前言

为什么要写这本书

笔者一直在做云计算、云安全方面的工作。单就安全即服务（Sec-aaS）这个领域来说，相比国际市场，国内无论从技术成熟度、产品丰富度还是客户接受度，都要落后不少。虽然国内的安全市场有自己独有的特色，但我还是觉得应该写点有关云安全的东西，多做些宣传与普及，为国内云安全市场的发展贡献一份从业者的力量。

按照以往的规律，国内的IT发展通常会滞后国际几年的时间。以云计算为例，从一开始的普遍质疑到现在的全民接受，经历了5年以上的时间。安全即服务作为国际市场中被普遍接受的一种高效的模式，国内现在正处在质疑和逐步了解阶段，估计还需要很长一段时间才能被广泛接受。

除了安全即服务之外，我在本书中还介绍了不少可供企业使用的开源、免费产品和平台。开源产品虽然可能没有商用产品那么好用，技术支撑力度也没有那么大，但对于很多企业来说也不失为一种选择，因为其既可以作为一个安全的起步产品，又可以作为很多商用产品的补充。毕竟，在整体安全架构中，产品只是其中一部分，企业没必要把所有的费用都放在商用产品上，选择适合企业的、有较好ROI的产品才是“王道”。

这是我人生中第一次写书。感觉写书就像一个人跑马拉松，需要坚持，需要毅力。我中间多次都想放弃，不写了，太累了，但还是咬牙坚持下来了，也很欣慰自己可以坚持到最后。在整个过程中，因为涉及很多技术和产品的细节，所以我查阅了大量资料，很多原先不太关注的内容，通过这次写书也做了补充。这是一个痛并快乐的过程，感觉又回到了十多年前考CISSP的那段时间。其实，企业做安全也一样，不知道攻击会从何而来，何时会来，平常大多都是在做一些重复性的、枯燥乏味的工作，同样既需要坚持也需要毅力，更需要沉下心，把细节做好、做扎实。

作为本书的前言，真心想给企业提个建议，虽然来自众多安全厂商的产品可以帮助企业解决很多问题，但还是不要太依赖于产品。企业并不是有了产品，就可以做到万无一失、高枕无忧，企业还是要把更多时间、精力、预算花在平时一点一滴的、细致的预防性工作上，例如搞清企业内都有哪些资产，每个资产的安全现状是什么样的，会不会受到最新发布的漏洞影响，密码策略是不是到位，操作系统的安全配置是不是正确等。这些都和安全产品无关，而且都是些不起眼的工作，却能够帮助企业防范很多攻击行为。这就像我们的身体一样，每天都坚持跑步、健身，身体变强壮了，小病小灾也就不用担心了。

最后，非常感谢关注本书的朋友们。无论是企业的安全负责人、运维人员，还是刚刚接触安全的爱好者，希望大家都能够从本书中有所收获，哪怕只有一点点，我也会觉得在写书过程中的所有坚持和努力都是值得的了。

本书特色

本书比较全面地介绍了安全即服务领域中的几个重点发展方向，虽然每章的篇幅都不是很大，但包括了这几个重点发展方向的基本概念、原理、架构。同时，还对很多开源工具、软件、平台做了详细介绍，包括安装、配置、测试等内容，用来帮助读者还原测试场景。本书从安全即服务的角度来介绍安全，有一定的深度和广度，相信能够给读者带来一些新的思路和收获。

读者对象

·企业的安全负责人员、运维人员。

·企业上云过程中的安全技术人员。

·安全即服务的负责人员、技术人员。

·信息安全、网络安全的爱好者。

·期望更多了解安全即服务的朋友们。

如何阅读本书

本书分为5章，分别介绍了云扫描（Cloud Scanning）、云防护（Cloud WAF）、云清洗（Cloud Scrubbing）、云事件管理（Cloud SIEM，SIEM-as-a-Service）、云身份管理（Cloud IAM，IAM-as-a-Service）。每章都会介绍基本概念、原理、架构、开源产品、商用产品以及选择安全即服务时需要考虑的内容。这5章内容相对独立，读者可以根据需求分开阅读。

勘误和支持

由于我的水平有限，编写时间仓促，书中难免会出现一些错误或者不准确的地方，恳请读者批评指正。如果您有更多的宝贵意见，也欢迎发送邮件至邮箱secaas@sina.com或yfc@hzbook.com，期待能够得到您的真挚反馈。