尧图网页设计 
Security-101 基础设施安全能力解析漏洞管理、CSPM 与 CNAPP 实战指南【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101本文是 Security-101面向初学者的网络安全课程第 6 模块「基础设施安全基础」第二课的深度技术指南源自仓库中的 translations/fi/6.2 Infrastructure security capabilities.md 及对应英文原稿 6.2 Infrastructure security capabilities.md。课程共分 8 个模块本课聚焦基础设施安全领域的三类核心能力漏洞管理Vulnerability Management、云安全态势管理CSPM与云原生应用保护平台CNAPP。读完本文你将掌握漏洞管理六大阶段的工作流、CSPM 四大核心能力及其在多云环境中的作用以及 CNAPP 如何整合容器扫描、基础设施即代码IaC扫描等分散工具为 DevOps/DevSecOps 团队构建端到端的云安全防线。本课定位基础设施安全能力在课程中的位置Security-101 课程共包含 8 个模块覆盖基础安全概念模块 1、身份与访问管理模块 2、网络安全模块 3、安全运营模块 4、应用安全模块 5、基础设施安全模块 6、数据安全模块 7与 AI 安全模块 8各模块均配有测验与延伸阅读详见 README.md 的课程总览表。模块 6 由三部分构成6.1 Infrastructure security key concepts.md讲解安全卫生security hygiene、安全态势管理SPM、补丁管理patching以及容器安全的基础概念6.2 Infrastructure security capabilities.md本课深入讲解支撑基础设施安全的核心工具与能力——漏洞管理、CSPM、CNAPP6.3 End of module quiz.md模块结束测验。本课与 6.1 的关系是「概念 → 能力」的递进6.1 回答「为什么需要」本课回答「用什么工具、如何落地」。本课学习目标如下理解漏洞管理vulnerability management的含义理解 CSPM 的含义及其关键组成部分理解 CNAPP 的含义及其整合的安全能力。什么是漏洞管理Vulnerability Management漏洞管理是对计算机系统、软件、网络与基础设施中的漏洞进行系统性识别、评估、优先级排序、缓解与持续监控的流程化过程。其核心目标是在恶意行为者利用已知漏洞发起攻击之前通过主动处置降低组织暴露于安全风险的程度。漏洞管理不是一次性的扫描活动而是一个持续运转的闭环生命周期。其关键步骤如下阶段英文原文核心活动典型产出识别Identification对组织资产服务器、应用、网络设备、终端等进行漏洞扫描与发现资产清单、漏洞列表评估Assessment依据 CVSS 评分与业务上下文评估每个漏洞的严重程度与潜在影响漏洞严重性评级优先级排序Prioritization按风险等级及对组织运营与数据的潜在影响对漏洞排序处置优先级队列缓解Mitigation制定并实施修复或缓解策略如打补丁、调整安全配置、部署补偿性控制修复方案与变更记录验证Verification确认缓解措施确实有效解决了对应漏洞复扫描结果、验收记录持续监控Continuous Monitoring通过定期漏洞扫描与评估持续跟踪漏洞与潜在威胁周期性态势报告评估环节的关键CVSS 评分在评估阶段文档特别点出了Common Vulnerability Scoring System通用漏洞评分系统CVSS这一行业标准。CVSS 通过一组可量化的指标为漏洞打出一个 010 的分数分数越高代表严重性越高。但需要强调的是CVSS 分数只是评估的输入之一最终优先级还要结合业务上下文如该资产是否承载敏感数据、是否暴露于公网、是否存在补偿控制综合判断。这也是「评估」与「优先级排序」两个阶段分开存在的原因——高分漏洞若所在系统并不关键其处置优先级可能低于一个分数略低但直连业务核心的漏洞。常见漏洞管理工具原文档给出的工具示例包括Defender for Cloud微软云安全产品兼具漏洞管理与 CSPM 能力可对云工作负载进行漏洞评估与建议后文会看到它在 CSPM 章节再次出现Nessus经典漏洞扫描器广泛用于主机、网络与 Web 应用的漏洞检测Qualys提供漏洞管理与合规检测的一体化云平台。与补丁管理的关系漏洞管理中的「缓解」环节与 6.1 课讲解的**补丁管理patching**紧密衔接打补丁是修复已知漏洞最直接的手段。6.1 课同时指出补丁不止针对软件还包括硬件设备的固件或内置操作系统而硬件补丁往往比软件补丁困难得多。因此一套完整的漏洞管理流程必须把「补丁时效性」纳入监控否则即使发现了漏洞长期不修补仍会使系统暴露于已知利用known exploits之下。什么是 CSPM云安全态势管理Cloud Security Posture Management云安全态势管理CSPM是一组用于评估、监控与强制实施云环境中安全配置与最佳实践的工具、流程与策略集合。CSPM 帮助组织在云基础设施如 AWS、Microsoft Azure、Google Cloud Platform 以及其他云服务商中识别并修复错误配置misconfigurations、安全缺口与合规违规。CSPM 的四项核心能力如下配置评估Configuration Assessment扫描云资源与服务识别错误配置、不安全设置以及与安全最佳实践的偏离。云环境中的错误配置如存储桶权限过宽、安全组端口全开是云安全事件的头号诱因CSPM 的首要任务就是系统化地找出它们。安全策略执行Security Policy Enforcement在云环境中强制实施安全策略与合规标准方式包括自动修复错误配置或生成告警。执行粒度可以做到「发现即修复」auto-remediate也可先告警再由人工介入。持续监控Continuous Monitoring对云资产与资源的安全态势提供持续可见性并对安全事件给出实时告警。与漏洞管理中的持续监控一脉相承但对象从主机漏洞扩展到了整个云环境的配置漂移与异常。合规报告Compliance Reporting生成报告与仪表盘证明组织符合监管要求与行业标准支撑审计与合规交付。CSPM 解决什么问题CSPM 的价值在于把「云环境安全状态」从黑盒变成可量化的持续视图。它本质上是 6.1 课所讲「安全态势管理SPM」在云场景的具象化SPM 回答组织整体安全姿态如何CSPM 则专门回答「我们的云基础设施配置是否安全、合规、符合最佳实践」。通过持续扫描与策略执行CSPM 能显著降低因配置错误引发的云安全事件风险。常见 CSPM 工具原文档给出的工具示例为Defender for Cloud集漏洞管理、CSPM、工作负载保护于一体是文档中少有的同时出现在漏洞管理与 CSPM 两个章节的工具体现了现代云安全平台能力收敛的趋势Snyk以开发者优先著称的安全平台除漏洞扫描外也提供云配置风险与 IaC 扫描能力后者正是 CNAPP 的组成部分。什么是 CNAPP云原生应用保护平台CNAPP 全称 Cloud-Native Application Protection Platform云原生应用保护平台是一个一体化all-in-one的云原生软件平台用于简化对潜在云安全威胁与漏洞的监控、检测与响应。CNAPP 将多种工具与能力整合进单一软件解决方案从而降低复杂度并便利 DevOps 与 DevSecOps 团队的日常操作。CNAPP 的核心特征可从三个维度理解覆盖 CI/CD 全生命周期CNAPP 提供贯穿从开发到生产的端到端云与应用程序安全。这意味着安全能力不再是在部署后才介入而是嵌入到应用交付的每一个阶段。整合传统孤岛式工具CNAPP 将传统上彼此割裂siloed的多种云安全解决方案统一到一个单一用户界面中让组织更容易保护其整个云应用足迹cloud application footprint。面向现代云安全需求CNAPP 回应了行业对现代云安全监控、态势管理、防入侵breach prevention与控制工具的需求使安全团队能够量化quantify并响应云环境中的风险。CNAPP 整合的核心能力清单原文档明确列出了 CNAPP 所整合的多种云原生安全工具与数据源整合能力英文术语说明容器扫描Container Scanning对容器镜像进行漏洞与恶意内容扫描对应 6.1 课「镜像安全」关注点云安全态势管理Cloud Security Posture Management即前述 CSPM 能力检查云配置错误与合规偏离基础设施即代码扫描Infrastructure as Code (IaC) Scanning在 Terraform、ARM、CloudFormation 等 IaC 模板落地前扫描其安全缺陷云基础设施授权管理Cloud Infrastructure Entitlements Management (CIEM)治理云身份与权限检测过度授权与模块 2 的 IAM 最小权限原则呼应运行时云工作负载保护Runtime Cloud Workload Protection Platforms (CWPP)保护运行中的工作负载检测并响应运行时威胁CNAPP 的关键特性增强可见性Enhanced Visibility跨开发、构建、部署、运行各阶段统一视图风险量化Quantification of Risks将分散的安全信号聚合为可度量的风险数值支撑优先级决策安全软件开发Secure Software Development将安全左移到开发环节与模块 5 的应用安全工具链衔接整合的云安全解决方案Combined Cloud Security Solution以一个平台替代多套独立产品的拼装。CSPM 与 CNAPP 的关系两者不是并列关系而是包含与被包含的关系CSPM 专注于云配置与态势管理是 CNAPP 平台中的一项核心组成能力CNAPP 则是在 CSPM 之上叠加容器扫描、IaC 扫描、CIEM、CWPP 等能力后形成的更完整的云原生应用保护平台。可以这样记忆CSPM 管「云配得对不对」CNAPP 管「云上应用从代码到运行全生命周期安不安全」后者把前者收入囊中并向前向后延伸。与课程其他模块的能力协同基础设施安全能力并非孤立存在它与本课程其他模块的能力形成互补与安全运营SecOps模块 4.3 的 4.3 SecOps capabilities.md 讲解 SIEM、XDR 等监控与响应工具——CSPM/CNAPP 发现的配置风险与运行时威胁最终需要汇入 SIEM/XDR 的告警管道进行关联分析与响应与应用安全AppSec模块 5.2 的 5.2 AppSec key capabilities.md 讲解 SAST、DAST、依赖扫描等应用层测试工具——CNAPP 的 IaC 扫描与容器扫描在工具链上与 AppSec 的依赖扫描、容器安全工具形成「代码—镜像—运行时」的纵深序列与身份安全IAMCNAPP 中的 CIEM 能力直接依赖模块 2 所讲的最小权限原则与身份治理。这种能力矩阵关系表明现代云安全不是靠单一工具而是靠分层工具的编排与数据打通CNAPP 正是这一思路在云原生场景的聚合式回答。学习路径与延伸阅读完成本课学习后可以前往 6.3 End of module quiz.md 完成模块测验检验对漏洞管理、CSPM、CNAPP 三个概念的掌握程度原文档提供了延伸阅读清单涵盖 Microsoft Security 对 CSPM/CNAPP 的官方解读、HackerOne 的 CSPM 知识库文章、Microsoft Learn 云采用框架中关于 CSPM 职能的说明以及 CNAPP 行业趋势与多云安全实践的相关视频资料可按需检索学习将本课内容与 6.1 Infrastructure security key concepts.md 结合复习安全卫生与补丁是地基漏洞管理是持续流程CSPM 管配置CNAPP 做整合——四者共同构成组织基础设施安全能力的完整拼图。说明本文依据的关联文档为 translations/fi/6.2 Infrastructure security capabilities.md芬兰语译文内容与仓库根目录的英文原稿 6.2 Infrastructure security capabilities.md 一致如涉及细节差异以英文原稿为准。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Security-101 基础设施安全能力解析：漏洞管理、CSPM 与 CNAPP 实战指南
Security-101 基础设施安全能力解析漏洞管理、CSPM 与 CNAPP 实战指南【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101本文是 Security-101面向初学者的网络安全课程第 6 模块「基础设施安全基础」第二课的深度技术指南源自仓库中的 translations/fi/6.2 Infrastructure security capabilities.md 及对应英文原稿 6.2 Infrastructure security capabilities.md。课程共分 8 个模块本课聚焦基础设施安全领域的三类核心能力漏洞管理Vulnerability Management、云安全态势管理CSPM与云原生应用保护平台CNAPP。读完本文你将掌握漏洞管理六大阶段的工作流、CSPM 四大核心能力及其在多云环境中的作用以及 CNAPP 如何整合容器扫描、基础设施即代码IaC扫描等分散工具为 DevOps/DevSecOps 团队构建端到端的云安全防线。本课定位基础设施安全能力在课程中的位置Security-101 课程共包含 8 个模块覆盖基础安全概念模块 1、身份与访问管理模块 2、网络安全模块 3、安全运营模块 4、应用安全模块 5、基础设施安全模块 6、数据安全模块 7与 AI 安全模块 8各模块均配有测验与延伸阅读详见 README.md 的课程总览表。模块 6 由三部分构成6.1 Infrastructure security key concepts.md讲解安全卫生security hygiene、安全态势管理SPM、补丁管理patching以及容器安全的基础概念6.2 Infrastructure security capabilities.md本课深入讲解支撑基础设施安全的核心工具与能力——漏洞管理、CSPM、CNAPP6.3 End of module quiz.md模块结束测验。本课与 6.1 的关系是「概念 → 能力」的递进6.1 回答「为什么需要」本课回答「用什么工具、如何落地」。本课学习目标如下理解漏洞管理vulnerability management的含义理解 CSPM 的含义及其关键组成部分理解 CNAPP 的含义及其整合的安全能力。什么是漏洞管理Vulnerability Management漏洞管理是对计算机系统、软件、网络与基础设施中的漏洞进行系统性识别、评估、优先级排序、缓解与持续监控的流程化过程。其核心目标是在恶意行为者利用已知漏洞发起攻击之前通过主动处置降低组织暴露于安全风险的程度。漏洞管理不是一次性的扫描活动而是一个持续运转的闭环生命周期。其关键步骤如下阶段英文原文核心活动典型产出识别Identification对组织资产服务器、应用、网络设备、终端等进行漏洞扫描与发现资产清单、漏洞列表评估Assessment依据 CVSS 评分与业务上下文评估每个漏洞的严重程度与潜在影响漏洞严重性评级优先级排序Prioritization按风险等级及对组织运营与数据的潜在影响对漏洞排序处置优先级队列缓解Mitigation制定并实施修复或缓解策略如打补丁、调整安全配置、部署补偿性控制修复方案与变更记录验证Verification确认缓解措施确实有效解决了对应漏洞复扫描结果、验收记录持续监控Continuous Monitoring通过定期漏洞扫描与评估持续跟踪漏洞与潜在威胁周期性态势报告评估环节的关键CVSS 评分在评估阶段文档特别点出了Common Vulnerability Scoring System通用漏洞评分系统CVSS这一行业标准。CVSS 通过一组可量化的指标为漏洞打出一个 010 的分数分数越高代表严重性越高。但需要强调的是CVSS 分数只是评估的输入之一最终优先级还要结合业务上下文如该资产是否承载敏感数据、是否暴露于公网、是否存在补偿控制综合判断。这也是「评估」与「优先级排序」两个阶段分开存在的原因——高分漏洞若所在系统并不关键其处置优先级可能低于一个分数略低但直连业务核心的漏洞。常见漏洞管理工具原文档给出的工具示例包括Defender for Cloud微软云安全产品兼具漏洞管理与 CSPM 能力可对云工作负载进行漏洞评估与建议后文会看到它在 CSPM 章节再次出现Nessus经典漏洞扫描器广泛用于主机、网络与 Web 应用的漏洞检测Qualys提供漏洞管理与合规检测的一体化云平台。与补丁管理的关系漏洞管理中的「缓解」环节与 6.1 课讲解的**补丁管理patching**紧密衔接打补丁是修复已知漏洞最直接的手段。6.1 课同时指出补丁不止针对软件还包括硬件设备的固件或内置操作系统而硬件补丁往往比软件补丁困难得多。因此一套完整的漏洞管理流程必须把「补丁时效性」纳入监控否则即使发现了漏洞长期不修补仍会使系统暴露于已知利用known exploits之下。什么是 CSPM云安全态势管理Cloud Security Posture Management云安全态势管理CSPM是一组用于评估、监控与强制实施云环境中安全配置与最佳实践的工具、流程与策略集合。CSPM 帮助组织在云基础设施如 AWS、Microsoft Azure、Google Cloud Platform 以及其他云服务商中识别并修复错误配置misconfigurations、安全缺口与合规违规。CSPM 的四项核心能力如下配置评估Configuration Assessment扫描云资源与服务识别错误配置、不安全设置以及与安全最佳实践的偏离。云环境中的错误配置如存储桶权限过宽、安全组端口全开是云安全事件的头号诱因CSPM 的首要任务就是系统化地找出它们。安全策略执行Security Policy Enforcement在云环境中强制实施安全策略与合规标准方式包括自动修复错误配置或生成告警。执行粒度可以做到「发现即修复」auto-remediate也可先告警再由人工介入。持续监控Continuous Monitoring对云资产与资源的安全态势提供持续可见性并对安全事件给出实时告警。与漏洞管理中的持续监控一脉相承但对象从主机漏洞扩展到了整个云环境的配置漂移与异常。合规报告Compliance Reporting生成报告与仪表盘证明组织符合监管要求与行业标准支撑审计与合规交付。CSPM 解决什么问题CSPM 的价值在于把「云环境安全状态」从黑盒变成可量化的持续视图。它本质上是 6.1 课所讲「安全态势管理SPM」在云场景的具象化SPM 回答组织整体安全姿态如何CSPM 则专门回答「我们的云基础设施配置是否安全、合规、符合最佳实践」。通过持续扫描与策略执行CSPM 能显著降低因配置错误引发的云安全事件风险。常见 CSPM 工具原文档给出的工具示例为Defender for Cloud集漏洞管理、CSPM、工作负载保护于一体是文档中少有的同时出现在漏洞管理与 CSPM 两个章节的工具体现了现代云安全平台能力收敛的趋势Snyk以开发者优先著称的安全平台除漏洞扫描外也提供云配置风险与 IaC 扫描能力后者正是 CNAPP 的组成部分。什么是 CNAPP云原生应用保护平台CNAPP 全称 Cloud-Native Application Protection Platform云原生应用保护平台是一个一体化all-in-one的云原生软件平台用于简化对潜在云安全威胁与漏洞的监控、检测与响应。CNAPP 将多种工具与能力整合进单一软件解决方案从而降低复杂度并便利 DevOps 与 DevSecOps 团队的日常操作。CNAPP 的核心特征可从三个维度理解覆盖 CI/CD 全生命周期CNAPP 提供贯穿从开发到生产的端到端云与应用程序安全。这意味着安全能力不再是在部署后才介入而是嵌入到应用交付的每一个阶段。整合传统孤岛式工具CNAPP 将传统上彼此割裂siloed的多种云安全解决方案统一到一个单一用户界面中让组织更容易保护其整个云应用足迹cloud application footprint。面向现代云安全需求CNAPP 回应了行业对现代云安全监控、态势管理、防入侵breach prevention与控制工具的需求使安全团队能够量化quantify并响应云环境中的风险。CNAPP 整合的核心能力清单原文档明确列出了 CNAPP 所整合的多种云原生安全工具与数据源整合能力英文术语说明容器扫描Container Scanning对容器镜像进行漏洞与恶意内容扫描对应 6.1 课「镜像安全」关注点云安全态势管理Cloud Security Posture Management即前述 CSPM 能力检查云配置错误与合规偏离基础设施即代码扫描Infrastructure as Code (IaC) Scanning在 Terraform、ARM、CloudFormation 等 IaC 模板落地前扫描其安全缺陷云基础设施授权管理Cloud Infrastructure Entitlements Management (CIEM)治理云身份与权限检测过度授权与模块 2 的 IAM 最小权限原则呼应运行时云工作负载保护Runtime Cloud Workload Protection Platforms (CWPP)保护运行中的工作负载检测并响应运行时威胁CNAPP 的关键特性增强可见性Enhanced Visibility跨开发、构建、部署、运行各阶段统一视图风险量化Quantification of Risks将分散的安全信号聚合为可度量的风险数值支撑优先级决策安全软件开发Secure Software Development将安全左移到开发环节与模块 5 的应用安全工具链衔接整合的云安全解决方案Combined Cloud Security Solution以一个平台替代多套独立产品的拼装。CSPM 与 CNAPP 的关系两者不是并列关系而是包含与被包含的关系CSPM 专注于云配置与态势管理是 CNAPP 平台中的一项核心组成能力CNAPP 则是在 CSPM 之上叠加容器扫描、IaC 扫描、CIEM、CWPP 等能力后形成的更完整的云原生应用保护平台。可以这样记忆CSPM 管「云配得对不对」CNAPP 管「云上应用从代码到运行全生命周期安不安全」后者把前者收入囊中并向前向后延伸。与课程其他模块的能力协同基础设施安全能力并非孤立存在它与本课程其他模块的能力形成互补与安全运营SecOps模块 4.3 的 4.3 SecOps capabilities.md 讲解 SIEM、XDR 等监控与响应工具——CSPM/CNAPP 发现的配置风险与运行时威胁最终需要汇入 SIEM/XDR 的告警管道进行关联分析与响应与应用安全AppSec模块 5.2 的 5.2 AppSec key capabilities.md 讲解 SAST、DAST、依赖扫描等应用层测试工具——CNAPP 的 IaC 扫描与容器扫描在工具链上与 AppSec 的依赖扫描、容器安全工具形成「代码—镜像—运行时」的纵深序列与身份安全IAMCNAPP 中的 CIEM 能力直接依赖模块 2 所讲的最小权限原则与身份治理。这种能力矩阵关系表明现代云安全不是靠单一工具而是靠分层工具的编排与数据打通CNAPP 正是这一思路在云原生场景的聚合式回答。学习路径与延伸阅读完成本课学习后可以前往 6.3 End of module quiz.md 完成模块测验检验对漏洞管理、CSPM、CNAPP 三个概念的掌握程度原文档提供了延伸阅读清单涵盖 Microsoft Security 对 CSPM/CNAPP 的官方解读、HackerOne 的 CSPM 知识库文章、Microsoft Learn 云采用框架中关于 CSPM 职能的说明以及 CNAPP 行业趋势与多云安全实践的相关视频资料可按需检索学习将本课内容与 6.1 Infrastructure security key concepts.md 结合复习安全卫生与补丁是地基漏洞管理是持续流程CSPM 管配置CNAPP 做整合——四者共同构成组织基础设施安全能力的完整拼图。说明本文依据的关联文档为 translations/fi/6.2 Infrastructure security capabilities.md芬兰语译文内容与仓库根目录的英文原稿 6.2 Infrastructure security capabilities.md 一致如涉及细节差异以英文原稿为准。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考