Theo nguyên tắt bảo mật, bạn chỉ nên mở những gì bạn cần và biết rõ về nó, còn lại hay đóng. Hay nói cách khác hãy đóng hết tất cả các cánh cửa ra vào của hệ thống, chỉ mở những các cửa mà mình chắc chắn dùng.
Nguyên tắt này có thể áp dụng cho việc cấu hình tưởng lửa layer 3, 4 như chỉ mở các port cần thiết trên hệ thống máy chủ, hay giới hạn chỉ cho phép những IP từ những người dùng nội bộ truy cập và SSH .v.v. Bài viết này sẽ hướng dẫn cách giới hạn HTTP request method – chỉ cho phép một số request method thông dụng nhằm tăng cường tính báo mật cho hệ thống web server với Nginx. Continue reading
Tại phần 1 và phần 2, tôi đã giới thiệu cho các bạn các kiến thức cơ bản về HTTP cùng với các kiến thức chuyên sâu về ModSecurity. Bài Viết phần 3 này sẽ hứng thú hơn là chúng ta sẽ giả lập tấn công và phòng thủ với mộ số phương pháp tấn công Web Application thường gặp.
Tại phần 1, tôi đã giới thiệu cho các bạn các kiến thức cơ bản về HTTP và các vấn đề liên quan. Bài Viết phần 2 này rất dài và rất hữu ích và đi sâu vào ModSecurity. Bạn nên theo dõi phần mục lục Nội dung để dễ dàn nắm bắt.
Bài viết này là kết quả thực tập của tôi tại Trung tâm ứng cứu mạng khẩn cấp VNCERT lúc còn sinh viên năm 2011. Tôi đã đăng lên diễn đàn HVA Online và được nhiều người đón nhận với tín hiệu rất tốt. Và bài viết đã được đưa vào phòng đọc. Xem tại http://www.hvaonline.net/hvaonline/posts/list/38687.hva hoặc http://hvaonline.net/hvaonline/readingRoom/item/237029.hva