雲原生安全技術實踐指南

雲原生技術在為企業帶來快速交付與迭代數字業務應用的優勢之外，也帶來了新的安全要求與挑戰。本書面向雲原生安全攻防實戰，從產業變革到新場景應用，深入淺出地分析了雲原生安全的風險，並根據各類攻擊場景有針對性地設計了新一代雲原生安全防護體系。本書共分六個部分14章，前三部分介紹雲原生安全行業的發展趨勢和產業變革，對雲原生安全技術和風險進行了詳細分析；第四部分介紹雲原生的攻擊矩陣及高頻攻擊技術案例；第五部分講解如何構建新一代的原生安全防禦體系，並對重點行業實踐進行了深入剖析；第六部分簡要分析5G、邊緣計算等新興場景下的雲原生安全新思考。本書適用於網絡安全從業者和學習者，以及從事雲原生行業的開發、運維和安全人員閱讀。

第1部分 趨勢篇
雲原生時代的產業變革與安全重構
第1章 雲原生的發展促進了產業變革 2
1.1 雲原生相關概念 2
1.2 企業正加速向雲原生發展 5
1.3 雲原生給組織帶來的變化 7
1.3.1 體系流程的變化 7
1.3.2 開發模式的變化 8
1.3.3 應用架構的變化 11
1.3.4 運行平臺的變化 15
第2章 雲原生時代安全需要重構 16
2.1 組織重構 17
2.2 技術重構 20
第2部分 概念篇
雲原生場景中關鍵概念解析
第3章 容器安全技術概念 28
3.1 容器與鏡像基礎概念 28
3.1.1 容器基礎概念 28
3.1.2 鏡像基礎概念 29
3.2 容器與鏡像安全原則 30
3.2.1 容器安全原則 30
3.2.2 鏡像安全原則 31
3.3 容器隔離限制技術 32
3.3.1 容器兩大限制技術 32
3.3.2 容器五大隔離技術 33
3.4 鏡像安全控制技術 37
第4章 編排工具安全技術概念 41
4.1 Kubernetes基礎概念 41
4.1.1 Kubernetes功能 42
4.1.2 Kubernetes架構 42
4.1.3 Kubernetes對象 45
4.2 Kubernetes安全原則 46
4.2.1 Kubernetes主體最小權限 46
4.2.2 Kubernetes工作負載最小權限 50
4.3 Kubernetes安全控制技術 54
4.3.1 Kubernetes認證 55
4.3.2 Kubernetes授權 61
4.3.3 準入控制器 65
第5章 應用安全技術概念 69
5.1 微服務安全 69
5.1.1 微服務安全框架 70
5.1.2 微服務實例說明 73
5.2 API安全 74
5.2.1 API基礎概念 75
5.2.2 API常見類型 76
5.2.3 API安全方案 78
5.3 Serverless安全 82
5.3.1 Serverless基礎概念 82
5.3.2 Serverless架構及實例 84
5.3.3 Serverless安全控制技術 86
第3部分 風險篇
雲原生安全的風險分析
第6章 容器風險分析 90
6.1 容器威脅建模 90
6.2 容器加固 93
6.2.1 鏡像風險 94
6.2.2 鏡像倉庫風險 96
6.2.3 容器風險 98
6.2.4 主機操作系統風險 100
第7章 編排風險分析 102
7.1 Kubernetes威脅建模 102
7.2 安全加固 104
7.2.1 Pod安全 104
7.2.2 網絡隔離與加固 106
7.2.3 認證與授權 108
7.2.4 日誌審計與威脅檢測 109
第8章 應用風險分析 113
8.1 微服務風險分析 113
8.1.1 Spring Cloud安全分析 114
8.1.2 Istio安全分析 118
8.2 API風險分析 122
8.3 Serverless風險分析 128
第4部分 攻擊篇
雲原生攻擊矩陣與實戰案例
第9章 針對雲原生的ATT＆CK攻擊矩陣 134
9.1 針對容器的ATT＆CK攻擊矩陣 134
9.2 針對Kubernetes的ATT＆CK攻擊矩陣 138
第10章 雲原生高頻攻擊戰術的攻擊案例 146
10.1 容器逃逸攻擊案例 146
10.1.1 容器運行時逃逸漏洞 147
10.1.2 Linux內核漏洞 149
10.1.3 掛載宿主機Procfs文件系統的利用 153
10.1.4 SYS_PTRACE權限利用 156
10.2 鏡像攻擊案例 157
10.2.1 通過運行惡意鏡像實現初始化訪問 157
10.2.2 創建後門鏡像 159
10.3 Kubernetes攻擊案例 162
10.3.1 通過API Server實現初始訪問 162
10.3.2 在容器中實現惡意執行 165
10.3.3 創建特權容器實現持久化 170
10.3.4 清理Kubernetes日誌繞過防禦 172
10.3.5 竊取Kubernetes secret 173
第5部分 防禦篇
新一代雲原生安全防禦體系
第11章 雲原生安全防禦原則與框架 178
11.1 雲原生安全四大原則 178
11.1.1 零信任 178
11.1.2 左移 180
11.1.3 持續監控＆響應 181
11.1.4 工作負載可觀測 182
11.2 新一代雲原生安全框架 183
第12章 基於行業的雲原生安全防禦實踐 185
12.1 通信行業雲原生安全防禦實踐 185
12.2 金融行業雲原生安全防禦實踐 188
12.3 互聯網行業雲原生安全防禦實踐 191
第6部分 進化篇
新興場景下的雲原生安全新思考
第13章 5G場景下的容器安全 196
13.1 檢測5G雲橫向移動 197
13.2 網絡資源隔離 200
第14章 邊緣計算場景下的容器安全 203
14.1 容器與邊緣計算 204
14.1.1 邊緣計算工作原理 204
14.1.2 邊緣計算與雲計算的區別 205
14.1.3 邊緣計算對隱私和安全的重要性 206
14.2 將Kubernetes工作負載帶到邊緣 207
14.2.1 在Kubernetes中管理邊緣工作負載 207
14.2.2 邊緣容器 208
14.2.3 WebAssembly和Wasi 209
14.3 邊緣計算環境下的容器數據安全 211