cao hơn thực tế.
Điểm được tính hoàn toàn từ dữ liệu trong workspace của bạn và làm mới ngay sau khi có kết quả quét mới — không cần cấu hình gì.
# Cấu hình lượt quét
Source: https://docs.cystack.net/vi/vulnscan/scan-configuration
Lập kế hoạch phạm vi, xác thực, tùy chọn quét, lịch quét và đầu ra trước khi chạy VulnScan
Một lượt quét tốt bắt đầu trước khi bấm **Bắt đầu quét**. Trang này hướng dẫn cách chọn phạm vi, chuẩn bị xác thực, hiểu các tùy chọn quét và tránh những lỗi cấu hình thường gặp.
## Trước khi quét
Xác nhận các mục sau trước khi quét mục tiêu thuộc môi trường vận hành chính:
| Hạng mục | Cần xác nhận |
| ----------------- | -------------------------------------------------------------------------------------- |
| Quyền kiểm thử | Tổ chức sở hữu mục tiêu hoặc có quyền kiểm thử rõ ràng bằng văn bản. |
| Phạm vi giấy phép | Mục tiêu nằm trong giấy phép VulnScan đang hoạt động. |
| Đường mạng | Máy chạy VulnScan truy cập được mục tiêu từ vị trí mạng dự kiến. |
| Khả năng chịu tải | Chủ sở hữu mục tiêu hiểu rằng kiểm thử bảo mật có thể tạo lưu lượng, log và cảnh báo. |
| Xác thực | Tài khoản kiểm thử, cookie, token, header HTTP hoặc Basic Auth đã sẵn sàng nếu cần. |
| Thông báo | Email đã cấu hình nếu đội vận hành cần nhận thông báo quét xong hoặc báo cáo sẵn sàng. |
| Báo cáo | Đội vận hành biết cần CSV, JSON, PDF hoặc cả ba. |
## Chọn đúng phạm vi
| Phạm vi | Khi nào dùng | Cần chú ý |
| ------------- | --------------------------------------------------------------------- | ----------------------------------------------------------------------- |
| Một URL | Cần kiểm tra tập trung một điểm vào ứng dụng. | Có thể bỏ sót ứng dụng liên quan ở tên miền con khác. |
| Tên miền gốc | Cần phát hiện trên tên miền doanh nghiệp như `acme.com`. | Nên xem lại tên miền con đã phát hiện trước khi quét rộng. |
| Tên miền con | Cần kiểm tra lặp lại một ứng dụng như `app.acme.com`. | Dùng xác thực nếu phần lớn chức năng nằm sau đăng nhập. |
| Địa chỉ IP | Cần kiểm tra dịch vụ mạng và thành phần lộ ra ngoài trên một máy chủ. | Ứng dụng web dùng virtual host có thể cần quét bằng tên máy chủ. |
| Dải CIDR | Cần lập danh sách và kiểm tra dịch vụ trên một dải mạng sở hữu. | Nên bắt đầu với dải nhỏ và xác nhận giới hạn tốc độ. |
| File mục tiêu | Cần tự động hóa CLI lặp lại cho nhiều mục tiêu đã biết. | Quản lý file bằng quy trình thay đổi và loại bỏ mục tiêu đã ngừng dùng. |
## Quy trình trên Web UI
1. Mở **Tài sản**.
2. Thêm hoặc chọn tài sản cần đánh giá.
3. Xem trang chi tiết tài sản để kiểm tra tín hiệu phát hiện.
4. Chọn **Bắt đầu quét**.
5. Xác nhận tên lượt quét và danh sách mục tiêu.
6. Chỉ bật phạm vi tên miền con khi tên miền và các host phát hiện được nằm trong phạm vi cho phép.
7. Thêm ngữ cảnh xác thực nếu ứng dụng yêu cầu đăng nhập.
8. Bắt đầu quét và theo dõi tiến trình trên trang chi tiết lượt quét.
![Bắt đầu quét]()
## Tùy chọn xác thực
| Tùy chọn | Khi nào dùng | Ví dụ |
| ---------------- | ---------------------------------------------------------------------------------------------------------- | -------------------------------- |
| Cookie | Ứng dụng web sau đăng nhập. | `session=REDACTED; tenant=acme` |
| Header tùy chỉnh | API token, bearer token, định tuyến theo tenant, cổng môi trường thử nghiệm hoặc header định tuyến nội bộ. | `Authorization: Bearer REDACTED` |
| Basic Auth | Trang thử nghiệm hoặc ứng dụng nội bộ dùng HTTP Basic Authentication. | `scanner:REDACTED` |
Xem hướng dẫn chi tiết tại [Quét có xác thực](/vi/vulnscan/authenticated-scanning).
## Lệnh CLI tương đương
Dùng CLI khi lượt quét cần chạy từ tự động hóa, tác vụ định kỳ, CI/CD hoặc quy trình lặp lại của đội bảo mật.
| Mục tiêu | Mẫu lệnh |
| -------------------- | ---------------------------------------------------------------------------------------------------------------------- |
| Quét một ứng dụng | `vulnscan scan --target https://app.acme.com --output ./reports --format json,csv` |
| Quét nhiều mục tiêu | `vulnscan scan --target https://app.acme.com --target https://api.acme.com --output ./reports --format json,csv` |
| Quét từ file | `vulnscan scan --target-file ./targets.txt --output ./reports --format json,csv` |
| Bao gồm tên miền con | `vulnscan scan --target acme.com --include-subdomains --output ./reports --format json,csv` |
| Quét bằng cookie | `vulnscan scan --target https://portal.acme.com --cookie "session=REDACTED" --output ./reports --format json,csv` |
| Quét bằng header | `vulnscan scan --target https://api.acme.com -H "Authorization: Bearer REDACTED" --output ./reports --format json,csv` |
| Quét bằng Basic Auth | `vulnscan scan --target https://staging.acme.com --basic-auth "scanner:REDACTED" --output ./reports --format json,csv` |
| Xuất PDF tiếng Việt | `vulnscan scan --target https://app.acme.com --output ./reports --format pdf --lang vi` |
Xem đầy đủ tại [Tham chiếu CLI](/vi/vulnscan/cli-reference).
## Đầu ra của lượt quét
VulnScan lưu các lượt quét chuẩn từ Web UI, CLI và lịch quét vào cơ sở dữ liệu của không gian làm việc. Nguồn quét vẫn được hiển thị để phục vụ kiểm tra và xử lý sự cố.
Các định dạng xuất báo cáo được hỗ trợ:
| Định dạng | Dùng cho |
| --------- | ----------------------------------------------------------------------------- |
| CSV | Theo dõi khắc phục, bảng tính, nhập ticket và sổ đăng ký lỗ hổng. |
| JSON | SIEM, SOAR, tích hợp tùy chỉnh, xử lý bằng chứng và luồng dữ liệu. |
| PDF | Tóm tắt điều hành, báo cáo gửi khách hàng, hồ sơ kiểm tra và rà soát quản lý. |
PDF chạy dưới dạng tác vụ nền. Đóng trình duyệt không làm hủy quá trình xuất.
## Chiến lược lập lịch
Dùng lịch quét định kỳ khi mục tiêu đủ quan trọng để cần theo dõi liên tục.
Gợi ý ban đầu:
| Loại tài sản | Tần suất đề xuất |
| ----------------------------------------------- | ------------------------------------------------------- |
| Ứng dụng vận hành chính công khai trên Internet | Hằng tuần hoặc sau thay đổi lớn. |
| Cổng khách hàng quan trọng | Hằng tuần và quét thủ công sau thay đổi rủi ro cao. |
| Ứng dụng thử nghiệm trong CI/CD | Theo nhu cầu trong quá trình xác nhận phát hành. |
| Phát hiện tài sản theo tên miền gốc | Hằng tuần hoặc hằng tháng, tùy tốc độ thay đổi tài sản. |
| Dải CIDR công khai nhỏ | Hằng tháng hoặc sau thay đổi hạ tầng. |
Tránh quét phạm vi lớn trong giờ cao điểm nếu chủ sở hữu mục tiêu chưa phê duyệt.
## Checklist cấu hình
Trước khi bấm **Bắt đầu quét**, hãy kiểm tra:
* Mục tiêu quét đúng tên máy chủ, URL, IP hoặc CIDR dự kiến.
* Mục tiêu nằm trong phạm vi giấy phép đang hoạt động.
* Trang chi tiết tài sản hiển thị đúng ngữ cảnh phát hiện.
* Ứng dụng cần đăng nhập có phiên hoặc token kiểm thử hợp lệ.
* Nguồn quét và yêu cầu đầu ra đã rõ.
* Đội vận hành biết ai xử lý phát hiện Critical và High.
* Thông báo xuất PDF đã cấu hình nếu bên liên quan cần tải báo cáo sau.
## Lỗi cấu hình thường gặp
| Lỗi | Ảnh hưởng | Cách xử lý |
| ------------------------------------------ | ------------------------------------------------------------ | --------------------------------------------------------------- |
| Chỉ quét IP của ứng dụng dùng virtual host | Bộ quét có thể bỏ sót nội dung web theo tên máy chủ. | Quét tên máy chủ hoặc URL thật. |
| Dùng cookie đã hết hạn | Không kiểm tra được trang sau đăng nhập. | Tạo lại phiên trước khi quét. |
| Quét rộng tên miền gốc ngay từ đầu | Quá nhiều dữ liệu trước khi đội phụ trách hiểu phạm vi. | Bắt đầu bằng phát hiện tài sản, rà soát danh sách, rồi mở rộng. |
| Bỏ qua tín hiệu WAF/CDN | Phát hiện có thể phản ánh hành vi ở lớp biên thay vì origin. | Xem ngữ cảnh WAF/CDN trong trang chi tiết tài sản. |
| Chỉ xuất PDF cho đội kỹ thuật | Đội kỹ thuật thiếu trường dữ liệu có cấu trúc. | Xuất CSV hoặc JSON cùng với PDF. |
# Lượt quét
Source: https://docs.cystack.net/vi/vulnscan/scans
Cấu hình, chạy, theo dõi và đọc kết quả quét trong CyStack VulnScan
Một lượt quét biến ngữ cảnh tài sản thành các phát hiện có thể xử lý. CyStack VulnScan kết hợp phát hiện tài sản, nhận diện dịch vụ, kiểm tra chủ động, đối chiếu CVE, bổ sung dữ liệu, gộp kết quả và chấm điểm rủi ro trong cùng một quy trình.
Để lập kế hoạch phạm vi, xác thực, lịch quét và định dạng đầu ra trước khi chạy, xem [Cấu hình lượt quét](/vi/vulnscan/scan-configuration).
## Trước khi quét
Kiểm tra:
* Mục tiêu nằm trong phạm vi giấy phép.
* Trang chi tiết tài sản hiển thị đúng máy chủ, dịch vụ, WAF/CDN, TLS và công nghệ.
* Chủ sở hữu tài sản đã phê duyệt thời gian quét.
* Thông tin xác thực đã chuẩn bị nếu ứng dụng cần đăng nhập.
* Email đã cấu hình nếu đội vận hành cần thông báo quét xong.
* Mục tiêu có thể nhận lưu lượng kiểm thử tự động theo chính sách của tổ chức.
## Bắt đầu quét từ Web UI
1. Mở **Tài sản**.
2. Chọn tài sản cần đánh giá.
3. Xem lại kết quả phát hiện tài sản trên trang chi tiết.
4. Chọn **Bắt đầu quét**.
5. Kiểm tra phạm vi mục tiêu và tùy chọn.
6. Thêm thông tin xác thực nếu cần.
7. Gửi lượt quét.
![Bắt đầu quét]()
## Thông tin xác thực
Quét có xác thực giúp tăng độ phủ với ứng dụng không hiển thị chức năng quan trọng cho người dùng chưa đăng nhập.
| Thông tin | Khi nào dùng |
| ---------------- | ------------------------------------------------------------------------------------------------------ |
| Cookie | Quét ứng dụng web với phiên đăng nhập đã chuẩn bị. |
| Header tùy chỉnh | Truyền API key, bearer token, mã tenant, header truy cập môi trường thử nghiệm hoặc header định tuyến. |
| HTTP Basic Auth | Truy cập site bảo vệ bằng HTTP Basic Authentication. |
Dùng tài khoản kiểm thử có quyền tối thiểu đủ để đánh giá. Thu hồi hoặc đổi token sau bài kiểm thử nhạy cảm nếu chính sách yêu cầu.
## Vòng đời lượt quét
| Trạng thái | Ý nghĩa |
| ---------- | -------------------------------------------------------------------------------------------------- |
| Đang chờ | Yêu cầu quét đã qua bước kiểm tra và đang chờ tiến trình xử lý. |
| Đang chạy | Phát hiện tài sản, nhận diện công nghệ, kiểm tra lỗ hổng, bổ sung dữ liệu và lưu trữ đang diễn ra. |
| Hoàn tất | Lượt quét đã xong và phát hiện sẵn sàng để xem hoặc xuất báo cáo. |
| Thất bại | Lượt quét không hoàn tất. Cần xem lỗi và log. |
| Đã hủy | Lượt quét bị dừng trước khi hoàn tất. |
## Chi tiết lượt quét
Trang chi tiết lượt quét là nơi theo dõi một lượt quét cụ thể.
![Chi tiết lượt quét]()
Dùng để xem:
* Nguồn quét: Web UI, CLI hoặc lịch quét.
* Thời gian bắt đầu, kết thúc, thời lượng và trạng thái.
* Mục tiêu và tài sản liên quan.
* Máy chủ, dịch vụ, công nghệ và URL phát hiện được.
* Số phát hiện theo mức độ nghiêm trọng.
* Phát hiện Critical/High cần xem ngay.
* Hành động xuất báo cáo.
## Trong một lượt quét có gì
1. **Kiểm tra phạm vi**: xác nhận mục tiêu thuộc phạm vi được phép quét.
2. **Phát hiện tài sản**: tìm máy chủ đang hoạt động, tên miền con, cổng, dịch vụ web, TLS, WAF/CDN và dữ liệu mô tả.
3. **Nhận diện công nghệ**: nhận diện sản phẩm, phiên bản, framework, thành phần, banner và CPE.
4. **Kiểm tra lỗ hổng**: chạy kiểm tra phù hợp, kiểm tra dịch vụ không yêu cầu xác thực và đối chiếu CVE.
5. **Bổ sung dữ liệu**: thêm CVSS, EPSS, CISA KEV, CWE, OWASP Top 10, OWASP WSTG, hướng dẫn khắc phục và tham chiếu.
6. **Gộp kết quả**: gộp phát hiện trùng và giữ bằng chứng mạnh nhất.
7. **Chấm điểm rủi ro**: tính điểm 0-100 theo mức độ nghiêm trọng, khả năng khai thác, độ tin cậy và bằng chứng xác minh.
8. **Lưu trữ**: ghi dữ liệu mô tả lượt quét, phát hiện, tài sản và báo cáo vào cơ sở dữ liệu của không gian làm việc.
## Nguồn quét Web UI, CLI và lịch quét
Các lượt quét chuẩn từ Web UI, CLI và lịch quét được ghi vào cùng cơ sở dữ liệu. Nguồn quét được lưu để người dùng biết kết quả đến từ đâu:
* `web`: người dùng chạy quét từ Web UI.
* `cli`: người dùng hoặc hệ thống tự động chạy từ CLI.
* `scheduled`: lịch quét định kỳ tạo lượt quét.
Cơ chế này giúp Web UI, báo cáo và tự động hóa dùng cùng một dữ liệu.
## Tăng độ chính xác
* Cung cấp thông tin xác thực cho ứng dụng cần đăng nhập.
* Quét bằng tên máy chủ chính thức thay vì chỉ IP với ứng dụng dùng virtual host.
* Cập nhật dữ liệu tình báo lỗ hổng.
* Quét phạm vi nhỏ với ứng dụng phức tạp trước khi mở rộng toàn bộ tên miền con.
* Quét lại sau khi khắc phục để xác minh kết quả.
* Xem lại thủ công các phát hiện có điểm tin cậy thấp hoặc bất thường.
## Lượt quét lớn
Với tên miền hoặc CIDR lớn:
* Bắt đầu bằng phát hiện tài sản và xem lại danh sách.
* Tách ứng dụng quan trọng thành tài sản riêng.
* Dùng nhãn để gom theo đội phụ trách.
* Lập lịch quét ngoài giờ cao điểm.
* Để PDF chạy bằng tác vụ nền.
* Dùng CSV/JSON cho tích hợp và xử lý số lượng lớn.
# Chuẩn bảo mật và điểm số
Source: https://docs.cystack.net/vi/vulnscan/security-standards
Hiểu CVE, CWE, CVSS, EPSS, CISA KEV, OWASP Top 10, OWASP WSTG và mức độ nghiêm trọng trong VulnScan
CyStack VulnScan bổ sung thông tin cho phát hiện bằng các mã định danh lỗ hổng, nhóm điểm yếu, hệ thống chấm điểm, tín hiệu khai thác thực tế và mapping bảo mật ứng dụng. Các trường này giúp đội bảo mật, đội phát triển, đội hạ tầng và quản lý dùng cùng một ngôn ngữ khi phân loại, giao việc, khắc phục và báo cáo lỗ hổng.
Không nên dùng một trường riêng lẻ để quyết định toàn bộ mức ưu tiên. Thông thường, cần kết hợp mức độ nghiêm trọng kỹ thuật, khả năng bị khai thác, bằng chứng khai thác thực tế, mức độ lộ ra ngoài, bối cảnh nghiệp vụ, độ tin cậy và chi phí khắc phục.
## Tóm tắt nhanh
| Trường | Trả lời câu hỏi | Ví dụ | Dùng để làm gì |
| ------------------- | ------------------------------------------------------------- | ---------------------------- | ----------------------------------------------------------- |
| Mức độ nghiêm trọng | Tác động kỹ thuật nghiêm trọng đến đâu? | Critical, High, Medium | Lọc nhanh, sắp xếp và xem bảng điều khiển. |
| CVE | Đây là lỗ hổng công khai nào? | `CVE-2024-3094` | Tra advisory, bản vá, dữ liệu tình báo và báo cáo. |
| CWE | Lỗi thuộc nhóm điểm yếu nào? | `CWE-89` SQL Injection | Phân tích nguyên nhân gốc, sửa code và phòng ngừa lặp lại. |
| CVSS | Mức độ nghiêm trọng theo thang điểm chuẩn là bao nhiêu? | `9.8 Critical` | So sánh mức độ kỹ thuật giữa công cụ và nhà cung cấp. |
| EPSS | Lỗ hổng này có khả năng bị khai thác trong thực tế sớm không? | `0.87`, percentile 97 | Ưu tiên các lỗ hổng có khả năng bị attacker nhắm tới. |
| CISA KEV | Đã có bằng chứng bị khai thác thực tế chưa? | Có trong danh mục / Không có | Ưu tiên khẩn cấp và báo cáo leo thang. |
| Điểm rủi ro | Nên xử lý cái nào trước? | `92.7` (0–100) | Điểm tổng hợp để xếp hạng ưu tiên, kết hợp nhiều tín hiệu. |
| Mức ưu tiên | Cần xử lý nhanh đến đâu? | Khẩn cấp (24h), Cao (7 ngày) | Đặt mốc và SLA khắc phục. |
| Độ tin cậy | Phát hiện chắc chắn đến đâu? | `0.90` (90%) | Cân nhắc phát hiện bằng chứng yếu vs đã xác nhận. |
| OWASP Top 10 | Thuộc nhóm rủi ro ứng dụng web nào? | A03 Injection | Nhận thức bảo mật, báo cáo và nhóm rủi ro cấp chương trình. |
| OWASP WSTG | Liên quan tới vùng kiểm thử nào? | WSTG-INPV-05 | Xác minh thủ công và lập kế hoạch kiểm thử. |
## Mức độ nghiêm trọng
Mức độ nghiêm trọng là cách VulnScan phân loại tác động kỹ thuật và khả năng khai thác của phát hiện. Trường này giúp người dùng lọc và sắp xếp phát hiện nhanh.
| Mức | Ý nghĩa | Cách xử lý thường gặp |
| -------- | ------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------ |
| Critical | Lỗi nghiêm trọng, thường có thể dẫn tới chiếm quyền hệ thống, lộ dữ liệu lớn, vượt xác thực hoặc thực thi mã từ xa. | Xem ngay và giao người phụ trách. |
| High | Điểm yếu tác động cao hoặc thành phần có lỗ hổng lộ ra ngoài, có khả năng quan trọng trong môi trường thực tế. | Ưu tiên trong chu kỳ khắc phục gần nhất. |
| Medium | Điểm yếu có ý nghĩa nhưng thường cần thêm điều kiện, ngữ cảnh hoặc chuỗi khai thác. | Theo dõi và xử lý theo rủi ro/đội phụ trách. |
| Low | Vấn đề tác động thấp hoặc điểm cần hardening. | Sửa trong kế hoạch bảo trì hoặc vệ sinh bảo mật. |
| Info | Ngữ cảnh bảo mật hữu ích, chưa hẳn là lỗ hổng xác nhận. | Dùng để điều tra và hiểu phạm vi. |
Mức độ nghiêm trọng không đồng nghĩa với rủi ro nghiệp vụ. Một lỗi High trên cổng khách hàng public có thể khẩn cấp hơn một lỗi Critical trên máy lab bị cô lập.
## CVE
**CVE** là viết tắt của **Common Vulnerabilities and Exposures**. Đây là mã định danh phổ biến toàn cầu cho các lỗ hổng bảo mật đã được công bố công khai.
CVE giúp các bên cùng gọi đúng một lỗ hổng bằng một tên ổn định. Ví dụ advisory của vendor, ghi chú bản vá và phát hiện của VulnScan đều có thể cùng trỏ tới mã `CVE-YYYY-NNNN`.
Cách đọc:
* CVE định danh một lỗ hổng đã công bố, không phải nhóm điểm yếu.
* Có CVE không tự động chứng minh hệ thống cụ thể của bạn khai thác được.
* Một CVE có thể ảnh hưởng tới nhiều sản phẩm, phiên bản, nền tảng hoặc cách triển khai khác nhau.
* Một CVE có thể được công bố trước khi điểm số, bản vá hoặc dữ liệu khai thác hoàn thiện.
VulnScan dùng CVE để:
* Đối chiếu sản phẩm/phiên bản phát hiện được với lỗ hổng đã biết khi có đủ bằng chứng cụ thể.
* Bổ sung tham chiếu, điểm nghiêm trọng, tín hiệu khai thác và ngữ cảnh khắc phục khi có.
* Hạn chế các kết quả quá chung chung nếu bằng chứng sản phẩm/phiên bản chưa đủ mạnh.
## CWE
**CWE** là viết tắt của **Common Weakness Enumeration**. CWE phân loại loại điểm yếu gốc có thể dẫn tới lỗ hổng.
CWE nói về nguyên nhân hoặc nhóm điểm yếu. Ví dụ SQL injection thường được mapping tới `CWE-89`; path traversal thường được mapping tới `CWE-22`.
Cách đọc:
* CWE mô tả loại lỗi thiết kế, kiến trúc hoặc triển khai.
* CWE không phải một lỗ hổng cụ thể.
* Nhiều CVE khác nhau có thể cùng thuộc một CWE.
* Một phát hiện không có CVE vẫn có thể có CWE, vì đó có thể là lỗi ứng dụng riêng chứ không phải lỗ hổng đã biết của sản phẩm phổ biến.
VulnScan dùng CWE để:
* Nhóm phát hiện theo loại điểm yếu.
* Giúp đội kỹ thuật hiểu vì sao lỗi tồn tại.
* Hỗ trợ mapping OWASP Top 10 và báo cáo.
* Giúp tổ chức nhận diện các vấn đề phát triển an toàn lặp lại.
## CVSS
**CVSS** là viết tắt của **Common Vulnerability Scoring System**. Đây là hệ thống chuẩn để mô tả và chấm điểm mức độ nghiêm trọng kỹ thuật của lỗ hổng, thường theo thang 0.0 đến 10.0.
Cách đọc:
| Khoảng điểm | Mức thường dùng |
| ----------- | --------------- |
| 9.0-10.0 | Critical |
| 7.0-8.9 | High |
| 4.0-6.9 | Medium |
| 0.1-3.9 | Low |
| 0.0 | None |
CVSS có thể đi kèm vector như `CVSS:3.1/AV:N/AC:L/...`. Vector giải thích vì sao điểm đó được tính, bao gồm khả năng truy cập qua mạng, độ phức tạp tấn công, quyền cần có, tương tác người dùng và tác động.
VulnScan dùng CVSS để:
* Hiển thị điểm CVSS khi dữ liệu tình báo lỗ hổng có sẵn.
* Dùng CVSS như một tín hiệu trong mức độ nghiêm trọng và ưu tiên rủi ro.
* Tách CVSS khỏi EPSS và KEV vì tác động kỹ thuật khác với khả năng bị khai thác trong thực tế.
Dễ hiểu nhầm:
* CVSS không phải xác suất bị khai thác.
* CVSS không tự động phản ánh bối cảnh nghiệp vụ riêng của tổ chức nếu không có điểm môi trường.
* Một lỗ hổng CVSS thấp hơn vẫn có thể khẩn cấp nếu đang bị khai thác, lộ Internet hoặc dễ kết hợp với lỗi khác.
## EPSS
**EPSS** là viết tắt của **Exploit Prediction Scoring System**. EPSS ước tính xác suất hoạt động khai thác một lỗ hổng sẽ được quan sát trong thực tế trong 30 ngày tới.
Cách đọc:
* Điểm EPSS thường hiển thị từ 0 đến 1 hoặc dạng phần trăm.
* Điểm càng cao nghĩa là khả năng bị khai thác trong thực tế càng lớn.
* Percentile cho biết CVE này xếp cao hơn bao nhiêu so với các CVE khác đã được chấm.
* EPSS thay đổi theo thời gian khi tín hiệu khai thác và dữ liệu lỗ hổng thay đổi.
VulnScan dùng EPSS để:
* Phân biệt lỗi "rất nghiêm trọng nhưng hiếm bị khai thác" với lỗi "có khả năng bị khai thác sớm".
* Tăng mức ưu tiên khi phát hiện vừa có tác động đáng kể vừa có xác suất khai thác cao.
* Hỗ trợ sắp xếp khắc phục khi đội vận hành không thể sửa tất cả cùng lúc.
Dễ hiểu nhầm:
* EPSS không đo tác động kỹ thuật.
* EPSS không biết tài sản cụ thể của bạn có public hay quan trọng hay không.
* EPSS bổ sung cho CVSS, không thay thế CVSS.
## CISA KEV
**CISA KEV** là **Known Exploited Vulnerabilities Catalog** do CISA duy trì.
Một CVE xuất hiện trong KEV khi có bằng chứng rằng lỗ hổng đó đã bị khai thác. Đây là một trong những tín hiệu mạnh nhất để xử lý khẩn cấp, đặc biệt khi tài sản bị ảnh hưởng lộ ra ngoài hoặc quan trọng.
VulnScan dùng CISA KEV để:
* Đánh dấu phát hiện có CVE nằm trong danh mục KEV.
* Dùng KEV như một tín hiệu ưu tiên trong điểm rủi ro.
* Giúp đội bảo mật leo thang các lỗ hổng đã được attacker sử dụng trong thực tế.
Dễ hiểu nhầm:
* Không nằm trong KEV không có nghĩa là an toàn.
* KEV phản ánh bằng chứng khai thác đã biết, không bao phủ mọi khả năng khai thác.
* KEV cần được kết hợp với mức độ lộ ra ngoài, độ quan trọng tài sản, kiểm soát bù trừ và khả năng vá.
## Public PoC
**Public PoC** cho biết đã tồn tại mã khai thác / proof-of-concept công khai cho lỗ hổng (ví dụ trong các exploit database, advisory bảo mật, hoặc mẫu quét).
Cách đọc:
* Có PoC công khai làm giảm kỹ năng và công sức attacker cần bỏ ra, nên làm tăng mức khẩn cấp.
* "Không có PoC công khai" không chứng minh là an toàn — vẫn có thể tồn tại exploit riêng tư hoặc chưa công bố.
* VulnScan dùng đây như một tín hiệu ưu tiên (cộng điểm vào điểm rủi ro) cùng với KEV, EPSS và CVSS.
## Template Verification
**Template verification** (xác minh theo mẫu) cho biết có mẫu quét phát hiện khớp với phát hiện này hay không — tức xác nhận chủ động thay vì suy ra từ phiên bản hay banner.
Cách đọc:
* "Có" nghĩa là phát hiện đã được xác nhận bằng kiểm tra chủ động, làm tăng độ tin cậy.
* "Không" nghĩa là phát hiện được suy ra (ví dụ từ khớp sản phẩm/phiên bản) và có thể cần xác minh thủ công.
* Xác minh theo mẫu nói về độ chắc chắn của phát hiện, không phải mức nghiêm trọng — một lỗi Thấp đã xác minh vẫn là Thấp.
## Điểm rủi ro
**Điểm rủi ro** là điểm ưu tiên tổng hợp từ 0 đến 100 mà VulnScan tính cho mỗi phát hiện, trả lời câu hỏi "nên xử lý cái nào trước". Khác với CVSS (chỉ đo tác động kỹ thuật), điểm rủi ro kết hợp nhiều tín hiệu thành một con số duy nhất để sắp xếp.
Điểm được tạo từ các thành phần sau:
| Thành phần | Đóng góp | Ý nghĩa |
| -------------------------------- | --------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Mức nghiêm trọng kỹ thuật (CVSS) | CVSS × 8 (tối đa 80 điểm) | Nền tảng của điểm số. Khi phát hiện không có CVSS (thường gặp ở phát hiện DAST gốc), dùng "sàn" theo mức nghiêm trọng: Critical 75, High 55, Medium 35, Low 15, còn lại 5. |
| Khả năng khai thác (EPSS) | EPSS × 15 (tối đa 15 điểm) | Xác suất bị khai thác thực tế trong 30 ngày tới. |
| CISA KEV | +10 điểm | Có bằng chứng đang bị khai thác trong thực tế. |
| PoC công khai | +3 điểm | Tồn tại mã khai thác / PoC công khai. |
| Độ tin cậy phát hiện | nhân toàn bộ điểm với 0.5–1.0 | Phát hiện độ tin cậy thấp bị giảm điểm để không lấn át phát hiện chắc chắn (`0.5 + 0.5 × độ_tin_cậy`). |
| Kiểm chứng bằng AI | nhân với 0.85 khi CHƯA kiểm chứng | Phát hiện chưa được agent AI xác nhận bị giảm 15%. |
Công thức:
```
điểm = (CVSS × 8 + EPSS × 15 + KEV(+10) + PoC(+3))
× (0.5 + 0.5 × độ_tin_cậy)
× (1.0 nếu đã kiểm chứng, ngược lại 0.85)
```
Kết quả được giới hạn trong 0–100 và thường được đọc theo mức ưu tiên: **75–100 (P1**, xử lý ngay), **50–74 (P2)**, **25–49 (P3)**, **dưới 25 (P4)**.
Dễ hiểu nhầm:
* Điểm rủi ro **không phải** EPSS. EPSS chỉ là một thành phần (khả năng khai thác); điểm rủi ro kết hợp cả CVSS, EPSS, KEV, PoC và độ tin cậy.
* Điểm rủi ro **không** tự động tính mức độ lộ ra ngoài hay độ quan trọng của tài sản (public hay nội bộ). Đây vẫn là yếu tố bạn cần cân nhắc thủ công khi ưu tiên.
* Đây là điểm sắp xếp tương đối, không phải xác suất tuyệt đối.
## Mức ưu tiên
**Mức ưu tiên** là thứ tự hành động VulnScan đề xuất cho một phát hiện, thể hiện dưới dạng nhóm kèm mốc thời gian khắc phục gợi ý (SLA). Nó được suy ra từ điểm rủi ro kết hợp với các tín hiệu khẩn cấp mạnh nhất — đang bị khai thác (CISA KEV), mức nghiêm trọng kỹ thuật (CVSS) và khả năng khai thác (EPSS) — để trả lời "cần xử lý nhanh đến đâu" chứ không chỉ "nghiêm trọng đến đâu".
| Mức ưu tiên | Điều kiện (bất kỳ) | Mốc gợi ý |
| ------------ | -------------------------------------------------- | ------------------------------- |
| Khẩn cấp | Có trong CISA KEV (đang bị khai thác) | 24h |
| Nghiêm trọng | Điểm rủi ro ≥ 80, hoặc CVSS ≥ 9.0, hoặc EPSS ≥ 0.5 | 72h |
| Cao | Điểm rủi ro ≥ 60, hoặc CVSS ≥ 7.0, hoặc EPSS ≥ 0.1 | 7 ngày |
| Bình thường | Điểm rủi ro ≥ 30, hoặc CVSS ≥ 4.0 | 30 ngày |
| Thấp | Các trường hợp còn lại | Theo kế hoạch / vệ sinh bảo mật |
Cách đọc:
* Mức ưu tiên trả lời mức độ khẩn cấp (xử lý sớm đến đâu); mức nghiêm trọng trả lời tác động kỹ thuật; điểm rủi ro trả lời xếp hạng tương đối.
* Điều kiện cao nhất khớp sẽ thắng — phát hiện nằm trong KEV luôn là Khẩn cấp dù CVSS chỉ ở mức trung bình.
* Các mốc (SLA) là gợi ý; hãy điều chỉnh theo mức độ lộ ra ngoài và bối cảnh nghiệp vụ của tài sản.
## Độ tin cậy
**Độ tin cậy** (độ tin cậy phát hiện) cho biết VulnScan chắc chắn đến đâu rằng một phát hiện là thật, theo thang 0.0–1.0 (hiển thị dạng phần trăm). Nó phản ánh độ mạnh của bằng chứng đứng sau phát hiện, không phải mức nghiêm trọng.
VulnScan gán độ tin cậy theo phương pháp phát hiện:
| Bằng chứng | Độ tin cậy |
| ------------------------------------------------------------ | ---------- |
| Khớp CPE đúng phiên bản (suy ra CVE từ sản phẩm + phiên bản) | 0.40 |
| Khớp CPE theo khoảng phiên bản | 0.50 |
| Khớp CPE kèm KEV hoặc EPSS cao | 0.60 |
| Phát hiện qua kiểm tra TLS/SSL (testssl.sh) | 0.70 |
| Xác nhận truy cập dịch vụ không cần xác thực | 0.85 |
| Khớp mẫu quét | 0.85 |
| Đăng nhập thành công bằng thông tin mặc định | 0.90 |
| Khớp mẫu quét có trích xuất dữ liệu | 0.95 |
VulnScan dùng độ tin cậy để:
* Giảm điểm rủi ro cho phát hiện bằng chứng yếu (`0.5 + 0.5 × độ_tin_cậy`), để phát hiện suy ra từ phiên bản không xếp trên phát hiện đã xác nhận.
* Một bước kiểm chứng bằng AI có thể xác nhận phát hiện; phát hiện chưa kiểm chứng bị giảm thêm 15% trong điểm rủi ro.
Dễ hiểu nhầm:
* Độ tin cậy thấp không có nghĩa là phát hiện sai — chỉ là bằng chứng gián tiếp (ví dụ suy ra từ banner hoặc phiên bản thay vì xác nhận trực tiếp).
* Độ tin cậy cao không làm tăng mức nghiêm trọng; một lỗi Thấp được phát hiện chắc chắn vẫn là Thấp.
## OWASP Top 10
**OWASP Top 10** là tài liệu nhận thức bảo mật ứng dụng web được sử dụng rộng rãi. Tài liệu này nhóm các rủi ro ứng dụng web phổ biến và tác động cao thành 10 nhóm lớn.
Ví dụ các nhóm rủi ro gồm broken access control, cryptographic failures, injection, security misconfiguration, vulnerable components, authentication failures và SSRF.
VulnScan dùng OWASP Top 10 để:
* Mapping phát hiện tới nhóm OWASP Top 10 phù hợp khi có đủ bằng chứng.
* Giúp đội bảo mật trao đổi rủi ro ứng dụng web với đội phát triển và quản lý.
* Hỗ trợ báo cáo cấp chương trình, dashboard và phân tích xu hướng.
Dễ hiểu nhầm:
* OWASP Top 10 không phải danh sách đầy đủ mọi lỗ hổng.
* Đây là mô hình phân nhóm rủi ro, không phải tên bài kiểm tra cụ thể.
* Một phát hiện vẫn có thể quan trọng dù không mapping gọn vào một nhóm OWASP Top 10.
## OWASP WSTG
**OWASP WSTG** là **Web Security Testing Guide**. Đây là phương pháp và tài liệu tham chiếu để kiểm thử các kiểm soát bảo mật của ứng dụng web.
Mapping WSTG giúp analyst hiểu phát hiện liên quan tới vùng kiểm thử nào, ví dụ input validation, authentication testing, session management, authorization testing, configuration testing hoặc business-logic testing.
VulnScan dùng OWASP WSTG để:
* Bổ sung tham chiếu WSTG khi phát hiện khớp với vùng kiểm thử đã biết.
* Giúp analyst xác minh thủ công khi cần.
* Giúp tổ chức liên kết kết quả quét tự động với chương trình kiểm thử bảo mật.
Dễ hiểu nhầm:
* WSTG không phải điểm nghiêm trọng.
* Có mapping WSTG không có nghĩa VulnScan đã chạy mọi kiểm thử thủ công trong guide.
* Đây là tham chiếu giúp giải thích và tái hiện hướng kiểm thử.
## Cách ưu tiên phát hiện
Nên kết hợp các tín hiệu:
1. Bắt đầu từ Critical và High.
2. Leo thang các phát hiện có trong CISA KEV.
3. Ưu tiên EPSS cao khi tài sản bị ảnh hưởng lộ ra ngoài.
4. Dùng CVSS để so sánh mức độ kỹ thuật giữa các sản phẩm.
5. Dùng CWE và OWASP để giao đúng đội kỹ thuật và nhóm nguyên nhân.
6. Dùng WSTG để xác minh thủ công hoặc kiểm thử sâu hơn.
7. Xác nhận thêm tác động nghiệp vụ, mức độ lộ ra ngoài, yêu cầu xác thực và kiểm soát bù trừ.
## Tham chiếu chính thức
* [CVE Program](https://www.cve.org/)
* [MITRE CWE](https://cwe.mitre.org/)
* [FIRST CVSS v4.0](https://www.first.org/cvss/v4.0/)
* [FIRST EPSS Model](https://www.first.org/epss/model)
* [CISA Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
* [OWASP Top 10](https://owasp.org/www-project-top-ten/)
* [OWASP Web Security Testing Guide](https://owasp.org/www-project-web-security-testing-guide/)
# Yêu cầu hệ thống
Source: https://docs.cystack.net/vi/vulnscan/system-requirements
Cấu hình máy, hệ điều hành, trình duyệt, mạng, lưu trữ và AI cho CyStack VulnScan
CyStack VulnScan có thể chạy trên máy cá nhân, laptop hoặc server. Cấu hình phù hợp phụ thuộc phạm vi quét, mức độ song song, độ phản hồi của mục tiêu, số lượng báo cáo và việc có bật AI hỗ trợ phân tích hay không.
## Nền tảng hỗ trợ
VulnScan được phân phối dưới dạng file thực thi cho:
| Nền tảng | Ghi chú |
| -------- | -------------------------------------------------------------------------------------------- |
| Windows | Phù hợp cho laptop, máy trạm của analyst và Windows Server. |
| macOS | Phù hợp cho máy trạm cá nhân và dùng CLI cục bộ. |
| Linux | Khuyến nghị cho Web UI dùng chung, máy chạy tự động hóa và các lượt quét định kỳ quy mô lớn. |
Với triển khai cho nhiều người dùng, nên chạy VulnScan trên server hoặc máy ảo ổn định để lưu lịch sử quét, tài sản, thành viên, email thông báo và tác vụ xuất báo cáo.
## Cấu hình phần cứng
| Quy mô triển khai | Cấu hình gợi ý tối thiểu | Mục đích sử dụng |
| -------------------------- | ---------------------------------------- | ---------------------------------------------------------------- |
| Đánh giá thử hoặc quét nhỏ | 2 vCPU, 4 GB RAM, 10 GB dung lượng trống | Một analyst, ít tên miền/IP, kiểm thử ngắn hạn. |
| Workspace cho đội nhóm | 4 vCPU, 8 GB RAM, 50 GB SSD | Web UI dùng chung, quét định kỳ, báo cáo PDF, email thông báo. |
| Bề mặt tấn công lớn | 8+ vCPU, 16-32 GB RAM, 100+ GB SSD | Nhiều tên miền, dải CIDR, lịch quét thường xuyên, nhiều báo cáo. |
Đây là cấu hình khởi điểm thực tế, không phải giới hạn cứng. Hãy tăng CPU và RAM khi chạy nhiều lượt quét song song, mục tiêu có nhiều tên miền con/điểm truy cập, hoặc khi dùng nhiều báo cáo PDF và AI hỗ trợ phân tích.
## Trình duyệt
Web UI hỗ trợ các phiên bản mới của:
* Google Chrome.
* Microsoft Edge.
* Mozilla Firefox.
* Apple Safari.
Nên dùng trình duyệt có thể truy cập Web UI qua điểm cuối HTTPS đã cấu hình của tổ chức.
## Yêu cầu mạng
Máy chạy VulnScan cần:
* Phân giải DNS cho tên miền mục tiêu và quá trình tìm tên miền con.
* Kết nối tới các mục tiêu và cổng nằm trong phạm vi được phê duyệt.
* Kết nối ra dịch vụ cấp phép và cập nhật của CyStack nếu triển khai online.
* Kết nối tới nhà cung cấp email nếu bật thông báo email.
* Kết nối tới nhà cung cấp AI cloud nếu AI được cấu hình bằng API token cloud.
* Kết nối tới điểm cuối AI nội bộ/cục bộ nếu AI chạy trong môi trường của khách hàng.
Với ứng dụng thử nghiệm hoặc hệ thống được bảo vệ, cần cho phép IP đi ra của VulnScan trước khi chạy quét có xác thực hoặc quét sâu.
## Lưu trữ dữ liệu
Dung lượng lưu trữ tăng theo:
* Số lượng tài sản và lượt quét.
* Phát hiện và bằng chứng được lưu cho mỗi lượt quét.
* Báo cáo đã xuất, đặc biệt là PDF.
* Dữ liệu tình báo lỗ hổng cục bộ và gói chuẩn bị offline.
* Log và dữ liệu mô tả của tác vụ nền.
Nên dùng SSD cho triển khai dùng chung. Hãy sao lưu thư mục dữ liệu VulnScan theo chính sách khôi phục của tổ chức.
## Yêu cầu cho AI
Tính năng AI là tùy chọn và phụ thuộc gói sử dụng cũng như cấu hình. Các mô hình hỗ trợ gồm:
| Mô hình AI | Khi nào nên dùng |
| -------------------------- | ------------------------------------------------------------------------------ |
| API token AI cloud | Thiết lập nhanh khi tổ chức cho phép dùng nhà cung cấp AI cloud tương thích. |
| Điểm cuối AI nội bộ/cục bộ | Môi trường nhạy cảm cần giữ dữ liệu trong mạng của khách hàng. |
| Worker hoặc agent AI riêng | Triển khai lớn hoặc môi trường hạn chế, cần tách tải quét và tải phân tích AI. |
Khi bật AI, hãy xem lại chính sách xử lý dữ liệu trước khi gửi ngữ cảnh quét tới nhà cung cấp bên ngoài. Với môi trường nhạy cảm, nên dùng chế độ AI nội bộ hoặc cục bộ.
# Xử lý sự cố
Source: https://docs.cystack.net/vi/vulnscan/troubleshooting
Khắc phục lỗi kích hoạt, quét, báo cáo, email và nhất quán dữ liệu
Dùng hướng dẫn này khi VulnScan hoạt động không như mong đợi. Hãy bắt đầu từ quy trình bị lỗi, sau đó kiểm tra giấy phép, khả năng kết nối tới mục tiêu, cấu hình email và log.
## Kích hoạt giấy phép thất bại
Kiểm tra:
* Khóa giấy phép không có khoảng trắng thừa.
* Máy chủ có kết nối ra ngoài tới dịch vụ kích hoạt nếu dùng online activation.
* Mã định danh máy khớp với file kích hoạt offline.
* Giới hạn kích hoạt chưa vượt quá.
* Đồng hồ hệ thống chính xác.
Lệnh hữu ích:
```bash theme={null}
vulnscan fingerprint
vulnscan license
```
Nếu chuyển bản cài sang máy chủ mới, hãy hủy kích hoạt máy chủ cũ khi có thể:
```bash theme={null}
vulnscan deactivate
```
## Mục tiêu bị từ chối bởi giấy phép
Điều này thường nghĩa là mục tiêu nằm ngoài phạm vi được cấp phép hoặc đã hết giới hạn số lượng mục tiêu.
Kiểm tra màn hình giấy phép:
* Tên miền, tên miền wildcard, IP hoặc CIDR được cấp phép.
* Số lượng mục tiêu đã dùng và dung lượng còn lại.
* Ngày hết hạn.
* Tính năng được cấp phép.
Chuẩn hóa mục tiêu trước khi thử lại. Ví dụ, nếu giấy phép cho `*.acme.com`, cần xác nhận tên miền gốc `acme.com` có được cấp riêng hay không.
## Phát hiện quá ít máy chủ
Kiểm tra:
* DNS resolution từ máy chủ VulnScan.
* Domain có split-horizon DNS hay không.
* Máy chủ thử nghiệm hoặc hệ thống nội bộ có bị tường lửa chặn từ máy quét không.
* Tên miền gốc quá lớn và cần thời gian phát hiện lâu hơn không.
* Firewall có chặn probing từ máy chủ VulnScan không.
Kiểm tra nhanh bằng CLI:
```bash theme={null}
vulnscan subdomain --target acme.com --json
```
## Lượt quét chậm
Nguyên nhân thường gặp:
* Phạm vi mục tiêu quá lớn.
* Ứng dụng mục tiêu chậm hoặc giới hạn tốc độ.
* Nhiều cổng bị filtered/closed.
* Ứng dụng sau đăng nhập có nhiều dữ liệu hoặc nhiều luồng.
* Khối lượng đối chiếu CVE lớn.
* Tạo báo cáo PDF sau lượt quét lớn.
Khuyến nghị:
* Chia mục tiêu thành tài sản nhỏ hơn.
* Quét tên miền con quan trọng trước.
* Lập lịch quét ngoài giờ cao điểm.
* Dùng CSV/JSON cho tự động hóa.
* Để PDF hoàn tất bằng tác vụ nền.
## Có vẻ thiếu phát hiện
Kiểm tra:
* Lượt quét dùng đúng tên máy chủ, không chỉ IP phía sau virtual hosting.
* Đã cung cấp thông tin xác thực nếu chức năng nằm sau đăng nhập.
* Ứng dụng có truy cập được từ máy chủ VulnScan trong lúc quét.
* Lượt quét hoàn tất thành công.
* Không bị bộ lọc theo mức độ nghiêm trọng, trạng thái, tài sản hoặc khoảng thời gian.
* Dữ liệu tình báo lỗ hổng đã được cập nhật.
Không công cụ nào đảm bảo tìm mọi lỗi trong mọi ứng dụng. VulnScan tăng độ phủ bằng phát hiện tài sản, nhận diện công nghệ, kiểm tra chủ động, đối chiếu CVE và diễn giải hỗ trợ bởi AI khi được bật, nhưng lỗi logic nghiệp vụ phức tạp vẫn có thể cần kiểm thử thủ công.
## Nghi ngờ cảnh báo nhầm
Review:
* Bằng chứng và vị trí bị ảnh hưởng.
* Điểm tin cậy.
* Bằng chứng sản phẩm/phiên bản.
* Mapping CVE/CWE.
* Phát hiện đến từ kiểm tra chủ động hay nhận diện thụ động.
* Có phát hiện trùng nào có bằng chứng mạnh hơn không.
Nếu vấn đề không khai thác được trong môi trường của bạn, ghi chú lý do và đánh dấu theo quy trình của tổ chức, ví dụ cảnh báo nhầm hoặc chấp nhận rủi ro.
## PDF xuất báo cáo pending lâu
Kiểm tra:
* Lượt quét đã hoàn tất.
* Tác vụ PDF có đang chạy với lượt quét lớn không.
* Thư mục dữ liệu còn đủ dung lượng đĩa không.
* Email đã cấu hình nếu người dùng chờ thông báo báo cáo sẵn sàng.
* Log server có lỗi render hoặc permission không.
Xuất PDF là tác vụ bất đồng bộ. Đóng trình duyệt không nên hủy tác vụ.
## Không gửi được email
Kiểm tra:
* Nhà cung cấp: SendGrid, AWS SES hoặc SMTP tùy chỉnh.
* API token hoặc thông tin đăng nhập SMTP.
* Địa chỉ người gửi đã được xác minh.
* Máy chủ SMTP, cổng và chế độ TLS.
* AWS region và IAM permission nếu dùng SES.
* Firewall outbound từ máy chủ VulnScan.
* Spam quarantine hoặc log mail gateway.
Gửi email kiểm thử sau mỗi thay đổi cấu hình.
## Kết quả CLI không hiện trên Web UI
Lượt quét CLI chuẩn sẽ hiện trên Web UI nếu ghi vào cùng cấu hình không gian làm việc và thư mục dữ liệu.
Kiểm tra:
* CLI dùng cùng file cấu hình với Web UI.
* CLI chạy trên cùng bản cài hoặc cùng dữ liệu không gian làm việc.
* Lệnh quét hoàn tất thành công.
* Bộ lọc nguồn quét trong Web UI có bao gồm CLI.
## Thông tin cần gửi support
Khi liên hệ CyStack Support, gửi:
* Phiên bản VulnScan.
* Hệ điều hành và kiến trúc.
* Lỗi xảy ra ở Web UI hay CLI.
* Trạng thái giấy phép nhưng không gửi đầy đủ khóa giấy phép.
* Loại mục tiêu và ví dụ đã ẩn thông tin nhạy cảm.
* Mã lượt quét hoặc mã tác vụ báo cáo.
* Log liên quan.
* Screenshot lỗi nếu có.
# Kiểm soát truy cập & lưu lượng
Source: https://docs.cystack.net/vi/vulnscan/waf-access
Chặn theo IP/quốc gia/ASN, giới hạn tần suất và chuyển hướng lưu lượng
Ngoài việc chặn tấn công theo nội dung request, CyStack WAF còn cho phép kiểm soát **ai** được truy cập, **với tần suất bao nhiêu** và **điều hướng** lưu lượng. Ba nhóm công cụ này giúp giảm tải tấn công tự động, bảo vệ điểm truy cập nhạy cảm và quản lý đường đi của người dùng.
## Chặn theo IP, quốc gia và ASN
Mục **Chặn IP & quốc gia** cho phép cho phép hoặc chặn lưu lượng theo nguồn gốc, không cần xây dựng điều kiện phức tạp.
![Kiểm soát truy cập theo IP và quốc gia]()
Mỗi mục gồm:
| Thành phần | Giá trị |
| ------------- | ------------------------------------------------------------- |
| **Loại** | Địa chỉ IP/dải (CIDR), Quốc gia (mã ISO), hoặc Mạng (ASN). |
| **Giá trị** | Danh sách IP/CIDR, danh sách mã quốc gia, hoặc số hiệu AS. |
| **Hành động** | **Chặn** (danh sách đen) hoặc **Cho phép** (danh sách trắng). |
| **Mô tả** | Nhãn tùy chọn để dễ quản lý. |
Có sẵn công cụ chọn quốc gia (kèm cờ) và tìm kiếm ASN theo tên tổ chức để nhập nhanh.
Dùng luật **Cho phép** cho mạng văn phòng hoặc dải IP nội bộ tin cậy, và **Chặn** cho các quốc gia/ASN có rủi ro cao mà tổ chức không phục vụ. Mỗi mục hiển thị số lần khớp trong 24 giờ để đánh giá tác động.
## Giới hạn tần suất
Mục **Giới hạn tần suất** hạn chế số request mà một client có thể gửi trong một khoảng thời gian, giúp chống brute-force đăng nhập, lạm dụng API và dò quét tự động.
![Luật giới hạn tần suất]()
Mỗi luật cấu hình:
| Thành phần | Mô tả |
| ------------------------- | -------------------------------------------------------------------------------------------------------- |
| **Tên** | Mô tả mục đích của luật. |
| **Áp dụng cho đường dẫn** | Tùy chọn — chỉ giới hạn request khớp tiền tố đường dẫn này (ví dụ `/login`). |
| **Đếm theo** | **Địa chỉ IP** (mọi đường dẫn của cùng IP) hoặc **IP + đường dẫn URL** (mỗi cặp IP–đường dẫn đếm riêng). |
| **Ngưỡng** | Số request tối đa trong một khoảng thời gian, ví dụ `10 request / 60 giây`. |
| **Hành động** | Khi vượt ngưỡng, trả về HTTP **429 (Too Many Requests)**. |
Ví dụ minh họa: luật chống brute-force đăng nhập giới hạn `10 request / 60s` theo IP cho đường dẫn `/login`; luật giới hạn API cho phép `600 request / 60s` theo cặp IP + đường dẫn.
## Chuyển hướng
Mục **Chuyển hướng** trả về phản hồi chuyển hướng cho các request khớp điều kiện — hữu ích khi di chuyển đường dẫn cũ, hợp nhất tên miền hoặc ép truy cập theo đường dẫn chuẩn.
![Luật chuyển hướng]()
Mỗi luật gồm:
| Thành phần | Mô tả |
| -------------------- | ----------------------------------------------------------------------------------------------- |
| **Tên** | Mô tả mục đích chuyển hướng. |
| **Điều kiện khớp** | Bộ điều kiện đầy đủ như [luật tùy chỉnh](/vi/vulnscan/waf-rules) (theo path, query, header...). |
| **Chuyển hướng tới** | URL đích, tuyệt đối hoặc tương đối. Có tùy chọn **giữ nguyên query string**. |
| **Mã trạng thái** | 301 (vĩnh viễn), 302 (tạm thời), 307 hoặc 308 theo chuẩn HTTP. |
Chuyển hướng được xử lý ngay tại lớp biên trước khi request tới origin, nên có hiệu lực kể cả khi ứng dụng gốc chưa được cập nhật.
## Phối hợp với luật bảo vệ
Các công cụ trên hoạt động cùng [bộ luật OWASP và luật tùy chỉnh](/vi/vulnscan/waf-rules). Trong trang [giám sát](/vi/vulnscan/waf-monitoring), mỗi sự kiện bị chặn đều cho biết nó bị chặn bởi nhóm nào — bộ luật quản lý, luật tùy chỉnh, giới hạn tần suất hay kiểm soát truy cập — giúp đối chiếu và tinh chỉnh chính xác.
# Giám sát & phân tích
Source: https://docs.cystack.net/vi/vulnscan/waf-monitoring
Theo dõi sức khỏe website, sự kiện bảo mật, nguồn nghi vấn và phân tích lưu lượng WAF
CyStack WAF cung cấp khả năng quan sát lưu lượng theo thời gian thực để đội bảo mật biết WAF đang chặn gì, ai đang tấn công và website có khỏe mạnh không. Phần này gồm bốn góc nhìn: **tổng quan sức khỏe**, **sự kiện bảo mật**, **hoạt động nghi vấn** và **phân tích**.
## Tổng quan website
Trang **Tổng quan** của mỗi website tóm tắt tình trạng bảo vệ và lưu lượng gần đây.
![Trang tổng quan website]()
* **Thẻ sức khỏe** kiểm tra theo từng lớp: DNS đã trỏ về WAF, origin truy cập được, chứng chỉ TLS hợp lệ (kèm số ngày còn lại) và node đang phục vụ.
* **Chỉ số 24 giờ**: tổng số request, số request bị chặn, tỷ lệ chặn và số luật đang bật.
* **Sơ đồ kết nối**: minh họa đường đi Khách → CyStack WAF → Origin cùng trạng thái mã hóa.
* **Biểu đồ lưu lượng**: lưu lượng cho phép và bị chặn theo thời gian.
## Sự kiện bảo mật
Trang **Sự kiện bảo mật** liệt kê các request bị WAF chặn hoặc ghi nhận, mới nhất ở trên cùng.
![Danh sách sự kiện bảo mật]()
| Cột | Nội dung |
| -------------- | ------------------------------------------------------------------------------------------------------------------- |
| **Thời gian** | Thời điểm xảy ra (tương đối, xem được thời gian đầy đủ). |
| **IP** | Địa chỉ nguồn kèm cờ quốc gia. |
| **Request** | Phương thức và đường dẫn, kèm User-Agent. |
| **Trạng thái** | Mã HTTP trả về (403, 429, 301...) hoặc nhãn ghi nhận. |
| **Chặn bởi** | Nhóm luật đã khớp (bộ luật quản lý, luật tùy chỉnh, giới hạn tần suất, kiểm soát truy cập...) kèm mô tả và mã luật. |
Bộ lọc cho phép thu hẹp theo **IP**, **đường dẫn**, **mã trạng thái** và **Reference ID** (mã tham chiếu hiển thị cho người dùng cuối khi bị chặn). Mở chi tiết một sự kiện để xem đầy đủ host, quốc gia, hành động, mã luật đã khớp, thông điệp và User-Agent, cùng liên kết tới trang cấu hình luật tương ứng.
Khi người dùng hợp lệ báo bị chặn nhầm, hãy hỏi họ **Reference ID** hiển thị trên trang lỗi rồi tìm theo mã đó để xác định chính xác luật đã chặn và điều chỉnh.
## Hoạt động nghi vấn
Trang **Hoạt động nghi vấn** phân tích lưu lượng gần đây và tự động đánh dấu các IP có dấu hiệu tấn công nhưng chưa chắc bị chặn — ví dụ đang dò quét ở mức dưới ngưỡng chặn.
![Danh sách nguồn nghi vấn]()
Mỗi nguồn hiển thị:
* **IP và quốc gia** kèm các nhãn lý do: công cụ dò quét, phát hiện tấn công, quét đường dẫn nhạy cảm, liệt kê (enumeration).
* **Thống kê**: tổng số request, số lần trả về 404 và số lần phát hiện tấn công.
* **Đường dẫn mẫu** mà nguồn đã thử (ví dụ `/.env`, `/.git/config`, `/phpmyadmin`).
* Nút **Chặn IP** để tạo ngay luật chặn IP đó.
Đây là công cụ phát hiện sớm: kẻ tấn công thường dò quét trước khi tấn công thật, nên việc chặn sớm các nguồn nghi vấn giúp ngăn chặn trước khi chúng tìm ra điểm yếu.
## Phân tích
Trang **Phân tích** tổng hợp toàn bộ lưu lượng đi qua WAF theo khoảng thời gian **24 giờ**, **7 ngày** hoặc **30 ngày**.
![Trang phân tích lưu lượng]()
* **Chỉ số tổng hợp**: tổng request, tổng số bị chặn, tỷ lệ chặn.
* **Biểu đồ lưu lượng**: lưu lượng cho phép và bị chặn theo thời gian.
* **Bảng xếp hạng**: IP nguồn nhiều nhất, đường dẫn bị chặn nhiều nhất, luật kích hoạt nhiều nhất và User-Agent nhiều nhất.
Các bảng xếp hạng có thể bấm để lọc nhanh sang sự kiện tương ứng, giúp truy vết từ số liệu tổng quan xuống từng request cụ thể. Cùng bộ lọc theo IP/đường dẫn/trạng thái/Reference ID như trang sự kiện.
## Lưu trữ và thông báo
* **Thời gian lưu trữ sự kiện** có thể cấu hình trong cài đặt WAF (ví dụ 30 ngày). Sự kiện cũ hơn ngưỡng sẽ được dọn tự động.
* **Email thông báo** được gửi khi website được xác minh thành công, khi có luật mới được tạo (bao gồm vá ảo do AI sinh ra) và khi website mất khả năng phục vụ (không còn node sẵn sàng hoặc origin gián đoạn). Cấu hình email trong phần cài đặt không gian làm việc.
## Quy trình giám sát khuyến nghị
1. Theo dõi **Tổng quan** để bảo đảm thẻ sức khỏe luôn xanh.
2. Rà soát **Sự kiện bảo mật** định kỳ, đặc biệt sau khi siết chặt luật, để phát hiện chặn nhầm.
3. Xử lý **Hoạt động nghi vấn**: chặn các nguồn dò quét rõ ràng.
4. Dùng **Phân tích** để nhận diện xu hướng tấn công và điều chỉnh [luật bảo vệ](/vi/vulnscan/waf-rules) cho phù hợp.
# Máy chủ biên
Source: https://docs.cystack.net/vi/vulnscan/waf-nodes
Cài đặt, đăng ký và vận hành máy chủ biên (edge node) chạy CyStack WAF
**Máy chủ biên** (edge node) là thành phần thực thi của CyStack WAF. Đây là một tiến trình nhẹ tên `cywall` mà tổ chức tự cài trên server của mình. Node tiếp nhận lưu lượng thật từ Internet, chạy bộ máy WAF (OWASP CRS và luật tùy chỉnh), rồi chuyển tiếp các request hợp lệ tới máy chủ gốc.
Một node phục vụ **tất cả** website đã khai báo trong không gian làm việc. Tổ chức có thể chạy nhiều node để tăng tính sẵn sàng và phân tải theo khu vực địa lý; mỗi node nhận cùng một bộ cấu hình từ bảng điều khiển.
![Danh sách máy chủ biên]()
## Yêu cầu
* Một máy chủ Linux, macOS hoặc Windows có **địa chỉ IP công khai** và mở được cổng **80** và **443**.
* Khả năng kết nối ra ngoài để node đăng ký và giữ kênh điều khiển với bảng điều khiển.
* Quyền quản trị (root/Administrator) để cài dịch vụ và lắng nghe trên cổng đặc quyền.
Website chỉ có thể được phục vụ bởi node ở trạng thái **sẵn sàng** (online và truy cập được công khai trên cổng 80/443). Vì vậy cần cài và xác nhận ít nhất một node sẵn sàng trước khi thêm website.
## Cài đặt node
Mở mục **WAF → Node** và chọn **Thêm node**. Cửa sổ hướng dẫn hiển thị lệnh tải và lệnh cài đặt theo hệ điều hành; chọn đúng nền tảng của server.
![Cửa sổ hướng dẫn cài đặt node]()
Quy trình gồm hai lệnh. **Tải binary** `cywall` về server:
```bash theme={null}
sudo curl -fsSL https://d.cystack.net/cywall/cywall-linux-amd64 -o /usr/local/bin/cywall
sudo chmod +x /usr/local/bin/cywall
```
**Cài đặt và khởi động** node bằng token đăng ký lấy từ cửa sổ hướng dẫn:
```bash theme={null}
sudo cywall install --token
```
Lệnh `install` đăng ký node với bảng điều khiển, đổi token đăng ký lấy token node lâu dài, cài dịch vụ nền và khởi động. Ngay sau khi kết nối, node nhận cấu hình ban đầu (danh sách website và luật) và bắt đầu phục vụ.
Trên macOS/Linux dùng `sudo`; trên Windows chạy lệnh tương ứng trong PowerShell với quyền Administrator.
## Trạng thái node
Sau khi cài, node tự báo cáo thông tin về bảng điều khiển và xuất hiện trong danh sách:
| Cột | Ý nghĩa |
| ------------------------ | --------------------------------------------------------------------------------------------------------- |
| **Node** | Tên và địa chỉ IP công khai của máy chủ biên. |
| **Nền tảng** | Hệ điều hành và kiến trúc (Linux/macOS/Windows, amd64/arm64). |
| **Trạng thái** | **Sẵn sàng hoạt động** khi node online và truy cập được trên cổng 80/443; ngược lại sẽ báo chưa sẵn sàng. |
| **Version** | Phiên bản `cywall` đang chạy. |
| **Lần kết nối gần nhất** | Thời điểm node gửi tín hiệu heartbeat gần nhất. |
Mở rộng một dòng để xem chi tiết: danh sách website node đang phục vụ, khả năng kết nối tới origin, tình trạng chứng chỉ TLS và các chỉ số hệ thống (CPU, bộ nhớ, dung lượng đĩa).
Node gửi heartbeat định kỳ. Nếu trạng thái chuyển sang chưa sẵn sàng, hãy kiểm tra dịch vụ `cywall` còn chạy không, cổng 80/443 có bị tường lửa chặn không và IP công khai có đúng không.
## Token đăng ký
Token đăng ký dùng để gắn node mới vào không gian làm việc. Nếu nghi ngờ token bị lộ, chọn **Tạo lại token** trong mục Node. Token cũ sẽ mất hiệu lực với các lần đăng ký mới; các node đã đăng ký trước đó vẫn hoạt động bình thường bằng token node riêng của chúng.
## Nhiều node và tính sẵn sàng
Mọi website chạy trên mọi node, nên việc thêm node giúp tăng khả năng chịu tải và dự phòng:
* **Dự phòng**: nếu một node ngừng hoạt động, các node còn lại vẫn phục vụ lưu lượng (khi DNS trỏ tới nhiều IP).
* **Phân tải địa lý**: đặt node gần người dùng để giảm độ trễ.
* **Bảo trì không gián đoạn**: cập nhật lần lượt từng node mà không làm gián đoạn dịch vụ.
Cấu hình luật được phiên bản hóa tập trung; mỗi node báo cáo phiên bản đang áp dụng để bảng điều khiển phát hiện trường hợp lệch phiên bản.
## Môi trường không có IP công khai cho bảng điều khiển
Khi bảng điều khiển VulnScan nằm trong mạng nội bộ không có IP công khai, hệ thống hỗ trợ chế độ **relay**: bảng điều khiển chủ động kết nối ra ngoài tới relay của CyStack, và node kết nối tới relay đó. Toàn bộ kênh giữa bảng điều khiển và node được **mã hóa đầu cuối**; relay chỉ chuyển tiếp dữ liệu đã mã hóa mà không đọc được nội dung. Cấu hình relay được nhúng sẵn trong token cài đặt nên không cần thiết lập thêm.
## Gỡ node
Để gỡ một node, chọn hành động xóa trong danh sách. Bảng điều khiển đóng kết nối điều khiển với node đó. Nếu DNS của website đang trỏ tới IP của node bị gỡ, hãy cập nhật DNS sang node khác trước để tránh gián đoạn.
## Bảo mật vận hành
* Chạy `cywall` bằng tài khoản dịch vụ riêng, hạn chế quyền.
* Chỉ mở cổng 80/443 ra Internet; hạn chế các cổng quản trị khác.
* Theo dõi phiên bản và cập nhật `cywall` khi có bản mới.
* Bảo vệ token đăng ký như một bí mật; tạo lại token nếu nghi ngờ lộ.
# Tổng quan WAF
Source: https://docs.cystack.net/vi/vulnscan/waf-overview
Giới thiệu CyStack WAF: ý nghĩa, kiến trúc lớp biên, luồng lưu lượng và các khái niệm chính
**CyStack WAF** là tường lửa ứng dụng web (Web Application Firewall) hoạt động tại **lớp biên**, được tích hợp ngay trong CyStack VulnScan. WAF đứng trước website của tổ chức, kiểm tra mọi request HTTP/HTTPS trước khi chúng tới máy chủ gốc (origin), và chặn các tấn công web phổ biến như SQL injection, XSS, path traversal, dò quét lỗ hổng, lạm dụng đăng nhập và truy cập tệp nhạy cảm.
Khác với việc chỉ **phát hiện** lỗ hổng, WAF cho phép tổ chức **chủ động ngăn chặn** khai thác: một lỗ hổng vừa được VulnScan phát hiện có thể được vá tạm thời (virtual patch) ngay tại lớp biên trong khi đội phát triển xử lý triệt để ở mã nguồn.
![Danh sách website đang được CyStack WAF bảo vệ]()
## Vì sao cần WAF tại lớp biên
Một lượt quét lỗ hổng cho biết tổ chức **đang** có rủi ro gì, nhưng không ngăn được kẻ tấn công khai thác trong khoảng thời gian chờ vá. Khoảng trống này thường kéo dài nhiều ngày đến nhiều tuần. WAF lớp biên thu hẹp khoảng trống đó:
* **Chặn tấn công trước khi chạm tới ứng dụng** bằng bộ luật OWASP được quản lý sẵn, không cần sửa mã nguồn.
* **Vá ảo lỗ hổng** ngay sau khi quét, biến kết quả phát hiện thành biện pháp bảo vệ chỉ trong vài phút.
* **Giảm tải tấn công tự động** như brute-force, dò quét và bot bằng giới hạn tần suất và kiểm soát truy cập theo IP/quốc gia/ASN.
* **Cung cấp khả năng quan sát lưu lượng** với sự kiện bảo mật, nguồn nghi vấn và phân tích theo thời gian thực.
* **Triển khai linh hoạt** trên hạ tầng của chính tổ chức (máy chủ biên tự vận hành), giữ toàn quyền kiểm soát dữ liệu và đường đi của lưu lượng.
## Kiến trúc và luồng lưu lượng
CyStack WAF hoạt động như một **reverse proxy**: tổ chức trỏ tên miền của mình về các **máy chủ biên** (edge node) do mình vận hành. Mỗi request đi qua node, được bộ máy WAF kiểm tra, rồi mới chuyển tiếp tới origin nếu hợp lệ.
```mermaid theme={null}
flowchart TD
Client["Người dùng / Kẻ tấn công"]
Node["Máy chủ biên — CyStack WAF
Bộ máy WAF: OWASP CRS + luật tùy chỉnh
Chấm dứt TLS, lọc request, ghi sự kiện"]
Origin["Máy chủ gốc — Origin
Ứng dụng web của tổ chức"]
Console["Bảng điều khiển VulnScan"]
Client -->|HTTPS| Node
Node -->|Chuyển tiếp request hợp lệ, đã mã hóa| Origin
Console <-->|Đẩy cấu hình luật, nhận trạng thái và nhật ký| Node
```
Bảng điều khiển VulnScan đóng vai trò trung tâm quản lý: nơi quản trị viên khai báo website, cấu hình luật, theo dõi sự kiện. Cấu hình được đồng bộ tới mọi máy chủ biên qua kênh mã hóa; node gửi ngược lại trạng thái sức khỏe và nhật ký lưu lượng.
![Sơ đồ kết nối từ khách tới origin trên trang tổng quan website]()
Lưu lượng giữa khách và máy chủ biên được mã hóa bằng chứng chỉ TLS, và giữa máy chủ biên với origin cũng được mã hóa nếu origin hỗ trợ HTTPS. Toàn bộ kết nối quản trị giữa bảng điều khiển và node được mã hóa đầu cuối.
## Các khái niệm chính
| Khái niệm | Mô tả |
| ------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Máy chủ biên (Node)** | Tiến trình `cywall` do tổ chức cài trên server của mình. Node nhận lưu lượng thật, chạy bộ máy WAF và phục vụ tất cả website đã khai báo. Xem [Máy chủ biên](/vi/vulnscan/waf-nodes). |
| **Website (Site)** | Một tên miền được WAF bảo vệ, gắn với một hoặc nhiều origin. Mỗi site có trạng thái xác minh, bộ luật và lịch sử sự kiện riêng. Xem [Thêm và xác minh website](/vi/vulnscan/waf-sites). |
| **Origin** | Máy chủ gốc chứa ứng dụng thật, nơi node chuyển tiếp request hợp lệ. |
| **Luật (Rule)** | Chính sách bảo mật: bộ luật OWASP được quản lý, luật tùy chỉnh, giới hạn tần suất, kiểm soát truy cập, chuyển hướng. Xem [Luật bảo vệ](/vi/vulnscan/waf-rules). |
| **Sự kiện (Event)** | Bản ghi một request bị chặn hoặc được xử lý, kèm IP, đường dẫn, luật đã khớp và mã trạng thái. Xem [Giám sát & phân tích](/vi/vulnscan/waf-monitoring). |
| **Vá ảo (Virtual patch)** | Luật tùy chỉnh do AI sinh ra từ một lỗ hổng đã phát hiện, chặn đúng dấu hiệu tấn công mà không sửa mã nguồn. |
## WAF làm việc với kết quả quét như thế nào
WAF và bộ quét lỗ hổng của VulnScan bổ trợ cho nhau trong cùng một không gian làm việc:
1. VulnScan **quét** tài sản và phát hiện lỗ hổng web.
2. Lớp AI **đề xuất luật vá ảo** cho các lỗ hổng có thể giảm thiểu tại tầng HTTP.
3. Quản trị viên **rà soát và áp dụng** luật vào website tương ứng.
4. Máy chủ biên **chặn** các request khai thác trùng với dấu hiệu lỗ hổng.
5. Trang **giám sát** cho thấy luật đang chặn được bao nhiêu lưu lượng tấn công thực tế.
## Quy trình triển khai tổng quát
Để bắt đầu sử dụng WAF, tổ chức thực hiện bốn bước chính:
1. **Cài máy chủ biên** trên một hoặc nhiều server của tổ chức và để chúng kết nối về bảng điều khiển. Xem [Máy chủ biên](/vi/vulnscan/waf-nodes).
2. **Thêm website** cần bảo vệ, khai báo origin và trỏ DNS về máy chủ biên, sau đó xác minh. Xem [Thêm và xác minh website](/vi/vulnscan/waf-sites).
3. **Bật bộ luật bảo vệ**: kích hoạt bộ luật OWASP được quản lý và bổ sung luật tùy chỉnh hoặc vá ảo. Xem [Luật bảo vệ](/vi/vulnscan/waf-rules).
4. **Theo dõi và tinh chỉnh** thông qua sự kiện, nguồn nghi vấn và phân tích lưu lượng. Xem [Giám sát & phân tích](/vi/vulnscan/waf-monitoring).
Tính năng WAF yêu cầu giấy phép có quyền sử dụng WAF. Nếu mục WAF không hiển thị hoặc bị khóa, liên hệ đội ngũ kinh doanh của CyStack qua [sales@cystack.net](mailto:sales@cystack.net).
# Luật bảo vệ
Source: https://docs.cystack.net/vi/vulnscan/waf-rules
Bộ luật OWASP được quản lý, luật tùy chỉnh và vá ảo do AI sinh ra
Luật là trung tâm của CyStack WAF: chúng quyết định request nào bị chặn, được ghi nhận, cho phép hay chuyển hướng. CyStack WAF cung cấp hai lớp luật bổ trợ nhau:
* **Bộ luật OWASP được quản lý** — bật một công tắc để có ngay khả năng chống các tấn công web phổ biến.
* **Luật tùy chỉnh** — quy tắc riêng theo nhu cầu của tổ chức, bao gồm cả **vá ảo** do AI sinh ra từ kết quả quét.
Mọi thay đổi về luật được đồng bộ tới tất cả máy chủ biên gần như tức thì.
## Bộ luật OWASP được quản lý
Mở một website rồi vào mục **Chống tấn công mạng**. Bật công tắc để áp dụng **OWASP Core Rule Set (CRS)** — bộ luật mã nguồn mở, tiêu chuẩn ngành, được duy trì để phát hiện và chặn các tấn công ứng dụng web như SQL injection, XSS, thực thi mã từ xa (RCE), path traversal, upload tệp độc hại và các công cụ dò quét.
![Cấu hình bộ luật OWASP được quản lý]()
Hai tham số điều chỉnh độ chặt của bộ luật:
### Độ nhạy bảo vệ
Độ nhạy quyết định ngưỡng điểm bất thường để một request bị chặn:
| Mức | Hành vi | Khuyến nghị |
| ------------------ | --------------------------------------------------------------------------------- | ------------------------------------ |
| **Thấp** | Chỉ chặn khi dấu hiệu tấn công rất rõ ràng. Ít cảnh báo nhầm nhất. | Ứng dụng nhạy cảm với cảnh báo nhầm. |
| **Vừa (cân bằng)** | Chặn tấn công rõ ràng nhưng vẫn cho lưu lượng bình thường đi qua. | Mặc định, phù hợp hầu hết website. |
| **Cao** | Chặn cả dấu hiệu tinh vi. Bắt được nhiều tấn công hơn nhưng dễ cảnh báo nhầm hơn. | Ứng dụng có yêu cầu bảo mật cao. |
### Mức paranoia
Mức paranoia (PL1–PL4) chọn nhóm luật nào được đánh giá:
* **PL1** (mặc định) — thận trọng, tối thiểu cảnh báo nhầm.
* **PL2** — chặt hơn, có thể phát sinh một số cảnh báo nhầm.
* **PL3–PL4** — rất chặt, bắt nhiều dấu hiệu nhất nhưng cảnh báo nhầm cao hơn.
Nên bắt đầu ở **Độ nhạy: Vừa** và **PL1**, theo dõi trang [sự kiện bảo mật](/vi/vulnscan/waf-monitoring) trong vài ngày, rồi nâng dần độ chặt nếu không thấy lưu lượng hợp lệ bị chặn nhầm.
Bộ luật được quản lý sẽ tự cập nhật theo bản phát hành mới, tổ chức không cần can thiệp.
## Luật tùy chỉnh
Mục **Rule tùy chỉnh** cho phép tạo quy tắc riêng để khớp bất kỳ đặc điểm nào của request và chọn hành động tương ứng.
![Danh sách luật tùy chỉnh]()
Mỗi luật gồm một hoặc nhiều **điều kiện** (nối với nhau bằng VÀ — tất cả phải khớp) và một **hành động**.
### Điều kiện
| Thành phần | Giá trị |
| ----------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Trường** | `path`, `uri`, `query`, `method`, `header`, `cookie`, `body`, `ip`, `country`, `asn`, `user_agent`. |
| **Toán tử** | `eq` (bằng), `ne` (khác), `contains` (chứa), `starts_with` (bắt đầu bằng), `ends_with` (kết thúc bằng), `matches` (khớp biểu thức), `in` (thuộc danh sách). |
| **Giá trị** | Chuỗi hoặc danh sách giá trị. Với `header`/`cookie` có thể chỉ định tên trường cụ thể. |
Hệ thống hiển thị bản xem trước biểu thức của luật, ví dụ `path contains "/wp-login.php"` hoặc `path starts_with "/search" and query contains "union select"`.
### Hành động
| Hành động | Mô tả |
| ---------------- | ------------------------------------------------------------------------------------ |
| **Chặn** | Trả về mã trạng thái (403, 429 hoặc 503) và dừng request. |
| **Ghi nhận** | Cho request đi qua nhưng ghi lại sự kiện — hữu ích khi thử nghiệm luật mới. |
| **Cho phép** | Bỏ qua kiểm tra cho request khớp (danh sách trắng). |
| **Chuyển hướng** | Trả về chuyển hướng tới URL khác. Xem [Kiểm soát truy cập](/vi/vulnscan/waf-access). |
Mỗi luật có công tắc bật/tắt riêng và hiển thị **số lần khớp trong 24 giờ**, giúp đánh giá tác động thực tế trước khi siết chặt thêm.
## Vá ảo do AI sinh ra
Khi một lượt quét của VulnScan phát hiện lỗ hổng web có thể giảm thiểu ở tầng HTTP, lớp AI sẽ **đề xuất luật vá ảo** tương ứng. Luật này xuất hiện trong danh sách luật tùy chỉnh với nhãn **Vá ảo** và tham chiếu tới lỗ hổng gốc.
Vá ảo được thiết kế để khớp đúng **dấu hiệu tấn công** (ví dụ một tham số độc hại trên một đường dẫn cụ thể) chứ không chặn toàn bộ điểm truy cập, nhằm hạn chế ảnh hưởng tới lưu lượng hợp lệ. Quy trình:
1. AI sinh luật từ lỗ hổng và điền sẵn điều kiện cùng hành động chặn.
2. Quản trị viên **rà soát** điều kiện để bảo đảm luật khớp đúng dấu hiệu khai thác.
3. Bật luật để máy chủ biên bắt đầu chặn.
4. Theo dõi số lần khớp và sự kiện để xác nhận hiệu quả.
Vá ảo là biện pháp giảm thiểu tạm thời tại lớp biên, giúp thu hẹp khoảng thời gian rủi ro trong khi đội phát triển vá triệt để ở mã nguồn. Không nên xem vá ảo là phương án thay thế cho việc sửa lỗ hổng gốc.
## Thứ tự áp dụng luật
Các luật được áp dụng theo thứ tự ưu tiên. Luật **cho phép** (danh sách trắng) nên đặt cho các nguồn tin cậy như mạng văn phòng để tránh bị các luật chặn bên dưới ảnh hưởng. Bộ luật OWASP được quản lý và luật tùy chỉnh hoạt động song song; một request có thể bị chặn bởi bất kỳ lớp nào khớp trước.
# Thêm và xác minh website
Source: https://docs.cystack.net/vi/vulnscan/waf-sites
Khai báo website cần bảo vệ, cấu hình origin, trỏ DNS về máy chủ biên và xác minh
Sau khi đã có ít nhất một [máy chủ biên](/vi/vulnscan/waf-nodes) sẵn sàng, bước tiếp theo là khai báo các **website** cần WAF bảo vệ. Mỗi website là một tên miền gắn với một hoặc nhiều **origin** (máy chủ gốc). VulnScan dẫn người dùng qua một trình hướng dẫn ba bước, sau đó yêu cầu **xác minh** quyền sở hữu bằng DNS trước khi luật có hiệu lực.
![Trình hướng dẫn thêm website]()
## Thêm website
Mở mục **WAF** và chọn **Thêm website**. Trình hướng dẫn gồm ba bước:
### Bước 1 — Chọn tên miền
Chọn một tên miền đã có trong danh sách tài sản, hoặc nhập một **tên miền mới**. Hệ thống kiểm tra định dạng tên miền và phát hiện trùng lặp. Ví dụ minh họa trong tài liệu này dùng `acme.com`.
### Bước 2 — Cấu hình origin
VulnScan phân giải bản ghi DNS hiện tại của tên miền để gợi ý origin. Origin là nơi node sẽ chuyển tiếp request hợp lệ — thường là IP hoặc tên máy chủ nội bộ của ứng dụng, ví dụ `origin.acme.com`.
* Có thể chỉnh sửa hoặc thêm nhiều origin thủ công.
* Nút **Kiểm tra origin** thử kết nối tới origin từ bảng điều khiển, báo về giao thức (HTTP/HTTPS), mã trạng thái và tính hợp lệ của chứng chỉ.
* Hệ thống cảnh báo nếu tên miền đang được proxy qua một dịch vụ khác để tránh tạo vòng lặp.
Nên dùng origin riêng (ví dụ `origin.acme.com`) trỏ thẳng tới máy chủ gốc, thay vì trỏ về chính tên miền công khai đang được WAF bảo vệ. Điều này tránh việc lưu lượng quay vòng qua node.
### Bước 3 — Trỏ DNS và xác minh
Bảng điều khiển cung cấp một **tên miền quản lý** dạng `vs-.cystack.io` (ví dụ `vs-7f3a9.cystack.io`). Cập nhật DNS của tên miền để trỏ lưu lượng qua máy chủ biên, theo một trong hai cách:
| Cách trỏ DNS | Bản ghi | Khi nào dùng |
| ------------------------------ | -------------------------------------- | ------------------------------------------------------------------------------ |
| **CNAME tới tên miền quản lý** | `CNAME acme.com → vs-7f3a9.cystack.io` | Cách khuyến nghị; hoạt động cả khi tên miền đứng sau một dịch vụ DNS/CDN khác. |
| **A record tới IP node** | `A acme.com → 203.0.113.10` | Khi muốn trỏ thẳng tới IP công khai của máy chủ biên. |
Sau khi cập nhật DNS, chọn **Xác minh**. VulnScan phân giải tên miền và kiểm tra nó đã trỏ tới IP của node (qua A record) hoặc tới tên miền quản lý (qua CNAME). Khi xác minh thành công:
* Website chuyển sang trạng thái **Đang bảo vệ** và mở khóa cấu hình luật.
* Tên miền được thêm vào danh sách tài sản nếu còn trong phạm vi giấy phép.
* Hệ thống tự kiểm tra lại định kỳ nếu website chưa xác minh.
## Trạng thái website
Danh sách website hiển thị trạng thái vận hành tổng hợp của từng tên miền:
![Danh sách website với các trạng thái khác nhau]()
| Trạng thái | Ý nghĩa |
| --------------- | ---------------------------------------------------------------------------------- |
| **Đang bảo vệ** | DNS đã trỏ đúng, node phục vụ được, origin truy cập được và chứng chỉ hợp lệ. |
| **Chờ trỏ DNS** | Website đã tạo nhưng DNS chưa xác minh; luật chưa có hiệu lực. |
| **Cảnh báo** | DNS đã xác minh nhưng có node không kết nối được origin hoặc chứng chỉ gặp vấn đề. |
| **Gián đoạn** | Không có node sẵn sàng để phục vụ website. |
Cột bộ luật cho biết website đang bật bộ luật OWASP được quản lý ở mức paranoia nào (ví dụ `CRS PL1`) hay đang tắt.
## Cấu hình website
Mở một website rồi vào mục **Cài đặt** để chỉnh:
![Cài đặt website]()
* **Tên miền**: thay đổi sẽ yêu cầu xác minh lại.
* **Origin**: thêm hoặc gỡ máy chủ gốc.
* **Bật/tắt website**: tạm dừng bảo vệ mà không xóa cấu hình.
* **TLS**: lựa chọn xử lý HTTP/HTTPS.
* **Xác minh lại**: kiểm tra DNS thủ công và xem thời điểm xác minh gần nhất cùng tình trạng node.
## Sau khi xác minh
Khi website đã ở trạng thái **Đang bảo vệ**, tiếp tục với:
* [Luật bảo vệ](/vi/vulnscan/waf-rules) — bật bộ luật OWASP và thêm luật tùy chỉnh.
* [Kiểm soát truy cập & lưu lượng](/vi/vulnscan/waf-access) — chặn theo IP/quốc gia, giới hạn tần suất, chuyển hướng.
* [Giám sát & phân tích](/vi/vulnscan/waf-monitoring) — theo dõi sự kiện và lưu lượng.
# Web UI
Source: https://docs.cystack.net/vi/vulnscan/web-ui
Điều hướng giao diện Web UI và các quy trình chính của VulnScan
Web UI là giao diện chính để đội bảo mật sử dụng CyStack VulnScan hằng ngày. Tại đây, người dùng có thể quản lý tài sản, chạy quét, xem phát hiện, xuất báo cáo, quản lý thành viên, cấu hình email và xem thông tin giấy phép trong cùng một không gian làm việc.
![Bảng điều khiển VulnScan]()
## Các khu vực chính
| Khu vực | Mục đích |
| --------------------------- | ------------------------------------------------------------------------------------------------- |
| Bảng điều khiển | Tổng quan tài sản, lượt quét, mức độ nghiêm trọng, phát hiện rủi ro cao và hoạt động gần đây. |
| Tài sản | Quản lý tên miền, URL, IP, CIDR, tên miền con, dịch vụ, TLS, WAF/CDN và công nghệ phát hiện được. |
| Lượt quét | Theo dõi hàng đợi, lịch sử quét, nguồn quét, tiến trình và tóm tắt kết quả. |
| Phát hiện | Xem bằng chứng, điểm rủi ro, trạng thái xử lý, người phụ trách và hướng dẫn khắc phục. |
| Báo cáo | Xuất CSV, JSON và PDF. |
| Cài đặt không gian làm việc | Quản lý thành viên, cấu hình email, thông tin giấy phép và các cài đặt chung. |
| Menu người dùng | Thông tin cá nhân, tên hiển thị, ngôn ngữ, mật khẩu và đăng xuất. |
## Bảng điều khiển
Bảng điều khiển giúp quản trị viên và người quản lý nắm tình hình trước khi đi vào chi tiết:
* Tổng số tài sản đang quản lý.
* Số lượt quét và trạng thái quét gần đây.
* Phát hiện theo Critical, High, Medium, Low và Informational.
* Lượt quét vừa hoàn tất.
* Vấn đề ưu tiên cao cần xử lý.
* Biểu đồ xu hướng khi đã có đủ lịch sử quét.
Sau các lượt quét định kỳ, quản trị viên nên xem bảng điều khiển trước để biết bề mặt tấn công có thay đổi hay không và có phát hiện mới nào cần xử lý ngay không.
## Menu người dùng
Menu người dùng chứa các thiết lập cá nhân:
* Thông tin cá nhân và tên hiển thị.
* Đổi mật khẩu.
* Chọn ngôn ngữ giao diện.
* Đăng xuất.
Cài đặt ảnh hưởng toàn bộ không gian làm việc được đặt trong **Cài đặt không gian làm việc** và chỉ quản trị viên có quyền thay đổi.
## Quy trình quản lý tài sản
1. Mở **Tài sản**.
2. Thêm tên miền gốc, URL, IP hoặc CIDR.
3. Kiểm tra kết quả phát hiện tài sản trên trang chi tiết.
4. Xác nhận tên miền con, dịch vụ, TLS, WAF/CDN và công nghệ phát hiện được.
5. Chỉ bắt đầu quét khi phạm vi đã đúng.
![Chi tiết tài sản]()
## Quy trình quét
1. Bắt đầu quét từ trang chi tiết tài sản hoặc danh sách lượt quét.
2. Thêm thông tin xác thực nếu ứng dụng yêu cầu đăng nhập.
3. Theo dõi trạng thái trong trang chi tiết lượt quét.
4. Xem dịch vụ phát hiện được và số lượng phát hiện theo mức độ nghiêm trọng.
5. Xử lý theo thứ tự Critical đến Low.
6. Xuất CSV/JSON cho đội kỹ thuật hoặc PDF cho báo cáo quản lý.
![Chi tiết lượt quét]()
## Quy trình xử lý phát hiện
1. Mở trang chi tiết phát hiện.
2. Kiểm tra tài sản, URL, tham số, cổng, dịch vụ hoặc thành phần bị ảnh hưởng.
3. Xem bằng chứng, điểm tin cậy, mức độ nghiêm trọng, CVSS, EPSS, KEV, CWE, OWASP và WSTG.
4. Gán người phụ trách nếu tổ chức có quy trình theo dõi chủ sở hữu.
5. Theo dõi trạng thái đến khi vấn đề được khắc phục hoặc được chấp nhận rủi ro.
6. Quét lại để xác nhận kết quả khắc phục.
![Chi tiết phát hiện]()
## Quản trị không gian làm việc
Quản trị viên nên hoàn tất ba cấu hình trước khi sử dụng trong môi trường vận hành chính:
* **Thành viên**: mời người dùng và gán vai trò Quản trị viên hoặc Thành viên.
* **Email**: cấu hình SendGrid, AWS SES hoặc SMTP tùy chỉnh để gửi lời mời, thông báo quét xong và thông báo báo cáo sẵn sàng.
* **Giấy phép**: kiểm tra phạm vi mục tiêu, số lượng mục tiêu, số lượt kích hoạt, ngày hết hạn và tính năng được cấp phép.
![Quản lý thành viên]()
## Nhất quán giữa Web UI và CLI
Web UI và CLI dùng cùng lõi quét và cùng dữ liệu không gian làm việc cho các lượt quét chuẩn. Khi CLI dùng cùng cấu hình, kết quả tạo từ CLI có thể hiển thị trong Web UI. Nguồn quét cho biết lượt quét đến từ Web UI, CLI hay lịch quét.
# Cài đặt không gian làm việc
Source: https://docs.cystack.net/vi/vulnscan/workspace-settings
Cấu hình thành viên, email, giấy phép và thông tin cá nhân
Mỗi bản cài CyStack VulnScan được xem như một không gian làm việc. Cài đặt được tách thành cài đặt cá nhân và cài đặt không gian làm việc để người dùng có thể tự quản lý hồ sơ của mình mà không ảnh hưởng đến cấu hình chung của tổ chức.
## Cài đặt cá nhân
Cài đặt cá nhân nằm trong menu người dùng.
Người dùng có thể quản lý:
* Tên hiển thị.
* Email.
* Ngôn ngữ giao diện.
* Mật khẩu.
* Đăng xuất.
Màn hình thông tin cá nhân hiển thị tên và email để nhận diện trong vận hành hằng ngày. Các mã định danh nội bộ không cần hiển thị cho người dùng thông thường.
## Cài đặt không gian làm việc
Cài đặt không gian làm việc dành cho quản trị viên và ảnh hưởng đến toàn bộ bản cài:
* Thành viên và vai trò.
* Nhà cung cấp email và thông tin người gửi.
* Trạng thái giấy phép, giới hạn sử dụng và phạm vi mục tiêu được cấp phép.
* Cấu hình quét hoặc báo cáo ở cấp không gian làm việc nếu bản triển khai hỗ trợ.
## Thành viên
VulnScan hỗ trợ hai vai trò:
| Vai trò | Quyền |
| ------------- | --------------------------------------------------------------------------------------- |
| Quản trị viên | Quản lý thành viên, cài đặt email, giấy phép, tài sản, lượt quét, phát hiện và báo cáo. |
| Thành viên | Xem tài sản, chạy quét, xem phát hiện và xuất báo cáo theo chính sách của tổ chức. |
![Quản lý thành viên]()
Mời thành viên:
1. Mở **Cài đặt không gian làm việc**.
2. Chọn **Thành viên**.
3. Chọn **Mời thành viên**.
4. Nhập tên và email.
5. Chọn vai trò Quản trị viên hoặc Thành viên.
6. Gửi lời mời.
Nếu đã cấu hình email, VulnScan sẽ tự động gửi thư mời.
## Gửi email
VulnScan có thể gửi email cho các sự kiện:
* Mời thành viên.
* Lượt quét hoàn tất.
* Báo cáo PDF đã sẵn sàng.
Nhà cung cấp được hỗ trợ:
| Nhà cung cấp | Khi nào dùng |
| -------------- | ---------------------------------------------------------- |
| SendGrid API | Tổ chức dùng SendGrid cho email giao dịch. |
| AWS SES | Tổ chức gửi email qua AWS. |
| SMTP tùy chỉnh | Tổ chức có SMTP relay nội bộ hoặc nhà cung cấp email khác. |
![Cài đặt email]()
Cấu hình email thường gồm:
* Loại nhà cung cấp.
* Tên người gửi và địa chỉ email người gửi.
* API token hoặc thông tin đăng nhập SMTP.
* Máy chủ SMTP, cổng, chế độ TLS, tên đăng nhập và mật khẩu nếu dùng SMTP tùy chỉnh.
* Vùng triển khai và thông tin xác thực nếu dùng AWS SES.
* Địa chỉ nhận email kiểm thử.
Luôn gửi email kiểm thử sau khi thay đổi cấu hình.
## Mẫu email
VulnScan dùng mẫu email cho:
* Lời mời thành viên.
* Thông báo lượt quét hoàn tất.
* Thông báo báo cáo đã sẵn sàng.
Nội dung email cần đủ rõ để người nhận biết không gian làm việc, lượt quét, tài sản, tóm tắt mức độ nghiêm trọng và hành động tiếp theo.
## Giấy phép
Màn hình giấy phép cho biết bản cài được phép quét những mục tiêu nào và còn bao nhiêu dung lượng sử dụng.
![Cài đặt giấy phép]()
Cần xem:
| Trường | Ý nghĩa |
| ---------------------- | ----------------------------------------------------------------------------------------------- |
| Trạng thái | Đang hoạt động, hết hạn, chưa kích hoạt hoặc không hợp lệ. |
| Ngày hết hạn | Thời điểm giấy phép không còn cho phép tạo lượt quét mới. |
| Mục tiêu được cấp phép | Tên miền, tên miền wildcard, IP hoặc CIDR nằm trong phạm vi giấy phép. |
| Giới hạn mục tiêu | Số lượng mục tiêu hoặc tài sản tối đa theo gói sử dụng. |
| Số lượng đã dùng | Số mục tiêu đã sử dụng trong không gian làm việc. |
| Giới hạn kích hoạt | Số máy hoặc bản cài được phép kích hoạt theo giấy phép. |
| Tính năng | Các tính năng được cấp phép như Web UI, CLI, báo cáo, AI hoặc dữ liệu tình báo nâng cao nếu có. |
Nếu một mục tiêu nằm ngoài phạm vi được cấp phép hoặc đã vượt quá giới hạn, VulnScan sẽ thông báo để người dùng điều chỉnh phạm vi trước khi quét.
## Khuyến nghị quản trị
* Có ít nhất hai quản trị viên.
* Dùng tài khoản cá nhân thay vì tài khoản dùng chung.
* Cấu hình email trước khi mời thành viên.
* Kiểm tra số lượng mục tiêu đã dùng trước khi thêm tên miền hoặc CIDR lớn.
* Ghi lại quy trình gia hạn giấy phép.
* Kiểm thử lại email sau khi thay đổi thông tin xác thực.
* Định kỳ gỡ quyền người dùng không còn cần truy cập.
# Quản lý ngân sách
Source: https://docs.cystack.net/vi/whitehub/asset-management
Giới thiệu về cách quản lý ngân sách trong chương trình **Bug Bounty** trên **WhiteHub**.
## Thêm ngân sách
Ngân sách của chương trình được thiết lập từ đầu dựa trên hợp đồng của **doanh nghiệp** và **WhiteHub**, thông tin này chỉ được cập nhật bởi **đội ngũ WhiteHub**.
***
## Theo dõi ngân sách
Truy cập **Chế độ quản lý** Chọn **Chương trình** Chọn **Trao thưởng**. Tại đây chúng ta có thể theo dõi lịch sử trao thưởng và số dư còn lại:
![bounty-reward-track]()
![bounty-reward-detail]()
# Chương trình Bug Bounty
Source: https://docs.cystack.net/vi/whitehub/bug-bounty
Giới thiệu về chương trình **Bug Bounty** của **WhiteHub** và cách tham gia để tìm kiếm và báo cáo lỗ hổng bảo mật.
**Bug Bounty** là chương trình trao thưởng của doanh nghiệp cho các nhà nghiên cứu an ninh mạng vì những phát hiện về lỗ hổng bảo mật của họ trong sản phẩm của doanh nghiệp.
Mục tiêu của WhiteHub là cung cấp một nền tảng công nghệ để doanh nghiệp có thể quản lý chương trình **Bug Bounty** của riêng mình đơn giản và khoa học nhất.
Địa chỉ truy cập **WhiteHub**: [https://whitehub.net](https://whitehub.net/)
![whitehub_bug_bounty_intro]()
# Tạo chương trình
Source: https://docs.cystack.net/vi/whitehub/create-program
Giới thiệu về cách tạo chương trình **Bug Bounty** trên **WhiteHub**.
Click vào nút Tạo chương trình từ giao diện quản trị:}>
![bounty-program-create]()
Nhập các thông tin cần thiết theo yêu cầu và click Tạo chương trình.}>
Để hiểu hơn về ý nghĩa các thông tin này, bạn có thể xem chi tiết tại mục [Các thuộc tính của chương trình](/vi/whitehub/program-attributes.mdx)
![bounty-program-config]()
Nhập các thông tin về thể lệ chương trình và click Xét duyệt chương trình.}>
Để hiểu hơn về ý nghĩa các thông tin này, bạn có thể xem chi tiết tại mục [Các thuộc tính của chương trình](/vi/whitehub/program-attributes.mdx)
![bounty-program-submit]()
# Quản lý Thành viên
Source: https://docs.cystack.net/vi/whitehub/member-management
Giới thiệu về cách quản lý thành viên trong chương trình **Bug Bounty** trên **WhiteHub**.
## Kiểu thành viên
Mỗi chương trình sẽ có 2 nhóm thành viên:
* **Quản trị chương trình:** Là những người chịu trách nhiệm quản lý chương trình bug bounty, được
chia thành các nhóm nhỏ với chức năng khác nhau, sẽ được giải thích ở phần sau.
* **Nhà nghiên cứu (Researcher):** Là những người tham gia tìm lỗ hổng cho chương trình. Với các
chương trình công khai thì họ có thể tham gia tự do, nhưng với chương trình hạn chế hoặc bí mật, họ chỉ được tham gia khi nhận được lời mời từ quản trị.
Thêm/xoá thành viên cho chương trình bằng cách truy cập chế độ quản lý chọn **Chương trình** và chọn **Thành viên**.
![bounty-program-member-management]()
***
## Quyền của quản trị
Quản trị chương trình được chia thành 3 role, với quyền như sau:
| | Owner | Viewer | Developer |
| ------------------------------ | ----- | ------ | --------- |
| Ghi chú báo cáo | x | x | |
| Theo dõi lịch sử trao thưởng | x | x | |
| Bình luận báo cáo | x | | |
| Cập nhật báo cáo | x | | |
| Trao thưởng | x | | |
| Thêm/xoá thành viên | x | | |
| Cập nhật nội dung chương trình | x | | |
# Bình luận và Ghi chú
Source: https://docs.cystack.net/vi/whitehub/notes-and-comments
Hướng dẫn sử dụng Bình luận và Ghi chú trong quá trình xử lý báo cáo **Bug Bounty** trên **WhiteHub**.
## Bình luận và Ghi chú
Trong suốt quá trình xử lý lỗ hổng, **Quản trị chương trình** có thể trao đổi trực tiếp với **Researcher** thông qua giao diện **Bình luận** để có thể hiểu rõ hơn về vấn đề đang gặp phải.
Bên cạnh đấy, các quản trị cũng có thể sử dụng tính năng **Note** để trao đổi nội bộ với nhau, những nội dung được hiển thị ở **Ghi chú** sẽ chỉ được nhìn thấy bởi các quản trị và được ẩn hoàn toàn với **Researcher**.
![note]()
Trình soạn thảo **Bình luận/Ghi chú** hỗ trợ chuẩn Markdown, giúp thuận tiện cho việc trình bày code, style văn bản. Ngoài ra, người dùng cũng có thể sử dụng file đính kèm không giới hạn kiểu file để minh hoạ cho bình luận của mình.
# Các thuộc tính của chương trình
Source: https://docs.cystack.net/vi/whitehub/program-attributes
Mô tả chi tiết các thuộc tính khi tạo chương trình **Bug Bounty** trên **WhiteHub**.
## Các thuộc tính của chương trình
### Thông tin tổ chức
Các thông tin ở đây sẽ được công bố công khai đến cộng đồng an ninh mạng
![sample_program.png]()
1. **Tên:** Là tên sản phẩm hoặc tên chương trình **Bug Bounty** mà doanh nghiệp muốn hiển thị cho cộng đồng thấy
2. **Mô tả tiếng Việt/tiếng Anh:** Một câu mô tả ngắn về sản phẩm hoặc doanh nghiệp chủ chương trình
3. **Tên rút gọn:** Một từ để sử dụng cho link truy cập chương trình. Đường link này sẽ có dạng\
[https://whitehub.net/programs](https://whitehub.net/programs) /\/
4. **Màu sắc/logo chương trình:** Là màu sắc/logo của thương hiệu
5. **Email, số điện thoại, địa chỉ, thông tin mạng xã hội:** Là các thông tin khác tương ứng
![sample_program2.png]()
### Kiểu chương trình
Một chương trình **Bug Bounty** có thể thuộc 1 trong 3 kiểu sau:
1. **Công khai (Public):** Chương trình được hiển thị công khai toàn bộ thông tin và tất cả nhà nghiên cứu trên hệ thống WhiteHub đều có thể tham gia.
2. **Hạn chế (Semi-Private):** Chương trình được hiển thị công khai tên nhưng bí mật nội dung. Tất cả chuyên gia đều nhìn thấy tên chương trình nhưng muốn tham gia phải gửi yêu cầu và chờ sự đồng ý của chủ chương trình
3. **Bí mật (Private):** Chương trình không được hiển thị công khai và chỉ những nhà nghiên cứu được WhiteHub mời mới có thể nhìn thấy và tham gia.
### Phạm vi chương trình
Phạm vi chương trình là danh sách các đối tượng cần hoặc không cần được test security của doanh nghiệp. WhiteHub hỗ trợ nhiều loại đối tượng khác nhau như website, mobile app, source code, thiết bị phần cứng...
Phạm vi được chia làm 2 loại:
1. **In scope:** Các đối tượng cần được test security, chẳng hạn như một địa chỉ website ([https://whitehub.net](https://whitehub.net)), một wildcard domain **(\*.whitehub.net)** hay một ứng dụng mobile trên store.
2. **Out of scope:** Các đối tượng không cần được test security. Thường thì đây là những sản phẩm do đối tác quản lý hoặc vấn đề security của chúng ít có ảnh hưởng đến doanh nghiệp.
![scope.png]()
### Mức thưởng
Mức thưởng được căn cứ theo mức độ nguy hiểm của lỗ hổng và do doanh nghiệp tự quy định.
![reward.png]()
### Các quy định
Đây là nội dung do doanh nghiệp tự định nghĩa về các quy định cụ thể trong việc tìm lỗ hổng, chẳng hạn:
* **Các loại lỗi cần tập trung:** SQLi, remote code execution, data leakage, authorization bypass...
* **Các loại lỗi không hợp lệ:** Các lỗi không tuân theo logic của người dùng và sẽ khó xảy ra thực tế, lỗi chỉ xảy ra khi sử dụng trình duyệt hay plugin phiên bản rất thấp, lỗi cho phép lấy thông tin phiên bản của các công nghệ web...
* Hướng dẫn truy cập ứng dụng
* Các hành vi bị nghiêm cấm
# Các thuộc tính của báo cáo
Source: https://docs.cystack.net/vi/whitehub/report-attributes
Giới thiệu các thuộc tính của báo cáo **Bug Bounty** trên **WhiteHub**.
## Các thuộc tính của báo cáo
### Mức độ nguy hiểm của lỗ hổng
Lỗ hổng được chia thành 5 cấp độ nguy hiểm như sau
1. Critical
* Khai thác lỗ hổng có thể chiếm được quyền điều khiển của máy chủ hoặc thiết bị hạ tầng khác mà ứng dụng hoạt động trên đó.
* Việc tấn công là hoàn toàn trực tiếp, không cần sử dụng các hình thức lừa đảo, social engineering để thu thập thông tin từ con người.
2. High
* Việc khai thác lỗ hổng có thể dẫn đến leo thang đặc quyền.
* Việc khai thác lỗ hổng có thể dẫn đến mất dữ liệu hoặc gây gián đoạn truy cập dịch vụ.
3. Medium
* Thông thường, kẻ tấn công phải sử dụng các hình thức lừa đảo, social engineering để thu thập thông tin từ con người để tiếp cận nạn nhân.
* Việc khai thác yêu cầu kẻ tấn công phải hoạt động trên một vùng mạng nội bộ với mục tiêu.
* Việc khai thác chỉ mang lại một lượng thông tin rất hạn chế.
* Các lỗ hổng đòi hỏi quyền người dùng cao hơn để khai thác thành công.
4. Low
* Cuộc tấn công có tác động rất thấp đến hoạt động và dữ liệu của mục tiêu.
* Việc khai thác thường đòi hỏi truy cập ở mức vật lý hoặc local.
### Các trạng thái của báo cáo
Một báo cáo có thể được chia thành 3 trạng thái chính, với các trạng thái nhỏ hơn như sau:
1. **Open**
* New: Báo cáo vừa được gửi và chưa được quản trị xem.
* Triaged: Báo cáo đang trong quá trình điều tra.
2. **Accepted**
* Unresolved: Báo cáo hợp lệ nhưng lỗ hổng chưa được vá.
* Resolved: Báo cáo hợp lệ và lỗ hổng đã được vá.
* Duplicate: Báo cáo hợp lệ nhưng bị trùng với một báo cáo khác.
3. **Rejected**
* Out of Scope: Báo cáo không thuộc phạm vi của chương trình.
* Not Reproducible: Quản trị không thể tái tạo được lỗi theo mô tả của researcher
* Not Reproducible: Quản trị không thể tái tạo được lỗi theo mô tả của researcher.
* Won’t Fix: Vấn đề được nêu trong báo cáo có mức độ ảnh hưởng rất thấp nên sẽ không cần khắc phục.
* Not Applicable: Vấn đề được nêu trong báo cáo không phải là một vấn đề an ninh.
* Spam: Báo cáo mang tính chất spam, bị liệt vào trạng thái này thì nhà nghiên cứu sẽ bị trừ điểm tín nhiêm.
### Tính công khai của báo cáo
Mặc định, một báo cáo an ninh hoàn toàn bí mật giữa người gửi và người nhận. Tuy nhiên, sẽ có nhiều trường hợp mà nhà nghiên cứu muốn công bố phát hiện của mình cho cộng đồng. **Quản trị chương trình** có quyền đồng ý hoặc từ chối yêu cầu này dựa trên đặc thù trường hợp, sản phẩm hay doanh nghiệp của mình.
Trong trường hợp quản trị đồng ý cho phép công khai báo cáo, bạn chỉ cần chuyển chế độ minh bạch của báo cáo từ **Private** thành **Public**.
![disclose]()
Khi đó, tất cả thành viên của **WhiteHub** có thể xem được báo cáo trên trang cộng đồng.
![disclose2.png]()
# Xử lý báo cáo
Source: https://docs.cystack.net/vi/whitehub/report-processing
Quy trình xử lý báo cáo **Bug Bounty** trên **WhiteHub**.
## Xử lý báo cáo
Quá trình xử lý một báo cáo bao gồm các bước sau:
### 1. Tiếp nhận
Khi có một báo cáo mới đến chương trình, một owner mặc định sẽ nhận được email thông báo. Chúng ta có thể thay đổi owner mặc đinh này trong phần quản lý thành viên của chương trình.
Người tiếp nhận sẽ phải:
Kiểm tra qua tính hợp lệ của báo cáo.}>
Nếu không hợp lệ có thể chuyển trạng thái báo cáo qua Rejected luôn.
Comment đã tiếp nhận báo cáo đến researcher.}>
Đồng thời chuyển trạng thái về Triagged để báo hiệu quá trình điều tra bắt đầu.
![new_report.png]()
Sửa lại định dạng mô tả báo cáo nếu cần.}>
Mô tả sẽ được viết dưới dạng markdown
Giao (assign) báo cáo cho một người cụ thể trong nhóm mình phụ trách việc xử lý.}>
Nếu không assign cho người cụ thể khác, mặc định bạn sẽ là người xử lý báo cáo.
![assign]()
### 2. Điều tra
Quá trình này đòi hỏi việc phân tích chính xác các thông tin mà researcher cung cấp, bao gồm:
Trong nhiều trường hợp, lỗ hổng được báo cáo có thể thuộc những trường hợp không hợp lệ như sau:
* Báo cáo bị trùng với một phát hiện trước đó. Xử lý bằng cách chuyển trạng thái thành Duplicate và bổ sung thêm id của báo cáo trước đó. Việc thêm id báo cáo trùng là không bắt buộc tuy nhiên nó thực sự cần thiết để tránh các xung đột về sau với researcher.
![duplicate]()
* Báo cáo không nằm trong phạm vi chương trình. Xử lý bằng cách chuyển trạng thái thành Out of Scope và hoàn tất.
* Báo cáo không phải là một vấn đề an ninh mà chỉ là một lỗi lập trình thông thường. Xử lý bằng cách chuyển trạng thái thành Not Applicable và hoàn tất.
* Báo cáo có mức độ nguy hiểm rất thấp và không cần phải khắc phục. Xử lý bằng cách chuyển trạng thái thành Won’t fix và hoàn tất.
Nếu không thể tái tạo được thì comment trao đổi đến khi thực hiện được. Trong trường hợp cuối cùng vẫn không thể tái tạo lại lỗi thì chuyển trạng thái thành Not Reproducible và hoàn tất.
Cần xác định đúng loại lỗ hổng vì có thể researcher nhầm lẫn giữa các loại lỗ hổng, việc này có thể thực hiện bằng cách dựa trên kinh nghiệm của bạn hoặc trao đổi trực tiếp với researcher.
![vuln_type.png]()
Mức độ nguy hiểm của lỗi mặc định được gán theo loại lỗi theo chuẩn **VRT**, tuy nhiên điều này không hẳn đúng trong những hoàn cảnh cụ thể. Vì vậy, cần đánh giá mức độ nguy hiểm này dựa trên những tác động thực tế mà lỗ hổng gây ra cho hệ thống và doanh nghiệp của bạn.
Bạn có thể tham khảo cách phân loại mức độ nguy hiểm [tại đây](https://www.notion.so/20dfb45532ff802db7a1cbedcf8beaa2?pvs=21).
### 3. Hoàn tất
Nếu báo cáo được xác định là đúng và tồn tại lỗ hổng, chúng ta cần chuyển trạng thái về:
* Unresolved nếu lỗ hổng chưa được vá.
* Resolved nếu lỗ hổng đã được vá.
Tại thời điểm này, chúng ta đã đủ căn cứ để trao thưởng cho researcher mà không cần chờ vá lỗi xong, vì việc vá lỗ hổng có thể tốn nhiều thời gian.
Trả thưởng bằng cách click vào nút Trao thưởng phía trên báo cáo và nhập số tiền cần trao, số tiền này không thể nhỏ hơn mức thưởng đã quy ước từ trước.
![reward2]()
Một báo cáo được xem là kết thúc khi trạng thái báo cáo là Resolved và chúng ta có thể lưu trữ báo cáo đó để bớt rối hơn khi duyệt các báo cáo mới.
![archive]()
# Cập nhật chương trình
Source: https://docs.cystack.net/vi/whitehub/update-program
Giới thiệu về cách cập nhật chương trình **Bug Bounty** trên **WhiteHub**.
Trong quá trình vận hành chương trình, các nội dung và thể lệ chương trình có thể được thay đổi. Việc này được thực hiện như sau:
Các thuộc tính có thể thay đổi bao gồm: thể lệ chương trình, thông tin về doanh nghiệp, danh sách thành viên tham gia chương trình.
Các nội dung được cập nhật sẽ được thông báo công khai đến tất cả các thành viên tham gia chương trình thông qua email và thông báo trong ứng dụng. Nội dung này cũng sẽ được ghi lại như một lịch sử cập nhật tại [Lịch sử cập nhật](https://whitehub.net/programs/\/updates).
![bounty-program-update]()
# Chế độ sử dụng WhiteHub
Source: https://docs.cystack.net/vi/whitehub/use-mode
Giới thiệu về các chế độ sử dụng của **WhiteHub** và cách lựa chọn chế độ phù hợp với nhu cầu.
**WhiteHub** có 2 chế độ sử dụng dành cho 2 nhóm thành viên tương ứng:
* **Nhà nghiên cứu**: Là những người tham gia tìm kiếm lỗ hổng bảo mật và báo cáo kết quả cho doanh nghiệp.
* **Quản trị chương trình**: Là đại diện của doanh nghiệp trong việc quản lý chương trình **Bug Bounty**, chịu trách nhiệm xác nhận tính chính xác của báo cáo, trả thưởng cho các nhà nghiên cứu.
Trong phạm vi tài liệu này, chúng ta chỉ tập trung vào chế độ dành cho **Quản trị**. Cách truy cập giao diện quản trị như sau:
Chọn Chế độ quản lý:}>
![whitehub_mode_toggle]()
![whitehub_choose_program]()