HOD402 - Thâm nhập thử và phòng thủ là môn 3 tín chỉ bậc cử nhân của Đại học FPT, học sau ITE303 hoặc ITE302c. Câu hỏi trung tâm là làm sao tìm ra và chứng minh được điểm yếu của một hệ thống trước khi kẻ tấn công thật tìm thấy nó, mà không bước ra ngoài giới hạn tổ chức đã cho phép. Người kiểm thử và tội phạm mạng dùng chung một bộ kỹ thuật, nên thứ tách hai bên là sự cho phép bằng văn bản: đích được kiểm, khung giờ, hệ thống cấm chạm và quy tắc tham gia đều phải chốt trước lệnh đầu tiên. Vì thứ khách hàng cầm về sau cùng là bản báo cáo, mỗi phát hiện phải được ghi lại đủ để người khác dựng lại được, xếp theo mức rủi ro và kèm cách khắc phục. Công việc thật mở đầu bằng trinh sát: gom thông tin công khai về tổ chức rồi quét để biết dịch vụ nào đang mở, phiên bản nào mang lỗ hổng đã biết, và khâu khó là gạt báo động giả khỏi kết quả quét. Bề mặt tấn công rộng nhất thường là ứng dụng web, nơi lỗi tiêm mã, phân quyền lỏng hay luồng nghiệp vụ thiết kế sai mở đường tới dữ liệu; khi phần kỹ thuật đã kín, con người lại thành cửa vào qua thư lừa đảo và mạo danh. Lọt vào được mới là nửa đường: muốn đo đúng thiệt hại tiềm tàng thì phải hiểu kẻ xâm nhập dò quanh mạng nội bộ và di chuyển ngang sang máy khác ra sao. Đường di chuyển ấy đi qua chính hạ tầng: giao thức có dây vốn tin nhau quá dễ, sóng không dây lọt ra ngoài tường, còn đám mây, thiết bị di động và IoT mỗi nơi kéo theo một lớp lỗ hổng riêng do cấu hình và vòng đời cập nhật khác nhau. Không ít lỗ hổng trong số đó thực chất là mật mã dùng sai, khi thuật toán đối xứng, bất đối xứng và hạ tầng khoá công khai được dựng hỏng ở khoá, chứng chỉ hay giao thức. Xuyên suốt là năng lực viết kịch bản nhỏ và đọc hiểu mã khai thác công khai để biết nó thật sự làm gì trước khi chạy trên hệ thống của khách hàng. Phía phòng thủ khép lại bằng các lớp bảo vệ mạng như tường lửa, hệ thống phát hiện và ngăn chặn xâm nhập, honeypot, cũng là nơi in dấu các bước tấn công vừa học. Học xong, người học lập được phạm vi và kế hoạch cho một đợt kiểm thử, đánh giá lỗ hổng trên mạng và ứng dụng trong giới hạn đã thoả thuận, và viết được báo cáo mà cả kỹ sư lẫn ban lãnh đạo đọc được. Ở phía còn lại, người học hiểu cách nghĩ của kẻ tấn công đủ để đặt kiểm soát đúng chỗ, đọc được cảnh báo xâm nhập và lần từ dữ liệu mạng ra máy nào đã bị chiếm.
