Skip to main content

Web Security cho DevOps Engineer

Từ Hạ tầng đến Bảo mật Ứng dụng Web​

Tác giả: Huynh Thien Tung

Phiên bản: 1.0

Nguồn tham khảo chính:

  • PortSwigger Web Security Academy (portswigger.net/web-security)
  • OWASP (owasp.org)
  • RFC 7230, RFC 7231, RFC 6265, RFC 6749
  • CWE/CVE Database
  • Tài liệu chính thức AWS, GCP, Azure, Kubernetes

Lời mở đầu​

Bạn đang vận hành hạ tầng Kubernetes, thiết kế pipeline CI/CD, cấu hình Nginx, quản lý secrets trên Vault — nhưng bao giờ bạn tự hỏi: ứng dụng chạy trên hạ tầng đó có thực sự an toàn không?

DevOps và Security không phải hai thế giới tách biệt. Khi bạn cấu hình một Ingress Controller sai, bạn vừa tạo ra một attack surface. Khi bạn để secret trong environment variable của container, bạn vừa mở một cánh cửa. Khi CI/CD pipeline của bạn không kiểm tra dependency, supply chain attack có thể xảy ra bất cứ lúc nào.

Cuốn sách này được viết cho những người như bạn — người đã biết Linux, Docker, Kubernetes, Networking — nhưng chưa có nền tảng chuyên sâu về bảo mật ứng dụng web. Mục tiêu không phải biến bạn thành pentester chuyên nghiệp trong 30 ngày, mà giúp bạn:

  • Hiểu cách hacker tư duy và tấn công
  • Nhận ra lỗ hổng trước khi hacker tìm ra
  • Tích hợp bảo mật vào workflow DevOps hàng ngày
  • Có đủ kiến thức để bắt đầu Bug Bounty

Mỗi chương được cấu trúc theo cùng một công thức: Nó là gì → Tại sao xảy ra → Hacker khai thác thế nào → Cách phòng chống → DevOps cần làm gì. Không lý thuyết thừa, không lan man.

Hãy đọc theo thứ tự nếu bạn mới bắt đầu. Nếu bạn đã có kinh nghiệm, có thể nhảy thẳng đến chương mình cần.

Hướng dẫn đọc sách​

Cho người mới hoàn toàn: Đọc từ Chương 1 đến Chương 3 trước, sau đó đọc tuần tự.

Cho DevOps đã có kinh nghiệm: Có thể bắt đầu từ Chương 4 và đọc các chương DevOps-specific (29-35) song song.

Để thực hành: Mỗi chương đề cập PortSwigger Labs — hãy làm lab ngay sau khi đọc lý thuyết.

Ký hiệu trong sách:

  • code block — lệnh, payload, hoặc ví dụ kỹ thuật
  • In đậm — khái niệm quan trọng

  • Blockquote — lưu ý hoặc cảnh báo quan trọng

Web Security cho DevOps Engineer
35 chapters · Vietnamese · Free

Mục lục​

Phần I: Nền tảng​

Phần II: Xác thực và Phân quyền​

Phần III: Tấn công phía Client​

Phần IV: Injection Attacks​

Phần V: Tấn công phía Server​

Phần VI: Tấn công hạ tầng và Giao thức​

Phần VII: API và Kiến trúc hiện đại​

Phần VIII: DevOps Security​

Phụ lục​