云原生安全经典实例_Josh Armitage_9787519892234

本书基于AWS、Azure和GCP平台提供一些技巧，帮助你增强自己的云原生系统安全性。每个技巧均讨论了云与原先方案的相似与不同，以及相应的改变。本书的主要内容有：了解云原生如何提供优于本地环境的安全性。理解云原生安全原则和思维模型，使你在解决方案中做出Z优解。了解如何实施稳健且安全的现有解决方案，并针对新的有趣问题设计解决方案。使你可以从水平和垂直层面应对企业中的安全挑战和提出解决方案。

前言在2000 年初期，公有云作为新的基础设施消费模式，彻底改变了全球技术基础设施的消费模式。只需像线上购物一样一键购买即可使用所购买的计算资源，不必再花费数周至数月的时间来订购设备、等待设备交付和使用新设备。在大学毕业后的我的第一份工作是在IBM 的大型机事业部负责构建云交付的虚拟化大型机环境。我们希望将DevOps 引入世界上最受尊敬的企业。随着时间的推移，安全成为与客户沟通的焦点。当他们将数据上传到云端时，如何确保他们的数据是安全的？当技术选型最保守、规避风险要求最高的行业也在积极拥抱云计算时，我确信云计算是企业想要在数字时代脱颖而出的方向。自IBM 的工作生涯以来，我大部分时间都在澳大利亚和英国担任咨询师，专注于帮助初创企业和大型企业使用云作为他们的创新引擎，使他们的开发人员能够交付卓越的成果。根据我的经验，很多企业和工程师首次涉足云原生世界时会不断出现错误的步骤，模式与反模式。本书重点介绍如何安全地使用云。本书的技巧向你展示了如何在你的云环境中构建安全基础设施，以及如何利用第一方安全解决方案使你的基础设施高效的扩展。读者对象本书目标是带领你亲自动手体验云计算。Terraform 是使用最广泛的基础设施即代码工具，本书提供的每个技巧都带有一个在Terraform 中完全可用的解决方案。对于书中提到的每个问题，亚马逊网络服务（AWS）、微软Azure 和谷歌云平台（GCP）这三个主要云服务厂商每个都有一个解决方案。随着现代世界提供的云服务越来越多，跨云平台的语言变得越来越有价值。尽管这三种云服务厂商在它们提供的服务上有很大的重叠，但云服务本身的设计思路对安全性有巨大的影响。通过本书你将能够在这三种云服务厂商之间转换，并快速解决任何地方的问题。内容编排本书共有11 章，每章都专注于一个特定的主题，从如何构建你的计算资源和管理用户，到如何确保可扩展的合规性，再到每个云提供商的身份和访问管理的复杂性。使用本书为了学习本书中的技巧，你需要对你所选择的云服务具有较高的权限，才能按照书中所述的步骤进行操作。所有的技巧都是采用Terraform 1.0 版开发的。如果你以前没有使用过Terraform，那么第11 章会展示如何安全地对你的云服务进行身份验证。排版约定本书采用以下排版约定。斜体（Italic）表示新术语、URL、电子邮件地址、文件名和文件扩展名。等宽字体（Constant Width）表示程序清单，在段落内表示程序元素，例如变量、函数名称、数据库、数据类型、环境变量、语句和关键字。粗体等宽字体（Constant width bold）表示应由用户原封不动输入的命令或其他文本。斜体等宽字体（Constant width italic）表示应该替换成用户提供值的文本，或者由上下文决定的值。使用代码示例你可以从https://github.com/Armitagency/cloud-native-security-cookbook-tf 下载补充材料，包括代码示例和练习。与本书相关的技术问题，或者在使用代码示例上有疑问，请发电子邮件到 errata@oreilly.com.cn。本书是要帮你完成工作的。一般来说，如果本书提供了示例代码，你可以把它用在你的程序或文档中。除非你使用了很大一部分代码，否则无需联系我们获得许可。比如，用本书的几个代码片段写一个程序就无需获得许可，销售或分发OReilly 图书的示例集则需要获得许可；引用本书中的示例代码回答问题无需获得许可，将书中大量的代码放到你的产品文档中则需要获得许可。我们很希望但并不强制要求你在引用本书内容时加上引用说明。引用说明一般包括书名、作者、出版社和ISBN，例如：Cloud Native Security Cookbook by Josh Armitage (OReilly). Copyright 2022 Joshua Hagen Armitage, 978-1-098-10630-0。如果你觉得你使用的代码示例超出了合理使用或上述许可的范围，请随时通过permissions@oreilly.com 与我们联系。OReilly 在线学习平台（OReilly Online Learning）近40 年来，OReilly Media 致力于提供技术和商业培训、知识和卓越见解，来帮助众多公司取得成功。我们拥有独一无二的专家和革新者组成的庞大网络，他们通过图书、文章、会议和我们的在线学习平台分享他们的知识和经验。OReilly 的在线学习平台允许你按需访问现场培训课程、深入的学习路径、交互式编程环境，以及OReilly 和200 多家其他出版商提供的大量文本和视频资源。有关的更多信息，请访问http://oreilly.com。联系我们请把对本书的评价和问题发给出版社。美国：OReilly Media, Inc.1005 Gravenstein Highway NorthSebastopol, CA 95472中国：北京市西城区西直门南大街2号成铭大厦C座807室（100035）奥莱利技术咨询（北京）有限公司勘误、示例和其他信息可访问https://oreil.ly/cloudNativeCkbk 获取。对本书的评论或技术疑问，可以发电子邮件到errata@oreilly.com.cn。欲了解本社图书和课程的新闻和信息，请访问我们的网站http://oreilly.com。我们的LinkedIn：https: //linkedin.com/company/oreilly-media。我们的Twitter：http://twitter.com/oreillymedia。我们的YouTube：http://youtube.com/oreillymedia。致谢这本书借鉴了其他人的思想和知识，我要感谢那些愿意分享专业知识的人。因为有他们的帮助，我们才可以更深入地探索，不必一遍又一遍地学习相同的内容。在我的家乡珀斯的联合办公场所上方悬挂着一句希腊谚语：只有当老人种下他们知道永远不会坐在树荫下的树时，社会才能变得伟大。这个理念深深地印刻在我的心中。每个人都有值得分享的故事，无论你身处何地，在旅途中或者身边的人都可以从你经历中受益。这本书是我尝试帮助大家开发更安全的系统，保护他们的用户，并拥有一个充实快乐的工作和生活。在为世界上最大的企业提供多年咨询服务之后，我亲身体验了数字化和云转型带来的痛苦和喜悦，尤其是在安全领域。这本书是对一线工作中的经验总结，倾向于需要发生改变时所应采取的行动。与计算机打交道对我来说似乎是命中注定的事情，它似乎是我家人的首选职业。大约相隔30 年，我父亲和我都在大学毕业后找到了大型机开发的工作。他非常开心我和他做了同样的选择。在英国期间我开始撰写这本书，希望能通过这件事来帮助我保持理智。就在我女儿即将出生之前，我在澳大利亚完成了它。如果没有我妻子Rebecca 持续的支持，我不可能完成这本书，她不得不面对我敲打键盘的许多深夜和周末。结束这项艰巨的工作并成为一名父亲，这个时机真是再合适不过了。感谢三位技术评论家Marcus Maxwell、JK Gunnink 和Pete Yandell，你们一直在挑战我并让我在本书中保持诚实。正因为你们花时间来剖析我书写的内容，才使得本书能更上一层楼。我永远感激你们。感谢 OReilly 出色的工作人员，尤其是Corbin Collins 对我的支持，感谢Jennifer Pollock 给我写这本书的机会，感谢制作团队，感谢你们的耐心从而确保这本书的发行。如果没有你们每一个人的支持，很难想象这本书会问世。

目录
前言 .1
第1 章现代化企业的云安全 7
1.1 安全的重要性 7
1.2 云原生安全 9
1.3 安全在现代企业中的应用 11
1.4 现代安全的目的 12
1.5 DevSecOps 13
1.6 衡量安全的影响 18
1.7 安全原则 20
第2 章设置账户与用户 24
2.1 GCP 上可扩展的项目结构 24
2.2 AWS 上可扩展的账户结构 . 31
2.3 Azure 上可扩展的订阅结构 39
2.4 GCP 的区域锁定 45
2.5 AWS 的地区锁定 . 48
2.6 Azure 的地区锁定 53
2.7 GCP 上的用户集中 . 55
2.8 AWS 上的用户集中 61
2.9 Azure 上的用户集中 . 65
第3 章获得可扩展的安全可见性 70
3.1 构建基于GCP 的云原生安全运营中心 71
3.2 在AWS 上构建云原生安全运营中心 79
3.3 在Azure 上构建云原生安全运营中心 83
3.4 在GCP 上汇集日志 87
3.5 在AWS 上汇集日志 91
3.6 在Azure 上汇集日志 . 98
3.7 GCP 上的日志异常警报 105
3.8 AWS 上的日志异常警报 110
3.9 Azure 上的日志异常警报 114
3.10 在GCP 上构建基础设施注册表 . 118
3.11 在AWS 上构建基础设施注册表 . 123
3.12 在Azure 上构建基础设施注册表 132
第4 章数据保护 137
4.1 在GCP 上对静态数据进行加密 138
4.2 在AWS 上对静态数据进行加密 144
4.3 在Azure 上对静态数据进行加密 . 153
4.4 使用个人密钥在GCP 上对数据进行加密 160
4.5 使用个人密钥在AWS 上对数据进行加密 165
4.6 使用个人密钥在Azure 上对数据进行加密 169
4.7 在GCP 上强制执行传输中数据加密 174
4.8 在AWS 上强制执行传输中数据加密 . 179
4.9 在Azure 上强制执行传输中数据加密 181
4.10 在GCP 上防止数据丢失 . 184
4.11 在AWS 上防止数据丢失 190
4.12 在Azure 上防止数据丢失 194
第5 章网络安全 201
5.1 GCP 的网络基础 202
5.2 AWS 上的网络基础 . 208
5.3 Azure 上的网络基础 216
5.4 在GCP 上启用外部访问 225
5.5 在AWS 上启用外部访问 231
5.6 在Azure 上启用外部访问 . 238
5.7 通过GCP 允许访问内部资源 . 243
5.8 允许访问AWS 上的内部资源 250
5.9 允许访问Azure 上的内部资源 257
5.10 控制GCP 上的外部网络连接 263
5.11 在AWS 上控制外部网络连接 271
5.12 控制Azure 上的外部网络连接 280
5.13 GCP 上的私人应用程序访问 286
5.14 AWS 私有应用访问 295
5.15 Azure 上的私有应用程序访问 . 303
第 6 章基础设施即代码 . 308
6.1 在GCP 上构建安全基础设施默认值 309
6.2 在AWS 上构建安全基础设施默认值 . 314
6.3 在Azure 上构建安全基础设施默认值 320
6.4 GCP 上的功能即服务 . 328
6.5 AWS 上的功能即服务 . 333
6.6 Azure 上的功能即服务 338
6.7 在GCP 上的稳健部署 344
6.8 在AWS 上的稳健部署 350
6.9 在Azure 上的稳健部署 . 359
6.10 GCP 上可扩展的部署 366
6.11 AWS 上可扩展的部署 369
6.12 在Azure 上可扩展的部署 375
第 7 章合规即代码 380
7.1 GCP 上的资源标记 381
7.2 在AWS 上标记资源 387
7.3 在Azure 上标记资源 392
7.4 检测GCP 上不合规的基础设施 398
7.5 检测 AWS 上不合规的基础设施 406
7.6 检测Azure 上不合规的基础设施 . 412
7.7 防止GCP 上的基础设施不合规 419
7.8 防止AWS 上的不合规基础设施 423
7.9 防止Azure 上不合规的基础设施 . 427
7.10 修复GCP 上不合规的基础设施 . 433
7.11 修复AWS 上不合规的基础设施 . 442
7.12 修复Azure 上不合规的基础设施 446
第8 章提供内部安全服务 . 454
8.1 在GCP 上保护安全资产和控制 455
8.2 在AWS 上保护安全资产和控制 460
8.3 在Azure 上保护安全资产和控制 . 466
8.4 在Azure 上全面了解机器状态 471
8.5 在AWS 上全面了解机器状态 476
8.6 在Azure 上全面了解机器状态 480
8.7 在 GCP 上可扩展的打补丁 486
8.8 在AWS 上可扩展的打补丁 . 490
8.9 在Azure 上可扩展的打补丁 494
8.10 在GCP 上进行数据备份 . 499
8.11 在AWS 上进行数据备份 504
8.12 在Azure 上进行数据备份 510
第 9 章使用团队 515
9.1 在GCP 上使用项目共享 516
9.2 在AWS 上使用项目共享 519
9.3 在Azure 上使用项目共享 . 523
9.4 GCP 上的应用程序安全扫描 527
9.5 AWS 上的应用程序安全扫描 531
9.6 Azure 上的应用程序安全扫描 536
第10 章未来的安全 540
10.1 无限游戏 . 541
10.2 能力建设 . 542
10.3 建立态势感知 543
10.4 结论 545
第 11 章 Terraform 入门 . 546
11.1 使用GCP 进行身份验证 . 547
11.2 使用AWS 进行身份验证 547
11.3 使用Azure 进行身份验证 547

你还可能感兴趣

我要评论