PWN-ALL · An ninh mạng và phát triển phần mềm

PWN-ALL cung cấp bốn lĩnh vực hoạt động liên kết với nhau: kiểm thử xâm nhập và mô phỏng tấn công; ứng phó sự cố và pháp y số; phát triển phần mềm an toàn bằng Rust và Python; và tư vấn an ninh mạng độc lập với nhà cung cấp. Mỗi dự án đều có phạm vi công việc được lập thành văn bản, các sản phẩm đầu ra cụ thể và các tiêu chí chấp nhận đã được thống nhất.

Đúng vậy. PWN-ALL Auditing, Reviewing & Testing Cyber Risks CO. L.L.C là một công ty có trụ sở tại Dubai, Các Tiểu vương quốc Ả Rập Thống nhất, được thành lập vào năm 2024 và hoạt động theo giấy phép số 1324553 do Sở Kinh tế và Du lịch (DET) cấp. Công ty này cũng có mã D-U-N-S là 571235572 và mã NCAGE là 10G8W.

Chúng tôi chủ yếu hợp tác với các doanh nghiệp, tổ chức chính phủ và các nền tảng có giá trị cao trên toàn thế giới. Các dự án có thể được triển khai từ xa trên nhiều khu vực pháp lý khác nhau, với khả năng giao tiếp bằng hơn 20 ngôn ngữ; mọi yêu cầu cụ thể về pháp lý, chứng cứ hoặc xử lý dữ liệu tại từng địa phương sẽ được thống nhất trong giai đoạn xác định phạm vi dự án.

Đúng vậy. Chúng tôi có thể ký thỏa thuận bảo mật (NDA) trước khi chia sẻ các thông tin nhạy cảm và sử dụng Signal, email được mã hóa bằng PGP hoặc một kênh khác do khách hàng chấp thuận. Việc truy cập thông tin khách hàng được thực hiện theo nguyên tắc “chỉ những người cần biết” và tuân thủ các biện pháp kiểm soát đã được thỏa thuận trong khuôn khổ hợp tác này.

Hãy bắt đầu bằng kết quả mà bạn mong muốn, dịch vụ hoặc tài sản liên quan, mức độ khẩn cấp, thời hạn, cũng như mọi hạn chế về mặt vận hành hoặc quy định; không được gửi thông tin bí mật trước khi có Thỏa thuận bảo mật (NDA) và kênh liên lạc an toàn. Sau đó, chúng tôi sẽ xác nhận bằng văn bản về phạm vi công việc, các trường hợp loại trừ, quyền hạn, quy tắc hợp tác, sản phẩm đầu ra, tiêu chí chấp nhận, người liên hệ và lịch trình.

Các cuộc kiểm tra xâm nhập đã được lên kế hoạch thường có thể bắt đầu trong vòng 3–5 ngày làm việc sau khi xác định phạm vi và nhận được văn bản ủy quyền, tùy thuộc vào tình trạng sẵn sàng hiện tại. Các sự cố đang diễn ra sẽ được xử lý theo quy trình ứng phó riêng biệt hoạt động 24/7, do đó, trong trường hợp khẩn cấp, cần báo ngay lập tức qua điện thoại hoặc kênh nhắn tin an toàn.

Giá cả phụ thuộc vào tài sản, mức độ phức tạp, thời hạn, rủi ro, yêu cầu về bằng chứng và các sản phẩm đầu ra. Sau khi xác định phạm vi công việc, quý khách sẽ nhận được bản đề xuất bằng văn bản; đối với các công việc được xác định rõ ràng, có các phương án giá cố định; các điều khoản thanh toán được quy định trong hợp đồng; và đối với các dự án quy mô lớn, có thể thảo luận về việc sử dụng bảo lãnh ngân hàng.

Các phạm vi được ủy quyền có thể bao gồm các ứng dụng web, API, mạng nội bộ và mạng bên ngoài, Active Directory, môi trường đám mây và các ứng dụng di động. Các hoạt động của đội đỏ có quy mô rộng hơn cũng có thể kiểm tra các biện pháp kiểm soát liên quan đến danh tính, con người và cơ sở vật chất khi những hoạt động đó được ủy quyền rõ ràng.

Không. Các công cụ tự động có thể hỗ trợ việc đánh giá phạm vi bảo mật, nhưng quá trình này do các chuyên gia thực hiện dẫn dắt — họ là những người vạch ra các lộ trình tấn công, kiểm thử logic nghiệp vụ, xác minh khả năng khai thác lỗ hổng và đánh giá tác động thực tế. Kết quả thu được là các bằng chứng và các biện pháp khắc phục được sắp xếp theo mức độ ưu tiên, chứ không phải là bản xuất dữ liệu chưa được xác minh từ công cụ quét.

Quá trình kiểm thử tuân thủ các phương pháp phù hợp với OWASP và PTES thông qua năm giai đoạn: xác định phạm vi và quy tắc tham gia, thu thập thông tin và lập bản đồ bề mặt tấn công, khai thác an toàn, báo cáo hai cấp và kiểm thử lại. Các trường hợp kiểm thử cụ thể được điều chỉnh cho phù hợp với các tài sản và mô hình mối đe dọa đã thống nhất.

Chúng tôi chỉ tiến hành kiểm thử các tài sản nằm trong phạm vi ủy quyền bằng văn bản và các quy tắc tham gia đã được thống nhất. Khách hàng phải là chủ sở hữu của các hệ thống đó hoặc có sự cho phép từ chủ sở hữu hoặc nhà cung cấp có liên quan; các tài sản của bên thứ ba, kỹ thuật xã hội, quyền truy cập vật lý và các hành động phá hoại nằm ngoài phạm vi kiểm thử, trừ khi được phê duyệt cụ thể.

Công việc này được thiết kế nhằm giảm thiểu tối đa sự gián đoạn, nhưng việc thử nghiệm không bao giờ hoàn toàn không có rủi ro. Các khoảng thời gian có thể xảy ra sự cố, giới hạn tần suất, các hệ thống quan trọng được loại trừ, danh sách liên hệ khi cần báo cáo lên cấp trên, các điều kiện dừng thử nghiệm và kế hoạch khôi phục trạng thái ban đầu đều được thống nhất trước; đồng thời, các kiểm tra có thể gây hư hỏng sẽ không được thực hiện nếu không có sự chấp thuận rõ ràng.

Thời gian thực hiện phụ thuộc vào phạm vi, quyền truy cập, mức độ phức tạp và nhu cầu kiểm thử lại. Trang dịch vụ đưa ra các mốc thời gian tham khảo ban đầu là khoảng hai tuần cho kiểm thử web và API, ba tuần cho kiểm thử mạng, và sáu tuần cho bài tập mô phỏng tấn công (red-team); đề xuất sẽ cung cấp lịch trình cụ thể.

Quý vị sẽ nhận được bản tóm tắt dành cho lãnh đạo cùng với các kết quả kỹ thuật dành cho các kỹ sư, bao gồm bằng chứng, các tài sản bị ảnh hưởng, tác động thực tế, mức độ nghiêm trọng và hướng dẫn khắc phục được sắp xếp theo mức độ ưu tiên. Phạm vi cuối cùng cũng có thể bao gồm các buổi tổng kết, hội thảo khắc phục hoặc các định dạng bằng chứng mà các bên liên quan nội bộ cần.

Đúng vậy, việc kiểm tra lại các vấn đề đã được khắc phục theo thỏa thuận được bao gồm trong quy trình kiểm tra xâm nhập tiêu chuẩn. Đề xuất này ghi rõ khoảng thời gian kiểm tra lại, các vấn đề đủ điều kiện, quyền truy cập cần thiết, cũng như cách thức các biện pháp khắc phục đã được xác minh sẽ được phản ánh trong báo cáo cuối cùng.

Không. Thử nghiệm xâm nhập là một cuộc đánh giá có giới hạn về thời gian đối với phạm vi được ủy quyền và không thể chứng minh rằng không tồn tại bất kỳ lỗ hổng bảo mật nào. Thử nghiệm này giúp giảm thiểu sự không chắc chắn và đưa ra các ưu tiên dựa trên bằng chứng, nhưng an ninh mạng vẫn phụ thuộc vào các biện pháp khắc phục, hoạt động vận hành, giám sát và những thay đổi trong tương lai.

Đúng vậy. Dịch vụ ứng phó sự cố 24/7 đảm nhận các công việc như ngăn chặn sự cố, bảo toàn chứng cứ, xác định phạm vi điều tra pháp y, loại bỏ mối đe dọa, khôi phục hệ thống và tăng cường bảo mật sau sự cố. Trong trường hợp đang xảy ra sự cố, hãy gọi điện hoặc sử dụng Signal ngay lập tức và tránh gửi các chứng cứ nhạy cảm qua các kênh không được phê duyệt.

Không. Nhóm DFIR cũng xử lý các vụ trộm cắp dữ liệu và tống tiền không sử dụng mã hóa, các vụ tấn công chiếm quyền kiểm soát email doanh nghiệp và gian lận thanh toán, chiếm quyền kiểm soát tài khoản, các vụ tấn công vào Microsoft 365 hoặc Google Workspace và các dịch vụ đám mây, các vụ việc liên quan đến nhân viên nội bộ, cũng như các ứng dụng web hoặc máy chủ bị xâm nhập.

Cách ly các máy chủ bị ảnh hưởng khỏi mạng mà không tắt nguồn, bảo toàn bằng chứng dễ biến mất, bảo vệ các bản sao lưu khỏi việc truy cập thêm, ghi lại các hành động và thiết lập kênh liên lạc ứng phó. Không được tiến hành khởi động lại, xóa dữ liệu, khôi phục, giải mã hoặc thương lượng trên diện rộng trước khi người phụ trách sự cố và các bên liên quan về pháp lý hoặc bảo hiểm của bạn thống nhất về một kế hoạch.

Dịch vụ xử lý sự cố vận hành một kênh liên lạc trực tuyến 24/7. Mức độ dịch vụ cam kết là dưới 60 phút kể từ cuộc gọi đầu tiên cho đến khi chuyên viên phân tích tham gia vào kênh liên lạc chung, với hướng dẫn ban đầu về việc kiểm soát sự cố được cung cấp ngay từ giai đoạn phân loại sự cố; thời gian kiểm soát thực tế phụ thuộc vào khả năng tiếp cận, phạm vi sự cố và khả năng thực hiện các biện pháp của khách hàng.

Thông thường thì đúng vậy, mặc dù việc tắt máy có thể làm mất các bằng chứng dễ biến mất như các khóa lưu trong bộ nhớ, các tiến trình được chèn vào và các kết nối đang hoạt động. Không được bật lại hệ thống; hãy giữ nguyên trạng thái hiện tại của chúng và liên hệ với đội ứng phó để có thể lên kế hoạch cho việc phân loại sơ bộ (cold-triage) và thu thập các nguồn bằng chứng khác.

Không. Việc khôi phục phụ thuộc vào dòng phần mềm tống tiền, các khóa hoặc công cụ giải mã có sẵn, chất lượng bằng chứng, tính toàn vẹn của bản sao lưu, tình trạng hệ thống, các ràng buộc pháp lý, cũng như mức độ hoạt động diễn ra sau khi hệ thống bị xâm nhập. Chúng tôi đánh giá các bản sao lưu sạch, quá trình xây dựng lại hệ thống, nghiên cứu công cụ giải mã và các phương án khôi phục khóa, sau đó xác định những gì có thể và không thể khôi phục được.

Việc thanh toán không nên là phản ứng đầu tiên và cũng không đảm bảo việc khôi phục hoặc xóa dữ liệu bị đánh cắp. Trước tiên cần đánh giá các phương án khôi phục và bằng chứng; mọi quyết định liên quan đến việc liên lạc với bên tấn công hoặc thanh toán đều phải có sự tham gia của khách hàng, cố vấn pháp lý, công ty bảo hiểm (nếu có) và phải được phê duyệt về mặt chế tài.

Tùy thuộc vào phạm vi, các sản phẩm đầu ra có thể bao gồm hồ sơ bằng chứng và chuỗi lưu giữ, thời gian phản ứng, kết quả điều tra nguyên nhân gốc rễ và điểm xâm nhập ban đầu, phân tích chuyển động ngang và rò rỉ dữ liệu, các chỉ số xâm nhập, các ưu tiên khôi phục, cùng với một báo cáo sẵn sàng trình cho công ty bảo hiểm hoặc cơ quan quản lý kèm theo kế hoạch tăng cường bảo mật. Các kết luận vẫn bị giới hạn bởi bằng chứng được bảo toàn và quy trình quản lý bằng chứng được duy trì.

Chúng tôi phát triển các hệ thống backend an toàn bằng Rust và Python, API, hệ thống dữ liệu, giải pháp tự động hóa, tích hợp trí tuệ nhân tạo (AI), các dự án di chuyển dữ liệu, cũng như các dịch vụ sản xuất có yêu cầu bảo mật cao. Cùng với đó, phương pháp kỹ thuật này còn được áp dụng để phát triển các công cụ thu thập dữ liệu pháp y dành riêng cho từng sự cố, trình phân tích cú pháp, công cụ xây dựng dòng thời gian, trình quét chỉ số chỉ báo mối đe dọa (IOC) hoặc YARA, cùng các công cụ nghiên cứu giải mã hoặc khôi phục khóa.

Rust được sử dụng trong những trường hợp cần đảm bảo an toàn bộ nhớ, khả năng xử lý đồng thời, hiệu suất ổn định và khả năng kiểm soát cấp thấp; Python được sử dụng trong những trường hợp cần tốc độ triển khai, xử lý dữ liệu, học máy, điều phối và tích hợp. Công tác thiết kế kiến trúc sẽ phân bổ ngôn ngữ lập trình cho từng thành phần thay vì ép buộc toàn bộ hệ thống phải sử dụng một nền tảng duy nhất.

Mô hình triển khai bao gồm các giai đoạn: khám phá, thiết kế kiến trúc, triển khai, tăng cường bảo mật và bàn giao, kèm theo các bài kiểm tra nghiệm thu và kiểm tra hiệu năng đã được thống nhất cho dự án. Quá trình bàn giao có thể bao gồm mã nguồn, tài sản triển khai, hợp đồng API, các quyết định về kiến trúc, tài liệu hướng dẫn vận hành, sơ đồ, chuyển giao kiến thức và hỗ trợ trong 30 ngày sau khi ra mắt (nếu có trong hợp đồng).

Dịch vụ tư vấn bao gồm kiến trúc bảo mật, đánh giá rủi ro tập trung vào hoạt động kinh doanh, chuẩn bị tuân thủ GDPR, chuẩn bị cho cuộc kiểm toán, các chính sách và quy trình ứng phó sự cố, tích hợp phát triển an toàn, cũng như đào tạo theo từng vai trò cụ thể. Các kết quả tiêu biểu bao gồm các phát hiện được sắp xếp theo mức độ ưu tiên, sổ đăng ký rủi ro kèm theo người chịu trách nhiệm, lộ trình tăng cường bảo mật, sổ tay hướng dẫn vận hành và bộ tài liệu chứng cứ sẵn sàng cho kiểm toán.

Không. Sự sẵn sàng tuân thủ là sự hỗ trợ về mặt kỹ thuật và vận hành, chứ không phải là tư vấn pháp lý hay đảm bảo chứng nhận; kết quả giám định pháp y phụ thuộc vào bằng chứng được bảo quản; việc khôi phục phụ thuộc vào điều kiện của sự cố; và việc kiểm thử bảo mật không thể chứng minh sự vắng mặt của các lỗ hổng. Mỗi đề xuất đều xác định các công việc có thể đo lường được và các tiêu chí chấp nhận, mà không hứa hẹn các kết quả nằm ngoài tầm kiểm soát của PWN-ALL.

PWN-ALL liệt kê các sản phẩm riêng biệt bao gồm Công cụ giám sát Dark Web và rò rỉ thông tin, BotGuard (phát hiện bot) và Trung tâm quét lỗ hổng bảo mật. Nền tảng này cũng cung cấp hơn 20 công cụ miễn phí chạy trên trình duyệt để thực hiện các tác vụ như băm (hashing), tạo khóa, ẩn thông tin trong hình ảnh (steganography), nhận diện ransomware và xem tệp tin hoặc phân tích pháp y; các công cụ được xác định là chạy phía client sẽ hoạt động trực tiếp trong trình duyệt mà không cần tải lên dữ liệu đã xử lý.

Đặt lại mật khẩu của tài khoản bị ảnh hưởng từ một thiết bị được xác nhận là an toàn, thay vì từ thiết bị đã bị xâm nhập; đăng xuất và thu hồi tất cả các phiên hoạt động; xóa mọi mật khẩu ứng dụng hoặc quyền truy cập của ứng dụng được kết nối; đồng thời bật xác thực đa yếu tố. Bảo toàn hộp thư cùng với nhật ký đăng nhập và nhật ký kiểm tra, đồng thời kiểm tra các quy tắc chuyển tiếp hoặc quy tắc hộp thư đến ẩn, nhưng không xóa tin nhắn, quy tắc hoặc tài khoản, vì chúng là bằng chứng. Nếu tình trạng bị xâm nhập vẫn đang diễn ra hoặc có liên quan đến việc chuyển tiền, hãy gọi điện hoặc sử dụng Signal để liên hệ với đường dây hỗ trợ 24/7 thay vì chờ đợi trên chat. Bộ phận DFIR xử lý các trường hợp liên quan đến Microsoft 365, Google Workspace và chiếm quyền kiểm soát tài khoản từ đầu đến cuối, từ giai đoạn ngăn chặn đến xác định nguyên nhân gốc rễ và tăng cường bảo mật.

Đây là một vụ tấn công chiếm quyền kiểm soát email doanh nghiệp và lừa đảo thanh toán đang diễn ra, vì vậy tốc độ là yếu tố quan trọng — hãy liên hệ ngay với ngân hàng của quý vị và ngân hàng nhận tiền để cố gắng thu hồi hoặc phong tỏa khoản chuyển khoản, đồng thời báo cáo sự việc cho các cơ quan chức năng có liên quan. Hãy liên hệ với chúng tôi qua đường dây hỗ trợ 24/7 thay vì chờ đợi trên chat, đặc biệt là khi số tiền có thể vẫn đang được chuyển đi. Sau đó, bộ phận DFIR của chúng tôi sẽ điều tra cách thức hộp thư hoặc tài khoản bị xâm nhập, liệu hóa đơn hoặc thông tin ngân hàng có bị thay đổi hay không, và những thông tin nào khác đã bị can thiệp, đồng thời bảo toàn bằng chứng cho ngân hàng, công ty bảo hiểm và bất kỳ cơ quan quản lý nào của quý vị. Hãy giữ nguyên các email và nhật ký tài khoản, tránh xóa bất kỳ nội dung nào để bức tranh pháp y được giữ nguyên vẹn.

Đây là hành vi đánh cắp dữ liệu và tống tiền mà không sử dụng mã hóa, và nó hoàn toàn thuộc phạm vi hoạt động của bộ phận DFIR dù không có phần mềm tống tiền nào được triển khai. Ưu tiên hàng đầu là bảo toàn chứng cứ, xác định phạm vi những dữ liệu thực sự bị truy cập và trích xuất, ngăn chặn đường dẫn truy cập, và hiểu rõ tuyên bố của kẻ tấn công trước khi bất kỳ ai phản hồi với tác nhân đe dọa. Không được thanh toán, thương lượng hoặc trả lời yêu cầu trước khi người phụ trách xử lý sự cố cùng các bên liên quan về pháp lý và bảo hiểm thống nhất về phương án xử lý. Hãy báo cáo sự việc qua đường dây hỗ trợ 24/7, và chia sẻ các thông điệp đe dọa qua kênh an toàn thay vì kênh công khai hoặc chưa được phê duyệt.

Khi quý vị có các dấu hiệu hoặc nghi ngờ nhưng chưa có sự cố được xác nhận, bộ phận DFIR có thể rà soát nhật ký, các thiết bị đầu cuối, cũng như dữ liệu đám mây và thông tin nhận dạng để xác định liệu có bằng chứng về hành vi xâm nhập hiện tại hoặc trong quá khứ, cơ chế duy trì quyền truy cập, hay việc truy cập dữ liệu trái phép hay không. Sau đó, nhóm sẽ báo cáo liệu có dấu hiệu hệ thống bị xâm nhập hay không và hướng xử lý tiếp theo; nếu phát hiện hoạt động độc hại rõ ràng, nhóm sẽ chuyển sang giai đoạn ứng phó sự cố toàn diện bao gồm các biện pháp ngăn chặn và điều tra kỹ thuật. Trong quá trình đánh giá phạm vi này, hãy bảo toàn các bản ghi hiện có và tránh cài đặt lại hệ điều hành hoặc xóa sạch hệ thống, vì điều này có thể làm mất đi bằng chứng cần thiết để làm rõ vấn đề. Nếu quý vị đang chứng kiến một cuộc tấn công đang diễn ra, hãy gọi ngay đến đường dây hỗ trợ 24/7 của chúng tôi hoặc liên hệ với chúng tôi qua Signal ngay lập tức thay vì chờ đợi trên chat.

Mọi hoạt động ứng phó đều bao gồm việc tăng cường bảo mật sau sự cố ngay khi mối đe dọa trước mắt đã được xử lý. Dựa trên kết quả phân tích nguyên nhân gốc rễ và cách thức xâm nhập ban đầu, nhóm sẽ cung cấp cho quý vị một kế hoạch tăng cường bảo mật được sắp xếp theo mức độ ưu tiên, nhằm khắc phục các lỗ hổng cụ thể mà kẻ tấn công đã lợi dụng và hạn chế các con đường có thể dẫn đến sự cố lặp lại. Đối với các công việc chuyên sâu và liên tục, bộ phận tư vấn có thể chuyển kế hoạch này thành sổ đăng ký rủi ro với các bên chịu trách nhiệm, các chính sách được cập nhật và sổ tay ứng phó sự cố, cùng với các khóa đào tạo dành riêng cho từng vai trò, trong khi bộ phận kỹ thuật có thể phát triển bất kỳ công cụ nào cần thiết để triển khai các biện pháp khắc phục. Việc tăng cường bảo mật giúp giảm thiểu rủi ro và nâng cao khả năng phục hồi, nhưng không nhà cung cấp nào có thể đảm bảo rằng một sự cố trong tương lai là không thể xảy ra.

Việc khôi phục dịch vụ là quan trọng, nhưng nó không cho biết kẻ tấn công đã xâm nhập như thế nào, liệu chúng có còn hiện diện hay không, hay dữ liệu nào đã bị truy cập; hơn nữa, quá trình khôi phục có thể ghi đè lên bằng chứng liên quan đến cả ba yếu tố này. Nếu đường dẫn xâm nhập ban đầu và bất kỳ cơ chế duy trì quyền truy cập nào không được phát hiện và vô hiệu hóa, vụ xâm nhập tương tự có thể tái diễn sau khi hệ thống được khôi phục. Bộ phận DFIR nên xác định nguyên nhân gốc rễ, kiểm tra xem có quyền truy cập còn sót lại hay không và xác nhận những dữ liệu nào đã bị trích xuất, sau đó áp dụng các biện pháp tăng cường bảo mật có mục tiêu — đồng thời bảo quản mọi nhật ký, ảnh hệ thống hoặc phương tiện bị ảnh hưởng còn lại thay vì loại bỏ chúng. Nếu quý vị không chắc chắn liệu mối đe dọa đã hoàn toàn biến mất hay chưa, hãy coi nó như vẫn còn hoạt động và báo cáo lên đường dây hỗ trợ 24/7.

Các hệ thống hiện có hoàn toàn nằm trong phạm vi dịch vụ; bộ phận kỹ thuật thường xuyên đảm nhận các dự án di chuyển hệ thống, tăng cường bảo mật và các dịch vụ sản xuất có yêu cầu bảo mật cao, chứ không chỉ giới hạn ở việc xây dựng hệ thống mới từ đầu. Một dự án bắt đầu bằng giai đoạn khảo sát để xác định cách thức hoạt động thực tế của mã nguồn, dữ liệu và các ranh giới tin cậy hiện tại trước khi thực hiện bất kỳ thay đổi nào, tiếp theo là các giai đoạn thiết kế kiến trúc, triển khai và một bước tăng cường bảo mật chuyên biệt. Trong trường hợp nhu cầu chính là đánh giá bảo mật mã nguồn ứng dụng hiện có, dịch vụ này được thực hiện thông qua kiểm thử xâm nhập ứng dụng và việc tích hợp phát triển an toàn của bộ phận tư vấn, và sự kết hợp phù hợp sẽ được xác định trong cuộc trao đổi ban đầu.

Các hệ thống được kế thừa, đang xây dựng dở dang hoặc bị đình trệ đều có thể được tiếp nhận, nhưng công việc vẫn bắt đầu bằng giai đoạn khảo sát để xác định tình trạng thực tế hiện tại, những gì đã có, những gì đang hoạt động, cũng như các rủi ro và lỗ hổng nằm ở đâu, trước khi quyết định áp dụng bất kỳ phương án nào. Từ đó, mô hình tiêu chuẩn sẽ được áp dụng qua các giai đoạn thiết kế kiến trúc, triển khai, tăng cường bảo mật và bàn giao, mỗi giai đoạn đều được điều chỉnh bởi một Bản mô tả công việc (Statement of Work) bằng văn bản kèm theo các tiêu chí chấp nhận đã được thống nhất, thay vì một lời hứa mơ hồ về việc khắc phục mọi vấn đề. Những gì có thể đạt được một cách thực tế và theo thứ tự nào sẽ được xác định rõ ràng sau khi đã hiểu rõ tình trạng hiện tại.

Việc tích hợp AI và LLM là một phần rõ ràng trong hoạt động của bộ phận kỹ thuật Rust và Python, được xây dựng theo nguyên tắc an toàn ngay từ thiết kế thông qua cùng một quy trình khảo sát, thiết kế kiến trúc, triển khai và tăng cường bảo mật, kèm theo các bài kiểm tra bảo mật và kiểm tra chấp nhận đã được thống nhất. Các rủi ro đặc thù liên quan đến các tính năng của LLM, chẳng hạn như dữ liệu đầu vào không đáng tin cậy xâm nhập vào mô hình, việc lộ thông tin nhạy cảm, phạm vi truy cập được phép của mô hình, cũng như các biện pháp kiểm soát lạm dụng hoặc chi phí vượt ngưỡng, đều được xác định rõ phạm vi và giải quyết như một phần của công việc này, thay vì được gắn thêm vào sau đó. Giống như bất kỳ công việc bảo mật nào, dự án này xác định các biện pháp kiểm soát có thể đo lường được và các tiêu chí chấp nhận, thay vì đảm bảo rằng hệ thống không thể bị lạm dụng.

Quý vị sẽ không chỉ nhận được một gói mã nguồn trống — quá trình bàn giao được thiết kế để triển khai và vận hành ngay trong môi trường của quý vị, và có thể bao gồm các tài nguyên triển khai, hợp đồng API, các quyết định về kiến trúc, sổ tay vận hành, sơ đồ, cùng việc chuyển giao kiến thức, kèm theo dịch vụ hỗ trợ trong 30 ngày sau khi ra mắt (nếu có thỏa thuận trong hợp đồng). Vì công việc này nhắm đến mục đích sử dụng trong môi trường sản xuất có yêu cầu bảo mật cao, nên một bước tăng cường bảo mật chuyên biệt sẽ được thực hiện trước khi bàn giao. Việc xác định chính xác ai sẽ thực hiện và vận hành việc triển khai sẽ được thỏa thuận trong từng dự án thông qua Bản mô tả công việc (Statement of Work).

Việc lồng ghép bảo mật vào quy trình phát triển phần mềm hiện có của đội ngũ được thực hiện thông qua dịch vụ tích hợp phát triển an toàn của bộ phận tư vấn, mang tính chất tư vấn: rà soát vị trí phù hợp để lồng ghép bảo mật vào quy trình làm việc hiện tại của quý vị, xác định các bước kiểm tra và rào chắn bảo vệ cần thiết trong quy trình đó, đồng thời cung cấp hướng dẫn cụ thể theo từng vai trò cho các nhà phát triển. Trong trường hợp quy trình đó cần tự động hóa hoặc công cụ tùy chỉnh, ví dụ như các trình quét hoặc bước kiểm tra được thiết kế riêng, bộ phận kỹ thuật có thể triển khai trong một phạm vi công việc riêng biệt. Bộ phận tư vấn chỉ tư vấn và xác định quy trình, chứ không trực tiếp phát triển phần mềm, do đó bất kỳ thành phần nào cần được xây dựng đều được xác định là sản phẩm đầu ra của bộ phận kỹ thuật.

Rust và Python là hai ngôn ngữ cốt lõi: Rust được sử dụng trong các trường hợp cần đảm bảo an toàn bộ nhớ, khả năng xử lý đồng thời và hiệu suất ổn định, còn Python được áp dụng trong các trường hợp cần tốc độ triển khai nhanh, xử lý dữ liệu, học máy và tích hợp hệ thống. Công việc thiết kế kiến trúc sẽ phân bổ ngôn ngữ cho từng thành phần thay vì ép buộc toàn bộ hệ thống phải sử dụng một nền tảng duy nhất; các hệ thống hiện có và quá trình di chuyển cũng nằm trong phạm vi xem xét, do đó sự phù hợp sẽ được quyết định dựa trên yêu cầu của quý vị trong giai đoạn xác định phạm vi.

Dịch vụ tư vấn bao gồm việc chuẩn bị sẵn sàng tuân thủ GDPR và chuẩn bị cho cuộc kiểm toán: đánh giá khoảng cách, các biện pháp kiểm soát và chính sách để khắc phục khoảng cách đó, cùng bộ tài liệu chứng cứ sẵn sàng cho kiểm toán, được cung cấp một cách trung lập với nhà cung cấp. Đây là hỗ trợ về sự sẵn sàng và chuẩn bị, không phải tư vấn pháp lý, và bản thân dịch vụ này không đảm bảo việc tuân thủ hay chứng nhận — những điều đó phụ thuộc vào hoạt động của quý vị và cơ quan đánh giá. Các kết quả đầu ra bao gồm các phát hiện được sắp xếp theo mức độ ưu tiên, sổ đăng ký rủi ro kèm theo người chịu trách nhiệm, và lộ trình tăng cường bảo mật mà quý vị có thể triển khai.

Đào tạo bảo mật theo từng vai trò là một phần của dịch vụ tư vấn, được thiết kế dựa trên hệ thống công nghệ của quý vị, các rủi ro và những vai trò cần được đào tạo. Chương trình này thường được kết hợp với các hoạt động tư vấn liên quan — tích hợp phát triển an toàn, chính sách và quy trình ứng phó sự cố — để đảm bảo nội dung đào tạo phản ánh đúng cách thức các đội ngũ của quý vị thực sự xây dựng và vận hành hệ thống. Giống như mọi dịch vụ tư vấn khác, phạm vi và kết quả sẽ được thỏa thuận từ đầu.

Việc rà soát kiến trúc bảo mật, hoặc thiết kế hệ thống đề xuất trước khi đưa vào vận hành, là một phần cốt lõi của hoạt động tư vấn. Chúng tôi đánh giá thiết kế dựa trên các rủi ro kinh doanh và ràng buộc vận hành của quý vị, sau đó cung cấp các phát hiện được sắp xếp theo mức độ ưu tiên, lộ trình tăng cường bảo mật, và khi cần thiết, các sổ tay vận hành cùng sổ đăng ký rủi ro với người chịu trách nhiệm cụ thể. Do dịch vụ này trung lập với nhà cung cấp, các khuyến nghị sẽ dựa trên mức độ rủi ro của quý vị chứ không phụ thuộc vào bất kỳ sản phẩm nào mà chúng tôi có thể cung cấp.

Sự khác biệt nằm ở phạm vi: tư vấn là công việc tư vấn trung lập với nhà cung cấp, nhằm đánh giá rủi ro, rà soát kiến trúc và chuẩn bị cho các cuộc kiểm toán, nhưng không phát triển phần mềm và không thực hiện ứng phó sự cố khẩn cấp. Nếu quý vị cần viết mã hoặc xây dựng hệ thống, đó là bộ phận kỹ thuật phần mềm an toàn; nếu đang xảy ra một cuộc tấn công, đó là quy trình ứng phó sự cố 24/7; và nếu quý vị cần phát hiện các lỗ hổng và khai thác chúng một cách an toàn theo ủy quyền, đó là kiểm thử xâm nhập. Chúng tôi sẽ hướng dẫn quý vị đến bộ phận phù hợp, hoặc kết hợp các bộ phận này, dựa trên kết quả mà quý vị cần.

Quý vị có thể liên hệ với chúng tôi qua email (hỗ trợ PGP), Signal, Telegram tại t.me/pwn_all, WhatsApp hoặc điện thoại theo số +971 58 594 6337; đồng thời, chúng tôi có đường dây hỗ trợ 24/7 dành cho các sự cố đang diễn ra. Đối với các thông tin nhạy cảm, chúng tôi khuyến nghị sử dụng Signal hoặc email được mã hóa bằng PGP, và chúng tôi yêu cầu quý vị không gửi thông tin bí mật hoặc thông tin đăng nhập trước khi có thỏa thuận bảo mật (NDA) và kênh liên lạc an toàn được thiết lập. Nếu quý vị đang gặp sự cố khẩn cấp, hãy gọi điện hoặc sử dụng Signal ngay lập tức thay vì chờ đợi trên chat.

Việc truy cập thông tin của quý vị được thực hiện theo nguyên tắc "chỉ những người cần biết" và tuân thủ các biện pháp kiểm soát đã được thỏa thuận trong khuôn khổ hợp tác này, đồng thời phải có thỏa thuận bảo mật (NDA) và kênh liên lạc an toàn được thiết lập trước khi chia sẻ bất kỳ thông tin nhạy cảm nào. Các điều khoản cụ thể về xử lý, lưu trữ và thời hạn lưu giữ được quy định trong thỏa thuận đó thay vì áp dụng một mẫu mặc định chung cho tất cả các trường hợp, và chúng tôi yêu cầu quý vị không gửi thông tin bí mật trước khi các điều khoản này được thiết lập. Đối với bất kỳ thông tin nhạy cảm nào, Signal hoặc email được mã hóa bằng PGP là các kênh được khuyến nghị sử dụng.

Bằng chứng công khai của chúng tôi là các thư giới thiệu có chữ ký được trình bày trong phần tài liệu tham khảo trên trang web; quý vị có thể trực tiếp xem xét các thư này. Vì tính bảo mật là ưu tiên hàng đầu, chúng tôi không mô tả cụ thể về khách hàng hay các sự cố cụ thể ngoài những thông tin đã nêu; bất kỳ chi tiết nào khác chỉ có thể được chia sẻ khi có sự cho phép của khách hàng liên quan và trong khuôn khổ thỏa thuận bảo mật (NDA). Chúng tôi cũng có thể trình bày các ví dụ minh họa, không nêu tên, về cách một dự án điển hình được triển khai qua một cuộc gọi.

Không, trang web và cuộc trò chuyện này chỉ mang tính chất thông tin và không phải là hợp đồng. Mọi dự án hợp tác đều được điều chỉnh bởi một Bản mô tả công việc (Statement of Work) đã được ký kết, trong đó nêu rõ phạm vi công việc, các trường hợp loại trừ, ủy quyền, quy tắc thực hiện, sản phẩm đầu ra, tiêu chí chấp nhận, thông tin liên hệ và lịch trình; mức giá sẽ được xác nhận trong bản đề xuất bằng văn bản sau khi xác định phạm vi công việc. Không có thông tin nhạy cảm nào cần được trao đổi cho đến khi thỏa thuận bảo mật (NDA) và kênh liên lạc an toàn được thiết lập.

Một dự án kiểm thử xâm nhập web hoặc API điển hình bắt đầu bằng việc xác định phạm vi, các quy tắc thực hiện và văn bản ủy quyền, sau đó tiến hành các bước trinh sát và lập bản đồ bề mặt tấn công, khai thác an toàn các mục tiêu đã thỏa thuận, báo cáo hai cấp, và kiểm tra lại các lỗ hổng đã được khắc phục. Các chuyên gia sẽ lập bản đồ các đường dẫn tấn công và xác minh khả năng khai thác bằng phương pháp thủ công thay vì chỉ cung cấp dữ liệu xuất thô từ công cụ quét, do đó quý vị sẽ nhận được bản tóm tắt dành cho lãnh đạo, các phát hiện kỹ thuật kèm bằng chứng và mức độ nghiêm trọng, cùng hướng dẫn khắc phục được ưu tiên. Trang dịch vụ đưa ra thời gian dự kiến ban đầu khoảng hai tuần cho các công việc liên quan đến web và API, với lịch trình thực tế và phạm vi kiểm tra lại đủ điều kiện được quy định trong bản đề xuất. Đây là một phác thảo minh họa; các trường hợp kiểm tra cụ thể sẽ được điều chỉnh phù hợp với các tài sản được ủy quyền và mô hình mối đe dọa.

Một vụ việc điển hình thường bắt đầu trên đường dây hỗ trợ 24/7 với các biện pháp ngăn chặn và bảo toàn chứng cứ, sau đó là quá trình xác định phạm vi điều tra pháp y để làm rõ nguyên nhân gốc rễ, cách thức xâm nhập ban đầu, hoạt động di chuyển ngang và dữ liệu nào đã bị trích xuất. Việc khôi phục được lên kế hoạch dựa trên những gì bằng chứng cho phép — bản sao lưu sạch, xây dựng lại hệ thống, và khi cần thiết là nghiên cứu công cụ giải mã cùng các phương án khôi phục khóa — với sự tham gia của khách hàng, luật sư và công ty bảo hiểm trong mọi quyết định liên quan đến thanh toán hoặc đàm phán. Quý vị sẽ nhận được hồ sơ chuỗi lưu giữ, dòng thời gian ứng phó, các dấu hiệu xâm phạm, các ưu tiên khôi phục và một báo cáo sẵn sàng cho công ty bảo hiểm hoặc cơ quan quản lý kèm theo kế hoạch tăng cường bảo mật. Đây là một phác thảo minh họa; những gì có thể khôi phục phụ thuộc vào dòng phần mềm tống tiền, khóa, bản sao lưu và bằng chứng, và không có gì được đảm bảo.

Một quy trình phát triển điển hình bao gồm các giai đoạn: khảo sát, thiết kế kiến trúc, triển khai, tăng cường bảo mật và bàn giao, với các bài kiểm thử chấp nhận và hiệu năng được thống nhất từ đầu cho dự án. Ngôn ngữ lập trình được lựa chọn tùy theo từng thành phần — Rust cho các phần yêu cầu tính an toàn và hiệu năng cao, Python cho các phần ưu tiên tốc độ, dữ liệu và tích hợp — và các biện pháp bảo mật được tích hợp ngay từ giai đoạn thiết kế thay vì bổ sung sau cùng. Việc bàn giao có thể bao gồm mã nguồn, tài nguyên triển khai, hợp đồng API, các quyết định về kiến trúc, sổ tay vận hành, sơ đồ và chuyển giao kiến thức, kèm theo hỗ trợ trong 30 ngày sau khi ra mắt nếu có thỏa thuận trong hợp đồng. Đây chỉ là một phác thảo minh họa; phạm vi chính xác và các tiêu chí chấp nhận được quy định trong Bản mô tả công việc (Statement of Work).