MÔ TẢ CÔNG VIỆC: THỰC TẬP SINH PENETRATION TESTING (ETHICAL HACKER INTERN)

Tổng quan vai trò:
Trong kỷ nguyên số hóa vượt bậc, khi dữ liệu trở thành tài sản vô giá của mọi tổ chức, ranh giới giữa sự an toàn và hiểm họa an ninh mạng trở nên mong manh hơn bao giờ hết. Chúng tôi đang tìm kiếm một "người bảo vệ vô hình" dưới vai trò Thực tập sinh Penetration Testing (Kiểm thử xâm nhập). Đây không chỉ đơn thuần là một vị trí thực tập kỹ thuật; bạn chính là một "Hacker mũ trắng" tập sự – người chủ động đóng vai trò của kẻ tấn công để tìm ra những lỗ hổng bảo mật tiềm ẩn trước khi chúng bị khai thác bởi những tác nhân gây hại ngoài đời thực.

Tại vị trí này, bạn là mắt xích quan trọng trong việc hỗ trợ đội ngũ chuyên gia bảo mật đánh giá sức chịu đựng của các hệ thống Web Application, Mobile Application, Network Infrastructure và API. Bằng việc kết hợp giữa tư duy phân tích nhạy bén, khả năng tự học không ngừng và sự nghiêm túc tuyệt đối về đạo đức nghề nghiệp, bạn sẽ trực tiếp đóng góp vào việc bảo vệ uy tín và dữ liệu của doanh nghiệp. Nếu bạn là một người trẻ đam mê thế giới của các dòng lệnh, luôn đặt câu hỏi "Làm thế nào để phá vỡ hệ thống này một cách an toàn?" và mong muốn được rèn luyện thực chiến dưới sự dẫn dắt của các chuyên gia hàng đầu, chúng tôi vô cùng chào đón bạn.

Nhiệm vụ công việc chính:

1. Thu thập thông tin & Trinh sát hệ thống (Information Gathering & Reconnaissance)
- Thực hiện các kỹ thuật thu thập thông tin chủ động (Active Reconnaissance) và bị động (Passive Reconnaissance) về mục tiêu được chỉ định (tên miền, địa chỉ IP, dải mạng, cấu trúc hệ thống).
- Sử dụng các kỹ thuật OSINT (Open Source Intelligence) để tìm kiếm các thông tin rò rỉ của doanh nghiệp trên Internet, GitHub, các diễn đàn ngầm hoặc các kho lưu trữ công cộng.
- Thực hiện rà quét cổng (Port Scanning), xác định các dịch vụ đang chạy (Service Detection) và hệ điều hành sử dụng (OS Fingerprinting) trên hệ thống đích bằng các công cụ chuyên dụng như Nmap, Masscan.
- Xác định cấu trúc thư mục web, các phân vùng ẩn thông qua các kỹ thuật Directory Brute-forcing sử dụng Gobuster, Dirsearch, FFuF.

2. Đánh giá và phân tích lỗ hổng bảo mật (Vulnerability Assessment)
- Hỗ trợ vận hành các công cụ rà quét lỗ hổng tự động cấp doanh nghiệp như Nessus, Acunetix, Burp Suite Professional, Qualys để phát hiện các điểm yếu cấu hình sai (Misconfiguration), phần mềm lỗi thời hoặc thiếu bản vá bảo mật.
- Tiến hành phân tích kết quả quét tự động, thực hiện sàng lọc và loại bỏ các cảnh báo giả (False Positives) nhằm đảm bảo tính chính xác của dữ liệu trước khi đưa vào báo cáo.
- Nghiên cứu sâu về các danh mục lỗ hổng bảo mật phổ biến theo tiêu chuẩn quốc tế, đặc biệt là OWASP Top 10 (đối với Web), OWASP API Security Top 10, và OWASP Mobile Top 10.
- Tìm hiểu và phân tích cơ chế hoạt động của các lỗ hổng kinh điển như: SQL Injection (SQLi), Cross-Site Scripting (XSS), Broken Authentication, Insecure Direct Object References (IDOR), Server-Side Request Forgery (SSRF), và XML External Entity (XXE).

3. Thử nghiệm khai thác & Đánh giá xâm nhập (Exploitation & Penetration Testing)
- Dưới sự giám sát chặt chẽ của các kỹ sư bảo mật cấp cao (Senior Pentesters), thực hiện viết các kịch bản khai thác thử nghiệm (Proof of Concept - PoC) để chứng minh sự tồn tại và mức độ ảnh hưởng của lỗ hổng bảo mật.
- Học tập và áp dụng các kỹ thuật khai thác lỗ hổng bằng cách sử dụng các framework bảo mật tiêu chuẩn như Metasploit, SQLmap, hoặc các script tự viết.
- Tham gia hỗ trợ kiểm thử an ninh ứng dụng Web/API bằng cách can thiệp, phân tích và sửa đổi các gói tin HTTP/HTTPS thông qua các công cụ Proxy như Burp Suite hoặc OWASP ZAP.
- Tìm hiểu và thực hành kiểm thử an ninh hệ thống mạng nội bộ (Internal Network), bao gồm việc phân tích cấu hình Active Directory, kiểm tra các giao thức yếu (LLMNR/NBT-NS), và kỹ thuật leo thang đặc quyền (Privilege Escalation) cơ bản trên Windows và Linux.

4. Xây dựng tài liệu, viết báo cáo & Tư vấn khắc phục (Reporting & Remediation Support)
- Tham gia soạn thảo báo cáo kỹ thuật chi tiết sau mỗi đợt đánh giá bảo mật. Báo cáo phải thể hiện rõ: Mô tả lỗ hổng, Các bước tái hiện (Steps to Reproduce - PoC), Đánh giá mức độ nghiêm trọng theo thang điểm CVSS (Common Vulnerability Scoring System), và Tác động đến doanh nghiệp.
- Đề xuất các giải pháp khắc phục, vá lỗi (Remediation/Mitigation) cụ thể, khả thi và tối ưu nhất cho đội ngũ phát triển phần mềm (Developers) và quản trị hệ thống (System Administrators).
- Hỗ trợ kiểm tra lại (Retest) các lỗ hổng sau khi đội ngũ kỹ thuật của khách hàng hoặc nội bộ tuyên bố đã thực hiện vá lỗi, nhằm đảm bảo lỗ hổng được xử lý triệt để và không phát sinh lỗi mới.
- Biên soạn các tài liệu hướng dẫn viết code an toàn (Secure Coding Guidelines) cơ bản dựa trên các phát hiện thực tế trong quá trình kiểm thử.

5. Nghiên cứu công nghệ mới & Xây dựng phòng thí nghiệm (R&D & Lab Construction)
- Theo dõi sát sao các tin tức an ninh mạng toàn cầu, các chiến dịch tấn công mới, và sự xuất hiện của các lỗ hổng bảo mật Zero-day hoặc các mã khai thác mới được công bố (CVE).
- Nghiên cứu và xây dựng các môi trường giả lập (Lab) như Active Directory Lab, Vulnerable Web Application Lab để thử nghiệm các kỹ thuật tấn công và phòng thủ mới.
- Phát triển các công cụ (Tooling) hỗ trợ tự động hóa các tác vụ lặp đi lặp lại trong quá trình pentest bằng các ngôn ngữ lập trình như Python, Bash, PowerShell hoặc Go.
- Đóng góp nội dung chuyên môn vào kho tri thức nội bộ (Wiki/Knowledge Base) của phòng bảo mật.

6. Phối hợp đồng đội & Tham gia các hoạt động chuyên môn
- Tham gia đầy đủ các buổi họp giao ban kỹ thuật, các buổi thảo luận phương án tấn công (Threat Modeling) trước khi triển khai dự án thực tế.
- Đồng hành cùng đội ngũ tham gia các giải đấu bảo mật chuyên nghiệp (CTF - Capture The Flag) trong nước và quốc tế để nâng cao phản xạ kỹ thuật và tinh thần đồng đội.
- Hỗ trợ đội ngũ phòng thủ (Blue Team) phân tích các dấu vết tấn công để cải thiện năng lực giám sát an ninh mạng (SOC) của tổ chức.

Yêu cầu và điều kiện:

Học vấn/Kinh nghiệm:
- Sinh viên năm 3, năm cuối hoặc vừa tốt nghiệp Đại học/Cao đẳng chuyên ngành An toàn thông tin (Cybersecurity), Công nghệ thông tin, Khoa học máy tính, Kỹ thuật máy tính hoặc Điện tử viễn thông.
- Ưu tiên ứng viên có thành tích tốt tại các giải đấu CTF (Attack-Defense hoặc Jeopardy) hoặc có thứ hạng cao trên các nền tảng luyện tập bảo mật trực tuyến như HackTheBox, TryHackMe, PortSwigger Web Security Academy, PentesterLab.
- Đã từng thực hiện các đồ án môn học hoặc dự án cá nhân liên quan đến bảo mật thông tin, phân tích mã độc hoặc phát triển phần mềm an toàn là một lợi thế lớn.
- Có định hướng nghề nghiệp rõ ràng và nghiêm túc theo đuổi con đường Penetration Testing chuyên nghiệp (Web/App Pentest, NetSec Pentest, Red Teaming).

Kỹ năng chuyên môn:
- Kiến thức nền tảng vững chắc về Mạng máy tính: Hiểu rõ mô hình OSI/TCP-IP, cách hoạt động của các giao thức phổ biến (HTTP, HTTPS, DNS, DHCP, FTP, SSH, SMTP, SMB), cấu trúc định tuyến và tường lửa (Firewall).
- Hệ điều hành: Sử dụng thành thạo hệ điều hành Linux (đặc biệt là các bản phân phối phục vụ bảo mật như Kali Linux, Parrot OS). Có kiến thức quản trị cơ bản hệ điều hành Windows Server và Linux Server.
- Hiểu biết về bảo mật ứng dụng: Nắm vững các nguyên lý an toàn thông tin cơ bản (Confidentiality, Integrity, Availability - CIA). Hiểu sâu sắc về cấu trúc và cơ chế hoạt động của Web Server, Database Server (MySQL, MSSQL, PostgreSQL), và API (RESTful, GraphQL).
- Sử dụng công cụ: Biết cách sử dụng cơ bản các công cụ pentest tiêu chuẩn như Burp Suite, Nmap, Wireshark, SQLmap, Metasploit, Dirbuster, Nessus.
- Khả năng lập trình/Scripting: Có khả năng đọc hiểu và viết code cơ bản bằng ít nhất một trong các ngôn ngữ sau: Python, Bash script, PowerShell, JavaScript, PHP hoặc Go để phục vụ việc đọc hiểu mã nguồn ứng dụng và tùy chỉnh mã khai thác lỗ hổng.
- Ngoại ngữ: Có khả năng đọc hiểu tốt các tài liệu kỹ thuật bằng tiếng Anh (RFC, CVE details, Write-ups, Security Advisories). Điểm cộng lớn nếu có khả năng viết báo cáo kỹ thuật bằng tiếng Anh.

Phẩm chất cá nhân:
- Đạo đức nghề nghiệp tuyệt đối (Ethical Mindset): Đây là yêu cầu bắt buộc tối cao. Cam kết tuân thủ nghiêm ngặt các quy định pháp luật về an ninh mạng, bảo mật thông tin khách hàng và nội quy của tổ chức. Tuyệt đối không sử dụng các kiến thức đã học để thực hiện các hành vi tấn công mạng trái phép.
- Tư duy phản biện và giải quyết vấn đề (Analytical & Problem-Solving): Khả năng tư duy "ngoài chiếc hộp" (think out of the box), không chấp nhận các câu trả lời hời hợt, luôn tìm kiếm nguyên nhân gốc rễ (Root Cause Analysis) của các vấn đề bảo mật.
- Tự học và chủ động cập nhật kiến thức (Self-learning & Continuous Growth): Lĩnh vực an ninh mạng thay đổi theo từng giờ. Bạn cần có sự tò mò tự nhiên, khả năng tự nghiên cứu công nghệ mới, công cụ mới mà không cần sự thúc ép liên tục.
- Sự tỉ mỉ và kiên trì (Detail-Oriented & Perseverance): Quá trình tìm kiếm lỗ hổng đôi khi đòi hỏi việc thử đi thử lại hàng trăm giả thuyết khác nhau. Bạn cần sự nhẫn nại và tinh mắt để không bỏ sót các chi tiết bất thường nhỏ nhất trên hệ thống.
- Kỹ năng giao tiếp và làm việc nhóm (Communication & Collaboration): Có khả năng diễn giải các vấn đề kỹ thuật phức tạp thành các khái niệm đơn giản, dễ hiểu cho các bên liên quan. Biết lắng nghe, tiếp thu ý kiến đóng góp mang tính xây dựng từ người hướng dẫn và đồng nghiệp.

Quyền lợi:
- Trợ cấp thực tập cạnh tranh hàng tháng (hỗ trợ chi phí đi lại, ăn trưa) tương xứng với năng lực thể hiện qua bài kiểm tra đầu vào.
- Được làm việc trong một môi trường công nghệ hiện đại, năng động, chuyên nghiệp và đầy tính thực chiến với các hệ thống lớn.
- Được chỉ định một Mentor (Kỹ sư bảo mật Senior/Expert) trực tiếp kèm cặp, hướng dẫn tận tình theo lộ trình đào tạo bài bản từ cơ bản đến nâng cao xuyên suốt quá trình thực tập.
- Cơ hội tiếp cận, nghiên cứu và thực hành trên các dự án Pentest thực tế của các tập đoàn, ngân hàng lớn (dưới sự kiểm soát an toàn), thay vì chỉ học lý thuyết hay làm việc trên môi trường giả lập.
- Được tài trợ chi phí thi các chứng chỉ bảo mật quốc tế uy tín (như OSCP, eJPT, CEH, CompTIA Security+) dựa trên kết quả làm việc và mức độ cống hiến.
- Cơ hội được tiếp nhận làm nhân viên chính thức (Full-time Security Pentester) ngay sau kỳ thực tập nếu đạt kết quả đánh giá xuất sắc.
- Được tham gia vào các hoạt động đào tạo nội bộ, các câu lạc bộ công nghệ, các giải đấu CTF dưới màu cờ sắc áo của công ty.
- Trải nghiệm văn hóa doanh nghiệp cởi mở, không khoảng cách thế hệ; tham gia các hoạt động teambuilding, dã ngoại, liên hoan định kỳ cùng phòng ban.
- Thời gian làm việc linh hoạt, hỗ trợ tối đa cho sinh viên chưa hoàn thành lịch học tại trường hoặc đang làm đồ án tốt nghiệp.

Tags: Thực tập sinh Pentest, Tuyển dụng Pentest Intern, Thực tập sinh An toàn thông tin, Cyber Security Intern, Ethical Hacker Intern, Kiểm thử xâm nhập, Tuyển dụng Security Intern, Thực tập sinh Bảo mật, Web Pentest Intern, Network Pentesting, Việc làm An toàn thông tin, Thực tập sinh IT, Học việc Pentest, Đào tạo Pentest.

Từ khoá tìm kiếm: Thực tập sinh An toàn thông tin, Tuyển dụng Pentest Intern, Thực tập sinh Bảo mật Web, Việc làm Cyber Security Intern, Tuyển dụng Ethical Hacker tập sự, Thực tập sinh kiểm thử an ninh mạng, Pentesting Internship, Tuyển dụng Security Analyst Intern, Thực tập sinh SOC, Học việc Pentest Hà Nội, Thực tập sinh Pentest TP.HCM, Đào tạo bảo mật thông tin thực tế.

Share