云安全：安全即服务

Preface  前　　言
为什么要写这本书
笔者一直在做云计算、云安全方面的工作。单就安全即服务（Sec-aaS）这个领域来说，相比国际市场，国内无论从技术成熟度、产品丰富度还是客户接受度，都要落后不少。虽然国内的安全市场有自己独有的特色，但我还是觉得应该写点有关云安全的东西，多做些宣传与普及，为国内云安全市场的发展贡献一份从业者的力量。
按照以往的规律，国内的IT发展通常会滞后国际几年的时间。以云计算为例，从一开始的普遍质疑到现在的全民接受，经历了5年以上的时间。安全即服务作为国际市场中被普遍接受的一种高效的模式，国内现在正处在质疑和逐步了解阶段，估计还需要很长一段时间才能被广泛接受。
除了安全即服务之外，我在本书中还介绍了不少可供企业使用的开源、免费产品和平台。开源产品虽然可能没有商用产品那么好用，技术支撑力度也没有那么大，但对于很多企业来说也不失为一种选择，因为其既可以作为一个安全的起步产品，又可以作为很多商用产品的补充。毕竟，在整体安全架构中，产品只是其中一部分，企业没必要把所有的费用都放在商用产品上，选择适合企业的、有较好ROI的产品才是“王道”。
这是我人生中次写书。感觉写书就像一个人跑马拉松，需要坚持，需要毅力。我中间多次都想放弃，不写了，太累了，但还是咬牙坚持下来了，也很欣慰自己可以坚持到后。在整个过程中，因为涉及很多技术和产品的细节，所以我查阅了大量资料，很多原先不太关注的内容，通过这次写书也做了补充。这是一个痛并快乐的过程，感觉又回到了十多年前考CISSP的那段时间。其实，企业做安全也一样，不知道攻击会从何而来，何时会来，平常大多都是在做一些重复性的、枯燥乏味的工作，同样既需要坚持也需要毅力，更需要沉下心，把细节做好、做扎实。
作为本书的前言，真心想给企业提个建议，虽然来自众多安全厂商的产品可以帮助企业解决很多问题，但还是不要太依赖于产品。企业并不是有了产品，就可以做到万无一失、高枕无忧，企业还是要把更多时间、精力、预算花在平时一点一滴的、细致的预防性工作上，例如搞清企业内都有哪些资产，每个资产的安全现状是什么样的，会不会受到发布的漏洞影响，密码策略是不是到位，操作系统的安全配置是不是正确等。这些都和安全产品无关，而且都是些不起眼的工作，却能够帮助企业防范很多攻击行为。这就像我们的身体一样，每天都坚持跑步、健身，身体变强壮了，小病小灾也就不用担心了。
后，非常感谢关注本书的朋友们。无论是企业的安全负责人、运维人员，还是刚刚接触安全的爱好者，希望大家都能够从本书中有所收获，哪怕只有一点点，我也会觉得在写书过程中的所有坚持和努力都是值得的了。
本书特色
本书比较全面地介绍了安全即服务领域中的几个重点发展方向，虽然每章的篇幅都不是很大，但包括了这几个重点发展方向的基本概念、原理、架构。同时，还对很多开源工具、软件、平台做了详细介绍，包括安装、配置、测试等内容，用来帮助读者还原测试场景。本书从安全即服务的角度来介绍安全，有一定的深度和广度，相信能够给读者带来一些新的思路和收获。
读者对象
企业的安全负责人员、运维人员。
企业上云过程中的安全技术人员。
安全即服务的负责人员、技术人员。
信息安全、网络安全的爱好者。
期望更多了解安全即服务的朋友们。
如何阅读本书
本书分为5章，分别介绍了云扫描（Cloud Scanning）、云防护（Cloud WAF）、云清洗（Cloud Scrubbing）、云事件管理（Cloud SIEM，SIEM-as-a-Service）、云身份管理（Cloud IAM，IAM-as-a-Service）。每章都会介绍基本概念、原理、架构、开源产品、商用产品以及选择安全即服务时需要考虑的内容。这5章内容相对独立，读者可以根据需求分开阅读。
勘误和支持
由于我的水平有限，编写时间仓促，书中难免会出现一些错误或者不准确的地方，恳请读者批评指正。如果您有更多的宝贵意见，也欢迎发送邮件至邮箱secaas@sina.com或yfc@hzbook.com，期待能够得到您的真挚反馈。

这是一部从安全即服务（Security as a Service）的角度讲解云安全的著作。

作者有超过15年的安全行业工作经验，超过8年的云计算行业工作经验，曾就职于IBM和绿盟科技，本书是他多年工作经验的总结。作者结合自己在云计算和安全领域的经验，详细讲解了安全即服务的五个重点发展领域：云扫描、云清洗、云防护、云SIEM、云IAM。针对每个领域，从实际需求、实现原理、技术架构、常用工具等角度进行了详细阐述，并且提供了多个测试用例，通过这些测试用例，读者可以很容易对云安全有清晰的理解。

全书共5章，主要内容如下。

第1章 云扫描
首先介绍了扫描的主要内容（资产扫描、漏洞扫描、网站扫描以及安全配置核查）和常用的扫描工具；然后介绍了云扫描的概念、架构以及服务提供商和产品的选择；

第2章 云清洗
首先介绍了DDoS攻击的概念、形成和危害，以及DDoS攻击的类型和防御手段，然后讲解了云清洗的技术原理、流量牵引方式以及服务提供商和产品的选择；

第3章云防护
首先介绍了Web应用的常见攻击方式、攻击场景、攻击工具和防御方式，然后介绍了云WAF的功能使用、部署架构，以及服务提供商和产品的选择；

第4章 云SIEM
首先介绍了SIEM的功能模块、技术架构和产品选型，然后讲解了云SIEM的概念、部署架构、优缺点，以及服务提供商和产品的选择；

第5章 云IAM
首先介绍了与IAM相关的用户、账号、身份管理、认证、授权、单点登录方面的知识，然后讲解了云IAM的概念、优缺点以及服务提供商和产品的选择。

周凯 

CISSP，资深安全技术专家，现任某安全公司CTO，曾任绿盟科技副总裁。

先后服务于IBM中国、IBM加拿大、绿盟科技等企业，有超过15年的安全和系统管理工作经验，超过8年的云计算工作经验，在云计算和安全领域有深厚的积累。

Contents  目　　录
前言
第1章　云扫描  1
1.1　扫描简介  1
1.1.1　资产扫描  3
1.1.2　漏洞扫描  7
1.1.3　网站扫描  9
1.1.4　安全配置核查  12
1.2　扫描工具  13
1.2.1　商用产品  13
1.2.2　资产扫描  15
1.2.3　漏洞扫描  20
1.2.4　网站扫描  33
1.2.5　安全配置核查  34
1.3　云扫描服务  36
1.3.1　云扫描简介  36
1.3.2　选择服务提供商的考虑因素  38
1.3.3　国际服务提供商  39
1.3.4　国内服务提供商  45
第2章　云清洗  46
2.1　DDoS攻击简介  46
2.2　DDoS攻击的危害  47
2.3　DDoS攻击的形成  48
2.4　DDoS攻击的类型和防御手段  54
2.4.1　DDoS攻击分类与通用防御手段  54
2.4.2　TCP SYN Flood Attack  57
2.4.3　UDP Flood Attack  64
2.4.4　DNS Query Flood Attack  70
2.4.5　UDP-Based Amplification Attack  77
2.4.6　Ping Flood Attack/Ping of Death Attack/Smurf Attack  85
2.4.7　HTTP Flood Attack  88
2.4.8　Low and Slow Attack  94
2.5　云清洗服务简介  99
2.6　云清洗服务的流量牵引方式  100
2.6.1　DNS牵引  100
2.6.2　BGP牵引  104
2.7　云清洗服务提供商  107
2.7.1　选择服务提供商的考虑因素  107
2.7.2　国内服务提供商  112
2.7.3　国际服务提供商  113
第3章　云防护  115
3.1　Web安全简介  115
3.2　Web应用面临的常见风险  116
3.2.1　OWASP  116
3.2.2　SQL Injection  122
3.2.3　Cross Site Scripting  142
3.3　Web应用的防御工具—WAF  164
3.4　Nginx ModSecurity  168
3.4.1　ModSecurity  168
3.4.2　Nginx ModSecurity的安装步骤  169
3.4.3　Nginx ModSecurity的简单测试  172
3.5　OpenResty ngx_lua_waf  173
3.5.1　OpenResty的简要介绍  173
3.5.2　ngx_lua_waf的简要介绍  173
3.5.3　OpenResty ngx_lua_waf的安装步骤  174
3.5.4　OpenResty ngx_lua_waf的简单测试  176
3.6　云WAF  176
3.6.1　云WAF简介  176
3.6.2　云WAF的部署架构  177
3.6.3　云WAF的优缺点  178
3.6.4　选择服务提供商的考虑因素  180
3.6.5　国内服务提供商  181
3.6.6　国际服务提供商  182
第4章　云SIEM  185
4.1　SIEM简介  185
4.1.1　SIEM的理念  186
4.1.2　SIEM的业务驱动力  187
4.2　SIEM的功能模块  188
4.2.1　数据源  188
4.2.2　采集与处理  192
4.2.3　关联与分析  196
4.2.4　展现与响应  202
4.3　SIEM的技术架构  208
4.3.1　IBM QRadar  209
4.3.2　AlienVault OSSIM  213
4.4　SIEM产品  226
4.4.1　SIEM的商用产品  226
4.4.2　SIEM的开源产品  229
4.4.3　选择SIEM的考虑因素  254
4.5　云SIEM服务  256
4.5.1　云SIEM简介  256
4.5.2　云SIEM的部署架构  256
4.5.3　云SIEM的优缺点  257
4.5.4　混合SIEM   258
4.5.5　选择服务提供商的考虑因素  259
4.5.6　国内服务商  259
第5章　云IAM  270
5.1　IAM简介  270
5.2　用户和账号  271
5.2.1　目录服务器  272
5.2.2　OpenLDAP  274
5.3　身份管理  278
5.3.1　身份管理简介  278
5.3.2　身份管理平台的功能架构  279
5.4　认证  286
5.4.1　认证方式  286
5.4.2　认证手段  288
5.5　授权  296
5.5.1　授权简介  296
5.5.2　授权模型  297
5.5.3　OAuth  300
5.6　单点登录  314
5.6.1　单点登录的介绍  314
5.6.2　单点登录的场景  315
5.6.3　单点登录的实现  316
5.6.4　SAML  318
5.6.5　CAS  338
5.6.6　Cookie  342
5.6.7　OpenID Connect  350
5.7　云IAM服务  355
5.7.1　云IAM简介  355
5.7.2　云IAM优势  356
5.7.3　选择服务提供商的考虑因素  357
5.7.4　国际服务商  358
5.7.5　国内服务商  363

这是一部从安全即服务（Security as a Service）的角度讲解云安全的著作。

作者有超过15年的安全行业工作经验，超过8年的云计算行业工作经验，曾就职于IBM和绿盟科技，本书是他多年工作经验的总结。作者结合自己在云计算和安全领域的经验，详细讲解了安全即服务的五个重点发展领域：云扫描、云清洗、云防护、云SIEM、云IAM。针对每个领域，从实际需求、实现原理、技术架构、常用工具等角度进行了详细阐述，并且提供了多个测试用例，通过这些测试用例，读者可以很容易对云安全有清晰的理解。

全书共5章，主要内容如下。

第1章 云扫描
首先介绍了扫描的主要内容（资产扫描、漏洞扫描、网站扫描以及安全配置核查）和常用的扫描工具；然后介绍了云扫描的概念、架构以及服务提供商和产品的选择；

第2章 云清洗
首先介绍了DDoS攻击的概念、形成和危害，以及DDoS攻击的类型和防御手段，然后讲解了云清洗的技术原理、流量牵引方式以及服务提供商和产品的选择；

第3章云防护
首先介绍了Web应用的常见攻击方式、攻击场景、攻击工具和防御方式，然后介绍了云WAF的功能使用、部署架构，以及服务提供商和产品的选择；

第4章 云SIEM
首先介绍了SIEM的功能模块、技术架构和产品选型，然后讲解了云SIEM的概念、部署架构、优缺点，以及服务提供商和产品的选择；

第5章 云IAM
首先介绍了与IAM相关的用户、账号、身份管理、认证、授权、单点登录方面的知识，然后讲解了云IAM的概念、优缺点以及服务提供商和产品的选择。

周凯 

CISSP，资深安全技术专家，现任某安全公司CTO，曾任绿盟科技副总裁。

先后服务于IBM中国、IBM加拿大、绿盟科技等企业，有超过15年的安全和系统管理工作经验，超过8年的云计算工作经验，在云计算和安全领域有深厚的积累。

作者从安全即服务的角度，介绍了企业在选择云安全服务时的很多关注点，很务实，也很接地气，相信能够给不少企业提供帮助。

——陈钟 北京大学软件与微电子学院院长/北京大学网络与信息安全实验室主任

本书没有讲述复杂深奥的安全技术细节，也没有从可信计算和等保建设角度长篇大论地讲述，而是直接围绕云安全实战中会涉及的方方面面进行了详细梳理，同时又点评了相应的安全工具，对于云安全方案设计和云安全平台建设而言，开箱即用！

——沈鸥 青云解决方案与架构部总经理

云安全是一个热门话题，一般来说，有云的安全（Security for the Cloud）、来自于云的安全解决方案（Security from the Cloud）和安全既服务（Security as a Service）。 本书从云扫描、云防护、云清洗、云事件管理、云身份管理5个领域做了详细的技术介绍，值得学习！

——张红卫 IBM安全事业部大中华区技术经理

首先，本书比较系统化，全面地讲解了云安全的各个方面，有助于全面提升读者的云安全管理能力。其次，本书比较落地，每章都从架构到产品，每个领域都有细致且实用的内容，能明确地指导从业人员如何选择产品和服务商。这些都是作者长期从事云安全工作的积累和沉淀，有助于提升企业上云战略的安全保障。

——谭翔 派拉软件CEO

本书结合业界主流的开源工具、商用产品系统性地介绍了云安全的各个细分方向的技术原理和攻防实践，是作者多年安全运营工作的总结，有很强的实用性，能指导企业构建适合自身的安全体系，让业务安全、合规地上云。

——张天鹏 云杉网络CTO