Vừa qua, nhóm sinh viên chuyên ngành An toàn thông tin Trường Đại học FPT Phân hiệu Cần Thơ gồm Võ Hoàng Phúc, Nguyễn Phước Thịnh, Trịnh Phương Huy, Phạm Trọng Tình và Ung Nhật Tiến đã thực hiện đồ án tốt nghiệp với đề tài “Phân tích và đánh giá bảo mật hệ thống quản lý sự kiện trực tuyến EXPSPACE thông qua phương pháp kiểm thử xâm nhập (Pentest)”.

Với việc kiểm thử trực tiếp trên nền tảng quản lý sự kiện nội bộ EXPSPACE – một hệ thống quan trọng phục vụ sinh viên và giảng viên toàn trường – nhóm đã phát hiện nhiều lỗ hổng nghiêm trọng có thể ảnh hưởng đến bảo mật dữ liệu và trải nghiệm người dùng.

TƯ DUY TẤN CÔNG ĐỂ PHÒNG THỦ

EXPSPACE là nền tảng nội bộ quản lý hàng trăm sự kiện mỗi năm tại Trường Đại học FPT, với lượng lớn dữ liệu từ sinh viên, giảng viên và cán bộ. Chính vì vậy, nhóm sinh viên đã quyết định “đóng vai hacker” để thực hiện Pentest – một cách tiếp cận thực tiễn giúp đánh giá toàn diện mức độ an toàn của hệ thống.

Thông qua việc kết hợp cả hai hướng tiếp cận black-box (mô phỏng hacker bên ngoài) và gray-box (người dùng nội bộ bị giới hạn quyền), nhóm đã sử dụng các công cụ chuyên sâu như Burp Suite, MobSF, đồng thời xây dựng checklist riêng dựa trên chuẩn OWASP Top 10. Tuy nhiên, điều làm nên khác biệt là khả năng phân tích logic nghiệp vụ – thứ mà các công cụ tự động khó phát hiện.

TÁC ĐỘNG THỰC TẾ TỪ NHỮNG PHÁT HIỆN BẢO MẬT

Qua quá trình kiểm thử, nhóm đã chỉ ra những lỗ hổng có thể dẫn đến nguy cơ chiếm quyền quản trị, rò rỉ dữ liệu người dùng, hay thao túng nội dung sự kiện. Những phát hiện này giúp đội phát triển EXPSPACE kịp thời vá lỗi, nâng cao tính bảo mật, đồng thời khẳng định tầm quan trọng của kiểm thử định kỳ đối với các nền tảng trực tuyến.

Không dừng lại ở EXPSPACE, nhóm sinh viên bày tỏ mong muốn mở rộng nghiên cứu sang các hệ thống IoT trong giáo dục hoặc phát triển framework Pentest ứng dụng AI để tự động hóa việc phát hiện lỗ hổng. “Chúng em tin rằng mỗi hệ thống đều có câu chuyện bảo mật riêng, và nhiệm vụ của người làm Pentest là lắng nghe và bảo vệ điều đó trước khi bị kẻ xấu tấn công.”

Với mô hình đào tạo gắn liền thực tiễn và cơ sở vật chất hiện đại như phòng AI&IoT, lab IA – Cisco, sinh viên Trường Đại học FPT được tiếp cận công nghệ mới từ sớm, học qua dự án thật, từ đó hình thành tư duy công nghệ chủ động, nhạy bén và có trách nhiệm.