云安全：安全即服务

1 作者资历深厚

CISSP，现任某安全公司CTO，前绿盟科技副总裁

15年安全行业经验，8年云计算行业经验

2 引领技术潮流

在国内率先讲解“安全即服务”的系统知识

3 立足全球视野

技术、服务、产品立足全球云计算市场

4 内容聚焦重点

内容聚焦于云计算安全即服务的5大重点领域

这是一部从安全即服务（Security as a Service）的角度讲解云安全的著作。

作者有超过15年的安全行业工作经验，超过8年的云计算行业工作经验，曾就职于IBM和绿盟科技，本书是他多年工作经验的总结。作者结合自己在云计算和安全领域的经验，详细讲解了安全即服务的五个重点发展领域：云扫描、云清洗、云防护、云SIEM、云IAM。针对每个领域，从实际需求、实现原理、技术架构、常用工具等角度进行了详细阐述，并且提供了多个测试用例，通过这些测试用例，读者可以很容易对云安全有清晰的理解。

全书共5章，主要内容如下。

第1章 云扫描
首先介绍了扫描的主要内容（资产扫描、漏洞扫描、网站扫描以及安全配置核查）和常用的扫描工具；然后介绍了云扫描的概念、架构以及服务提供商和产品的选择。

第2章 云清洗
首先介绍了DDoS攻击的概念、形成和危害，以及DDoS攻击的类型和防御手段，然后讲解了云清洗的技术原理、流量牵引方式以及服务提供商和产品的选择。

第3章云防护
首先介绍了Web应用的常见攻击方式、攻击场景、攻击工具和防御方式，然后介绍了云WAF的功能使用、部署架构，以及服务提供商和产品的选择。

第4章 云SIEM
首先介绍了SIEM的功能模块、技术架构和产品选型，然后讲解了云SIEM的概念、部署架构、优缺点，以及服务提供商和产品的选择；

第5章 云IAM
首先介绍了与IAM相关的用户、账号、身份管理、认证、授权、单点登录方面的知识，然后讲解了云IAM的概念、优缺点以及服务提供商和产品的选择。

周凯

CISSP，安全技术专家，现任某安全公司CTO，曾任绿盟科技副总裁。
先后服务于IBM中国、IBM加拿大、绿盟科技等企业，有超过15年的安全和系统管理工作经验，超过8年的云计算工作经验，在云计算和安全领域有深厚的积累。
在IBM中国工作期间，先后任职IT经理、软件部首席安全架构师、云计算技术总监、专家系统技术总监等岗位。在IBM加拿大工作期间，服务于多个北美大型企业客户。在绿盟科技工作期间，分管云安全，2015年创建了云安全的市场品牌“绿盟云”。

作者从安全即服务的角度，介绍了企业在选择云安全服务时的很多关注点，很务实，也很接地气，相信能够给不少企业提供帮助。

——陈钟 北京大学软件与微电子学院院长/北京大学网络与信息安全实验室主任

本书没有讲述复杂深奥的安全技术细节，也没有从可信计算和等保建设角度长篇大论地讲述，而是直接围绕云安全实战中会涉及的方方面面进行了详细梳理，同时又点评了相应的安全工具，对于云安全方案设计和云安全平台建设而言，开箱即用！

——沈鸥 青云解决方案与架构部总经理

云安全是一个热门话题，一般来说，有云的安全（Security for the Cloud）、来自于云的安全解决方案（Security from the Cloud）和安全既服务（Security as a Service）。 本书从云扫描、云防护、云清洗、云事件管理、云身份管理5个领域做了详细的技术介绍，值得学习！

——张红卫 IBM安全事业部大中华区技术经理

首先，本书比较系统化，全面地讲解了云安全的各个方面，有助于全面提升读者的云安全管理能力。其次，本书比较落地，每章都从架构到产品，每个领域都有细致且实用的内容，能明确地指导从业人员如何选择产品和服务商。这些都是作者长期从事云安全工作的积累和沉淀，有助于提升企业上云战略的安全保障。

——谭翔 派拉软件CEO

本书结合业界主流的开源工具、商用产品系统性地介绍了云安全的各个细分方向的技术原理和攻防实践，是作者多年安全运营工作的总结，有很强的实用性，能指导企业构建适合自身的安全体系，让业务安全、合规地上云。

——张天鹏 云杉网络CTO

前言
第1章　云扫描 1
11　扫描简介 1
111　资产扫描 3
112　漏洞扫描 7
113　网站扫描 9
114　安全配置核查 12
12　扫描工具 13
121　商用产品 13
122　资产扫描 15
123　漏洞扫描 20
124　网站扫描 33
125　安全配置核查 34
13　云扫描服务 36
131　云扫描简介 36
132　选择服务提供商的考虑因素 38
133　国际服务提供商 39
134　国内服务提供商 45
第2章　云清洗 46
21　DDoS攻击简介 46
22　DDoS攻击的危害 47
23　DDoS攻击的形成 48
24　DDoS攻击的类型和防御手段 54
241　DDoS攻击分类与通用防御手段 54
242　TCP SYN Flood Attack 57
243　UDP Flood Attack 64
244　DNS Query Flood Attack 70
245　UDP-Based Amplification Attack 77
246　Ping Flood Attack/Ping of Death Attack/Smurf Attack 85
247　HTTP Flood Attack 88
248　Low and Slow Attack 94
25　云清洗服务简介 99
26　云清洗服务的流量牵引方式 100
261　DNS牵引 100
262　BGP牵引 104
27　云清洗服务提供商 107
271　选择服务提供商的考虑因素 107
272　国内服务提供商 112
273　国际服务提供商 113
第3章　云防护 115
31　Web安全简介 115
32　Web应用面临的常见风险 116
321　OWASP 116
322　SQL Injection 122
323　Cross Site Scripting 142
33　Web应用的防御工具—WAF 164
34　Nginx + ModSecurity 168
341　ModSecurity 168
342　Nginx + ModSecurity的安装步骤 169
343　Nginx + ModSecurity的简单测试 172
35　OpenResty + ngx_lua_waf 173
351　OpenResty的简要介绍 173
352　ngx_lua_waf的简要介绍 173
353　OpenResty + ngx_lua_waf的安装步骤 174
354　OpenResty + ngx_lua_waf的简单测试 176
36　云WAF 176
361　云WAF简介 176
362　云WAF的部署架构 177
363　云WAF的优缺点 178
364　选择服务提供商的考虑因素 180
365　国内服务提供商 181
366　国际服务提供商 182
第4章　云SIEM 185
41　SIEM简介 185
411　SIEM的理念 186
412　SIEM的业务驱动力 187
42　SIEM的功能模块 188
421　数据源 188
422　采集与处理 192
423　关联与分析 196
424　展现与响应 202
43　SIEM的技术架构 208
431　IBM QRadar 209
432　AlienVault OSSIM 213
44　SIEM产品 226
441　SIEM的商用产品 226
442　SIEM的开源产品 229
443　选择SIEM的考虑因素 254
45　云SIEM服务 256
451　云SIEM简介 256
452　云SIEM的部署架构 256
453　云SIEM的优缺点 257
454　混合SIEM 258
455　选择服务提供商的考虑因素 259
456　国内服务商 259
第5章　云IAM 270
51　IAM简介 270
52　用户和账号 271
521　目录服务器 272
522　OpenLDAP 274
53　身份管理 278
531　身份管理简介 278
532　身份管理平台的功能架构 279
54　认证 286
541　认证方式 286
542　认证手段 288
55　授权 296
551　授权简介 296
552　授权模型 297
553　OAuth 300
56　单点登录 314
561　单点登录的介绍 314
562　单点登录的场景 315
563　单点登录的实现 316
564　SAML 318
565　CAS 338
566　Cookie 342
567　OpenID Connect 350
57　云IAM服务 355
571　云IAM简介 355
572　云IAM优势 356
573　选择服务提供商的考虑因素 357
574　国际服务商 358
575　国内服务商 363

为什么要写这本书
笔者一直在做云计算、云安全方面的工作。单就安全即服务（Sec-aaS）这个领域来说，相比国际市场，国内无论从技术成熟度、产品丰富度还是客户接受度，都要落后不少。虽然国内的安全市场有自己独有的特色，但我还是觉得应该写点有关云安全的东西，多做些宣传与普及，为国内云安全市场的发展贡献一份从业者的力量。
按照以往的规律，国内的IT发展通常会滞后国际几年的时间。以云计算为例，从一开始的普遍质疑到现在的全民接受，经历了5年以上的时间。安全即服务作为国际市场中被普遍接受的一种高效的模式，国内现在正处在质疑和逐步了解阶段，估计还需要很长一段时间才能被广泛接受。
除了安全即服务之外，我在本书中还介绍了不少可供企业使用的开源、免费产品和平台。开源产品虽然可能没有商用产品那么好用，技术支撑力度也没有那么大，但对于很多企业来说也不失为一种选择，因为其既可以作为一个安全的起步产品，又可以作为很多商用产品的补充。毕竟，在整体安全架构中，产品只是其中一部分，企业没必要把所有的费用都放在商用产品上，选择适合企业的、有较好ROI的产品才是“王道”。
这是我人生中第一次写书。感觉写书就像一个人跑马拉松，需要坚持，需要毅力。我中间多次都想放弃，不写了，太累了，但还是咬牙坚持下来了，也很欣慰自己可以坚持到最后。在整个过程中，因为涉及很多技术和产品的细节，所以我查阅了大量资料，很多原先不太关注的内容，通过这次写书也做了补充。这是一个痛并快乐的过程，感觉又回到了十多年前考CISSP的那段时间。其实，企业做安全也一样，不知道攻击会从何而来，何时会来，平常大多都是在做一些重复性的、枯燥乏味的工作，同样既需要坚持也需要毅力，更需要沉下心，把细节做好、做扎实。
作为本书的前言，真心想给企业提个建议，虽然来自众多安全厂商的产品可以帮助企业解决很多问题，但还是不要太依赖于产品。企业并不是有了产品，就可以做到万无一失、高枕无忧，企业还是要把更多时间、精力、预算花在平时一点一滴的、细致的预防性工作上，例如搞清企业内都有哪些资产，每个资产的安全现状是什么样的，会不会受到最新发布的漏洞影响，密码策略是不是到位，操作系统的安全配置是不是正确等。这些都和安全产品无关，而且都是些不起眼的工作，却能够帮助企业防范很多攻击行为。这就像我们的身体一样，每天都坚持跑步、健身，身体变强壮了，小病小灾也就不用担心了。
最后，非常感谢关注本书的朋友们。无论是企业的安全负责人、运维人员，还是刚刚接触安全的爱好者，希望大家都能够从本书中有所收获，哪怕只有一点点，我也会觉得在写书过程中的所有坚持和努力都是值得的了。
本书特色
本书比较全面地介绍了安全即服务领域中的几个重点发展方向，虽然每章的篇幅都不是很大，但包括了这几个重点发展方向的基本概念、原理、架构。同时，还对很多开源工具、软件、平台做了详细介绍，包括安装、配置、测试等内容，用来帮助读者还原测试场景。本书从安全即服务的角度来介绍安全，有一定的深度和广度，相信能够给读者带来一些新的思路和收获。
读者对象
企业的安全负责人员、运维人员。
企业上云过程中的安全技术人员。
安全即服务的负责人员、技术人员。
信息安全、网络安全的爱好者。
期望更多了解安全即服务的朋友们。
如何阅读本书
本书分为5章，分别介绍了云扫描（Cloud Scanning）、云防护（Cloud WAF）、云清洗（Cloud Scrubbing）、云事件管理（Cloud SIEM，SIEM-as-a-Service）、云身份管理（Cloud IAM，IAM-as-a-Service）。每章都会介绍基本概念、原理、架构、开源产品、商用产品以及选择安全即服务时需要考虑的内容。这5章内容相对独立，读者可以根据需求分开阅读。
勘误和支持
由于我的水平有限，编写时间仓促，书中难免会出现一些错误或者不准确的地方，恳请读者批评指正。如果您有更多的宝贵意见，也欢迎发送邮件至邮箱secaas@sinacom或yfc@hzbookcom，期待能够得到您的真挚反馈。