CCSK云安全知識(shí)認(rèn)證考試完全指南
定 價(jià)：98 元
云計(jì)算安全知識(shí)認(rèn)證（CCSK）考試的基礎(chǔ)就是指南。本書旨在幫讀者理解CSA 指南及其相關(guān)文檔涵蓋的各個(gè)知識(shí)點(diǎn)。系統(tǒng)學(xué)完本書的知識(shí)之后，不僅能夠通過(guò)CCSK 考試，而且可以成為營(yíng)造公司云安全環(huán)境的專家。
（1）由CCSK培訓(xùn)師、顧問(wèn)和云安全聯(lián)盟合作編寫，是CCSK認(rèn)證考試的權(quán)威教材（2）提供習(xí)題和線上模擬考試
前言當(dāng)今，我們正在經(jīng)歷一場(chǎng)技術(shù)盛宴，各種技術(shù)飛速發(fā)展，新的技術(shù)也是層出不窮。在這種形勢(shì)下，如果不考慮安全問(wèn)題，很有可能會(huì)損失慘重。云技術(shù)無(wú)疑是最重要并且使用最廣泛的技術(shù)之一。從某種意義上來(lái)說(shuō)，云技術(shù)是全球經(jīng)濟(jì)的中樞，消費(fèi)者、公司和政府部門每天都在使用云。以前，公司通常將所有的IT 系統(tǒng)部署在公司內(nèi)部。采用云技術(shù)之后，公司可以輕松地?cái)U(kuò)大IT 系統(tǒng)部署的規(guī)模。無(wú)論公司規(guī)模大小，按需部署IT 系統(tǒng)越來(lái)越受到公司的青睞。在今后一段時(shí)間內(nèi)，按需部署IT 系統(tǒng)的需求還會(huì)持續(xù)增長(zhǎng)。在網(wǎng)絡(luò)安全范疇內(nèi)，云安全是最重要的一個(gè)部分。云安全聯(lián)盟（Cloud Security Alliance，CSA）于2009 年應(yīng)運(yùn)而生。CSA 主要解決云安全方面的問(wèn)題，提出基本的云安全最佳解決方案，并且研發(fā)云安全教學(xué)項(xiàng)目。CSA 已成長(zhǎng)為世界上最大的安全組織，在五大洲分布著100 多個(gè)分會(huì)和辦公室。CSA 舉辦云安全知識(shí)認(rèn)證（Certificate of Cloud Security Knowledge，CCSK）考試。從業(yè)者通過(guò)CCSK 考試之后，就具備了解決云計(jì)算安全問(wèn)題的一系列技能。CCSK 得到了社會(huì)廣泛的認(rèn)可，許多公司要求應(yīng)聘者通過(guò)CCSK 考試。現(xiàn)在，我們所掌握的網(wǎng)絡(luò)安全技能遠(yuǎn)遠(yuǎn)不夠。很多想學(xué)網(wǎng)絡(luò)安全的從業(yè)者幾乎完全不了解相關(guān)知識(shí)。在從事網(wǎng)絡(luò)安全相關(guān)工作的人員中，大多數(shù)只掌握了傳統(tǒng)內(nèi)部部署系統(tǒng)相關(guān)的安全知識(shí)。這些從業(yè)者需要升級(jí)自己的知識(shí)儲(chǔ)備和技能，以適應(yīng)云計(jì)算對(duì)網(wǎng)絡(luò)安全帶來(lái)的新變化。CCSK 是通往網(wǎng)絡(luò)安全從業(yè)道路的一把鑰匙，取得CCSK 證書后，會(huì)獲取更多的就業(yè)機(jī)會(huì)。為什么要提升網(wǎng)絡(luò)安全方面的知識(shí)才能解決云安全方面的問(wèn)題呢？因?yàn)樵朴?jì)算處于持續(xù)變化的狀態(tài)，并且具有獨(dú)特的責(zé)任共擔(dān)模式。與管理員完全控制一臺(tái)計(jì)算機(jī)時(shí)會(huì)碰到的安全問(wèn)題相比，解決云安全方面的問(wèn)題時(shí)使用的解決方案存在著很多細(xì)節(jié)上的差異。例如，在傳統(tǒng)系統(tǒng)上執(zhí)行漏洞掃描時(shí)，必須既要保證掃描結(jié)果準(zhǔn)確，又要保證運(yùn)行的其他系統(tǒng)不受影響。而云本身具備較強(qiáng)自動(dòng)化管理的能力，它可以解決自身出現(xiàn)的很多問(wèn)題，例如可以自動(dòng)進(jìn)行補(bǔ)丁管理、根據(jù)系統(tǒng)規(guī)模的變化自動(dòng)進(jìn)行調(diào)整等。DevSecOps 是一種全新的解決云安全問(wèn)題的方法，它借鑒敏捷開發(fā)的思想，使用云自動(dòng)化管理工具實(shí)現(xiàn)云安全。對(duì)于理解云相關(guān)操作、風(fēng)險(xiǎn)管理來(lái)說(shuō)，弄清楚DevSecOps 的相關(guān)技術(shù)是非常有必要的。在制定云安全和隱私策略的過(guò)程中，DevSecOps 更是必不可少的。為了切實(shí)提高云安全方面的技能，我強(qiáng)力推薦大家學(xué)習(xí)McGraw-Hill 出版的《CCSK 云安全知識(shí)認(rèn)證考試完全指南》一書。本書的作者是格雷漢姆? 湯普森（Graham Thompson），他是資深的CCSK 培訓(xùn)講師。在完成本書的過(guò)程中，CSA小組與McGraw-Hill 一直密切合作，高質(zhì)量地完成了本書的審校。本書內(nèi)容包含一系列不同的主題，這些主題涵蓋了CCSK 的主要內(nèi)容，讀者學(xué)好本書的知識(shí)即可通過(guò)CCSK 考試。本書的讀者都會(huì)收到一個(gè)折扣碼，在參加考試時(shí)可以使用此折扣碼享受折扣。CSA 是一個(gè)非營(yíng)利性組織，它一直致力于解決云安全相關(guān)的問(wèn)題，在保護(hù)信息安全方面提出了很多實(shí)用的解決方案。感謝您選用本書，祝您通過(guò)云安全知識(shí)認(rèn)證考試。Jim Reavis云安全聯(lián)盟CEO
格雷漢姆·湯普森是Intrinsec安全公司的創(chuàng)始人，這是一家云安全顧問(wèn)和培訓(xùn)組織，服務(wù)于北美許多企業(yè)和政府機(jī)構(gòu)。格雷漢姆是一個(gè)安全專家，在系統(tǒng)工程、技術(shù)架構(gòu)、漏洞評(píng)估領(lǐng)域有25年工作經(jīng)驗(yàn)。方紅琴，女，北京工業(yè)大學(xué)教師，長(zhǎng)期從事程序設(shè)計(jì)方面教學(xué)，翻譯了多本計(jì)算機(jī)圖書。
目錄前言致謝簡(jiǎn)介第１章 云計(jì)算的概念和架構(gòu) 1云邏輯模型 4基礎(chǔ)設(shè)施層 4元結(jié)構(gòu)層 5信息結(jié)構(gòu)層 6應(yīng)用結(jié)構(gòu)層 7云計(jì)算的定義 7基本特征 7云服務(wù)模型 9云部署模型 15云安全范圍和責(zé)任共擔(dān)模型 17云安全聯(lián)盟工具 20云控制矩陣 20共識(shí)評(píng)估調(diào)查問(wèn)卷 22STAR 注冊(cè) 23云參考模型與架構(gòu)模型 23本章小結(jié) 26本章練習(xí) 26問(wèn)題 26答案及解析 28第2 章 治理及企業(yè)風(fēng)險(xiǎn)管理 30治理 31治理背景知識(shí) 31云治理 33風(fēng)險(xiǎn)管理 38云風(fēng)險(xiǎn)管理 40服務(wù)模型和部署模型對(duì)風(fēng)險(xiǎn)管理的影響 40云風(fēng)險(xiǎn)管理權(quán)衡 43云服務(wù)提供商評(píng)估 43本章小結(jié) 45本章練習(xí) 46問(wèn)題 46答案及解析 48第3 章 法律法規(guī)、合約及電子舉證 49數(shù)據(jù)保護(hù)和隱私的法律框架 50必要的安全措施 53相關(guān)條約 53跨境數(shù)據(jù)傳輸?shù)募s束 53CLOUD 法案 54區(qū)域性法律法規(guī) 54亞太地區(qū) 54歐盟和歐洲經(jīng)濟(jì)區(qū) 57美洲 60合約的簽訂和云服務(wù)提供商的選擇 63內(nèi)部盡職調(diào)查 64監(jiān)測(cè)、測(cè)試和升級(jí) 64外部盡職調(diào)查 65合約談判 66第三方審計(jì)和鑒證 66電子舉證 67占有權(quán)、監(jiān)管權(quán)和控制權(quán) 67相關(guān)的云應(yīng)用和云環(huán)境 68可搜索性和電子舉證工具 68數(shù)據(jù)保存 68數(shù)據(jù)保留法令和記錄保存義務(wù) 68數(shù)據(jù)收集 69取證 70適度的誠(chéng)信 70直接訪問(wèn) 70標(biāo)準(zhǔn)化格式 70司法鑒定 71云服務(wù)提供商和云服務(wù)用戶之間在電子舉證中的協(xié)作 71對(duì)法律傳喚和搜查令的回應(yīng) 71本章小結(jié) 71本章練習(xí) 72問(wèn)題 72答案及解析 74第4 章 合規(guī)和審計(jì)管理 76合規(guī)背景知識(shí) 78云計(jì)算對(duì)合約的影響 79云計(jì)算如何改變合規(guī)策略 80合規(guī)傳承 81始終保持合規(guī) 81審計(jì)背景知識(shí) 83云計(jì)算中的審計(jì)管理 84SOC 報(bào)告和ISO 認(rèn)證背景知識(shí) 85SOC 背景知識(shí) 86ISO 背景知識(shí) 87云計(jì)算對(duì)審計(jì)的影響 89審計(jì)的權(quán)利 90審計(jì)范圍 91對(duì)審計(jì)人員的要求 91本章小結(jié) 92本章練習(xí) 93問(wèn)題 93答案及解析 94第5 章 信息治理 96云信息治理范圍 97信息分類背景知識(shí) 98信息管理背景知識(shí) 101數(shù)據(jù)安全生命周期 105位置和授權(quán) 107功能、角色和控制 107本章小結(jié) 109本章練習(xí) 110問(wèn)題 110答案及解析 111第6 章 云計(jì)算管理平面和保持業(yè)務(wù)持續(xù)性 113管理平面 114應(yīng)用程序接口背景知識(shí) 115訪問(wèn)管理平面 119保障管理平面的安全 120云計(jì)算中保持業(yè)務(wù)持續(xù)性和災(zāi)難恢復(fù) 123業(yè)務(wù)持續(xù)性計(jì)劃/ 災(zāi)難恢復(fù)背景知識(shí) 123構(gòu)建處理失效狀態(tài)的架構(gòu) 126在云環(huán)境中保持業(yè)務(wù)持續(xù)性 127混沌工程 129云服務(wù)提供商不再提供服務(wù)時(shí)保持業(yè)務(wù)持續(xù)性 129私有云的業(yè)務(wù)持續(xù)性和私有云服務(wù)提供商 130本章小結(jié) 131本章練習(xí) 131問(wèn)題 131答案及解析 133第7 章 基礎(chǔ)設(shè)施安全135云網(wǎng)絡(luò)虛擬化 136OSI 參考模型背景知識(shí) 137VLAN 139VXLAN 139網(wǎng)絡(luò)平面背景知識(shí) 141軟件定義網(wǎng)絡(luò) 141網(wǎng)絡(luò)功能虛擬化 143云網(wǎng)絡(luò)給安全方面帶來(lái)的變化 144虛擬設(shè)備帶來(lái)的難題 144SDN 在安全方面的好處 146微網(wǎng)段和軟件定義的邊界 147CSP 或私有云的其他方面 148混合云考慮的因素 149云計(jì)算和工作負(fù)載安全 150云計(jì)算改變工作負(fù)載安全的方式 153不可變工作負(fù)載實(shí)現(xiàn)安全性 153云對(duì)標(biāo)準(zhǔn)的影響 155工作負(fù)載監(jiān)測(cè)及日志記錄方面的變化 156漏洞評(píng)估方面的變化 157本章小結(jié) 158本章練習(xí) 159問(wèn)題 159答案及解析 161第8 章 虛擬化技術(shù)和容器163與云計(jì)算相關(guān)的主要虛擬化技術(shù)分類 164計(jì)算虛擬化技術(shù) 164網(wǎng)絡(luò)虛擬化技術(shù) 167存儲(chǔ)虛擬化技術(shù) 169容器 173容器定義背景知識(shí) 174容器安全方面的建議 175本章小結(jié) 176本章練習(xí) 177問(wèn)題 177答案及解析 179第9 章 事故響應(yīng)181事故響應(yīng)生命周期 182事故和事件的背景知識(shí) 182準(zhǔn)備階段 183檢測(cè)和分析階段 184控制、清除和恢復(fù)階段 185善后處理階段 185云計(jì)算對(duì)事故響應(yīng)的影響 186準(zhǔn)備 186檢測(cè)和分析 190控制、清除和恢復(fù)階段 192善后處理階段 193本章小結(jié) 193本章練習(xí) 194問(wèn)題 194答案及解析 196第１0 章 應(yīng)用程序安全 198安全軟件部署生命周期和云計(jì)算 199安全設(shè)計(jì)與開發(fā) 200培訓(xùn) 201定義 201開發(fā) 203測(cè)試 204安全部署 204云計(jì)算對(duì)漏洞評(píng)估的影響 205云計(jì)算對(duì)滲透測(cè)試的影響 205部署管道的安全 206IaC 和不可變負(fù)載的影響 207安全運(yùn)維 207云對(duì)應(yīng)用程序設(shè)計(jì)與架構(gòu)的影響 208DevOps 的興起和作用 211DevOps 背景知識(shí) 211DevOps 對(duì)安全的影響及其優(yōu)勢(shì) 212本章小結(jié) 213本章練習(xí) 214問(wèn)題 214答案及解析 216第１1 章 數(shù)據(jù)安全和加密218數(shù)據(jù)安全控制 219云中數(shù)據(jù)存儲(chǔ)的分類 219管理至云的數(shù)據(jù)遷移 220云訪問(wèn)安全代理背景知識(shí) 221安全傳輸云數(shù)據(jù) 223保障云中的數(shù)據(jù)的安全 224云數(shù)據(jù)訪問(wèn)控制 224存儲(chǔ)（靜態(tài)）加密和令牌化 225密鑰管理（包括客戶管理的密鑰） 228數(shù)據(jù)安全架構(gòu) 230監(jiān)控、審計(jì)和警告 231其他數(shù)據(jù)安全控制 231云平臺(tái)/ 云服務(wù)提供商特定的控制 231數(shù)據(jù)泄露防護(hù) 232企業(yè)權(quán)限管理 232數(shù)據(jù)屏蔽和生成測(cè)試數(shù)據(jù) 233實(shí)施安全管理生命周期 234本章小結(jié) 234本章練習(xí) 235問(wèn)題 235答案及解析 237第１2 章 身份識(shí)別、授權(quán)和訪問(wèn)管理 238身份識(shí)別和訪問(wèn)管理在云環(huán)境中的運(yùn)行機(jī)制 239身份識(shí)別和訪問(wèn)管理術(shù)語(yǔ) 240身份識(shí)別和訪問(wèn)管理標(biāo)準(zhǔn) 242管理云計(jì)算環(huán)境中的用戶身份標(biāo)識(shí) 251身份驗(yàn)證和身份憑據(jù) 254權(quán)限和訪問(wèn)管理 256特權(quán)用戶管理 256本章小結(jié) 256本章練習(xí) 257問(wèn)題 257答案及解析 259第１3 章 安全即服務(wù)261SecaaS 的優(yōu)點(diǎn)和需關(guān)注的要點(diǎn) 262SaaS 產(chǎn)品的主要安全策略 263身份標(biāo)識(shí)、權(quán)限及訪問(wèn)管理服務(wù) 264云訪問(wèn)安全代理 264Web 安全網(wǎng)關(guān) 265Email 安全 265安全評(píng)估 265Web 應(yīng)用程序防火墻 266入侵檢測(cè)和入侵防御 267安全信息和事件管理（SIEM） 267加密和密鑰管理 267業(yè)務(wù)持續(xù)性和災(zāi)難恢復(fù) 268安全管理 268免受分布式拒絕服務(wù)攻擊 268本章小結(jié) 268本章練習(xí) 269問(wèn)題 269答案及解析 271第１4 章 相關(guān)技術(shù) 272大數(shù)據(jù) 272分布式數(shù)據(jù)收集背景知識(shí) 274Hadoop 背景知識(shí) 274安全和隱私注意事項(xiàng) 276數(shù)據(jù)收集 276密鑰管理 277安全功能 277身份識(shí)別和訪問(wèn)管理 277PaaS 277物聯(lián)網(wǎng) 277移動(dòng)計(jì)算 278無(wú)服務(wù)計(jì)算 279本章小結(jié) 281本章練習(xí) 283問(wèn)題 283答案及解析 285第１5 章 ENISA 云計(jì)算：信息安全的效益、風(fēng)險(xiǎn)和建議 287云的安全優(yōu)勢(shì) 288安全和規(guī)模效益 288根據(jù)安全性能區(qū)分云產(chǎn)品市場(chǎng) 289管理安全服務(wù)的標(biāo)準(zhǔn)接口 289迅速智能地?cái)U(kuò)展資源 289審計(jì)和證據(jù)收集 289及時(shí)、有效、高效地更新和默認(rèn)設(shè)置 289根據(jù)審計(jì)和服務(wù)協(xié)議水平改進(jìn)風(fēng)險(xiǎn)管理 290資源集中的好處 290頂級(jí)安全風(fēng)險(xiǎn) 290IT 風(fēng)險(xiǎn)背景知識(shí) 290治理缺失 291鎖定 291隔離失敗 293合規(guī)風(fēng)險(xiǎn) 293管理接口漏洞 293數(shù)據(jù)保護(hù) 294刪除數(shù)據(jù)不安全或不完整 294內(nèi)部惡意攻擊 294所有場(chǎng)景中常見的五個(gè)關(guān)鍵法律問(wèn)題 294數(shù)據(jù)保護(hù) 295保密性 295知識(shí)產(chǎn)權(quán) 295專業(yè)過(guò)失 295外包服務(wù)與控制權(quán)變更 296其他考試內(nèi)容 296開放虛擬化格式 296虛擬機(jī)跳躍 296低成本拒絕服務(wù)攻擊 297注冊(cè)風(fēng)險(xiǎn) 297云服務(wù)提供商收購(gòu)相關(guān)的風(fēng)險(xiǎn) 297數(shù)據(jù)控制方與數(shù)據(jù)處理方的限定 297IaaS 中用戶系統(tǒng)監(jiān)控的責(zé)任 298用戶配置漏洞 298治理缺失可能存在的漏洞 298風(fēng)險(xiǎn)R1~R35 及可能存在的漏洞 299本章小結(jié) 304本章練習(xí) 304問(wèn)題 304答案及解析 306附錄A 云計(jì)算安全策略實(shí)例 308云安全策略：集中管理實(shí)例 308目標(biāo) 308范圍 308背景 309策略 309云安全策略：分類管理實(shí)例 309目標(biāo) 310范圍 310背景 310策略 310附錄B 關(guān)于在線內(nèi)容312系統(tǒng)需求 312Total Seminars Training Hub 賬號(hào) 312單用戶許可條款和條件 312TotalTester Online 314技術(shù)支持 314
書單推薦 新書推薦
