零信任網絡：在不可信網絡中構建安全系統(tǒng)（第2版）
云安全聯(lián)盟大中華區(qū)(CSA GCR) 譯
出版時間：2025年06月
頁數：244
“零信任不僅是一種策略，還是一種思維方式，它質疑司空見慣的假設，仔細審查每一次交互，阻止看不見的敵人入侵數字系統(tǒng)。本書是一本零信任指南，適合剛踏上零信任之旅的首席技術官、工程師和信息技術專業(yè)人士閱讀?！?br />
——Ann Johnson
微軟安全副總裁
“本書用簡單易懂的語言詮釋了基本的零信任安全概念。無論你是初學者還是專業(yè)人士，本書都是必讀讀物?！?br /> ——Karan Dwivedi
谷歌安全工程經理
零信任是一種安全范式的轉變，它摒棄了傳統(tǒng)的基于邊界的安全概念，要求你“始終假設已被入侵”且“永不信任，始終驗證”。這本實用的圖書詳細闡釋了零信任安全模型。與第1版相比，本書提供了更多場景、實際案例，以及對關鍵概念的深入解讀，幫助你全面理解零信任安全架構。
● 介紹零信任安全模型的基本概念，包括信任引擎、策略引擎和上下文感知代理。
● 探究零信任安全模型如何將安全性融入系統(tǒng)的運行過程中，每章末尾附有指導性的場景示例。
● 闡述如何將生產環(huán)境從基于邊界的網絡遷移到零信任網絡。
● 通過深入研究案例了解各組織在零信任領域的實踐歷程。
● 了解美國國家標準與技術研究院（NIST）、美國網絡安全與基礎設施安全局（CISA）、美國國防部（DoD）等機構所制定的各種零信任架構、標準和框架。
微軟安全副總裁
“本書用簡單易懂的語言詮釋了基本的零信任安全概念。無論你是初學者還是專業(yè)人士，本書都是必讀讀物?！?br /> ——Karan Dwivedi
谷歌安全工程經理
零信任是一種安全范式的轉變，它摒棄了傳統(tǒng)的基于邊界的安全概念，要求你“始終假設已被入侵”且“永不信任，始終驗證”。這本實用的圖書詳細闡釋了零信任安全模型。與第1版相比，本書提供了更多場景、實際案例，以及對關鍵概念的深入解讀，幫助你全面理解零信任安全架構。
● 介紹零信任安全模型的基本概念，包括信任引擎、策略引擎和上下文感知代理。
● 探究零信任安全模型如何將安全性融入系統(tǒng)的運行過程中，每章末尾附有指導性的場景示例。
● 闡述如何將生產環(huán)境從基于邊界的網絡遷移到零信任網絡。
● 通過深入研究案例了解各組織在零信任領域的實踐歷程。
● 了解美國國家標準與技術研究院（NIST）、美國網絡安全與基礎設施安全局（CISA）、美國國防部（DoD）等機構所制定的各種零信任架構、標準和框架。
- 第1章 零信任的基本概念
- 1.1 零信任網絡是什么
- 1.2 邊界安全模型的演進
- 1.2.1 管理全局IP地址空間
- 1.2.2 私有IP地址空間的誕生
- 1.2.3 私有網絡連接到公共網絡
- 1.2.4 NAT的誕生
- 1.2.5 現代邊界安全模型
- 1.3 威脅形勢的演進
- 1.4 邊界安全模型的缺陷
- 1.5 信任從哪里來
- 1.6 作為使能器的自動化
- 1.7 邊界安全模型和零信任模型之比較
- 1.8 在云環(huán)境中應用零信任模型
- 1.9 零信任在美國國家網絡安全中的位置
- 1.10 小結
- 第2章 管理信任
- 2.1 威脅模型
- 2.1.1 常用的威脅模型
- 2.1.2 零信任威脅模型
- 2.2 強認證
- 2.3 認證信任
- 2.3.1 CA是什么
- 2.3.2 PKI在零信任模型中的重要性
- 2.3.3 私有PKI 和公共PKI
- 2.3.4 使用公共PKI勝過根本不使用PKI
- 2.4 最小權限
- 2.4.1 動態(tài)信任
- 2.4.2 信任評分
- 2.4.3 信任評分面臨的挑戰(zhàn)
- 2.4.4 控制平面和數據平面
- 2.5 小結
- 第3章 上下文感知代理
- 3.1 代理是什么
- 3.1.1 代理的易變性
- 3.1.2 代理包含哪些內容
- 3.1.3 如何使用代理
- 3.1.4 代理不用于認證
- 3.2 如何暴露代理
- 3.2.1 兼具剛性和靈活性
- 3.2.2 標準化
- 3.2.3 其他方面的考慮
- 3.3 小結
- 第4章 授權決策
- 4.1 授權架構
- 4.2 執(zhí)行組件
- 4.3 策略引擎
- 4.3.1 策略存儲
- 4.3.2 什么是好策略
- 4.3.3 誰來定義策略
- 4.3.4 策略審查
- 4.4 信任引擎
- 4.4.1 給哪些實體評分
- 4.4.2 暴露評分存在風險
- 4.5 數據存儲
- 4.6 場景介紹
- 4.7 小結
- 第5章 建立設備信任
- 5.1 初始信任
- 5.1.1 生成并保護身份
- 5.1.2 靜態(tài)和動態(tài)系統(tǒng)中的身份安全
- 5.2 向控制平面認證設備
- 5.2.1 X.509
- 5.2.2 TPM
- 5.2.3 將TPM用于設備認證
- 5.2.4 HSM和TPM攻擊向量
- 5.2.5 基于硬件的零信任附件
- 5.3 設備清單管理
- 5.3.1 確定預期
- 5.3.2 安全引見
- 5.4 設備信任更新和度量
- 5.4.1 本地度量
- 5.4.2 遠程度量
- 5.4.3 統(tǒng)一端點管理
- 5.5 軟件配置管理
- 5.5.1 基于配置管理的設備清單
- 5.5.2 可搜索的設備清單
- 5.5.3 確保數據的真實性
- 5.6 將設備數據用于用戶授權
- 5.7 信任信號
- 5.7.1 上次重新做鏡像的時間
- 5.7.2 歷史訪問記錄
- 5.7.3 位置
- 5.7.4 網絡通信模式
- 5.7.5 機器學習
- 5.8 場景介紹
- 5.8.1 用例：Bob想發(fā)送文檔以便打印
- 5.8.2 請求分析
- 5.8.3 用例：Bob想刪除電子郵件
- 5.8.4 請求分析
- 5.9 小結
- 第6章 建立用戶信任
- 6.1 身份的權威性
- 6.2 私有系統(tǒng)中的身份生成
- 6.2.1 政府頒發(fā)的身份證明
- 6.2.2 通過人進行認證最可靠
- 6.2.3 預期和實情
- 6.3 存儲身份
- 6.3.1 用戶目錄
- 6.3.2 用戶目錄的維護
- 6.4 何時認證身份
- 6.4.1 為獲取信任而認證
- 6.4.2 信任評分驅動認證
- 6.4.3 使用多種渠道
- 6.4.4 緩存身份和信任等級
- 6.5 如何認證身份
- 6.5.1 用戶知道的—密碼
- 6.5.2 用戶持有的—TOTP
- 6.5.3 用戶持有的—證書
- 6.5.4 用戶持有的—安全令牌
- 6.5.5 用戶固有的—生物特征
- 6.5.6 行為模式
- 6.6 帶外認證
- 6.6.1 單點登錄
- 6.6.2 工作負載身份
- 6.6.3 轉向本地認證解決方案
- 6.7 組認證和組授權
- 6.7.1 Shamir秘密共享
- 6.7.2 Red October
- 6.8 積極參與，積極報告
- 6.9 信任信號
- 6.10 場景介紹
- 6.10.1 用例：Bob想要查看敏感的財務報告
- 6.10.2 請求分析
- 6.11 小結
- 第7章 建立應用信任
- 7.1 理解應用流水線
- 7.2 確保源代碼可信
- 7.2.1 保護代碼倉庫
- 7.2.2 代碼真實性和審計線索
- 7.2.3 代碼審查
- 7.3 確保構建過程可信
- 7.3.1 軟件物料清單：風險
- 7.3.2 輸出可信的前提是輸入可信
- 7.3.3 可再現構建
- 7.3.4 解耦發(fā)行版本和工件版本
- 7.4 確保分發(fā)過程可信
- 7.4.1 工件提升
- 7.4.2 分發(fā)安全
- 7.4.3 完整性和真實性
- 7.4.4 確保分發(fā)網絡可信
- 7.5 人工參與
- 7.6 確保實例可信
- 7.6.1 只能升級，不能降級
- 7.6.2 被授權實例
- 7.7 運行時安全
- 7.7.1 安全編碼實踐
- 7.7.2 隔離
- 7.7.3 主動監(jiān)控
- 7.8 安全的軟件開發(fā)生命周期
- 7.8.1 需求和設計
- 7.8.2 編碼和實現
- 7.8.3 靜態(tài)和動態(tài)代碼分析
- 7.8.4 同行評審和代碼審計
- 7.8.5 質量保證和測試
- 7.8.6 部署和維護
- 7.8.7 持續(xù)改進
- 7.9 保護應用和數據隱私
- 7.9.1 如何確保托管在公有云中的應用可信
- 7.9.2 機密計算
- 7.9.3 理解基于硬件的信任根
- 7.9.4 證明的作用
- 7.10 場景介紹
- 7.10.1 用例：Bob將高度敏感的數據發(fā)送給財務應用去計算
- 7.10.2 請求分析
- 7.11 小結
- 第8章 建立流量信任
- 8.1 加密和認證
- 8.2 不加密能否保證真實性
- 8.3 建立初始信任的首包
- 8.3.1 fwknop
- 8.3.2 短時例外規(guī)則
- 8.3.3 SPA載荷
- 8.3.4 載荷加密
- 8.3.5 HMAC
- 8.4 零信任應該在網絡模型中的哪個位置
- 8.4.1 客戶端和服務器分離
- 8.4.2 網絡支持問題
- 8.4.3 設備支持問題
- 8.4.4 應用支持問題
- 8.4.5 一種務實的方法
- 8.5 協(xié)議
- 8.5.1 IKE和IPsec
- 8.5.2 雙向認證TLS
- 8.6 建立云流量信任：挑戰(zhàn)和考量
- 8.7 云訪問安全代理和身份聯(lián)盟
- 8.8 過濾
- 8.8.1 主機過濾
- 8.8.2 雙向過濾
- 8.8.3 中間設備過濾
- 8.9 場景介紹
- 8.9.1 用例：Bob請求通過匿名代理服務器訪問電子郵件服務
- 8.9.2 請求分析
- 8.10 小結
- 第9章 實現零信任網絡
- 9.1 通往零信任網絡的入口：了解當前的網絡
- 9.1.1 確定工作范圍
- 9.1.2 評估和規(guī)劃
- 9.1.3 實際要求
- 9.1.4 繪制系統(tǒng)框圖
- 9.1.5 了解流
- 9.1.6 微分段
- 9.1.7 軟件定義邊界
- 9.2 實施階段
- 9.2.1 使用配置管理系統(tǒng)
- 9.2.2 應用認證和授權
- 9.2.3 認證負載均衡器和代理服務器
- 9.2.4 基于關系的策略
- 9.2.5 策略分發(fā)
- 9.2.6 定義并實施安全策略
- 9.2.7 零信任代理服務器
- 9.2.8 客戶端遷移和服務器端遷移
- 9.2.9 端點安全
- 9.3 案例研究
- 9.4 案例研究之Google BeyondCorp
- 9.4.1 BeyondCorp的主要組件
- 9.4.2 使用并擴展GFE
- 9.4.3 多平臺認證面臨的挑戰(zhàn)
- 9.4.4 遷移到BeyondCorp
- 9.4.5 經驗和教訓
- 9.4.6 結語
- 9.5 案例研究之PagerDuty云平臺無關網絡
- 9.5.1 將配置管理系統(tǒng)用作自動化平臺
- 9.5.2 動態(tài)地配置本地防火墻
- 9.5.3 分布式流量加密
- 9.5.4 分散式用戶管理
- 9.5.5 部署上線
- 9.5.6 提供商無關系統(tǒng)的價值
- 9.6 小結
- 第10章 攻擊者視圖
- 10.1 潛在的陷阱和風險
- 10.2 攻擊向量
- 10.3 身份和訪問權限
- 10.3.1 憑證盜竊
- 10.3.2 提權和橫向移動
- 10.4 基礎設施和網絡
- 10.4.1 控制平面安全
- 10.4.2 端點枚舉
- 10.4.3 不可信計算平臺
- 10.4.4 分布式拒絕服務攻擊
- 10.4.5 中間人攻擊
- 10.4.6 失效性
- 10.4.7 網絡釣魚
- 10.4.8 人身脅迫
- 10.5 網絡安全保險的作用
- 10.6 小結
- 第11章 零信任架構標準、框架和指南
- 11.1 政府機構
- 11.1.1 美國政府組織
- 11.1.2 英國
- 11.1.3 歐盟
- 11.2 民間組織和公共組織
- 11.2.1 云安全聯(lián)盟
- 11.2.2 The Open Group
- 11.2.3 Gartner
- 11.2.4 Forrester
- 11.2.5 國際標準化組織
- 11.3 商業(yè)供應商
- 11.4 小結
- 第12章 挑戰(zhàn)和未來之路
- 12.1 挑戰(zhàn)
- 12.1.1 轉變思維方式
- 12.1.2 影子IT
- 12.1.3 各自為政
- 12.1.4 缺乏整合性零信任產品
- 12.1.5 可伸縮性和性能
- 12.1.6 重要啟示
- 12.2 技術進步
- 12.2.1 量子計算
- 12.2.2 人工智能
- 12.2.3 隱私增強技術
- 12.3 小結
- 附錄A 網絡模型簡介
書名：零信任網絡：在不可信網絡中構建安全系統(tǒng)（第2版）
譯者：云安全聯(lián)盟大中華區(qū)(CSA GCR) 譯
國內出版社：人民郵電出版社
出版時間：2025年06月
頁數：244
書號：978-7-115-66698-7
原版書書名：Zero Trust Networks, 2nd Edition
原版書出版商：O'Reilly Media
Razi Rais
Razi Rais是微軟的一位網絡安全專家，擁有20多年的產品開發(fā)經驗。
Christina Morillo
Christina Morillo是一位企業(yè)信息安全和技術主管，擁有20多年的工作經驗。
Evan Gilman
Evan Gilman，計算機網絡工程師，目前為互聯(lián)網公共社區(qū)工作。Evan致力于研究如何在危險的網絡環(huán)境中構建和運營安全系統(tǒng)。
Doug Barth
Doug Barth，軟件工程師，曾供職于Orbitz、PagerDuty等公司。他在構建監(jiān)控系統(tǒng)、無線自組網（Mesh Network）、故障注入等技術方向有豐富的實踐經驗。
本書封面上的動物是鎧甲蝦（squat lobster），一種屬于鎧甲蝦總科和劣柱蝦總科的甲殼動物。鎧甲蝦有1000多種，其中的大多數一生都生活在海底。盡管名字中帶有“蝦”字，但相比龍蝦，它們與寄居蟹的親緣關系更近。
鎧甲蝦背部沒有硬殼，它們通過擠進巖縫或躲在巖石下面來保護自己。鎧甲蝦的鉗子始終露在外面，隨時準備抵御捕食者、捍衛(wèi)領地，以及搜尋漂過或埋在沙子里的食物。鎧甲蝦的觸須能長到身體的好幾倍長。這些甲殼動物的外形與龍蝦相似，有著分節(jié)的胸部和大鉗子，但通常更扁平、體型也更小。
鎧甲蝦的肉被稱為“l(fā)angostino”（源自西班牙語中表示龍蝦的“l(fā)angosta”一詞）。在海鮮菜肴中，鎧甲蝦常被用作龍蝦的廉價替代品。
鎧甲蝦背部沒有硬殼，它們通過擠進巖縫或躲在巖石下面來保護自己。鎧甲蝦的鉗子始終露在外面，隨時準備抵御捕食者、捍衛(wèi)領地，以及搜尋漂過或埋在沙子里的食物。鎧甲蝦的觸須能長到身體的好幾倍長。這些甲殼動物的外形與龍蝦相似，有著分節(jié)的胸部和大鉗子，但通常更扁平、體型也更小。
鎧甲蝦的肉被稱為“l(fā)angostino”（源自西班牙語中表示龍蝦的“l(fā)angosta”一詞）。在海鮮菜肴中，鎧甲蝦常被用作龍蝦的廉價替代品。
購買選項
|
© 2026，奧萊利技術咨詢(北京)有限公司。版權所有。 傳真: +86-10-88097463 京ICP備05003502號 |
|