Messages posted by: vikjava

Cảm ơn louisnguyen27 trước hén smilie

Theo tớ cậu chịu khó tìm tài liêu bên vnpro. Lúc trước tớ nhớ có 1 đề tài tốt nghiệp của cậu học bách khoa hà nội về phần này.

Hi không phải rùi buomdem. thanks

Dear all.

- PCI Compliance: Understand and Implement Effective PCI Data Security Standard Compliance http://www.amazon.com/PCI-Compliance-Understand-Implement-Effective/dp/1597494992/ref=sr_1_1?s=books&ie=UTF8&qid=1293089844&sr=1-1

- PCI DSS v1.2: A Practical Guide to Implementation http://www.amazon.com/PCI-DSS-v1-2-Practical-Implementation/dp/1849280231/ref=sr_1_2?s=books&ie=UTF8&qid=1293089844&sr=1-2

- Hiện tại mình cần tìm 2 quyển sách này vì mình cần một số thông tin về PCI DSS, bạn nào có share cho mình với nhé. Thanks

Dear all.

Đọc một mớ tài liệu, mình tóm lại các ý bản thân cho là chính yếu. Xin hỏi những thông tin này đã đúng và đủ để thực hiện công việc chưa ah? Nếu chưa đúng hoặc đủ thì cần nhưng gì bồ sung thêm

1.1 Senior IT Management/Chief Information Officer (CIO)
The Senior IT Management/CIO ensures that the organization’s security posture is adequate. The Senior IT Management provides direction and advisory services for the protection of information systems for the entire organization. The Senior IT Management/CIO is responsible for the following activities that are associated with security testing:
+ Coordinating the development and maintenance of the organization's information security policies, standards, and procedures,
+ Ensuring the establishment of, and compliance with, consistent security evaluation processes throughout the organization, and
+ Participating in developing processes for decision-making and prioritization of systems for security testing.

1.2 Information Systems Security Program Managers (ISSM)
The Information Systems Security Program Managers (ISSMs) oversee the implementation of, and compliance with the standards, rules, and regulations specified in the organization's security policy. The ISSMs are responsible for the following activities associated with security testing:
+ Developing and implementing standard operating procedures (security policy),
+ Complying with security policies, standards and requirements, and

+ Ensuring that critical systems are identified and scheduled for periodic testing according to the security policy requirements of each respective system.

1.3 Information Systems Security Officers (ISSO)
Information Systems Security Officers (ISSOs) are responsible for overseeing all aspects of information security within a specific organizational entity. They ensure that the organization's information security practices comply with organizational and departmental policies, standards, and procedures. ISSOs are responsible for the following activities associated with security testing:
+ Developing security standards and procedures for their area of responsibility,
+ Cooperating in the development and implementation of security tools and mechanisms,
+ Maintaining configuration profiles of all systems controlled by the organization, including but not limited to, mainframes, distributed systems, microcomputers, and dial access ports, and
+ Maintaining operational integrity of systems by conducting tests and ensuring that designated IT professionals are conducting scheduled testing on critical systems.

1.4 System and Network Administrators
System and network administrators must address the security requirements of the specific system(s) for which they are responsible on a daily basis. Security issues and solutions can originate from either outside (e.g., security patches and fixes from the vendor or computer security incident response teams) or within the organization (e.g., the Security Office). The administrators are responsible for the following activities associated with security testing:
+ Monitoring system integrity, protection levels, and security related events,
+ Resolving detected security anomalies associated with their information system resources,
+ Conducting security tests as required, and
+ Assessing and verifying the implemented security measures.

1.5 Managers and Owners
Managers and owners of a system oversee the overall compliance of their assets with their defined/identified security requirements. They are also responsible for ensuring that test results and recommendations are adopted as appropriate.

2. Security Testing Techniques
The following types of testing are described in this section:
+ Network Scanning
+ Vulnerability Scanning
+ Password Cracking
+ Log Review
+ Integrity Checkers
+ Virus Detection
+ Penetration Testing
After running any tests, certain procedures should be followed, including documenting the test results, informing system owners of the results, and ensuring that vulnerabilities are patched or mitigated.

2.1 Roles and Responsibilities for Testing
Only designated individuals, including network administrators or individuals contracted to perform the network scanning as part of a larger series of tests, should conduct the tests described in this section. The approval for the tests may need to come from as high as the CIO depending on the extent of the testing. It would be customary for the testing organization to alert other security officers, management, and users that network mapping is taking place. Since a number of these test mimic some of the signs of attack, the appropriate manages must be notified to avoid confusion and unnecessary expense. In some cases, it may be wise to alert local law enforcement officials if, for example, the security policy included notifying law enforcement.

2.2 Network Scanning
Organizations should conduct network scanning to:
+ Check for unauthorized hosts connected to the organization’s network,
+ Identify vulnerable services,
+ Identify deviations from the allowed services defined in the organization’s security policy,
+ Prepare for penetration testing,
+ Assist in the configuration of the intrusion detection system (IDS), and
+ Collect forensics evidence.
Network scanning results should be documented and identified deficiencies corrected. The following corrective actions may be necessary as a result of network scanning:
+ Investigate and disconnect unauthorized hosts,
+ Disable or remove unnecessary and vulnerable services,
+ Modify vulnerable hosts to restrict access to vulnerable services to a limited number of required hosts (e.g., host level firewall or TCP wrappers), and
+ Modify enterprise firewalls to restrict outside access to known vulnerable services.

2.3 Vulnerability Scanning
Vulnerability scanners provide the following capabilities:
+ Identifying active hosts on network
+ Identifying active and vulnerable services (ports) on hosts.
+ Identifying applications and banner grabbing.
+ Identifying operating systems.
+ Identifying vulnerabilities associated with discovered operating systems and applications.
+ Identifying misconfigured settings.
+ Testing compliance with host application usage/security policies.
+ Establishing a foundation for penetration testing.
Vulnerability scanners can be of two types: network-based scanners and host-based scanners. Network-based scanners are used primarily for mapping an organization's network and identifying open ports and related vulnerabilities. In most cases, these scanners are not limited by the operating system of targeted systems. The scanners can be installed on a single system on the network and can quickly locate and test numerous hosts. Host-based scanners have to be installed on each host to be tested and are used primarily to identify specific host operating system and application misconfigurations and vulnerabilities. Because host-based scanners are able to detect vulnerabilities at a higher degree of detail than network-based scanners, they usually require not only host (local) access but also a “root” or administrative account. Some host-based scanners offer the capability of repairing misconfigurations.
Vulnerability scanning results should be documented and discovered deficiencies corrected. The following corrective actions may be necessary as a result of vulnerability scanning:
+ Upgrade or patch vulnerable systems to mitigate identified vulnerabilities as appropriate.
+ Deploy mitigating measures (technical or procedural) if the system cannot be immediately patched (e.g., operating system upgrade will make the application running on top of the operating system inoperable), in order to minimize the probability of this system being compromised.
+ Improve configuration management program and procedures to ensure that systems are upgraded routinely.
+ Assign a staff member to monitor vulnerability alerts and mailing lists, examine their applicability to the organization's environment and initiate appropriate system changes.
+ Modify the organization's security policies, architecture, or other documentation to ensure that security practices include timely system updates and upgrades.

2.4 Password Cracking
Password cracking programs can be used to identify weak passwords. Password cracking verifies that users are employing sufficiently strong passwords. Passwords are generally stored and transmitted in an encrypted form called a hash. When a user logs on to a computer/system and enters a password, a hash is generated and compared to a stored hash. If the entered and the stored hashes match, the user is authenticated.

Password crackers should be run on the system on a monthly basis or even continuously to ensure correct password composition throughout an organization. The following actions can be taken if an unacceptably high number of passwords can be cracked:14
+ If the cracked passwords were selected according to policy, the policy should be modified to reduce the percentage of crackable passwords. If such policy modification would lead to users writing down their passwords because they are difficult to memorize, an organization should consider replacing password authentication with another form of authentication.
+ If cracked passwords were not selected according to policy, the users should be educated on possible impacts of weak password selections. If such violations by the same users are persistent, management should consider additional steps (additional training, password management software to enforce better choices, deny access, etc.) to gain user compliance. Many server platforms also allow the system administrator to set minimum password length and complexity.

2.5 Log Reviews
Various system logs can be used to identify deviations from the organization's security policy, including firewall logs, IDS logs, server logs, and any other logs that are collecting audit data on systems and networks. While not traditionally considered a testing activity, log review and analysis can provide a dynamic picture of ongoing system activities that can be compared with the intent and content of the security policy. Essentially, audit logs can be used to validate that the system is operating according to policies.
Log reviews should be conducted very frequently, if not daily, on major servers and firewalls. Again, using log-reduction tools will assist system administrators greatly in identifying problems and suspicious activity. For the specific purpose of testing implementation of required security configurations, once a month may be sufficient with the exception of on demand reviews resulting from major system upgrades that require validation. The following actions can be taken if a system is not configured according to policies:
+ Remove vulnerable services if they are not needed.
+ Reconfigure the system as required to reduce the chance of compromise.
+ Change firewall policy to limit access to the vulnerable system or service.
+ Change firewall policy to limit accesses from the IP subnet that is the source of compromise

2.6 File Integrity Checkers
A file integrity checker computes and stores a checksum for every guarded file and establishes a database of file checksums. It provides a tool for the system administrator to recognize changes to files, particularly unauthorized changes. Stored checksums should be recomputed regularly to test the current value against the stored value to identify any file modifications. A file integrity checker capability is usually included with any commercial host-based intrusion detection system.

Integrity checkers should be run daily on a selection of system files that would be affected by a compromise. Integrity checkers should also be used when a compromise is suspected for determining the extent of possible damage. If an integrity checker detects unauthorized system file modifications, the possibility of a security incident should be considered and investigated according to the organization's incident response and reporting policy, and its procedures.

2.7 Virus Detectors
The following steps are recommended:
+ Virus definition files should be updated at least weekly and whenever a major outbreak of a new virus occurs.
+ The anti-virus software should be configured to run continuously in the background and use heuristics, if available to look for viruses.
+ After the virus definition files are updated, a full system scan should be performed.

2.8 Penetration Testing
- Penetration testing is security testing in which evaluators attempt to circumvent the security features of a system based on their understanding of the system design and implementation. The purpose of penetration testing is to identify methods of gaining access to a system by using common tools and techniques used by attackers. Penetration testing should be performed after careful consideration, notification, and planning.

+ Specific IP addresses/ranges to be tested
+ Any restricted hosts (i.e., hosts, systems, subnets, not to be tested)
+ A list of acceptable testing techniques (e.g. social engineering, DoS, etc.) and tools (password crackers, network sniffers, etc.)
+ Times when testing is to be conducted (e.g., during business hours, after business hours, etc.)
+ Identification of a finite period for testing
+ IP addresses of the machines from which penetration testing will be conducted so that administrators can differentiate the legitimate penetration testing attacks from actual malicious attacks
+ Points of contact for the penetration testing team, the targeted systems, and the networks
+ Measures to prevent law enforcement being called with false alarms (created by the testing)
+ Handling of information collected by penetration testing team.

- Penetration testing can be overt or covert. These two types of penetration testing are commonly referred to as Blue Teaming and Red Teaming. Blue Teaming involves performing a penetration test with the knowledge and consent of the organization's IT staff. Red Teaming involves performing a penetration test without the knowledge of the organization's IT staff but with full knowledge and permission of the upper management.

- During the first phase, reconnaissance, a penetration testing team attempts to get an overview of the target to develop more specific information.

+ Domain Name System (DNS) interrogation
+ InterNIC (whois) queries
+ Search of the target organization’s web server(s) for information
+ Search of the organization’s Lightweight Directory Access Protocol server(s) (LDAP) for information
+ Packet capture (generally only during internal tests)
+ NetBIOS enumeration (generally only during internal tests)
+ Network Information System ([NIS] generally only during internal tests)
+ Banner grabbing

Figure 2: The Maltego Information Reconnaissance Toolkit
+ During the reconnaissance phase, a team may use a toolkit such as Maltego, as shown in Figure 2. The Maltego toolkit provides an open source intelligence-gathering engine that mines the web for data. By performing transforms against input such as a domain name or URL, Maltego searches the web for useful targeting information such as email addresses that can be used as a vector to deliver a social engineering or client side attack later in the penetration test.

- After reconnaissance, penetration testers move into an enumeration phase. During this phase, the team identifies entry points into the network. In addition, the team may use automated toolkits to identify vulnerable services, servers, and hosts on the network.

+ Tool used for enumeration of targets is nmap (network mapper). It is an open source utility for network exploration and security auditing. The author, Feydor, provides the tool for download at http://nmap.org/. Nmap contains a series of rules and fingerprints to identify the services and operating systems of different machines on a network. It compares the responses from a target against its massive database to provide the penetration testing team with more specific data about a target.

Figure 3 shows results generated by the nmap tool

+ Penetration testers may take the results from an nmap automated scan against the network and import it into commercial tools like the Nessus Vulnerability Scanner available at http://www.nessus.org/nessus/. The Nessus Vulnerability Scanner maintains a large database of vulnerable software and services and connects to different hosts and servers to determine whether they are vulnerable to any of these exploits. The Nessus Vulnerability Scanner, depicted in Figure 4, provides the penetration testing team with an overview of vulnerable services by host and port.

Figure 4: The Nessus Vulnerability Scanner

+ For attacking web applications, a team may use an automated scanner such as Nikto http://cirt.net/nikto2) to determine vulnerabilities. Nikto connects to webservers, looking for over 6,400 potentially dangerous files/scripts, and checks for outdated versionof over 1,000 servers. Using Nikto, a penetration testing team can identify a vector such as cross-site-scripting, file-upload, or remote-file-inclusion to attack a server.Additionally, as depicted in Figure 5, the results of Nikto may steer the penetration testing team toward exploits that would succeed against the target

Figure 5: The Nikto Web Vulnerability Assessment Toolkit

- Once the team identifies a vulnerability, the team move into the next phase: exploitation. This is the pivotal phase in the cycle, by actively attacking the service orhost the penetration tester roves the systems are vulnerable to an exploit. Finally, theteam wraps up their work with successful documentation of their efforts in a penetration testing report that is provided to the client. Although we have described this order linearly, it is important to note that penetration testers move back and forth fluidly between several of the phases. For example, a penetration testing team will not necessarily document all of the vulnerabilities found before moving to exploitation. This ensures the team has results it can show a client, who usually has the team on a very tight time schedule

+ When preparing to exploit a target, the penetration testing team may choose to use
an all-encompassing framework such as MetaSploit to attack the attack. The MetaSploit
development team makes the project freely available under the BSD license and allowable for download at http://www.metasploit.com. Figure 6 depicts a screenshot of MetaSploit being used to attack a Windows XP SP2 machine. In the figure, the user selects an exploit, MS08-067 (Conficker), and a payload, the meterpreter shell. As a result of the exploit, the attacker can remotely command the target via the shell.

Dear all.

Hiện tại mình đang tìm hiểu để hình thành kịch bản của 2 quá trình trên. Cho mình hỏi để hình thành kịch bản của 2 quá trình trên chúng ta phải làm gì? Quá trình đươc xây dựng như thế nào, cần những yếu tố gì? ...

Mời mọi người thảo luận. Thân

conmale wrote:

Trách nhiệm và kiến thức của từng SME có thể được tách rời ra thành nhiều thảo luận chuyên sâu (nếu bồ cần).

- Tiện thể cho em hỏi, các policy, các quy trình có thể chia sẽ với nhau đươc không ah? Nó có phải là tài liệu "mật", ảnh hưởng đến hệ thống ....

Hi pwd .

Không biết bác làm ở đâu mà lo chuyện học hành của anh em IT thế smilie

@zjm_zjm: Mình chẳng muốn gặp mấy thằng ku "cao thủ" làm gì cả smilie

, gặp mấy anh em HVA làm vài chai xem ra sướng hơn

pwd có thể mời mrro tư vấn xây dựng hệ thống giám sát an ninh mạng, đồng thời đánh giá độ an toàn của hệ thống mạng bên pwd. Hoặc có thể bắt đầu triển khai một chuẩn an toàn thông tin nào đó, từ các yêu cầu của chuẩn đánh giá lại ta có gì, thiếu gì ... sau khi triển khai thì mời chuyên gia vào đánh giá lại smilie

Bản thân mình rất dị ứng với mấy tên có CEH, mình gặp toàn lũ cùi bắp không smilie

xnohat wrote:

Về việc thuyết phục các lãnh đạo doanh nghiệp về vấn đề xảy ra nếu không chú trọng cho bảo mật thông tin, theo tôi ở trường hợp cty bồ là rất dễ vì chuyện bảo mật thông tin ở một cty về tài chính là chuyện đương nhiên chắc chắn phải đầu tư. Bồ chỉ việc thực hiện một báo cáo chi tiết với các Case Study cụ thể về các cty trước đây bị tấn công làm thất thoát thông tin kèm theo các thiệt hại tài chính mà họ gặp phải ( cứ ghi rõ số tiền họ mất ra là có người ớn lạnh ngay ), nếu có kiến thức về kinh tế nữa thì bồ báo cáo thêm về tình huống giả định bị tấn công (cụ thể ở cty bồ) và chỉ rõ ra mức độ thiệt hại ( con số tiền nong rõ ràng ) , so sánh với mức độ giảm thiểu thiệt hại khi đầu tư cho bảo mật. Chú ý các con số KPI ( Key Performance Index ) phải rõ ràng

Thân mến,

xnohat đã từng làm qua việc này chưa smilie

http://www.microsoft.com/forefront/en/us/business-ready-security.aspx các bạn có thể tham khảo giải pháp trọn bộ của microsoft tại đây.

xnohat wrote:

Hiện nay khi sử dụng máy tính, nhiều người dùng máy tính nghiệp dư thường có thói quen ẩn chứa nhiều rủi ro là bấm nút Remember khi đăng nhập vào một trang nào đó sử dụng form login

Vậy thì mình là người sử dụng máy tính nghiệp dư rồi smilie

. Theo xnohat thì ta nên làm thế nào để vừa đảm bảo độ an toàn, vưa đảm bảo không phải nhớ quá nhiều

Hi all !

Cho mình hỏi ngoài splunk hay lucene-solr thì có những sản phẩm nào tương tự ? Bao gồm phần mềm thương mại và cả mã nguồn mở

Quên đi mấy cái chứng chỉ thương mại như CEH... vì những cái đó vô ích nếu không có kiến thức nền một cách vững chắc.

Ý mình là bạn nên học thật tốt ở trường, có kiến thức nền vững chắc như anh conmale đề cập, đồng thời có thể học thêm Cisco tại vnpro,saigonctt .

Hiện nay các cơ sở đào tạo CEH đa phần là "chui", "lậu" không phải là partner chính thức của tổ chức cấp CEH. HVA cũng có thể là nơi cung cấp cho bạn kiến thức nền vững chắc đó. smilie

Nếu bạn tốt nghiệp xuất sắc của đại học khoa học tự nhiên mình bảo đảm bạn sẽ làm được trong ngân hàng.

Về CEH thì bạn đừng nên học theo các trung tâm hiện nay, và một số đối tượng luyện "bùa" rồi thi lấy bằng. Mình tiếp xúc với 3 CEH, thấy chỉ tội nghiệp cho cái bằng thôi ....Giờ ai hô có CEH mình dị ứng ghê gớm

Mấy bạn xem lai ngày mình post. Lâu quá nó khoá là chuyện bình thường, chịu khó google vậy.

http://astore.amazon.com/carnal0wnage-20/listmania/2SCWUXYJCUYW7 tác giả Carnal0wnage giới thiệu tập sách này để ngâm cứu. Mình không phải hacker và cũng không muốn trở thành hacker nên không rõ lắm. Bác nào cho ý kiến để ai muốn làm hacker tham khảo hén smilie

lQ wrote:

àh không rõ sếp của vikjava có hỏi triển khai PCI DSS thì có thu được lợi lộc gì ko nhể???

hi anh lQ

sếp bảo đông á chưa triển khai, mình triển khai thành công thì có thể nâng cao uy tín . Thời buồi này không có cá lớn nuốt cá bé mà chỉ có cá nhanh thắng cá chậm smilie

. Em cũng chẳng hiểu mấy vụ này, nhưng có việc để làm thì càng tốt, mai mốt thất nghiệp qua đông á nộp hồ sơ ghi thêm dòng đã triền khai PCI DSS chắc cũng được ưu tiến tí đĩnh. smilie

p/s: đông á về dịch vụ sản phẩm và công nghệ luôn đi đầu mà anh. Cái vụ cho atm chạy trên xe tải dong á cũng áp dụng đầu tiên, tiếc rằng bị nhà nước không cho phép smilie

Cảm ơn anh prof. Em đã liên lạc kỹ thuật bên onepay rùi, họ bảo có gì họ tư vấn triển khai cho( miễn phí hay tính tiền thì chưa biết smilie

)

Có một điều thắc mắc nữa là tại sao ở vietnam có rất ít công ty đạt chứng nhận này, hình như ngay cả ngân hàng đông á rất mạnh về security vẫn không đạt( có thể không thèm đạt smilie

). Lý do là gì thế ah?

Lớn rồi tự xúc cơm ăn, đâu phải con nít đâu mà đợi đút.

Bạn có thể xem hướng dẫn tại đây http://wiki.zimbra.com/index.php?title=Ubuntu_8.04_LTS_Server_%28Hardy_Heron%29_Install_Guide

Chọn

- m-ac7001
- m-ac7002
- m-ac7003
- m-ac7004

rùi giải nén tiếp.

Hi all !

Thông tin về PCI DSS v2.0 vài ngày trở lại đây xuất hiện trên các trang thông tin công nghệ khá nhiều.

PCI DSS là gì?

PCI DSS được đưa ra bởi PCI Security Standards Council (bao gồm các thành viên là các tổ chức thẻ quốc tế: Visa Inc, MasterCard Worldwide, American Express, Discover Financial Services, JCB International). Mục đích của PCI DSS bảo đảm an toàn cho dữ liệu thẻ khi được xử lý và lưu trữ tại các ngân hàng hoặc doanh nghiệp thanh toán. PCI DSS giúp đưa ra những chuẩn mực về bảo mật thông tin thẻ và được áp dụng trên toàn cầu.

PCI DSS là là một hệ thống các yêu cầu để đáp ứng các chuẩn mực về an ninh, chính sách, quy trình, cấu trúc mạng, hệ thống phần mềm và một số yếu tố khác. Tập hợp các chuẩn mực này định hướng cho các ngân hàng hoặc doanh nghiệp về thanh toán đảm bảo an ninh cho dữ liệu của thẻ thanh toán.

*********************

- Cho mình hỏi để triển khai PCI DSS thì ta cần phải qua những giai đoạn nào, quy trình thực hiện ra sao.
- Theo checklist của PCI DSS v2.0 thì mình thấy nó tương tự như các policy? Vậy một tổ chức có các policy và thực hiện các policy đáp ứng đúng các yêu cầu thì sẽ OK ?
- Làm thế nào đề đạt được chứng nhận này, ai là người xác nhận công ty bạn đạt chuẩn PCI DSS smilie

Trong đó có file hướng dẫn mà, tuy nhiên loại này không được " sạch". Nói chung dùng phần mềm crack thì phải chịu smilie

Có lẽ bây giờ các sản phẩm thiên về IPS hơn là IDS.

Có lẽ chẳng ai trên HVA từng test hoặc sử dụng qua tất cả các sản phẩm bạn đưa ra. Khi sử dụng IPS bạn cần chú ý phần LATENCY. Bên cạnh đó, tỷ lệ báo sai sai (false negative), và báo đúng sai (false positive) cũng rất quan trọng. Phần signature của từng IPS không phải cứ nhiều là tốt, ví dụ: Tipping Point của Hp cần 10 là đủ fix lỗi MS08-067, trong khi đó sourcefire cần tới 25 ...

Bạn thử tìm hiểu Tipping Point của Hp xem thế nào, con xịn nhất của nó tầm 1,5 triệu USD smilie

.

phpvirus wrote:

Hệ thống hiện tại đã có AD + Exchange cho văn phòng chính. Và dùng Mdeamon cho các phòng ban chi nhánh.

Các mail server trong hệ thống này đang dùng ở dạng Mail Offline. Get mail thông qua host đặt ở VDC.

Chắc bác dùng phần mềm lậu rồi. Thiết kế về mail hơi kỳ. Zimbra thì bên mình đang dùng nhưng có lẽ nó không bằng exchange của microsoft.

Năm 2010 chỉ còn 1 tháng nữa thôi smilie

Có lẽ mọi người trả lời theo từ khoá " xu hướng " của cái tiêu đề.

conmale wrote:

Hãy bắt đầu bằng câu hỏi: theo bạn, trong năm 2010 dạng tấn công nào phổ biến nhất trên Internet và lý do tại sao?

Mời bà con tham gia.

Virus và phishing là dạng tấn công phồ biến nhất bời vì mạng xã hội ảo đang phát triển như vũ bão.

Điện toán đám mây, ảo hoá là 2 xu hướng công nghệ trong thời gian tới có thể đây là một hướng tấn công mới. Bản quy chế bảo mật như thế nào thế anh, có share đươc kô anh smilie

. Em cũng đang làm mấy cái qui chế, qui định gọi cho sang là policy.