Messages posted by: ORA2009

Mail của bạn có thể ở trong một số tình trạng :

1. 1 bản copy khi bạn gửi/nhận e-mail sẽ được forward tới 1 địa chỉ xác định nào đó (do IT thiết lập chẳng hạn)

2. Toàn bộ mail gửi nhận trong công ty được Archive (có rất nhiều giải pháp để lưu giữ toàn bộ mail gửi ra/vào công ty).

3. Mailbox của bạn có thể bị đọc trộm bởi system admin.

Cách xử lý : sử dụng PKI để mã hóa những mail gửi cho người nhận.

Hi all,

Mọi người thường dùng chương trình AntiVirus (free) nào cho Linux Samba Server ?

clamav (http://www.clamav.net) có dùng được không ? vì trước mình có dùng thử Clamav nhưng không có tính năng scan real-time.

Có nhiều giải pháp để control các thiết bị USB, và cũng có khá nhiều giải pháp đảm bảo đủ an toàn để người dùng cuối khó lòng vượt qua để có quyền sử dụng thiết bị USB.

Là 1 người quản trị hệ thống/an ninh thông tin thì việc đưa ra 1 policy cấm sử dụng USB với end-user là hợp lý. Và trong một số trường hợp thật cần thiết người quản trị có thể cho phép end-user sử dụng USB trong một khoảng thời gian nhất định .

Tốt nhất không nên nghĩ cách việc vượt qua nó như thế nào, đơn giản là hãy trình bày mục đích, công việc thật sự cần tới việc dùng USB với sếp và IT để được cấp quyền và hướng dẫn phòng tránh Virus.

about syntax :

format /?

hvthang wrote:

Gửi thêm cho bác cái link:
http://www.howto-outlook.com/howto/policies.htm

Very good ! Mình cũng đã thử thành công bằng cách sử dụng template policy này cho AD.

Thank you very much.

myquartz wrote:

Tớ nghĩ có cách đơn giản nhất là lọc nội dung, check xem mail bắt buộc content-type phải là S/MIME, hoặc phải có content part là S/MIME (hay chuỗi tương tự báo rằng nó đã được mã hoá/ký rồi). Nếu không có, reject không cho qua mail server.

Mình nghĩ cách làm này có tính khả thi, và có thể config được trên MTA Server.
Cũng lưu ý là chỉ filter những mail from internal, vì từ bên ngoài gửi vào chúng ta không thể áp đặt rule này (vì không cần thiết)

Thank you.

thangdiablo wrote:

Vậy nếu mình dùng cái public key được sign với CA này và install lên nhiều webserver khác. Thì các webserver B,C,D này có "chịu" không?

Hoàn toàn được !

Thực tế mình đã thử cái này cho một web server tại Main site và 1 web server dự phòng tại DR site.

Chừng nào nslookup được các MX record của các SMTP Server outside thì chừng đó DNS mới OK thì mới có thể gửi mail đi được.

sunrise_vn wrote:

Chào mọi người,
Mình đang định dùng Opera Unite chạy trên máy ảo để làm một server share dữ liệu như hình ảnh, âm thanh... Nhưng mình có một thắc mắc là nếu kẻ tấn công có thể tấn công server chia sẽ ảo vậy họ có thể tấn công máy chủ vật lý đựơc không?
Mong mọi người giải thích!
PS: Kiến thức mạng mình rất yếu

Rất khó để đưa ra câu trả lời, nhưng mình có một vài chia sẻ như thế này :

Hiện nay các giải pháp ảo hóa thương mại cho máy chủ như VMWare Infrastructure hay VMWare vSphere dành cho môi trường Enterprise có rất nhiều tính năng và hoạt động ổn định cũng như rất an toàn cho cho môi trường production.

Để security cho các Virtual Machine chạy trên các Host (vd : ESX host) cũng có rất nhiều cách : sử dụng Firewall như công cụ esxcfg-firewall chẳng hạn hay VMware VMsafe hoặc các Third-party validation of security, ...

Muốn trở thành thợ lặn thì điều trước tiên anh phải biết bơi đã. ! Mà bây giờ nhiều người muốn đốt cháy giai đoạn quá smilie

Để tạm thời hạn chế lây lan virus sang máy khác trong trường hợp này tốt nhất trên máy tính bị nhiễm conflick (Kido) bạn nên bỏ chọn phần File and Printer share trong phần Properties của NIC. --> máy của bạn vẫn có thể sử dụng máy in và tài nguyên chia sẻ ở máy khác bình thường.

Chủ đề này cũng hay nên mình reply thêm để up lên cho cả nhà bàn luận tiếp.

Chắc một số người cũng biết tới các sản phẩm thương mại của GFI, trong đó có GFI WebMonitor có các chức năng : Web Security, Monitoring & Internet Access Control. GFI cũng hỗ trợ Microsoft ISA khá tốt và cũng có thể chạy độc lập không cần ISA .

http://www.gfi.com/pages/webmon-selection-download.asp

Theo em được biết thì con Web Server của hệ thống Banking thường rất cần được bảo mật . Vì vậy chắc rằng mọi người cũng không dám đặt nó vào DMZ của Firewall. Đặt thêm reverse proxy no cache như anh conmale nói là rất hợp lý.

Bỏ qua vấn đề license thì ta hoàn toàn có thể dùng duy nhất 1 certificate cho nhiều web server với điều kiện bên ngoài Internet sử dụng duy nhất 1 common name đã đăng ký.

Thực tế ở đơn vị mình cũng đã triển khai cái này cho Internet Banking, mô hình của bên mình cũng dùng riêng 2 Server làm reverse proxy, 2 server này đều dùng Certificate đã cấp từ Verisign.

Mình nghĩ rằng có thể dùng bất kỳ 1 server nào để CSR, bởi vì sau khi có Certificate và đã được install vào 1 server rồi ta vẫn có thể export nó ra với private key kèm theo để import sang server khác.

Để giảm load cho Server nhiều nơi sẽ chọn giải pháp Install SSL ngay trên thiết bị Loadblancing (F5 chẳng hạn).

Chào các bạn,

Vì một số lý do tế nhị nên mình chưa thể public thông tin của đơn vị tuyển dụng lên đây được mong mọi người thông cảm, mình sẽ thông tin thêm nếu bạn nào quan tâm. (Xin vui lòng PM/E-mail cho mình)

Đơn vị tuyển dụng :

Là một ngân hàng TMCP lớn có trụ sở chính tại HN, có hạ tầng CNTT hiện đại (Đã triển khai DataCenter, Access Control , CoreBanking, Internet Banking, Call Center, IP Phone, ...) , môi trường làm việc tốt, trọng dụng người có năng lực chuyên môn, chính sách đãi ngộ tốt với cán bộ làm CNTT.

Vị trí làm việc : Chuyên viên CNTT/Trưởng nhóm phụ trách về an toàn thông tin -làm việc tại Trung tâm CNTT trụ sở chính tại Hà Nội.

Mô tả công việc:

+ Tham gia quá trình lập kế hoạch và đảm bảo an ninh cho hệ thống.
+ Nghiên cứu tìm lỗi, sửa chữa và đánh giá các lỗ hổng trên hệ thống.
+ Xây dựng và thi hành cách chính sách bảo mật an toàn thông tin.
+ Đảm bảo sự hoạt động ổn định, an toàn cho các máy chủ Windows, Unix, Linux.

Yêu cầu :

+ Có ít nhất 2 năm kinh nghiệm về quản trị hệ thống, bảo mật.
+ Có nền tảng tốt về Windows Server, Linux, Unix
+ Ưu tiên ứng viên có kinh nghiệm triển khai các chuẩn ISO về an toàn thông tin.

Thu nhập và chế độ :

Lương cứng tối thiểu : 10-12tr/th (cho vị trí chuyên viên), Trưởng nhóm :12-14tr/th
Phụ cấp tiền ăn trưa, phụ cấp làm thêm giờ.
Thưởng hàng tháng (theo lợi nhuận kinh doanh của ngân hàng)
Thưởng tết dương lịch, Lương tháng 13, thưởng tết âm lịch, thưởng cổ phiếu hàng năm, quyền mua cổ phiếu ưu đãi.
Được đóng đầy đủ BHYT, BHXH và các chế độ phúc lợi khác.

Thời gian tuyển dụng : Đến hết 30/4/2010

Liên hệ : Ứng viên quan tâm xin vui lòng PM hoặc E-mail cho mình : ebanking2008vn (at) yahoo (dot) com

Cảm ơn bạn đã đọc tin này!

Thông thường từ ngoài Internet vào Server của bạn Firewall chỉ mở port 21, 80, 443 và 3389 để bạn Remote Desktop hoặc port 22 để bạn SSH.

maucoden wrote:

C
[b]Bạn nào đã triển khai trên thực tế rồi và có những kinh nghiệm gì thì có thể cho mình ý kiến được không?

Thực tế mình cũng đã triển khai các dịch vụ (production) chạy trên máy ảo hoàn toàn. Hạ tầng của mình sử dụng VMWare vSphere 4.0 trên Blade Server khá mạnh.

Kinh nghiệm thực tế là :

Không an tâm khi chỉ dùng ISA để publish các dịch vụ quan trọng ra ngoài Internet.

vd : công ty mình phải sử dụng Firewall CheckPoint kết hợp với ISA Server 2006 để publish OWA Mail.

Nếu phải install ISA trên máy ảo, theo mình có lẽ chỉ nên làm chức năng proxy caching mà thôi.

bạn search google với cụm từ IPCC, IP Call Center, hoặc vô cisco.com cũng có khá nhiều thông tin.

Vấn đề cấp IP động cho chi nhánh tốt nhất là dùng luôn Router tại Chi nhánh đó.

silva103 wrote:

Từ máy Client của bạn nếu truy cập qua chia sẻ file \\nameserver hoặc \\IP_Address được thì bạn sẽ map được ổ đĩa mạng.

Tôi đã bật share file lên rồi, và còn kiểm tra các port mở thì đã có 135,139,445 đã listening.

Tôi dùng địa chỉ cung cấp \\xyz.compute.amazon.com cũng không được, nó thông báo "No network provider accepted the given network path", mà địa chỉ này tôi đang dùng remote desktop. Tôi xem ip của nó thì nó là private 10.x.x.x, nên chắc là không thể dùng ip này map qua internet được.

Bạn đứng ở đâu để check và khẳng định các port 135, 139, 445 đã được Firewall của nhà cung cấp dịch vụ mở ?

đương nhiên địa IP 10.x.x.x phải được nhà cung cấp dịch vụ NAT ra Public IP thì bên ngoài Internet bạn mới sử dụng được các dịch vụ trên server đó.

Khả năng vấn đề đúng là ở DNS Server mà HUBTRANSPORT Server đang sử dụng.

Tại hubtransport bạn thử teltet servername port 25 ra bên ngoài xem có được không ?

vd : telnet mail.cmc.com.vn 25

Từ máy Client của bạn nếu truy cập qua chia sẻ file \\nameserver hoặc \\IP_Address được thì bạn sẽ map được ổ đĩa mạng.

Để Map được ổ đĩa mạng cần :

- Server cần phải Enable Share file trong phần TCP/IP Properties.
- Firewall mở port 135, 139, 445 cho Server ra ngoài.

mR.Bi wrote:

http://www.faqs.org/docs/securing/chap21sec164.html

Cảm ơn link của mR.Bi, mình đã hiểu thêm một số vấn đề.

mR.Bi wrote:

caching nameserver của bạn nó chứa "cache" vào đâu?

Theo bạn nó sẽ lưu vào đâu ? chắc không ngoài RAM ?

quanta wrote:

Mình nghĩ bạn cần phân biệt rõ hơn: caching-only DNS server và forwarding DNS server.

Hello quanta,

Mình hiểu thế này không biết có đúng không ? :

+ caching-only DNS server : Server không chứa zone name nào cả, khi Server nhận được 1 query yêu cầu phân giải tên nó sẽ kiểm tra trong cache, nếu không có trong cache thì sẽ đi hỏi các Root DNS ngoài internet, kết quả query sẽ trả về cho client và cache lại server.

+ forwarding DNS server : Mọi query phân giải tên sẽ được forward tới 1 DNS Server cụ thể nào đó.

quanta có thể vui lòng chỉ dẫn thêm cho mình ?

Thanks.

Mình đang dùng BIND.

[root@ho-dns named]# named -v
BIND 9.3.4-P1

Thanks quanta.

quanta wrote:

- Tham số recursion trong named.conf có ý nghĩa gì?

Theo mình hiểu thì khi DNS Server của mình không tự phân giải được 1 yêu cầu phân giải tên của 1 Client thì nó sẽ đi hỏi 1 DNS Server khác, sau khi có kết quả rồi thì trả lại cho Client.

quanta wrote:

Một zone có khai báo 'type hint' nghĩa là thế nào?

Cái này có phải là DNS root hint ? (có khoảng hơn 10 DNS Root trên internet)

to quanta : mình nghĩ mặc định DNS Server đã enable tính năng Caching ? và thắc mắc của mình làm sao để show lên được tình trạng đang caching trên Server ?

vd ở Windows ta có thể dùng lệnh ipconfig /displaydns .

quanta wrote:

Bạn hiểu caching name server nghĩa là thế nào?

DNS Server sẽ cache lại những thông tin truy vấn tên mà trước đây nó đã phải đi hỏi một Server DNS khác (vd : DNS của ISP).

Hi all,

Mình có cài đặt 1 con DNS Server và config theo cấu hình (file named.conf) như bên dưới.

Mình có thắc mắc là với config này thì DNS Server của mình có thực hiện chức năng Caching DNS hay không ?

Làm sao thế nào (lệnh nào) để mình có thể biết được tình trạng đang caching nếu có ?

Code:

options {
directory "/var/named";
// version statement - inhibited for security
// (avoids hacking any known weaknesses)
version "not currently available";
// dung DNS cua Google va FPT
forwarders {8.8.8.8; 210.245.0.131;};
forward only;
// disables all zone transfer requests
allow-transfer{"none";};
// Closed DNS - permits only local IPs to issue queries
// remove if an Open DNS required to support all users
// or add additional IP ranges
// in this case either allow-query or allow-recursion can be used
allow-query {10.68.68.0/24;};
};
// log to /var/log/example.log all events from
// info UP in severity (no debug)
// defaults to use 3 files in rotation
// BIND 8.x logging MUST COME FIRST in this file
// BIND 9.x parses the whole file before using the log
// failure messages up to this point are in (syslog)
// typically /var/log/messages
//logging{
// channel example_log{
// file "/var/log/named/example.log" versions 3;
// severity info;
// print-severity yes;
// print-time yes;
// print-category yes;
// };
// category default{
// example_log;
// };
};
// required local host domain
zone "localhost" in{
type master;
file "pri.localhost";
allow-update{none;};
};
// localhost reverse map
zone "0.0.127.in-addr.arpa" in{
type master;
file "localhost.rev";
allow-update{none;};
};

Windows Sharepoint Service 3.0 là thành phần lõi của MS Office SharePoint Server.

Em có thể chỉ cần setup Windows SharePoint Service 3.0 nhưng tính năng sẽ hạn chế.

Để lập trình cho SharePoint em có thể dùng Visual Studio và SharePoint Designer.

Hiện nay MS đã cho miễn phí công cụ SharePoint Designer.