云原生技术在为企业带来快速交付与迭代数字业务应用的优势之外，也带来了新的安全要求与挑战。本书面向云原生安全攻防实战，从产业变革到新场景应用，深入浅出地分析了云原生安全的风险，并根据各类攻击场景有针对性地设计了新一代云原生安全防护体系。
本书共分六个部分14章，前三部分介绍云原生安全行业的发展趋势和产业变革，对云原生安全技术和风险进行了详细分析；第四部分介绍云原生的攻击矩阵及高频攻击技术案例；第五部分讲解如何构建新一代的原生安全防御体系，并对重点行业实践进行了深入剖析；第六部分简要分析5G、边缘计算等新兴场景下的云原生安全新思考。本书适用于网络安全从业者和学习者，以及从事云原生行业的开发、运维和安全人员阅读。

张福，青藤云安全创始人&CEO。毕业于同济大学，专注于前沿技术研究，在安全攻防领域有超过15年的探索和实践。曾先后在国内多家知名互联网企业，如第九城市、盛大网络、昆仑万维，担任技术和业务安全负责人。目前，张福拥有10余项自主知识产权发明专利，30余项软件著作权。曾荣获“改革开放40年网络安全领军人物”“中关村高端领军人才”“中关村创业之星”等称号。

第1部分 趋势篇 云原生时代的产业变革与安全重构
第1章 云原生的发展促进了产业变革
1.1 云原生相关概念
1.2 企业正加速向云原生发展
1.3 云原生给组织带来的变化
1.3.1 体系流程的变化
1.3.2 开发模式的变化
1.3.3 应用架构的变化
1.3.4 运行平台的变化
第2章 云原生时代安全需要重构
2.1 组织重构
2.2 技术重构
第2部分 概念篇 云原生场景中关键概念解析
第3章 容器安全技术概念
3.1 容器与镜像基础概念
3.1.1 容器基础概念
3.1.2 镜像基础概念
3.2 容器与镜像安全原则
3.2.1 容器安全原则
3.2.2 镜像安全原则
3.3 容器隔离限制技术
3.3.1 容器两大限制技术
3.3.2 容器五大隔离技术
3.4 镜像安全控制技术
第4章 编排工具安全技术概念
4.1 Kubernetes基础概念
4.1.1 Kubernetes功能
4.1.2 Kubernetes架构
4.1.3 Kubernetes对象
4.2 Kubernetes安全原则
4.2.1 Kubernetes主体最小权限
4.2.2 Kubernetes工作负载最小权限
4.3 Kubernetes安全控制技术
4.3.1 Kubernetes认证
4.3.2 Kubernetes授权
4.3.3 准入控制器
第5章 应用安全技术概念
5.1 微服务安全
5.1.1 微服务安全框架
5.1.2 微服务实例说明
5.2 API安全
5.2.1 API基础概念
5.2.2 API常见类型
5.2.3 API安全方案
5.3 Serverless安全
5.3.1 Serverless基础概念
5.3.2 Serverless架构及实例
5.3.3 Serverless安全控制技术
第3部分 风险篇 云原生安全的风险分析
第6章 容器风险分析
6.1 容器威胁建模
6.2 容器加固
6.2.1 镜像风险
6.2.2 镜像仓库风险
6.2.3 容器风险
6.2.4 主机操作系统风险
第7章 编排风险分析
7.1 Kubernetes威胁建模
7.2 安全加固
7.2.1 Pod安全
7.2.2 网络隔离与加固
7.2.3 认证与授权
7.2.4 日志审计与威胁检测
第8章 应用风险分析
8.1 微服务风险分析
8.1.1 Spring Cloud安全分析
8.1.2 Istio安全分析
8.2 API风险分析
8.3 Serverless风险分析
第4部分 攻击篇 云原生攻击矩阵与实战案例
第9章 针对云原生的ATT & CK攻击矩阵
9.1 针对容器的ATT & CK攻击矩阵
9.2 针对Kubernetes的ATT & CK攻击矩阵
第10章 云原生高频攻击战术的攻击案例
10.1 容器逃逸攻击案例
10.1.1 容器运行时逃逸漏洞
10.1.2 Linux内核漏洞
10.1.3 挂载宿主机Procfs文件系统的利用
10.1.4 SYS_PTRACE权限利用
10.2 镜像攻击案例
10.2.1 通过运行恶意镜像实现初始化访问
10.2.2 创建后门镜像
10.3 Kubernetes攻击案例
10.3.1 通过API Server实现初始访问
10.3.2 在容器中实现恶意执行
10.3.3 创建特权容器实现持久化
10.3.4 清理Kubernetes日志绕过防御
10.3.5 窃取Kubernetes secret
第5部分 防御篇 新一代云原生安全防御体系
第11章 云原生安全防御原则与框架
11.1 云原生安全四大原则
11.1.1 零信任
11.1.2 左移
11.1.3 持续监控 & 响应
11.1.4 工作负载可观测
11.2 新一代云原生安全框架
第12章 基于行业的云原生安全防御实践
12.1 通信行业云原生安全防御实践
12.2 金融行业云原生安全防御实践
12.3 互联网行业云原生安全防御实践
第6部分 进化篇 新兴场景下的云原生安全新思考
第13章 5G场景下的容器安全
13.1 检测5G云横向移动
13.2 网络资源隔离
第14章 边缘计算场景下的容器安全
14.1 容器与边缘计算
14.1.1 边缘计算工作原理
14.1.2 边缘计算与云计算的区别
14.1.3 边缘计算对隐私和安全的重要性
14.2 将Kubernetes工作负载带到边缘
14.2.1 在Kubernetes中管理边缘工作负载
14.2.2 边缘容器
14.2.3 WebAssembly和Wasi
14.3 边缘计算环境下的容器数据安全