> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cloudthinker.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Cyber

> Kiểm thử bảo mật ứng dụng web và API do chính bạn sở hữu và phát triển: pentest ứng dụng đang chạy, kiểm tra mã nguồn đằng sau, và chứng minh mọi phát hiện bằng bằng chứng trước khi sửa.

**Hacks you before hackers do.**

Cyber là Frontier Investigation Agent cho bảo mật ứng dụng. Cyber kiểm thử bảo mật ứng dụng web hoặc API do chính bạn sở hữu và phát triển, kiểm tra mã nguồn đằng sau nó, và giữ bằng chứng chứng minh từng vấn đề tìm thấy.

Công cụ quét chỉ liệt kê những gì có thể sai. Cyber chứng minh điều đó: một phát hiện pentest là một cuộc tấn công đã được tái hiện, kèm các request và response đằng sau, còn một phát hiện mã nguồn mang theo kết quả xác minh đã quyết định nó. Kiểm tra nào không chạy được, chẳng hạn trang được bảo vệ mà không có người dùng thử nghiệm, sẽ được đánh dấu là giới hạn thay vì an toàn.

## Cách hoạt động

Cyber kiểm thử hai bề mặt. [Pentest](https://docs.cloudthinker.io/vi/guide/security/pentest.md) tấn công ứng dụng đang chạy; [Code Audit](https://docs.cloudthinker.io/vi/guide/security/code-audit.md) đọc mã nguồn đằng sau ứng dụng. Lượt chạy pentest diễn ra như sau:

| Giai đoạn | Điều xảy ra |
| - | - |
| 1. Đăng ký ứng dụng | Bạn thêm một **App**: một URL ứng dụng cùng đối tượng kiểm thử, **Web application** hoặc **API**. Lựa chọn này xác định các danh mục OWASP mà báo cáo độ bao phủ đo lường. |
| 2. Chứng minh quyền sở hữu | Bạn công bố một bản ghi DNS TXT cho tên miền. Cyber không chạy trên tên miền cho đến khi tên miền hiển thị **Verified**. |
| 3. Đặt ranh giới | Bạn thêm người dùng thử nghiệm, repository và tài liệu API tùy chọn, rồi bao gồm hoặc loại trừ đường dẫn và chọn cường độ. |
| 4. Tấn công | CloudThinker khám phá ứng dụng, thử các cuộc tấn công trong phạm vi và ghi lại từng request và response. Bạn theo dõi lượt chạy trực tiếp và có thể dừng lượt chạy. |
| 5. Chứng minh và sửa | Mỗi phát hiện mang theo bằng chứng. Bạn phân loại, mở pull request sửa lỗi với agent, và xác minh lại hoặc chạy lại để xác nhận bản sửa. |

Code Audit bỏ qua bước 1 đến 3: bạn chọn một repository đã kết nối và một nhánh, rồi audit quét mã, điều tra những gì tìm thấy và xác minh từng ứng viên trên commit đã cố định. Sau đó audit theo dõi nhánh đó, kiểm tra lại theo lịch hoặc ở mỗi lần push, và theo dõi dependency của nhánh để phát hiện [cảnh báo thư viện](https://docs.cloudthinker.io/vi/guide/security/cyber-libraries.md) mới.

Nhấn **Cyber** trong thanh bên để mở trang tổng quan: các ứng dụng, kết quả mới nhất và hoạt động gần đây. Thanh bên liệt kê các **Apps** pentest và, bên dưới, các **Repositories** mà Code Audit theo dõi.

![Trang tổng quan Cyber với hoạt động gần đây.](https://mintcdn.com/cloudthinker/_u5eRuTpYujlERGZ/images/security/cyber/01-cyber-overview.png?fit=max\&auto=format\&n=_u5eRuTpYujlERGZ\&q=85\&s=490d18916a6050b7fc4173c5c16cdbe4)

## Mô hình an toàn

Cyber gửi lưu lượng tấn công thực, nên mọi lượt chạy đều nằm trong giới hạn của các cài đặt bạn kiểm soát: mục tiêu, các đường dẫn được phép chạm vào, người dùng thử nghiệm dùng để đăng nhập và mức độ tấn công.

| Kiểm soát | Bảo vệ điều gì |
| - | - |
| **Domain ownership** | Lượt chạy bị chặn cho đến khi bản ghi DNS TXT chứng minh bạn kiểm soát tên miền. Chỉ Admin của workspace mới có thể khai báo và xác minh tên miền. |
| **Scope** | Quy tắc đường dẫn **Include** và **Exclude**. Đường dẫn bị loại trừ luôn nằm ngoài giới hạn. |
| **Intensity** | Mức độ tấn công của lượt chạy, từ **Safe** đến **Deep dive**. Xem [bảng cường độ](https://docs.cloudthinker.io/vi/guide/security/pentest.md#chọn-mức-truy-cập-và-cường-độ). |
| **Test users** | Các tài khoản riêng bạn tạo để kiểm thử. Cyber đăng nhập bằng các tài khoản này, không bao giờ bằng người dùng thực. Lượt chạy theo lịch chỉ đăng nhập bằng người dùng **Long-lived token**, nên nếu không có người dùng này, lượt chạy không thể kiểm thử hoặc kiểm tra lại gì sau trang đăng nhập. Xem [Thêm người dùng thử nghiệm](https://docs.cloudthinker.io/vi/guide/security/pentest.md#thêm-người-dùng-thử-nghiệm). |
| **Stop run** | Hủy lượt chạy bất cứ lúc nào. Phát hiện đã lưu vẫn khả dụng. Lượt chạy bị dừng không tạo báo cáo lượt chạy. |

> [!WARNING]
>
> Aggressive (mức **Recommended** trên giao diện) gửi thao tác ghi tạo và sửa dữ liệu thử nghiệm. Full và Deep dive có thể thay đổi hoặc xóa vĩnh viễn dữ liệu trong phạm vi đã lưu. Hãy trỏ mọi mức trên Safe vào staging với tài khoản thử nghiệm, không phải production.

## Trước lượt chạy đầu tiên

Thống nhất những điểm sau với nhóm nền tảng trước khi khởi chạy, để lượt chạy không bị chặn hoặc kích hoạt cảnh báo trực.

| Câu hỏi | Trả lời |
| - | - |
| Ai có thể khởi chạy? | Workspace Admin và Developer. Viewer chỉ xem được. Mọi vai trò có thể chạy đều chọn được mọi cường độ, nên hãy giới hạn người giữ các vai trò đó. Xem [Vai trò](https://docs.cloudthinker.io/vi/guide/security/roles.md). |
| Lưu lượng đến từ đâu? | Từ cloud của CloudThinker, không phải mạng của bạn. Hướng dẫn này không liệt kê dải IP nguồn hay header nhận dạng. Nếu WAF hoặc IDS sẽ chặn hoặc cảnh báo lưu lượng tấn công, hãy [liên hệ chúng tôi](https://cloudthinker.io/contact) trước để có thông tin hiện tại. |
| Có kiểm thử được ứng dụng nội bộ hoặc chỉ qua VPN không? | Không. Mục tiêu phải là một tên miền mà CloudThinker truy cập được. Địa chỉ IP, dải CIDR và `localhost` không được chấp nhận làm mục tiêu. |
| Một lượt chạy mất bao lâu? | Tùy kích thước ứng dụng và cường độ. Mọi lượt chạy dừng sau tối đa ba giờ. |
| Lượt chạy có tốn credit không? | Có. Mọi lượt chạy Cyber đều dùng credit, và Deep dive dùng nhiều nhất. Lượt chạy Deep dive thủ công có thể đặt giới hạn credit. Xem [Mức sử dụng](https://docs.cloudthinker.io/vi/guide/billing/usage.md). |
| Cyber lưu dữ liệu gì? | Các request, response và ảnh chụp màn hình chứng minh từng phát hiện, được lưu làm bằng chứng. Mật khẩu, token, cookie và key được thay bằng placeholder, nhưng dữ liệu response khác vẫn được giữ, nên hãy dùng tài khoản thử nghiệm không có dữ liệu khách hàng thực. Xem [Bảo vệ dữ liệu](https://docs.cloudthinker.io/vi/guide/security/data-protection.md). |
| Có giới hạn tốc độ request được không? | Không. Không có cài đặt tốc độ. Để giảm tải, hãy thu hẹp phạm vi hoặc dùng cường độ thấp hơn. |
| Có cần sự cho phép ngoài bằng chứng DNS không? | Có, nếu bạn không sở hữu hạ tầng lưu trữ. DNS chứng minh bạn kiểm soát tên miền, không chứng minh bạn được phép tấn công hạ tầng bên dưới. Kiểm tra chính sách pentest của nhà cung cấp hosting hoặc cloud, và xin phê duyệt bằng văn bản cho tài sản của bên thứ ba. |

## Những gì bạn có thể làm

| Khả năng | Bạn nhận được gì | Tìm hiểu thêm |
| - | - | - |
| Chạy pentest đầu tiên | Một lượt chạy Safe trên vài đường dẫn của ứng dụng staging, từ đầu đến khi có phát hiện | [Bắt đầu nhanh với Cyber](https://docs.cloudthinker.io/vi/guide/security/cyber-quickstart.md) |
| Theo một hướng dẫn chi tiết | Một pentest có phạm vi trên ứng dụng staging với hai người dùng thử nghiệm, bằng chứng của một phát hiện, và một lần kiểm tra lại xác nhận bản sửa | [Pentest ứng dụng staging với Cyber](https://docs.cloudthinker.io/vi/guide/use-cases/cyber-pentest-staging.md) |
| Cấu hình và lên lịch pentest | Người dùng thử nghiệm, phạm vi, cường độ và lượt chạy định kỳ | [Chạy pentest](https://docs.cloudthinker.io/vi/guide/security/pentest.md) |
| Đi sâu vào các luồng phức tạp | Chế độ Deep dive cho đường tấn công liên kết và logic nghiệp vụ | [Pentest Deep dive](https://docs.cloudthinker.io/vi/guide/security/pentest-deep-dive.md) |
| Phân loại phát hiện | Chế độ xem bảng và board, bằng chứng cho từng phát hiện, loại bỏ, sửa và kiểm tra lại | [Phân loại phát hiện](https://docs.cloudthinker.io/vi/guide/security/cyber-findings.md) |
| Chia sẻ kết quả | PDF các phát hiện đã chọn hoặc tài liệu đánh giá của một lượt chạy | [Báo cáo Cyber](https://docs.cloudthinker.io/vi/guide/security/cyber-reports.md) |
| Kiểm thử đăng nhập có CAPTCHA | Test key hoặc cơ chế bỏ qua cho đăng nhập bằng mật khẩu | [Xử lý đăng nhập có CAPTCHA](https://docs.cloudthinker.io/vi/guide/security/captcha.md) |
| Kiểm tra mã nguồn | Một nhánh repository được quét, điều tra và xác minh, rồi được theo dõi qua các commit | [Chạy Code Audit](https://docs.cloudthinker.io/vi/guide/security/code-audit.md) |
| Theo dõi dependency | Danh mục thư viện theo nhánh, bằng chứng cảnh báo và tác động lên mã của bạn | [Giám sát lỗ hổng thư viện](https://docs.cloudthinker.io/vi/guide/security/cyber-libraries.md) |
| Khắc phục sự cố | Nguyên nhân, cách kiểm tra và cách sửa cho các vấn đề Cyber thường gặp | [Khắc phục sự cố Cyber](https://docs.cloudthinker.io/vi/guide/security/cyber-troubleshooting.md) |

## Khái niệm chính

| Thuật ngữ | Ý nghĩa |
| - | - |
| App | Mục tiêu đã lưu: URL, framework, cài đặt truy cập, phát hiện và lịch sử chạy |
| Access level | Xác định theo những gì bạn cung cấp. **Black-box** chỉ có truy cập công khai, **Gray-box** thêm người dùng thử nghiệm, **White-box** thêm repository, có hoặc không có người dùng thử nghiệm. |
| Confirmed | Phát hiện mà cuộc tấn công đã tái hiện được, có kèm bằng chứng |
| Needs verification | Ứng viên mà Cyber chưa chứng minh được. Hãy coi đó là đầu mối, không phải lỗ hổng. |
| Stale | Ứng dụng có lần quét hoàn tất gần nhất cách đây hơn 30 ngày |
| Tracked branch | Nhánh repository mà Code Audit theo dõi qua các lần audit, giữ phát hiện và danh mục thư viện của nhánh đó |

## Bắt đầu

> **[Bắt đầu nhanh với Cyber](https://docs.cloudthinker.io/vi/guide/security/cyber-quickstart.md)**
>
> Chạy pentest đầu tiên trên một ứng dụng staging

> **[Chạy pentest](https://docs.cloudthinker.io/vi/guide/security/pentest.md)**
>
> Thiết lập người dùng thử nghiệm, phạm vi, cường độ và lịch

> **[Phân loại phát hiện](https://docs.cloudthinker.io/vi/guide/security/cyber-findings.md)**
>
> Đọc bằng chứng, sửa và kiểm tra lại

> **[Chạy Code Audit](https://docs.cloudthinker.io/vi/guide/security/code-audit.md)**
>
> Kiểm tra một nhánh repository và theo dõi nó qua các commit


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.