Vì sao tôi sử dụng Macbook?

Việc lựa chọn hệ điều hành nào để phục vụ công việc và giải trí tuỳ thuộc vào sở thích và đặc thù công việc của mỗi người. Bài viết dựa trên quan điểm cá nhân của một người làm trong lĩnh vực An ninh thông tin(ANTT), đã từng xài qua Window(XP, Vista, 7, 8), Linux(Ubuntu, Arch Linux), và sau cùng là Mac OSX.

0x01 Windows

Thời còn sinh viên thì tôi thích tìm tòi học hỏi, nên những thứ bó buộc của Microsoft(M$) tôi rất bất bình, từ ngày "mặt trời chân lý chói qua tim"(GNU-OSS) thì lúc đó mở ra cho tôi một cánh cửa với rất nhiều thứ mới lạ => Từ đó tôi bắt đầu thích những thứ minh bạch và rõ ràng 😁.

Một sự thật không thể chối bỏ rằng hầu hết mọi người tiếp xúc với IT ở Việt Nam từ những năm 2000 đều bắt đầu từ hệ điều hành Windows - Cá nhân tôi thì bắt đầu từ game Counter Strike 1.3 và Warcraft III(và các custom map).

Sự phổ cập của hệ điều hành(OS) Window là cơ hội cho hầu hết mọi người trên thế giới tiếp cận với máy tính. Và OS mang lại thành công nhất cho M$ hiện nay vẫn là Windows XP.

• Mặc dù Windows XP đã hết hạn hỗ trợ kỹ thuật từ ngày 8/8/2014 nhưng những hệ thống máy tính của các doanh nghiệp trên thế giới(đặc biệt ở Việt Nam) vẫn chiếm một tỷ lệ lớn.  
• Hầu hết các phiên bản Windows được cài đặt trên máy tính ở Việt Nam(VN) thời kỳ đầu đều là bản lậu. Đôi khi các bản windows lậu trên thị trường thường được khuyến mãi thêm backdoor 
• Sự bền bỉ và ổn định và không đòi hỏi cấu hình phần cứng cao của Windows XP luôn là một điều doanh nghiệp và các cá nhân đánh giá cao. 

Thực sự đối với tôi Windows Vista một thất hại thảm bại của M$, vì nó quá nặng nề không tương thích nhiều phầm mềm phổ biến => Đối với enduser hay là gamer thì điều này cực kỳ tồi tệ. Khi Windows 7 được ra mắt thì có rất nhiều điểm cải thiện như: Hiệu năng, tương thích phần mềm, nhưng nó vẫn còn nhiều vấn đề chưa được giải quyết triệt để.

• Ưu điểm: 
• Phổ biến và nhiều ứng dụng
• Dễ dàng sử dụng phần mềm lậu với key hoặc keygen :D => Cá nhân tôi rất hiếm khi xài patch
• Dễ dàng build một laptop hay PC với các cấu hình tuỳ theo nhu cầu với mức giá tốt. 
• Ngày càng hoàn thiện và gia tăng độ bảo mật. 

• Khuyết điểm: 
• Thời gian update quá lâu và dễ bị lỗi => Ai mà đang có việc gấp mà cần tắt laptop, nhưng bất chợt Windows hiện cái bảng update thì đúng là một cực hình. 
• Sau một thời gian sử dụng thì tốc độ xử lý chậm đi rõ rệt(trước đây thì khoảng 3 tháng thì tôi lại phải cài mới Windows) Đồng thời khi cài đặt lại thì tôi mất khá nhiều thời gian để cài đặt một máy tính hoàn chỉnh(Cài các app mới nhất, crack các app ...) để làm việc. 
• Yêu cầu phần cứng khá cao đặc biệt là các ứng dụng cho doanh nghiệp 
• Các malware từ trước tới nay hầu hết đều nhắm vào nền tảng này. 
• Mã nguồn đóng và phải trả phí. 

• Các phần mềm cài đặt thêm: Thông thường sau khi cài đặt Windows xong tôi thường gỡ bỏ các thành phần mặc định không sử dụng(Game, IE, Gadgets ...) sau đó mới cài đặt các phần mềm cần thiết. 
• Ccleaner => Phần mềm dọn dẹp rác trên windows và sửa lỗi registry. Ngoài ra tôi thấy Kaspersky PC Cleaner cũng là một tool hay. 
• LibreOffice => Bộ phần mềm văn phòng mã nguồn mở và miễn phí. Dĩ nhiên là LibreOffice không thể so sánh với M$ Office về mặt tính năng nhưng nó đáp ứng được hết nhu cầu văn phòng thông thường.  
• Chrome và Firefox => Mỗi trình duyệt đều có ưu điểm riêng nên tôi dùng cả 2 cho các mục đích khác nhau. 
• Unikey => Chương trình gõ tiếng việt miễn phí - Tôi thấy hiện nay hầu hết các bản unikey được cài đặt thì đều đã được mod lại hoặc tải từ nguồn không chính thống, điều này gây ra rất nhiều rủi ro cho máy tính của người dùng.  Ngoài ra các bạn có thể chọn GoTiengViet nếu thích. 
• VLC hoặc K-lite mega codec => Chương trình xem phim mọi định dạng. 
• Skype => Chương trình chat chit, call meeting. 
• 7-zip => Chương trình giải nén các loại file phổ biến(miễn phí và mã nguồn mở)
• Ngoài ra còn nhiều phần mềm khác nhưng tôi thích xài mặc định của Windows hoặc add-on của các phần mềm(Antivirus, PDF, ...)

0x2 Linux 

Lý do tôi sử dụng hệ điều hành này vì nghe nói "Linux là hệ điều hành dành cho hacker" và cái giá phải trả khi lần đầu cài đặt linux là toàn bộ dữ liệu bị xoá xạch - vì hồi đó không biết khái niệm "Định dạng ổ cứng" chính là format 😓

Có rất nhiều bản phân phối(distro) linux được xây dựng cho từng đối tượng với nhu cầu khác nhau. Tôi tạm chia ra làm 3 dạng bản phân phối đó là: 

• Dành cho Enduser: Ubuntu hay ArchLinux 
• Dành cho môi trường server: Redhat, CentOS và Suse Linux
• Dành cho các nhu cầu đặc thù: Kali Linux, pfSense hay Security Onion 

Linux là một hệ điều hành vô cùng mạnh mẽ và linh hoạt không những cho server mà còn cho cả enduser. Dĩ nhiên tuỳ theo trình độ và ý tưởng của người dùng mà tận dụng các sức mạnh của linux sẽ khác nhau. Cá nhân tôi thì tôi thích nhất trên linux là command line, secure connect(SSH, VPN) và firewall mặc định(iptables/netfilter). 

Command line trên Linux mạnh mẽ và dễ dùng đến mức M$ phải đưa nó lên linux - Mặc dù trước đó M$ cũng đã xây dựng Power Shell nhưng nó quá phức tạp và khó sử dụng.   

Thường thì mọi người hay nghĩ iptables chỉ dành cho môi trường doanh nghiệp nhưng nếu biết sử dụng cho nhu cầu cá nhân thì đây là một firewall cực tốt(Tôi sẽ hướng dẫn viết rule sau 😁). VD: Tôi có thể dễ dàng điều chỉnh các kết nối email đều phải đi qua VPN, Chặn hết các kết nối gửi dữ liệu ra bên ngoài quá nhiều(Trường hợp máy tính bị dính malware đánh cắp thông tin hoặc là zombie), Tự động ngắt kết nối đến tuoitre.vn, twitter.com, youtube.com ... nếu truy cập liên tục trong 2 tiếng(bớt thời gian xem mấy thứ linh tinh) ... 

• Ưu điểm: 
• Compiz => Giao diện đẹp lung linh của Linux 
• Cơ chế phân quyền chặt chẽ và ít nguy cơ nhiễm malware 
• Dễ dàng cấu hình, biên dịch các phần mềm cần thiết phù hợp với nhu cầu cá nhân. 
• Rất nhiều phần mềm hỗ trợ các công việc trong mảng an ninh thông tin và quản trị server 
• Mã nguồn mở và miễn phí => Mọi người có thể đọc hoặc điều chỉnh code của các ứng dụng theo nhu cầu cá nhân. 
• Dễ dàng tự động hoá công việc với cron và script 
• Log rất chi tiết và đầy đủ => Dễ dàng debug và tìm nguyên nhân khi có sự cố. 
• Khuyết điểm: 
• Phần đồ hoạ đẹp đẽ không tương thích với phần command line mạnh mẽ 
• Dễ bị treo và update quá nhiều
• Có quá nhiều phiên bản với các nhu cầu khác nhau => khó để lựa chọn sao cho phù hợp. 
• Số lượng game và ứng dụng đặc thù cho một số lĩnh vực khá hiếm. 
• Khi cài đặt một phần mềm thì các gói phần mềm yêu cầu khác nhiều và dễ gây lỗi. 
• Các phần mềm cài đặt thêm: Thông thường thì khi cài đặt các bản linux đã đầy đủ hết các phần mềm. Thông thường tôi sẽ cài các phần mềm tối thiểu, sau đó cần cài thêm gì thì chỉ cần gõ vài dòng lệnh. 
• Chrome
• Skype 
• VLC 
• 7-zip 
• Virtual Box => Phần mềm tạo máy ảo để thử nghiệm malware hoặc cài OS khác 
• ClamAV hoặc AVG Anti-Virus

0x3 MacOS

macOS được xây dựng trên nền unix nên nếu bạn đã quen với linux thì hoàn toàn sử dụng thành thạo macOS. Và do Apple vừa thiết kế phần cứng và phát triển OS nên các máy tính chạy MacOS khá ổn định(không tính trường hợp hackintosh). Điểm khác biệt trên Mac OSX so với Linux là firewall sử dụng pf (trước đây là ipfw) thay cho iptables/netfilter. Đây cũng là loại firewall mặc định của bản phân phối linux firewall chuyên dụng pfSense. Cách sử dụng PF dạng command line cũng tương tự như iptables. 

Mặc dù thời gian gần đây Apple có public source của macOS cho cộng đồng nhưng macOS vẫn chưa hoàn toàn trở thành Open Source đúng nghĩa. 

• Ưu điểm: 
• Hệ điều hành ổn định dễ dàng "reset to factory" và viết script tự động cài đặt các tool cần thiết. 
• Có đồng bộ hoá hình ảnh, danh bạ, mật khẩu, cài đặt, ... Và backup đầy đủ
• Nhiều phần mềm cực kỳ hữu ích và đồng bộ với *nix
• Có thể tuỳ biến nhiều ứng dụng theo ý thích 
• Cơ chế phân quyền chặt chẽ và ít bị nhiễm malware
• Thời lượng pin khá tốt
• Phần cứng thiết kế đẹp và bền bỉ. 
• Khuyết điểm: 
• Càng ngày giao diện càng "gay hoá"
• Các hiệu ứng chuyển đổi khá ít 
• Các phụ kiện dễ hư hỏng và chi phí để thay thế quá mắc 
• Ngày càng rời xa nhu cầu của người dùng 
• Một số ứng dụng viết không tốt sẽ chiếm dung lượng RAM sau đó là tạo file swap đến khi đầy ổ cứng thì thì sẽ crash luôn cả OS(Tiêu biểu có safari).   
• Các phần mềm cài thêm:
• Chrome
• Skype 
• VLC 
• 7-zip 
• GPG Suite : Ứng dụng mã hoá file và email 
• Virtual Box hoặc VMware Fusion  
• Và các phần mềm hữu ích và khá hay từ https://objective-see.com

0x04 Tổng kết 

Tóm lại tiêu chí khi lựa chọn một máy tính để làm việc và sử dụng hàng ngày phải có các tiêu chí sau: 

• OS Hoạt động ổn định và giao diện đẹp
• Cấu hình mạnh mẽ, thiết kế đẹp và thời lượng pin tốt 
• Dễ dàng cấu hình và điều chỉnh các thành phần của hệ thống 
• Command line
• Log đầy đủ 
• Hỗ trợ backup cloud và tự động hoá công việc với script => Khi máy tính gặp sự cố có thể nhanh chóng restore hoặc chuyển sang một máy tính mới tiếp tục làm việc. 
• Đầy đủ các phần mềm hỗ trợ công việc. 

Xét trên các khía cạnh đó thì đối với tôi Macbook với macOS đi kèm thoả mãn nhiều yêu cầu nhất nên tôi lựa chọn - Có thể các lập trình viên lại có lý do khác. Tuy nhiên khi ra mắt Macbook Pro mới đợt vừa rồi thì tôi cảm thấy Apple càng ngày càng đánh mất sự sáng tạo và dần trở thành những "thương lái bất lương". Thế nên trong các năm tới MacOS chưa chắc đã là sự lựa chọn thông minh. Khi mà M$ ngày càng sáng tạo và hoàn thiện các sản phẩm của mình như: Surface Book hay Surface Studio. Và Linux đang phát triển thân thiện với Enduser hơn. 

Security for Endpoint, What is Solution for Your Organization?

Trong năm vừa qua Việt Nam chứng kiến hàng loạt vụ tấn công vào các doanh nghiệp tổ chức lớn (TPBank, Vietnam Airline ... ). Mặc dù các doanh nghiệp trên đều có trang bị rất nhiều giải pháp và thiết bị bảo mật đắt tiền, nhưng nó không hề giúp các doanh nghiệp đó an toàn trước các cuộc tấn công của tội phạm mạng. Lý do một phần là các cơ quan tổ chức trên thiếu một đội ngũ làm an toàn thông tin lành nghề phần khác là họ quá tin tưởng vào các giải pháp bảo mật mà họ đã trang bị.

Vậy bài toán đặt ra là doanh nghiệp phải làm gì để bảo vệ người dùng cuối(Enduser) trước các mối đe doạ tấn công trên Internet - Những người dùng rất "ngây thơ" về vấn đề an toàn thông tin? Câu trả lời hầu hết là đào tạo nhận thức an toàn thông tin cho nhân viên và khách hàng?!? Nhưng thực tế thì việc này cực kỳ khó, vì ngay cả các chuyên gia phân tích malware hàng đầu đôi lúc vẫn bị nhiễm malware vì một vài sai sót(human error).

Vậy nên đứng ở góc độ làm bảo mật cho doanh nghiệp thì các chuyên gia phải có trách nhiệm nghiên cứu giải pháp làm thế nào để bảo vệ người dùng cuối bằng các biện pháp kỹ thuật. 

Các giải pháp bảo vệ cho người dùng cuối hiện nay thông thường các doanh thường sử dụng là Anti-Virus, hay các giải pháp nghe tên hoành tráng hơn là "Giải pháp phòng chống APT".

• Từ Tetcon 2012 đến các nghiên cứu bảo mật gần đây của Tavis Ormandy chứng minh rằng các Anti-Virus đã và đang trở thành mục tiêu của hacker và các giải pháp Anti-Virus đều tồn tại lỗ hổng bảo mật. 
• Các giải pháp phòng chống APT đang được chào bán hiện nay cũng chỉ là một giải pháp cải tiến của IDS/IPS kết hợp với DNS Sinkhole mà thôi. Hơn nữa một số chuyên gia dự đoán tương lai của các giải pháp phòng chống APT này sẽ dịch chuyển về phía Endpoint. 

Trong một chia sẻ tại Security Bootcamp 2016 tôi có đề cập sơ qua về chủ đề này, Bây giờ tôi sẽ đi sâu vào phân tích các giải pháp mà tôi đã tìm hiểu và PoC trong năm vừa qua. Thực sự tôi muốn làm nhiều hơn việc test tính năng của các giải pháp Endpoint Security(Chẳng hạn tìm các lỗ hổng bảo mật và exploit :D) nhưng thời gian và nhân lực có hạn nên tôi sẽ bổ sung trong tương lai vậy. 

1. Vulnerability Scanning 

Mục tiêu: Rà quét các lỗ hổng bảo mật trên endpoint(App, OS, Service, Network ...) và tình trạng update. Đồng thời thống kê thành dashboard cho người quản trị biết hiện trạng hệ thống công nghệ thông tin(CNTT) mình quản lý đang tồn tại những lỗ hổng nào để tiến hành cập nhật bản vá kịp thời. 

Hầu hết các giải pháp Vulnerability Management hiện nay đều tập trung vào việc dò quét lỗ hổng bảo mật ở tầng network, OS và Service. Nghĩa là chỉ tập trung quét từ bên ngoài vào chứ chưa quan tâm đến các ứng dụng trên máy tính của Enduser(trừ Nessus). Ngoài ra trong đánh giá Top10 Endpoint protection cũng có đề cập đến tính năng này đã có trên một số sản phẩm, nhưng thực sự thì tôi chưa thấy tính năng này khi thử nghiệm?!?  

Yêu cầu tối thiểu là phải scan được các lỗ hổng bảo mật ở mức OS(Windows, Linux, MacOS, tương lai có thể là Mobile), mức Service(Apache, tomcat, JBoss, Oracle, MySQL...) và mức App(Web browser, MS Office, Adobe Reader, Java ...)

2. Anti-Exploit 

Mục tiêu: Bảo vệ các ứng dụng chưa kịp cập nhật bản vá lỗi tránh bị tấn công bằng cách làm chậm/làm khó việc exploit các lỗ hổng bảo mật. 

Tôi thấy khá nhiều hãng đã quan tâm đến mảng này như Microsoft, PaloAlto, Malwarebytes và  SurfRight 

• EMET của Microsoft: Phần mềm miễn phí với các tính năng cơ bản giúp hạn chế một số kiểu tấn công đơn giản nhưng không thích hợp để triển khai cho môi trường doanh nghiệp. Được tích hợp vào các phiên bản windows sau này. 
• TRAPS của PaloAlto: giải pháp khá tốt để triển khai cho doanh nghiệp(Hỗ trợ whitelisting) nhưng phiên bản tôi thử nghiệm thì Traps không chặn được exploit sử dụng javascript engine(Chrome và Firefox). 
• Endpoint Security của Malwarebytes: Về mặt cá nhân tôi thì đây là một giải pháp tương đối hoàn thiện về tư tưởng thiết kế cũng như triển khai cho doanh nghiệp, khi nào hoàn tất việc PoC tôi sẽ bổ sung sau. 
• HitmanPro.Alert của SurfRight: Về mặt tính năng thì giải pháp này khá tốt tuy nhiên trước giờ chỉ hướng đến đối tượng sử dụng cá nhân nên không phù hợp với môi trường doanh nghiệp. Hy vọng trong tương lai sẽ có điều chỉnh. 
• Trend Micro Vulnerability Protection: Có vài vấn đề tôi không thích cách tiếp cận này của TrendMicro 
• Có vulnerability scanning agent tuy nhiên lại không hề đưa ra thống kê report nào để người quản trị cập nhật bản vá. 
• Chặn các exploit theo dạng signature có sẵn nên số lượng rule khá lớn và có thể bị bypass.  

Các giải pháp trên hầu hết là áp dụng cho windows, trên môi trường Linux(Chủ yếu là server) và MacOS thì khá hiếm(giải pháp thường thấy là Grsecurity or AppArmor + Chroot + ClamAV). Nếu bạn đọc biết được thêm các giải pháp nào khác thì bổ sung giúp

3. Whitelisting/Blacklisting  

Mục tiêu: Là xây dựng các policy chỉ cho phép một vài ứng dụng được thực thi trên máy enduser(Whitelisting). Hoặc chặn các phần mềm độc hại(Blacklisting)

Thực sự nếu đối với các môi trường số lượng và chủng loại ứng dụng ít thay đổi thì nên làm whitelisting vì nó sẽ hạn chế được rất nhiều nguy cơ và rủi ro liên quan do malware gây nên, đặc biệt là trong bối cảnh Ransomware đang có dấu hiệu bùng phát.  

Ngoài giải pháp Traps của PaloAlto nêu trên thì có khá nhiều hãng có sản phẩm "Next-Gen Endpoint Protection" đều trang bị sẵn như: SentinelOne, CarbonBlack và Cyclance

Các giải pháp trên ưu điểm là gọn nhẹ(không scan toàn bộ ổ cứng hay file) và đều dùng cơ chế phát hiện và ngăn chặn khi malware được thực thi. Nếu 3 giải pháp trên có thêm tính năng anti-exploit(hoặc monitor and protect process) thì khá hoàn hảo. 

4. Malware Prevent 

Mục tiêu: Phát hiện và ngăn các malware đã biết và phân tích hành vi để chặn các malware mới. 

Hầu hết các giải pháp Anti-Virus truyền thống lẫn các sản phẩm "Next-Gen Endpoint Protection" đều có những tính năng này. Ưu tiên các sản phẩm gọn nhẹ, chạy được đa nền tảng. 

5. Threat Detection and Response

Mục tiêu: Khi tất cả các vòng bảo vệ phía trên đều bị bypass thì đây là chốt chặn cuối cùng để bảo vệ enduser và xử lý việc gỡ bỏ, forensic và điều tra số. 

Thường các giải pháp giúp ích rất nhiều cho các chuyên gia an ninh thông tin của doanh nghiệp nhanh chóng phát hiện và xử lý các sự có khi hệ thống CNTT bị tấn công. Các công ty có đội ngũ làm an toàn thông tin thì nên cân nhắc triển khai các giải pháp này. 

Các sản phẩm tiêu biểu gồm trên thị trường gồm có: CounterTack Sentinel, Encase Guidance, CarbonBlack, RSA Endpoint, ... 

6. Các yêu cầu khác 

• Personal Firewall: Hỗ trợ tạo rule giới hạn truy cập một số nhóm PC đặc thù của doanh nghiệp đồng thời cách ly PC bị nhiễm malware ra khỏi hệ thống một cách nhanh nhất 
• Hỗ trợ tốt các hệ thống SIEM hoặc Security Intelligence
• Device Control và Data Loss Prevention: Có thể tuỳ chọn thêm nhưng cá nhân tôi không nên dồn quá nhiều tính năng cho phía endpoint. 

Tổng Kết

Về mặt nguyên tắc thì không có giải pháp kỹ thuật nào là toàn diện vì thế phải cân nhắc lựa chọn giải pháp phù hợp. Xây dựng nhiều lớp phòng thủ để làm chậm kẻ tấn công và đội ngũ bảo mật phải nhanh chóng phát hiện sự cố(Reduce Time to Discover, Increase Time to Compromise). 

-- Bài viết sẽ còn bổ sung và điều chỉnh --

Thiết bị đeo thông minh

Mục tiêu ban đầu. 

Năm 2015 được gọi là “Năm của đồng hồ đeo tay thông minh” khi mà các hãng lớn lần lượt nhảy vào cuộc đua với các sản phẩm đình đám như Apple Watch, Pebble, Android Wear. Cá nhân mình thấy các thiết bị đeo thông minh có rất nhiều tiện ích đặc biệt là việc theo dõi sức khoẻ. Cho nên bản thân mình cũng tìm hiểu và trải nghiệm một số thiết bị để xem có phù hợp với nhu cầu của bản thân hay không?

Mục tiêu đầu tiên khi lựa chọn các thiết bị đeo thông minh là chức năng theo dõi sức khoẻ. Vì mình có ý định mua một thiết bị đeo thông minh cho ba mẹ mình sử dụng.

• Ba mẹ mình năm nay cũng lớn tuổi rồi, nên các bệnh về tim mạch, huyết áp cũng có dấu hiệu xuất hiện, việc theo dõi phát hiện bệnh sớm các nguy cơ sẽ giúp rất nhiều cho việc điều trị
• Việc các thiết bị đeo thông minh kết nối đến smartphone giúp mình có thể dễ dàng biết được tình hình sức khoẻ của ba mẹ mình khi mình đi làm xa nhà. 
• Ngoài ra các tính năng nhắc nhở vận động, nhắc lịch uống thuốc cũng khá hay và hữu ích. Đối với mình ngồi máy tính nhiều nếu ngồi quá lâu thì hoàn toàn không tốt cho sức khoẻ, nếu được nhắc nhở thì có thể mình sẽ chú ý và ý thức vận động nhiều hơn :D Còn đối với việc nhắc lịch uống thuốc thì có thể có ích cho ba mẹ mình. 

Một điều mình không thích lắm ở các thiết bị đeo thông minh hiện nay là giá thành khá cao và chỉ kết nối được với một số thiết bị nhất định. Android Wear chỉ hoạt động với smartphone chạy Android(có thể tương lai sẽ khác), Apple Watch chỉ hoạt động với iOS, Chỉ có một số thiết bị hoạt động được cả 2 nền tảng là Pebble, Fitbit, Nike fluel band, Xiaomi Band ... Hy vọng sắp tới các thiết bị đeo thông minh sẽ có giá dễ chịu hơn và hỗ trợ nhiều nền tảng hơn.

Mở hộp Xiaomi Band(Mi Band). 

Giá thành tương đối rẻ, hỗ trợ 2 nền tảng Android và iOS

• Hộp khá đơn giản theo phong cách chung của các thiết bị Xiaomi

• Bên trong gồm cáp sạc, dây đeo, thiết bị, và sách hướng dẫn => Moá! có cáp sạc mà không có cục sạc :| 

• Khi gắn vào thì không biết gắn như thế nào để đeo cho phù hợp vì nó không có đánh dấu :D 

• Giao diện ứng dụng gồm có theo dõi bước chân và theo dõi giấc ngủ. 

• Thiết lập mục tiêu số bước đi trong ngày.

• Hẹn giờ báo thức. 

• Chống nước khá tốt

• Pin xài được khoảng 7 ngày, cá nhân mình thì xài lâu hơn, chắc một phần do iPhone không tận dụng nhiều tính năng của Mi Band và phần khác là cũng ít người gọi điện tới :D 

Trải nghiệm Mi Band

• Đếm bước chân đo lượng calo tiêu hao => Khi mình chạy xe máy khoảng 4 tiếng đồng hồ thì thiết bị vẫn đếm bước chân?!? Ngoài ra khi tập thể hình hay đánh cầu lông thì đo calo không chính xác. 
• Đo giấc ngủ không chính xác lắm, có thể là do không có cảm biến nhịp tim và app chưa tốt, vì khi mình ngủ trưa thì không tự nhận diện được :| 
• Thiếu tính năng xem giờ, hiển thị thông báo. Đã khá lâu rồi mình không đeo đồng hồ nhưng khi đeo Mi band đôi lúc vẫn vô thức đưa lên xem giờ :v Phần nữa chỉ với 3 đèn led thì mình chỉ thấy nó sáng khi mình hoàn tất mục tiêu tập luyện và khi có cuộc gọi đến.  
• Không có cảm biến đo nhịp tim: Đây cũng có lẽ là nguyên nhân chính khiến việc đo calo và giấc ngủ không chính xác. 
• Không có đo huyết áp đây là điểm điểm chung của hầu hết các thiết bị đeo thông minh hiện nay. Có lẽ cuộc đua thiết bị đeo thông minh chưa tập trung nhiều vào tính năng theo dõi sức khoẻ. Thiết bị hứa hẹn sẽ có cảm biến đo huyết áp được giới thiệu ở đây sẽ ra mắt vào tháng 6/2015. Các thiết bị đo huyết áp hiện nay khá lớn và không nhiều tính năng hy vọng những thiết bị đeo tương lai có thể thay thế các thiết bị y tế. 

Một thiết bị đeo thông minh hoàn hảo(Theo ý kiến cá nhân)

• Nhận diện chính xác mức độ vận động và tính toán lượng lượng calo tiêu hao => Điều này đòi hỏi phải có thêm cảm biến nhịp tim(thậm chí cảm biến huyết áp). Đồng thời app phải được phát triển tốt thì mới cho kết quả với độ chính xác cao. Theo mình thấy hiện nay thì hầu hết dân dev không có kiến thức sâu về sức khoẻ và các thông số, nhưng với tốc độ chạy đua công nghệ của các ông lớn hiện nay thì tương lai sẽ có nhiều sản phẩm làm tốt vấn đề này. 
• Theo dõi giấc ngủ chính xác và báo thức thông minh hơn. Ngoài các tính năng như nhắc đi ngủ đúng giờ thì app cũng phải tính toán được nên đánh thức người dùng lúc nào. VD: Tôi đi ngủ vào lúc 1h sáng Thay vì dậy cố định vào 6h thì cũng nên có tuỳ chọn đánh thức khi ngủ đủ giấc(ví dụ tôi muốn ngủ trong 3 chu kỳ giấc ngủ khoản 4.5 tiếng) lúc đó sẽ báo thức khoảng 5h30 hoặc 6h(tuỳ theo lúc tôi đi ngủ có ngủ được ngay hay không). Hoặc có thể theo dõi và thiết lập lịch ngủ theo phương pháp ngủ 4 tiếng/ngày 
• Theo dõi huyết áp, nhịp tim và đưa ra các cảnh báo tin nhắn/email khi bị lên hoặc tụt huyết áp. Và phát tín hiệu khẩn cấp(kèm tin nhắn) khi người đeo bị các triệu chứng nguy hiểm như nhồi máu cơ tim, đột quỵ ... 
• Hiển thị thời gian, tin nhắn, thông tin người gọi điện đến mà không phải lấy điện thoại ra xem. 
• Pin lâu, chống nước(có thể đeo đi bơi), hỗ trợ nhiều nền tảng Smartphone và giá cả dễ chịu hơn :D 

Useful tools for CTF(Infosec)

I've selected useful and must-have tools for CTF games and computer security competitions. Most of this tools are often indispensable during the games (especially task-based/jeopardy CTF games).

I've combined tools by categories just like in CTF games: Reverse, Steganography, Networking, Forensics, Cryptography, Scripting.

Most of tools are cross-platform, but some of them are only for Windows or Linux. 

Reverse Engineering:

• GDB - http://www.gnu.org/software/gdb/download/
• IDA Pro - https://www.hex-rays.com/products/ida/support/download.shtml
• Immunity Debugger - http://debugger.immunityinc.com/
• OllyDbg - http://www.ollydbg.de/
• radare2 - http://www.radare.org/y/?p=download
• Hopper - http://www.hopperapp.com/download.html
• nm - unix/linux tool
• objdump - linux tool
• strace - linux tool
• ILSpy - http://ilspy.net/
• JD-GUI - http://jd.benow.ca/#jd-gui-overview
• FFDec - http://www.free-decompiler.com/flash/download.html
• dex2jar - http://code.google.com/p/dex2jar/
• uncompyle2 - https://github.com/wibiti/uncompyle2

Hex editors:

• Windows:
• HxD - http://mh-nexus.de/en/hxd/
• Neo - http://www.new-hex-editor.com/hex-editor-downloads.html
• Linux:
• Bless - http://home.gna.org/bless/downloads.html
• wxHexEditor - http://www.wxhexeditor.org/download.php
• Exe unpackers - Unpacking Kit 2012 - http://forum.exetools.com/showthread.php?t=13610

Networking:

• Wireshark, tshark - https://www.wireshark.org/download.html
• OpenVPN - https://openvpn.net/
• OpenSSL - https://www.openssl.org/related/binaries.html
• tcpdump - http://www.tcpdump.org/
• netcat - http://netcat.sourceforge.net/
• nmap - http://nmap.org/download.html
• HTTP:
• Live HTTP - https://addons.mozilla.org/En-us/firefox/addon/live-http-headers/ (Firefox Add-on)
• Tamper Data - https://addons.mozilla.org/En-us/firefox/addon/tamper-data/ (Firefox Add-on)
• CapTipper - https://github.com/omriher/CapTipper

Steganography:

• OpenStego - http://www.openstego.info/
• OutGuess - http://www.outguess.org/download.php
• SilentEye - http://www.silenteye.org/download.html
• Steghide - http://steghide.sourceforge.net/download.php
• StegFS - http://sourceforge.net/projects/stegfs/
• pngcheck - http://www.libpng.org/pub/png/apps/pngcheck.html
• GIMP - http://www.gimp.org/downloads/
• Audacity - http://audacity.sourceforge.net/download/
• MP3Stego - http://www.petitcolas.net/steganography/mp3stego/
• ffmpeg (for video analysis) - https://www.ffmpeg.org/download.html

Forensics:

• dd - unix/linux tool
• strings - unix/linux tool
• scalpel - https://github.com/sleuthkit/scalpel
• TrID - http://mark0.net/soft-trid-e.html
• binwalk - http://binwalk.org/
• foremost - http://foremost.sourceforge.net/
• ExifTool - http://www.sno.phy.queensu.ca/~phil/exiftool/
• Digital Forensics Framework (DFF) - http://www.digital-forensic.org/download/
• Computer Aided INvestigative Environment (CAINE) Linux forensics live distribution - http://www.caine-live.net/
• The Sleuth Kit (TSK) - http://www.sleuthkit.org/sleuthkit/download.php
• Volatility - http://code.google.com/p/volatility/

Scripting / PPC (Professional Programming and Coding):

Text editors:

• Sublime Text - http://www.sublimetext.com/
• Notepad++ - http://notepad-plus-plus.org/
• vim - http://www.vim.org/
• emacs - http://www.gnu.org/software/emacs/

Crypto:

• Cryptool - https://www.cryptool.org/
• hashpump - https://github.com/bwall/HashPump
• Sage - http://www.sagemath.org/
• John the Ripper - http://www.openwall.com/john/
• xortool - https://github.com/hellman/xortool
• Online tools:
• http://www.crypo.com/
• http://www.cryptool-online.org/
• http://rumkin.com/tools/cipher/

• Modules for python - pycrypto - https://www.dlitz.net/software/pycrypto/

Source: http://delimitry.blogspot.ca/2014/10/useful-tools-for-ctf.html 

Mục tiêu trong năm 2015

Mục tiêu trong năm 2015

• Mỗi tháng tối thiểu viết một bài chia sẻ đăng lên blog
• Rèn luyện kỹ năng exploit (hoàn tất các khoá học và luyện skill với các bài thi CTF)
• Research một mảng nào đó trong lĩnh vực Security phục vụ công việc và sở thích 
• Cải thiện khả năng lập trình (C/C++ và python)
• Tìm cách cải thiện thu nhập bản thân.
• Rèn luyện và cải thiện trình độ tiếng anh.
• Hoàn thành các dự án trong công ty đã tồn đọng nhiều năm mà bản thân đang phụ trách.

• Rèn luyện thể dục thể thao cải thiện sức khoẻ.
• Hạn chế ăn chơi nhậu nhoẹt.