云原生安全

出版說明
推薦序
前　言
第 1章　什么是云原生
1.1　云原生平臺(tái)、架構(gòu)及開發(fā)流程
　　 1.1.1　云原生之統(tǒng)一基礎(chǔ)平臺(tái)　
　　 1.1.2　云原生之統(tǒng)一軟件架構(gòu)　
　　 1.1.3　云原生之統(tǒng)一開發(fā)流程
1.2　云原生與混合云　
　　 1.2.1　混合云的概念　
　　 1.2.2　混合云應(yīng)用架構(gòu)設(shè)計(jì)　
　　 1.2.3　云原生與混合云的關(guān)系　
1.3　CNCF與云原生平臺(tái)　
　　 1.3.1　CNCF社區(qū)　
　　 1.3.2　云服務(wù)商與云原生　
　　 1.3.3　利用開源技術(shù)搭建云原生平臺(tái)　
第2章　云原生安全演進(jìn)
2.1　傳統(tǒng)安全解決方案　
　　2.1.1　以網(wǎng)絡(luò)邊界設(shè)備為核心的安全控制　
　　2.1.2　云安全服務(wù)　
　　2.1.3　終端安全　
2.2　云原生時(shí)代的安全變化趨勢　
2.3　云原生安全的整體建設(shè)思路　
　　2.3.1　圍繞應(yīng)用的云原生轉(zhuǎn)型建設(shè)　
　　2.3.2　以加快業(yè)務(wù)進(jìn)化速度為首要目標(biāo)　
　　2.3.3　以應(yīng)用為中心的云原生安全　
2.4　云原生安全技術(shù)發(fā)展趨勢展望　
第3章　應(yīng)用平臺(tái)安全
3.1　私有云原生平臺(tái)架構(gòu)
　　3.1.1　私有云原生平臺(tái)的技術(shù)標(biāo)準(zhǔn)
　　3.1.2　平臺(tái)架構(gòu)
3.2　公有云原生平臺(tái)架構(gòu)　
3.3　容器層安全　
　　3.3.1　容器鏡像安全
　　3.3.2　容器運(yùn)行態(tài)安全
　　3.3.3　安全容器Kata
3.4　Kubernetes安全
　　3.4.1　Kubernetes中的關(guān)鍵組件
　　3.4.2　Kubernetes的威脅來源和攻擊模型　
　　3.4.3　Kubernetes組件安全加固　
　　3.4.4　Pod安全　
　　3.4.5　認(rèn)證和鑒權(quán)
3.5　基礎(chǔ)Linux安全　
　　3.5.1　賬戶安全加固　
　　3.5.2　文件權(quán)限加固　
　　3.5.3　強(qiáng)制訪問控制　
　　3.5.4　iptables與Linux防火墻　
3.6　創(chuàng)建安全的云原生應(yīng)用運(yùn)行環(huán)境　
　　3.6.1　創(chuàng)建應(yīng)用運(yùn)行集群并對(duì)系統(tǒng)進(jìn)行加固　
　　3.6.2　Kubernetes關(guān)鍵組件安全加固　
　　3.6.3　配置容器集群安全認(rèn)證　
第4章　應(yīng)用架構(gòu)安全
4.1　云原生典型應(yīng)用架構(gòu)　
4.2　應(yīng)用使用的云服務(wù)組件　
4.3　微服務(wù)與Web層架構(gòu)安全　
　　4.3.1　防護(hù)跨站腳本攻擊　
　　4.3.2　跨站請(qǐng)求偽造防護(hù)　
　　4.3.3　防范XML外部實(shí)體攻擊　
4.3.4　SQL注入攻擊防護(hù)　
4.4　應(yīng)用中間件安全　
　　4.4.1　Redis緩存安全　
　　4.4.2　消息中間件安全　
4.5　微服務(wù)與應(yīng)用通信　
　　4.5.1　TLS與HTTPS通信加密　
　　4.5.2　微服務(wù)限流與應(yīng)用防攻擊　
　　4.5.3　微服務(wù)間的訪問控制　
4.6　Service Mesh與應(yīng)用服務(wù)安全　
　　4.6.1　云原生服務(wù)網(wǎng)絡(luò)技術(shù)實(shí)現(xiàn)框架對(duì)比　
　　4.6.2　Istio服務(wù)網(wǎng)絡(luò)技術(shù)架構(gòu)　
　　4.6.3　使用Istio的內(nèi)置安全認(rèn)證能力　
　　4.6.4　使用Istio的流量安全管理功能　
　　4.6.5　利用Istio的鑒權(quán)和監(jiān)測功能　
4.7　在云環(huán)境中構(gòu)建安全的應(yīng)用框架　
　　4.7.1　創(chuàng)建一個(gè)簡單的云原生應(yīng)用　
　　4.7.2　為服務(wù)間通信配置訪問控制　
　　4.7.3　利用Service Mesh框架進(jìn)行精細(xì)流量管控及監(jiān)測　
　　4.7.4　為應(yīng)用配置認(rèn)證和加密　
第5章　云原生應(yīng)用安全管理
5.1　應(yīng)用安全審計(jì)　
　　5.1.1　業(yè)務(wù)操作日志記錄
　　5.1.2　從系統(tǒng)及應(yīng)用中收集日志　
5.1.3　日志存檔　　
5.1.4　日志分析及入侵檢測　
5.2　應(yīng)用配置和密鑰安全　
　　5.2.1　應(yīng)用配置中心安全防護(hù)　
　　5.2.2　應(yīng)用密鑰安全　
5.3　數(shù)據(jù)安全　
　　5.3.1　數(shù)據(jù)安全的三個(gè)要素　
　　5.3.2　云生態(tài)中數(shù)據(jù)安全的整體架構(gòu)　
　　5.3.3　應(yīng)用數(shù)據(jù)加密技術(shù)　
　　5.3.4　數(shù)據(jù)脫敏技術(shù)　
5.4　在管理層面加固應(yīng)用的安全　
　　5.4.1　配置應(yīng)用運(yùn)行日志存檔　
　　5.4.2　擴(kuò)充日志動(dòng)態(tài)分析　
　　5.4.3　操作日志記錄、歸檔和訪問控制　
第6章　應(yīng)用流程安全
6.1　DevOps流程　
6.2　DevSecOps：開發(fā)、安全、運(yùn)維一體化　
　　6.2.1　從DevOps到DevSecOps　
　　6.2.2　云原生自動(dòng)化流水線的使用
　　6.2.3　自動(dòng)化的安全流程　
　　6.2.4　測試驅(qū)動(dòng)安全　
6.3　基于GitLab搭建一個(gè)自己的DevSecOps流水線　
　　6.3.1　搭建GitLab并為工程創(chuàng)建流水線　
　　6.3.2　GitLab與應(yīng)用安全測試工具集成　
　　6.3.3　GitLab與代碼掃描工具集成　
第7章　應(yīng)用集成和生態(tài)安全
7.1　利用云服務(wù)網(wǎng)關(guān)進(jìn)行應(yīng)用集成　
　　7.1.1　基于云服務(wù)網(wǎng)關(guān)進(jìn)行接口發(fā)布和訂閱　
　　7.1.2　利用云服務(wù)網(wǎng)關(guān)實(shí)現(xiàn)接口格式轉(zhuǎn)換　
7.2　接口授權(quán)和認(rèn)證　
　　7.2.1　ID和密鑰管理　
　　7.2.2　開放認(rèn)證　
7.3　接口訪問安全策略和調(diào)用監(jiān)測　
　　7.3.1　訪問策略　
　　7.3.2　流控策略　
　　7.3.3　應(yīng)用訪問監(jiān)控及日志分析　
7.4　服務(wù)能力對(duì)外開放　
　　7.4.1　使用云服務(wù)總線進(jìn)行服務(wù)發(fā)布　
　　7.4.2　App授權(quán)　
第8章　云原生開源安全工具和方案
8.1　應(yīng)用平臺(tái)層的開源安全工具　
　　8.1.1　Kubernetes安全監(jiān)測工具kube-bench　
　　8.1.2　Kubernetes安全策略配置工具kube-psp-advisor
　　8.1.3　Kubernetes滲透測試工具kube-hunter　
　　8.1.4　系統(tǒng)平臺(tái)信息掃描和檢索工具Osquery
8.2　應(yīng)用架構(gòu)層的安全工具　
　　8.2.1　靜態(tài)應(yīng)用程序安全測試工