导语

  

内容提要

  

    本书是一本关于云环境安全防护的实用指南，书中给出了目前在主流云平台上的一些安全实践和设计建议。本书的特色如下。首先，作者用一个具体的例子串联起了整本书的内容，从“一张白纸”开始，带领读者设计了一个部署在公有云上的企业环境，用来对外提供Web服务；然后逐步向其添加安全控制，直至它变成一个安全的企业级环境。接着，在讨论每个安全主题之前，作者都会与传统环境的安全做对比，这不仅让读者对云安全的特点有了深入理解，而且可以为那些正在从传统环境迁移到云环境的从业人员带来更直接的帮助。最后，本书每章的内容都可作为相应安全主题的非常好的查漏补缺清单。

    克里斯·多特森（Chris Dotson）是IBM技术专家，也是IBM Cloud和Watson Platform执行安全架构师。他拥有11项证书，包括Open Group的Distinguished IT Architect（杰出IT架构师）证书，并有超过20年的IT从业经验。他曾多次作为云创新者登上IBM官方主页；他主要关注于云基础设施与安全、网络基础设施与安全、服务器、存储和冷笑话。

前言
第1章  原则与概念
  最小权限
  纵深防御
  威胁行为体、图和信任边界
  云交付模型
  云共享职责模型
  管理
第2章  数据资产管理与保护
  数据鉴别与分类
    示例数据分类等级
    相关行业或监管要求
  云中的数据资产管理
    给云资源打标签
  在云中保护数据
    令牌化
    加密
  总结
第3章  云资产管理与保护
  与传统IT的区别
  云资产的类型
    计算资产
    存储资产
    网络资产
  资产管理流水线
    采购泄露
    处理泄露
    工具泄露
    已知泄露
  给云资产打标签
  总结
第4章  身份与访问管理
  与传统IT的区别
  身份与权限的生命周期
  申请
  审批
  创建、删除、授权或撤回
  认证
    cloud IAM身份
    企业对消费者和企业对员工
    多因素认证
    密码和API秘钥
    共享ID
    联合身份
    单点登录
    实例元数据和身份文档
    机密信息管理
  鉴权
    集中式鉴权
    角色
  重新验证
  串联到示例应用中
  总结
第5章  漏洞管理
  与传统IT的区别
  漏洞区域
    数据访问
    应用
    中间件
    操作
    网络
    虚拟化的基础设施
    物理基础设施
  发现与解决漏洞
    网络漏洞扫描器
    无代理扫描器和配置管理
    有代理扫描器和配置管理
    云提供商安全管理工具
    容器扫描器
    动态应用扫描器
    静态应用扫描器
    软件成分分析扫描器
    交互式应用扫描器
    运行时应用自保护扫描器
    人工代码评审
    渗透测试
    用户报告
    漏洞和配置管理的一些工具举例
  风险管理过程
  漏洞管理指标
    工具覆盖率
    平均修复时间
    存在未解决漏洞的/应用
    假阳性百分比
    假阴性百分比
    漏洞复发率
  变更管理
  串联到示例应用中
  总结
第6章  网络安全
  与传统IT的区别
  概念和定义
    白名单和黑名单
    DMZ
    代理
    软件定义网络
    网络功能虚拟化
    overlay网络和封装
    虚拟私有云
    网络地址转换
    IPv6
  串联到示例应用中
    流动数据加密
    防火墙和网络分段
    允许管理员级访问
    WAF和RASP
    DDoS防御
    入侵检测与防御
    出向过滤
    数据丢失防护
  总结
第7章  安全事件的检测、响应与恢复
  与传统IT的区别
  监控什么
    特权用户访问
    防御性工具中的日志
    云服务日志和指标
    操作日志和指标
    中间件日志
    机密服务器
    应用
  如何监控
    聚合和保留
    解析日志
    搜索和关联
    告警和自动响应
    安全信息和事件管理器
    威胁搜寻
  为安全事件做准备
    团队
    计划
    工具
  对事件作出响应
    网络杀伤链
    OODA闭环
    云取证
    拦截未授权访问
    制止数据渗透和制止命令与控制
  恢复
    重新部署IT
    通知
    汲取的教训
  示例指标
  检测、响应和恢复的示例工具
  串联到示例应用中
    监控防御性
    监控应用
    监控管理员
    理解审计基础设施
  总结