电子工业出版社-网上书店

本书是一本关于云环境安全防护的实用指南，书中给出了目前在主流云平台上的一些安全实践和设计建议。本书的特色如下。首先，作者用一个具体的例子串联起了整本书的内容，从“一张白纸”开始，带领读者设计了一个部署在公有云上的企业环境，用来对外提供 Web 服务；然后逐步向其添加安全控制，直至它变成一个安全的企业级环境。接着，在讨论每个安全主题之前，作者都会与传统环境的安全做对比，这不仅让读者对云安全的特点有了深入理解，而且可以为那些正在从传统环境迁移到云环境的从业人员带来更直接的帮助。最后，本书每章的内容都可作为相应安全主题的非常好的查漏补缺清单。

前言	xiii
第 1 章	原则与概念	1
最小权限	1
纵深防御	1
威胁行为体、图和信任边界	2
云交付模型	6
云共享职责模型	6
风险管理	10
第 2 章	数据资产管理与保护	13
数据鉴别与分类	13
示例数据分类等级	14
相关行业或监管要求	15
云中的数据资产管理	16
给云资源打标签	17
在云中保护数据	19
令牌化	19
加密	19
总结	25
第 3 章	云资产管理与保护	27
与传统 IT 的区别	27
云资产的类型	28
计算资产	29
存储资产	34
网络资产	38
资产管理流水线	39
采购泄露	40
处理泄露	41
工具泄露	42
已知泄露	42
给云资产打标签	42
总结	44
第 4 章	身份与访问管理	45
与传统 IT 的区别	46
身份与权限的生命周期	47
申请	49
审批	49
创建、删除、授权或撤回	50
认证	50
cloud IAM 身份	50
企业对消费者和企业对员工	51
多因素认证	52
密码和 API 秘钥	54
共享 ID	56
联合身份	56
单点登录	56
实例元数据和身份文档	58
机密信息管理	59
鉴权	63
集中式鉴权	63
角色	64
重新验证	65
串联到示例应用中	66
总结	68
第 5 章	漏洞管理	71
与传统 IT 的区别	72
漏洞区域	74
数据访问	74
应用	75
中间件	76
操作系统	77
网络	78
虚拟化的基础设施	78
物理基础设施	78
发现与解决漏洞	78
网络漏洞扫描器	80
无代理扫描器和配置管理	81
有代理扫描器和配置管理	82
云提供商安全管理工具	83
容器扫描器	83
动态应用扫描器	84
静态应用扫描器	85
软件成分分析扫描器	85
交互式应用扫描器	85
运行时应用自保护扫描器	86
人工代码评审	86
渗透测试	86
用户报告	87
漏洞和配置管理的一些工具举例	88
风险管理过程	90
漏洞管理指标	90
工具覆盖率	90
平均修复时间	91
存在未解决漏洞的系统 / 应用	91
假阳性百分比	92
假阴性百分比	92
漏洞复发率	92
变更管理	93
串联到示例应用中	93
总结	97
第 6 章	网络安全	99
与传统 IT 的区别	99
概念和定义	100
白名单和黑名单	101
DMZ	101
代理	102
软件定义网络	103
网络功能虚拟化	103
overlay 网络和封装	103
虚拟私有云	104
网络地址转换	104
IPv6	105
串联到示例应用中	106
流动数据加密	106
防火墙和网络分段	109
允许管理员级访问	115
WAF 和 RASP	118
DDoS 防御	120
入侵检测与防御系统	121
出向过滤	122
数据丢失防护	124
总结	124
第 7 章	安全事件的检测、响应与恢复	127
与传统 IT 的区别	128
监控什么	129
特权用户访问	130
防御性工具中的日志	132
云服务日志和指标	134
操作系统日志和指标	135
中间件日志	136
机密服务器	136
应用	136
如何监控	137
聚合和保留	137
解析日志	138
搜索和关联	139
告警和自动响应	139
安全信息和事件管理器	140
威胁搜寻	142
为安全事件做准备	142
团队	142
计划	144
工具	145
对事件作出响应	146
网络杀伤链	147
OODA 闭环	148
云取证	149
拦截未授权访问	149
制止数据渗透和制止命令与控制	150
恢复	150
重新部署 IT 系统	150
通知	150
汲取的教训	151
示例指标	151
检测、响应和恢复的示例工具	151
串联到示例应用中	152
监控防御性系统	153
监控应用	154
监控管理员	155
理解审计基础设施	155
总结	156

译者序
云计算（cloud computing）的出现是近十年技术领域的最大变革之一，以 Iaa S/Paa S/ SaaS 为代表的云计算模型彻底改变了应用的部署和交付模式，大大提升了业务交付的速度和灵活性。现在，越来越多的公司正在将自己的业务从本地部署（on-premises）环境迁移到云环境中。如果你所在的公司正处在这个迁移的过程中，或者已经完全迁移到了云上，那么你可曾考虑过，你们的安全工作是否已做得足够充分？
与传统方式不同，云基础设施和服务的搭建门槛很低，简单到甚至只需要在控制台页面点击按钮。此外，云服务的收费按使用量计算，不会出现高额的一次性投入。因此，如果没有很好的资产管理系统，云环境很容易产生散布在全球的、被遗忘的大量资产。每一项被遗忘的资产都像是一颗定时炸弹，有可能在你毫无防备的时候被引爆。例如，下面是最近几年曝出的与云相关的几起全球重大安全事件。
1．2017 年，Verizon 泄露了几百万名美国用户的信息，包括姓名、住址、账户详情和手机号等，其原因是第三方供应商将配置文件上传到了 AWS S3 上。
2．2018 年，一个超过 2000 万条记录的数据库被泄露，其中存储的是厄瓜多尔公民的姓名、住址、电话、受教育程度、家庭成员关系，以及与个人财务和工作相关的诸多信息。注意，这一数字已经超过了 2018 年厄瓜多尔官方公布的全国人口总数。
3．2018 年有新闻曝出，Cambridge Analytica 曾收集超过 5000 万名美国用户（其中大部分为真实选民）的个人数据，并利用这些数据协助 2016 年的美国总统竞选活动，Facebook 随后针对数据泄露事件公开道歉并进行内部整改。
4．2019 年，2.7 亿名印度公民信息遭到泄露，其中包括姓名、邮箱、生日、电话、工作经历和薪水等个人可识别信息（PII），泄露原因是托管在 AWS  上的 MongoDB 使用了非加密连接。
在这种形势下，云安全变得越来越重要。
随着数据滥用所带来的影响越来越大，各个国家和地区也开始陆续出台与信息保护相关的法律和行业法规，例如欧盟的《通用数据保护条例》（GDPR）。一旦违反这些法律和法规，可能会让你的公司遭遇灭顶之灾。在翻译本书期间，我国信息安全标准化技术委员会发布了《信息安全技术 移动互联网应用（App）收集个人信息基本规范（草案）》，并面向全社会公开征求意见，这也将成为我国个人信息保护领域的一项重要国家标准。
本书是一本关于设计和部署的安全指南，侧重实战而非理论，作者是 IBM 资深安全专家Chris Dotson。他基于自己几十年的实践经验，指导读者如何从简单的场景开始，逐步设计和搭建自己的安全框架。当读完本书时，你将得到一个能覆盖各个方面的、有纵深层次的、使用了主流云平台提供的工具和功能的安全防御系统。如果你已经有了一些安全知识积累，那么这本书也可以作为一个非常好的查漏补缺的清单。
本书主要面向云环境中的安全人员，对云计算领域的解决方案工程师、基础架构负责人及技术主管等来说，也有一定的参考价值。另外，本书也可作为普通高等院校信息安全专业及其他相关专业的参考用书。
在此特别感谢电子工业出版社张春雨老师的翻译邀请，感谢其团队进行的耐心细致的审稿，感谢小江老师在翻译过程中给予的建议，感谢公司领导对技术翻译的鼓励与支持。另外，翻译是一项费时的工作，需要占用大量的业余时间，感谢家人的理解与支持。
限于译者水平，书中难免有不妥或错误之处，敬请广大读者批评指正。
                                                                                                                                                                 ——赵亚楠 
                                                                                                                            2019 年 10 月于凌空 SOHO，上海
 
前言
如书名所示，这是一本关于云环境安全防护的实用指南。几乎所有的公司对安全防护投入的时间和资金通常都是不够的，与安全相关的一些特性和功能实现经常被认为是低优先级任务。而实际上，奉行“物有所值”原则并具备良好的安全意识是非常重要的。
本书的目的是帮助你快速和正确地为最重要的资产获得最重要的安全控制，不管你是一位刚接触云的安全专家，还是一名负责安全的架构师或开发者。在有了这个坚实的基础之后，你就可以继续构建和完善你的控制。
虽然云环境和本地部署（on-premises）环境中的很多安全控制和原则都是类似的，但二者在实践方面还是有一些不同。也正是因为这个原因，对于那些拥有本地部署安全背景的人来说，一些实用的云安全建议可能会令人惊讶。本书给出的一些建议都源自作者多年的云环境安全实践经验，并涵盖了云计算产品的一些最新进展，尽管几乎所有信息安全领域的安全专家一定会有合理的不同意见。
本书前几章帮助你理解你在云环境中的职责、这些职责与本地环境中的职责的不同之处 、你有哪些资产、这些资产最可能面临的威胁，以及该为这些资产做哪些保护措施。
后几章按优先级高低依次提供了一些实用指导，越重要的安全控制越应该优先考虑：
.身份与访问管理
.漏洞管理
.网络控制
本书最后一章讨论如何检测问题并解决问题。如果在一些问题真正出现之前就已经读过了这一章，那么将会对你很有帮助！
你是否需要为自己的环境获取一些证书或证明？例如 PCI 证书或 SOC 2 报告，如果是的话，那么有一些陷阱要引起你的注意，书中会有所说明。另外，你还需要确保自己了解可能面临的任何监管要求——例如，你是否在美国处理受保护的健康信息（PHI），或是否在处理欧盟公民的个人信息，而不管你的应用实际托管在哪里。

本书配套资源下载

对不起，暂无音视频资源！

云安全实用指南