Tôi, ussteam đã đọc kỹ qui định kiểm tra bảo mật của HVA, nay xin thỉnh cầu và ủy quyền cho nhóm kiểm tra bảo mật HVA check server và website tại địa chỉ:http://www.eco.vn.
Server và website trên là của ussteam quản lý và toàn quyền trong việc cài đặt, cấu hình. Server được ussteam đặt tại nhà cung cấp dịch vụ ISP Vietel.
url xác nhận: http://www.eco.vn/front_end/pages/ussteam.htm
Rất mong nhận được sự hỗ trợ từ HVA cùng các thành viên.
Trân trọng cảm ơn. 

Đã thực hiện theo đúng yêu cầu của bác Conmale.
url xác nhận mới là: http://www.eco.vn/hva/request.htm
Các bạn kiểm tra giúp nha.
Trân trọng cảm ơn.  

Vừa check sơ bộ thì thấy:

- site có cấu trúc chặt chẽ, trình bày rõ ràng.
- request cho GET và POST được control kỹ lưỡng, đặc biệt dùng parameterising, khá gọn gàng và bảo đảm.
- site đặc biệt ứng dụng ajax và sử dụng triệt để div nên hiệu năng hơn các web thông thường ở VN.
- site này hầu như không mắc những lỗi thường thấy, chứng tỏ người coding và thiết kế có quan tâm đúng mức đến bảo mật.
- server khá chặt chẽ. Tuy nhiên, nếu không có nhu cầu thì nên đóng cổng POP3 lại.
- cổng mysql cũng nên filter luôn (nên cho nó LISTEN trên loopback) vì coi chừng bị brute force hay DDoS làm treo database.
- server không thấy có cơ chế cản lọc malformed packets và có thể bị DDoS.

Thân mến. 

Chân thành cảm ơn Bác Conmale.
Cổng POP3 hiện tại đang dùng để checkmail bằng các desktop app sẽ đóng lại và dùng webmail.
cổng MySQL hiện tại cũng sẽ đóng lại và chỉ để listen trên loopback.
 

Xin hỏi bác Conmale một chút:
1. Về chống DDoS thì mình cũng đang tìm giải pháp, có nghiên cứu việc dùng snort + snort_inline không biết có ổn không?
 

2. Nếu dùng bó cluster và IPVS để phân tải thì có hiệu quả trong chống đỡ DDoS không ?
 

3. Phương án dự phòng cho DNS 2 để chống đỡ DDoS có ổn không?
 

Cuối cùng muốn đề nghị với Bác Conmale:
1. HVA có thể hỗ trợ hoặc giúp bọn mình xây dựng các phương thức bảo mật được không ?
 

2. Bọn mình muốn tổ chức một giải ( nho nhỏ thôi) để nhờ các Bạn thành viên bên HVA test kỹ hệ thống một chút, liệu Bác có đứng ra giúp được không?

Trân trọng cảm ơn.

 

Có một điểm khá quan trọng cho vấn đề hiệu suất là bồ nên dùng relative path cho trọn bộ thông tin (css, gif, js...). Nên tránh dùng absolute path. 

Bọn mình hiện đang bắt buộc phải dùng absolute path vì hệ thống CIINS sẽ bao gồm nhiều site hiển thị nằm trên các server khác nhau, mỗi site lại khai thác chung hoặc riêng các nguồn dữ liệu từ các server khác nhau. 

ussteam wrote:

Bọn mình hiện đang bắt buộc phải dùng absolute path vì hệ thống CIINS sẽ bao gồm nhiều site hiển thị nằm trên các server khác nhau, mỗi site lại khai thác chung hoặc riêng các nguồn dữ liệu từ các server khác nhau. 

Path với "nhiều site" đâu có dính gì với nhau!
Những ath trong cùng 1 site thì nên là relative, đằng này trong cùng 1 site bạn cũng dùng luôn absolute path thì mới là vấn đề đang nói.