Em nghe nói học CEH thì phải có ít nhất 2 năm kinh nghiệm về sercurity(tức là đi làm rồi ) ngoài ra còn cần ít nhất 1 chứng chỉ về mạng (như cisco,microsoft) có phải không vậy mấy anh ? 

Cho em hỏi nốt câu cuối :
1 lỗ hổng bảo mật rốt cuộc cụ thể là cái j ,xuất phát từ đâu ?  

Tôi xin có vài ý kiến với vấn đề này!
Trước hết là nhắc lại câu nói của anh Conmale:
“Muốn bảo mật thì phải hiểu đối tượng mà mình muốn bảo mật”
Tôi thấy câu nói trên chưa thật sự thỏa đáng cho câu hỏi của chủ topic: học bảo mật phải bắt đầu từ đâu. Riêng tôi có nhận định về bảo mật thế này:
Nhận định 1:
Bảo mật không phải chỉ là làm sao cho đối tượng bảo mật của mình an toàn trước những nguy cơ tấn công trái phép mà còn phải làm sao cho đối tượng bảo mật của mình được bảo đảm không bị hư hại.
Lấy ví dụ:
Nếu bạn muốn bảo mật dữ liệu gồm các thông tin khách hàng của mình thì không những bạn phải bảo vệ nó trước nguy cơ tấn công trái phép (có thể là từ bên ngoài hoặc bên trong) mà bạn còn phải bảo đảm cho dữ liệu được thông suốt, không bị hư hại trong quá trình truyền dẫn và lưu trữ cũng như xử lý.
Nhận định 2:
Có thể chúng ta đều biết rằng: “Lập trình máy tính (gọi tắt là lập trình; tiếng Anh: programming) là kỹ thuật cài đặt một hoặc nhiều thuật toán trừu tượng có liên quan với nhau bằng một hoặc nhiều ngôn ngữ lập trình để tạo ra một chương trình máy tính. Lập trình có các thành tố nghệ thuật, khoa học, toán học, và kỹ nghệ.” (Theo Wikipedia.org Việt Nam) .
Theo tôi, lập trình phải bao gồm: tư duy lập trình, kỹ thuật lập trình, ngôn ngữ lập trình. Học lập trình thì ta phải đi theo tuần tự: tư duy –> kỹ thuật -> phương tiện (ngôn ngữ) lập trình.
Tư duy lập trình là tập hợp các cách thức, hướng nhìn nhận và giải quyết vấn đề.
Kỹ thuật lập trình là những lựa chọn của lập trình viên sau khi đã hình thành tư duy giải quyết vấn đề đó. Nó không còn là hướng đi nữa mà phải là những bước đi cụ thể. Có thể dùng từ “thuật toán” để nói ngắn gọn về kỹ thuật lập trình.
Phương tiện, ngôn ngữ lập trình: là những phần mềm, ngôn ngữ lập trình giúp bạn thực hiện các bước đi trong “kỹ thuật lập trình”. Ví dụ: C, C++, PHP,…
Tại sao tôi lại đề cập đến lập trình trong bài reply này? Vì tôi nhận ra bảo mật và lập trình có 1 mối quan hệ: học bảo mật cũng phải có tư duy bảo mật, kỹ thuật bảo mật và phương tiện bảo mật. Tôi xin phân tích cụ thể như sau:
Tư duy bảo mật bao gồm những kiến thức cơ bản nhất về máy tính, dữ liệu, truyền dẫn, lưu trữ,….
Kỹ thuật bảo mật bao gồm các giải pháp và công nghệ về bảo mật (vào thời điểm hiện tại) để giải quyết các vấn đề bảo mật. Ví dụ: San, Nas, Firewall,…
Phương tiện bảo mật là những phần mềm, công cụ phục vụ cho việc thi hành các kỹ thuật bảo mật.
Để hiểu rỏ mối tương giao này, tôi xin đưa ra 1 ví dụ:
Bạn là một nhân viên bảo mật của 1 cty nào đó. Giám đốc kỹ thuật yêu cầu bạn update MySQL lên version mới. Sau khi update xong, Sun thông báo là có 1 lỗi về mặt che giấu thông tin (lỗi này hết sức nghiêm trọng). Trong khi đó Sun chưa cung cấp bản vá và trên mạng chưa có cách khắc phục (dĩ nhiên là bạn cũng không thể nào tìm ra cách fix dù bạn giỏi đến đâu, thành thạo MySQL đến đâu). Trong tình huống này, nếu bạn không có tư duy và kiến thức về bảo mật (tư duy bảo mật) thì làm sao bạn tìm ra hướng giải quyết cho vấn đề này (chọn một giải pháp bên ngoài để giải quyết tạm thời chẳng hạn). Như theo lời anh Conmale nói thì phải hiểu rỏ MySQL thì mới bảo mật nó được. Vậy thì trong trường hợp này hỏi nhận định của anh Conmale có còn đúng hoàn toàn không?
Trở lại với câu hỏi của chủ topic. Từ những điều tôi vừa nêu ở trên, tôi nghĩa rằng bảo mật phải đươc bắt đầu từ những gì cơ bản nhất (điều này anh Conmale cũng đã nói nhiều lần, nhất là trong loạt bài “Những cuộc đối thoại với Rookie”). Đó cũng chính là lý do tại sao ở nhà trường, các thầy cô thường dạy bạn những thứ cơ bản như cấu trúc dữ liệu, thuật toán,... trước khi bắt đầu hướng bạn vào chuyên ngành. Đó là những điều hết sức quan trọng mà không phải ai cũng nhận biết được.
Tất cả những điều tôi vừa trình bày ở trên là để làm rỏ cho câu hỏi: tại sao nhận định “Muốn bảo mật thì phải hiểu rỏ đối tượng bảo mật của mình” của anh Conmale là chưa hoàn toàn đúng. Nó chỉ đúng khi bạn đã có những thứ nền tản mà tôi vừa nêu ở trên.
Trên đây chỉ là những nhận định của cá nhân tôi. Chắc hẳn nó còn nhiều thiếu sót và có thể là sai lệch ở đâu đó. Rất cần sự đánh giá, bàn luận của các bạn!
 

jpg wrote:

jpg wrote:

@EveryBody :

Mình muốn trao đổi với mọi người một điều có thể coi như câu 6 nhé :
Hỏi :
Khoảng thời gian đi tư A->B,B->C là bao nhiêu lâu (câu 4) ?^^.Xin mọi người cứ trao đổi thẳng thắn diễn đàn mà ^^ '  

Sao không ai trả lời câu hỏi này của mình à ? 

Khó có thể xác định được. Điều này tuỳ thuộc vào khả năng tư duy và tiếp nhận của từng cá nhân. Tuy nhiên, điều có thể xác định được là giai đoạn đi từ A --> B sẽ lâu và dài hơn từ B --> C.

A --> B: giai đoạn tìm ra what
B --> C: giai đoạn củng cố what và tìm hiểu why
C --> n.. : freedom, muốn làm gì thì làm.

Trở ngại lớn nhất cho những người mới bước chân vào là muốn lao thẳng vào "freedom" :) . Họ sẽ cực nhọc tìm hiểu what, why cùng lúc với những vấn đề phức tạp trong cõi "freedom" kia cho nên họ sẽ bị lạc lối hoặc bị nản chí. 

e rất thích ngành bảo mật nhưng không biết đầu tiên vô phải biết những gì ? Mong các huynh chỉ dùm em cám ơn nhiều lắm 

hoanganlbt wrote:

e rất thích ngành bảo mật nhưng không biết đầu tiên vô phải biết những gì ? Mong các huynh chỉ dùm em cám ơn nhiều lắm 

Để có thể bảo mật một cái gì thì việc đầu tiên phải hiểu tường tận cái mình cần bảo mật. Đây là khái niệm tổng thể và căn bản nhất. Kế tiếp, phải hiểu rõ mình bảo vệ với đối tượng nào, trong môi trường nào.

Bảo mật có thể rất sâu và rất rộng. Ví dụ:

- muốn bảo mật desktop --> phải tường tận desktop (nó làm việc ra làm sao, thường bị hỏng hóc chỗ nào, thường bị nghịch phá, làm hỏng trong hoàn cảnh ra sao...)

- muốn bảo mật server --> phải tường tận server (server đó có chức năng gì? cung cấp những dịch vụ gì, những dịch vụ này thường bị sự cố ở đâu? những ai thường "chọc phá" chúng....)

- muốn bảo mật phần mềm ứng dụng --> phải hiểu rõ phần mềm ấy (nó làm gì, cung cấp cái gì và có thể tạo ra những tình huống ra làm sao....)

- muốn bảo mật chính ứng dụng mình viết ra --> phải hiểu rõ mục tiêu người dùng là ai, ứng dụng mình tạo ra có những chức năng cốt lõi là gì.

- muốn bảo mật một hệ thống làm việc --> phải hiểu rõ hệ thống ấy (gồm có những gì, chức năng của từng bộ phận ra làm sao, chúng thường bị sự cố gì, những thành phần nào thường "chọc phá" chúng...).

và ...v..v...

Vậy, câu hỏi "bắt đầu từ đâu" có thể sẽ là: bắt đầu bằng cách làm cho mình tường tận những gì mình muốn bảo mật.

Thế, làm sao để có thể tường tận?
Xác định cụ thể mục tiêu mình muốn bảo mật và bắt đầu từ cái căn bản nhất: cách xử dụng, cách cài đặt, cách điều chỉnh, cách tối ưu, cách mở rộng. Từ đó, những kiến thức thâu thập được trên chặng đường này sẽ giúp mình mở rộng ra những "khu vực" khác của bảo mật.

Đọc sách gì?
Đọc bất cứ sách gì nhưng cần 2 điểm tối quan trọng:
- kiểm chứng và tổng hợp sau khi đọc (kiểm chứng xem điều mình đọc có xác thực không? có ai phát biểu, nhận định gì khác với điều mình đọc không?)
- thực hành và xác thực trong khi và sau khi đọc (thực hành những gì có thể thực hành để nắm được cái thực tế).

Tham khảo ở đâu?
Bất cứ nơi nào cho phép: web, search engine, forums, bạn bè, thầy cô... nhưng 1 điểm tối quan trọng trước khi tham khảo (hỏi) người khác:
- tự đặt một câu hỏi cho hữu lý (nếu chính mình không hiểu câu hỏi thì người khác khó có thể hiểu được điều mình muốn hỏi)
- thử tự mình trả lời trước (nếu không thể tự trả lời, ít nhất mình rõ hơn điều mình đang thắc mắc).

Và 2 điều không thể thiếu: đam mê + kiên nhẫn.

Thân mến. 

" Những gì anh conmale nói mà hiểu như thế này thì mãi mãi ko thấy vấn đề đâu mà càng ngày chỉ càng thấy rối lên mà thôi.

Tôi thì thấy nói như thế là quá đủ rồi đừng cố bới ra nữa mà nên bắt tay vào việc thôi"
Phải nói là mỗi người đứng ở một tầm khác nhau nên có tranh cãi là phải.Nếu coi kiến thức bảo mật như một ngọn núi cao thì bác Conmale đang đứng gần đỉnh nên bài viết rất tổng quan về cách nhìn nhận vấn đề ông bạn VMWare tốt nhất nên đọc kĩ bài của bác Conmale.

Tuy nhiên ý của ông bạn cũng đúng em đề nghị bác Conmale lấy một ví dụ cụ thể chẳng hạn muốn bảo mật cái destop của chính mình thì nên biết những gì? Bắt đầu từ đâu? Bác cứ làm một cái list thứ tự những cái cần học rồi cho tên vài quyển sách. Em xin thay mặt các newbies cám ơn bác (À mà em kô phải newbie nha. ) 

Small_happy wrote:

Mình có 1 câu hỏi thế này nhờ mọi người giải đáp hộ ?
Học bảo mật(hay là hack ) có cần thiết phải sử dụng các tools ko ? hay chỉ cần dòng lệnh trong cmd,terminal + kiến thức lập trinh (C/C++/perl/python...) là đủ .
Rất mong được giải đáp tường tận . 

Học bảo mật (hay là hack) có nghĩa là sử dụng các tools, tạo ra các tools, vận dụng mọi điều kiện để đạt được mục đích. Điều này có nghĩa: phải hiểu được các tools đó làm gì, phải hiểu được việc mình tạo ra các tools làm cái gì (chuyện hiển nhiên). Bảo mật (hoặc hack) không phải đơn thuần sử dụng tools. 

Small_happy wrote:

Cám ơn anh conmale nhiều ,sử dụng tools tất nhiên không thể coi là học về hack được rồi, cái đó thì tay mơ như em cũng nắm được ,ý em hỏi là :
giả dụ muốn test một hệ thống server hay 1 trang web chẳng hạn , nếu trong tay mình chả có công cụ gì , hoặc có mà không biết dùng thì liệu có thể bắt lỗi cái server hay web đó chỉ bằng những cái đơn giản như các dòng lệnh trong cmd+ 1 chút kiến thức về ngôn ngữ web+1 trình duyệt web được không ?, chẳng cần nhờ đến những cái j cao siêu cả
còn chuyện test được đến đâu thì em cũng hiểu là cái j cũng có hạn chế , có những cái phải sử dụng các công cụ (có sẵn hoặc do mình tạo ra ) thì mới làm được .
Anh nói thêm em với .  

Câu trả lời đơn giản là: không. Chính bản thân mình không hiểu trang web làm việc như thế nào thì chỉ nhắm mắt phó thác "công cụ" mà thôi. Còn nếu đã hiểu rõ trang web làm việc như thế nào thì chẳng cần công cụ gì nhiều ngoài cái command prompt cũng có thể test được ít nhiều rồi. Ngay cả có công cụ mà "không biết dùng" thì nên từ bỏ ý định học bảo mật (hay hack) bởi vì đó là cái căn bản nhất cần phải lĩnh hội trước tiên mà không làm được hoặc không trải nghiệm thì làm sao đi tới những thứ phức tạp và khó khăn hơn? 

cám ơn anh conmale và tất cả mọi người nhưng ý em là em mới bắt đầu theo học lên các anh có thể chỉ bảo cho em từng bước để em tìm hiểu được không.nói thật em cũng không biết phải bắt đầu từ đâu nữa. 

cám ơn anh conmale và tất cả mọi người nhưng ý em là em mới bắt đầu theo học lên các anh có thể chỉ bảo cho em từng bước để em tìm hiểu được không.nói thật em cũng không biết phải bắt đầu từ đâu nữa.