目錄
前言
致謝
簡介
第１章雲計算的概念和架構 1
雲邏輯模型 4
基礎設施層 4信息結構層 6
應用結構層 7
雲計算的定義 7
基本特征 7
雲服務模型 9
雲部署模型 15
雲安全範圍和責任共擔模型 17
雲安全聯盟工具 20
雲控制矩陣 20
共識評估調查問卷 22
STAR 注冊 23
雲參考模型與架構模型 23
本章小結 26
本章練習 26
問題 26
答案及解析 28
第2 章治理及企業風險管理 30
治理 31
治理背景知識 31
雲治理 33
風險管理 38
雲風險管理 40
服務模型和部署模型對風險管理的影響 40
雲風險管理權衡 43
雲服務提供商評估 43
本章小結 45
本章練習 46
問題 46
答案及解析 48
第3 章法律法規、合約及電子舉證 49
數據保護和隱私的法律框架 50
必要的安全措施 53
相關條約 53
跨境數據傳輸的約束 53
CLOUD 法案 54
區域性法律法規 54
亞太地區 54
歐盟和歐洲經濟區 57
美洲 60
合約的簽訂和雲服務提供商的選擇 63
內部盡職調查 64
監測、測試和升級 64
外部盡職調查 65
合約談判 66
第三方審計和鋻證 66
電子舉證 67
占有權、監管權和控制權 67
相關的雲應用和雲環境 68
可搜索性和電子舉證工具 68
數據保存 68
數據保留法令和記錄保存義務 68
數據收集 69
取證 70
適度的誠信 70
直接訪問 70
標準化格式 70
司法鋻定 71
雲服務提供商和雲服務用戶之間在電子舉證中的協作 71
對法律傳喚和搜查令的回應 71
本章小結 71
本章練習 72
問題 72
答案及解析 74
第4 章合規和審計管理 76
合規背景知識 78
雲計算對合約的影響 79
雲計算如何改變合規策略 80
合規傳承 81
始終保持合規 81
審計背景知識 83
雲計算中的審計管理 84
SOC 報告和ISO 認證背景知識 85
SOC 背景知識 86
ISO 背景知識 87
雲計算對審計的影響 89
審計的權利 90
審計範圍 91
對審計人員的要求 91
本章小結 92
本章練習 93
問題 93
答案及解析 94
第5 章信息治理 96
雲信息治理範圍 97
信息分類背景知識 98
信息管理背景知識 101
數據安全生命周期 105
位置和授權 107
功能、角色和控制 107
本章小結 109
本章練習 110
問題 110
答案及解析 111
第6 章雲計算管理平面和保持業務持續性 113
管理平面 114
應用程序接口背景知識 115
訪問管理平面 119
保障管理平面的安全 120
雲計算中保持業務持續性和災難恢復 123
業務持續性計劃/ 災難恢復背景知識 123
構建處理失效狀態的架構 126
在雲環境中保持業務持續性 127
混沌工程 129
雲服務提供商不再提供服務時保持業務持續性 129
私有雲的業務持續性和私有雲服務提供商 130
本章小結 131
本章練習 131
問題 131
答案及解析 133
第7 章基礎設施安全135
雲網絡虛擬化 136
OSI 參考模型背景知識 137
VLAN 139
VXLAN 139
網絡平面背景知識 141
軟件定義網絡 141
網絡功能虛擬化 143
雲網絡給安全方面帶來的變化 144
虛擬設備帶來的難題 144
SDN 在安全方面的好處 146
微網段和軟件定義的邊界 147
CSP 或私有雲的其他方面 148
混合雲考慮的因素 149
雲計算和工作負載安全 150
雲計算改變工作負載安全的方式 153
不可變工作負載實現安全性 153
雲對標準的影響 155
工作負載監測及日志記錄方面的變化 156
漏洞評估方面的變化 157
本章小結 158
本章練習 159
問題 159
答案及解析 161
第8 章虛擬化技術和容器163
與雲計算相關的主要虛擬化技術分類 164
計算虛擬化技術 164
網絡虛擬化技術 167
存儲虛擬化技術 169
容器 173
容器定義背景知識 174
容器安全方面的建議 175
本章小結 176
本章練習 177
問題 177
答案及解析 179
第9 章事故響應181
事故響應生命周期 182
事故和事件的背景知識 182
準備階段 183
檢測和分析階段 184
控制、清除和恢復階段 185
善後處理階段 185
雲計算對事故響應的影響 186
準備 186
檢測和分析 190
控制、清除和恢復階段 192
善後處理階段 193
本章小結 193
本章練習 194
問題 194
答案及解析 196
第１0 章應用程序安全 198
安全軟件部署生命周期和雲計算 199
安全設計與開發 200
培訓 201
定義 201
開發 203
測試 204
安全部署 204
雲計算對漏洞評估的影響 205
雲計算對滲透測試的影響 205
部署管道的安全 206
IaC 和不可變負載的影響 207
安全運維 207
雲對應用程序設計與架構的影響 208
DevOps 的興起和作用 211
DevOps 背景知識 211
DevOps 對安全的影響及其優勢 212
本章小結 213
本章練習 214
問題 214
答案及解析 216
第１1 章數據安全和加密218
數據安全控制 219
雲中數據存儲的分類 219
管理至雲的數據遷移 220
雲訪問安全代理背景知識 221
安全傳輸雲數據 223
保障雲中的數據的安全 224
雲數據訪問控制 224
存儲（靜態）加密和令牌化 225
密鑰管理（包括客戶管理的密鑰） 228
數據安全架構 230
監控、審計和警告 231
其他數據安全控制 231
雲平臺/ 雲服務提供商特定的控制 231
數據洩露防護 232
企業權限管理 232
數據屏蔽和生成測試數據 233
實施安全管理生命周期 234
本章小結 234
本章練習 235
問題 235
答案及解析 237
第１2 章身份識別、授權和訪問管理 238
身份識別和訪問管理在雲環境中的運行機制 239
身份識別和訪問管理術語 240
身份識別和訪問管理標準 242
管理雲計算環境中的用戶身份標識 251
身份驗證和身份憑據 254
權限和訪問管理 256
特權用戶管理 256
本章小結 256
本章練習 257
問題 257
答案及解析 259
第１3 章安全即服務261
SecaaS 的優點和需關注的要點 262
SaaS 產品的主要安全策略 263
身份標識、權限及訪問管理服務 264
雲訪問安全代理 264
Web 安全網關 265
Email 安全 265
安全評估 265
Web 應用程序防火牆 266
入侵檢測和入侵防御 267
安全信息和事件管理（SIEM） 267
加密和密鑰管理 267
業務持續性和災難恢復 268
安全管理 268
免受分布式拒絕服務攻擊 268
本章小結 268
本章練習 269
問題 269
答案及解析 271
第１4 章相關技術 272
大數據 272
分布式數據收集背景知識 274
Hadoop 背景知識 274
安全和隱私注意事項 276
數據收集 276
密鑰管理 277
安全功能 277
身份識別和訪問管理 277
PaaS 277
物聯網 277
移動計算 278
無服務計算 279
本章小結 281
本章練習 283
問題 283
答案及解析 285
第１5 章ENISA 雲計算：信息安全的效益、風險和建議 287
雲的安全優勢 288
安全和規模效益 288
根據安全性能區分雲產品市場 289
管理安全服務的標準接口 289
迅速智能地擴展資源 289
審計和證據收集 289
及時、有效、高效地更新和默認設置 289
根據審計和服務協議水平改進風險管理 290
資源集中的好處 290
安全風險 290
IT 風險背景知識 290
治理缺失 291
鎖定 291
隔離失敗 293
合規風險 293
管理接口漏洞 293
數據保護 294
刪除數據不安全或不完整 294
內部惡意攻擊 294
所有場景中常見的五個關鍵法律問題 294
數據保護 295
保密性 295
知識產權 295
專業過失 295
外包服務與控制權變更 296
其他考試內容 296
開放虛擬化格式 296
虛擬機跳躍 296
低成本拒絕服務攻擊 297
注冊風險 297
雲服務提供商收購相關的風險 297
數據控制方與數據處理方的限定 297
IaaS 中用戶繫統監控的責任 298
用戶配置漏洞 298
治理缺失可能存在的漏洞 298
風險R1~R35 及可能存在的漏洞 299
本章小結 304
本章練習 304
問題 304
答案及解析 306
附錄A雲計算安全策略實例 308
雲安全策略：集中管理實例 308
目標 308
範圍 308
背景 309
策略 309
雲安全策略：分類管理實例 309
目標 310
範圍 310
背景 310
策略 310
附錄B關於在線內容312
繫統需求 312
Total Seminars Training Hub 賬號 312
單用戶許可條款和條件 312
TotalTester Online 314
技術支持 314

前言當今，我們正在經歷一場技術盛宴，各種技術飛速發展，新的技術也是層出不窮。在這種形勢下，如果不考慮安全問題，很有可能會損失慘重。雲技術無疑是重要並且使用廣泛的技術之一。從某種意義上來說，雲技術是全球經濟的中樞，消費者、公司和政府部門每天都在使用雲。以前，公司通常將所有的IT 繫統部署在公司內部。采用雲技術之後，公司可以輕松地擴大IT 繫統部署的規模。無論公司規模大小，按需部署IT 繫統越來越受到公司的青睞。在今後一段時間內，按需部署IT 繫統的需求還會持續增長。在網絡安全範疇內，雲安全是重要的一個部分。雲安全聯盟（Cloud Security Alliance，CSA）於2009 年應運而生。CSA 主要解決雲安全方面的問題，提出基本的雲安全解決方案，並且研發雲安全教學項目。CSA 已成長為世界上的安全組織，在五大洲分布著100 多個分會和辦公室。CSA 舉辦雲安全知識認證（Certificate of Cloud Security Knowledge，CCSK）考試。從業者通過CCSK 考試之後，就具備了解決雲計算安全問題的一繫列技能。CCSK 得到了社會廣泛的認可，許多公司要求應聘者通過CCSK 考試。現在，我們所掌握的網絡安全技能遠遠不夠。很多想學網絡安全的從業者幾乎完全不了解相關知識。在從事網絡安全相關工作的人員中，大多數隻掌握了傳統內部部署繫統相關的安全知識。這些從業者需要升級自己的知識儲備和技能，以適應雲計算對網絡安全帶來的新變化。CCSK 是通往網絡安全從業道路的一把鑰匙，取得CCSK 證書後，會獲取更多的就業機會。為什麼要提升網絡安全方面的知識纔能解決雲安全方面的問題呢？因為雲計算處於持續變化的狀態，並且具有獨特的責任共擔模式。與管理員完全控制一臺計算機時會踫到的安全問題相比，解決雲安全方面的問題時使用的解決方案存在著很多細節上的差異。例如，在傳統繫統上執行漏洞掃描時，必須既要保證掃描結果準確，又要保證運行的其他繫統不受影響。而雲本身具備較強自動化管理的能力，它可以解決自身出現的很多問題，例如可以自動進行補丁管理、根據繫統規模的變化自動進行調整等。DevSecOps 是一種全新的解決雲安全問題的方法，它借鋻敏捷開發的思想，使用雲自動化管理工具實現雲安全。對於理解雲相關操作、風險管理來說，弄清楚DevSecOps 的相關技術是非常有必要的。在制定雲安全和隱私策略的過程中，DevSecOps 更是必不可少的。為了切實提高雲安全方面的技能，我強力推薦大家學習McGraw-Hill 出版的《CCSK 雲安全知識認證考試完全指南》一書。本書的作者是格雷漢姆? 湯普森（Graham Thompson），他是資深的CCSK 培訓講師。在完成本書的過程中，CSA小組與McGraw-Hill 一直密切合作，高質量地完成了本書的審校。本書內容包含一繫列不同的主題，這些主題涵蓋了CCSK 的主要內容，讀者學好本書的知識即可通過CCSK 考試。本書的讀者都會收到一個碼，在參加考試時可以使用此碼享受。CSA 是一個非營利性組織，它一直致力於解決雲安全相關的問題，在保護信息安全方面提出了很多實用的解決方案。感謝您選用本書，祝您通過雲安全知識認證考試。Jim Reavis雲安全聯盟CEO