Securing Your Infrastructure

Ce que vous allez apprendre

• คุณสามารถเชื่อมต่อเข้าสู่เซิร์ฟเวอร์ผ่าน SSH ได้
• คุณรู้ว่า Docker container, reverse proxy และ API คืออะไร
• คุณมี AI agent ที่สามารถรันคำสั่งบนเซิร์ฟเวอร์ของคุณได้ (Hermes, Claude Code ฯลฯ)
• คุณไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านความปลอดภัย — นั่นคือจุดประสงค์ของหนังสือเล่มนี้
• บทที่ 1** — รักษาความปลอดภัย VPS บน Ubuntu: SSH, ไฟร์วอลล์, การติดตาม monitoring, การตอบสนองต่อ incident พื้นฐานเหล่านี้หากขาด สิ่งอื่นใดก็ไร้ความหมาย
• บทที่ 2** — รักษาความปลอดภัยเว็บเซิร์ฟเวอร์: TLS, security headers, Docker, FastAPI, rate limiting สิ่งที่ปกป้องผู้ใช้ของคุณเมื่อพวกเขาเข้าถึงบริการของคุณ
• บทที่ 3** — รักษาความปลอดภัย AI agents แบบอัตโนมัติ: prompt injection, สิทธิ์ permissions, sandboxing, kill switches แนวรบใหม่ของความปลอดภัยในปี 2026
• บทที่ 4** — Checklist แบบเต็ม: ก่อนการ deploy, การตรวจสอบรายเดือน, เครื่องมืออัตโนมัติ รวบรวมทุกอย่างไว้ในกระบวนการที่ทำซ้ำได้

Chapitres détaillés

• บทนำ

  • เซิร์ฟเวอร์ของฉันไม่น่าสนใจสำหรับแฮกเกอร์ — จริงหรือเท็จ?
  • ทำไมถึงต้องมีหนังสือเล่มนี้
  • วิธีใช้หนังสือเล่มนี้
  • ข้อกำหนดเบื้องต้น
  • สิ่งที่คุณจะได้เรียนรู้
  • ข้อสังเกตเกี่ยวกับตัวอย่าง
  • ความปลอดภัยคือกระบวนการ
• บทที่ 1 : รักษาความปลอดภัย VPS Ubuntu

  • 1.1 SSH — ประตูทางเข้า
• 1.2 ไฟร์วอลล์ (UFW)

  • 1.2 ไฟร์วอลล์ (UFW)
• 1.3 การตรวจสอบและบันทึกข้อมูลระบบ (Logs)

  • 1.3 การตรวจสอบและบันทึกข้อมูลระบบ (Logs)
• 1.4 การตอบสนองต่อเหตุการณ์ — ควรทำอย่างไรเมื่อเกิดขึ้น

  • 1.4 การตอบสนองต่อเหตุการณ์ — ควรทำอย่างไรเมื่อเกิดขึ้น
• 1.5 การอัปเดตอัตโนมัติ

  • 1.5 การอัปเดตอัตโนมัติ
  • สรุปบท
• 1.6 Fail2ban — แบนผู้โจมตีอัตโนมัติ

  • 1.6 Fail2ban — แบนผู้โจมตีอัตโนมัติ
• 1.7 พรอมต์สำหรับการตรวจสอบ — VPS Ubuntu

  • 1.7 พรอมต์สำหรับการตรวจสอบ — VPS Ubuntu
• 2.1 TLS — การเข้ารหัสการสื่อสาร

  • HTTP เทียบกับ HTTPS : สิ่งที่คุณสูญเสียหากไม่มี TLS
  • TLS 1.3 เทียบกับ 1.2 : ทำไมต้องอัปเกรด
  • ใบรับรอง: ตรรกะ ไม่ใช่คำสั่ง
  • HSTS: บังคับใช้ HTTPS
  • Mixed content: เมื่อ HTTPS ไม่สามารถคุ้มครองได้
  • พรอมต์ AI: ตรวจสอบการกำหนดค่า TLS
• 2.2 ส่วนหัวด้านความปลอดภัย

  • ทำไม HTTP Headers จึงเป็นแนวป้องกันอันดับแรกบนเว็บของคุณ
  • Content-Security-Policy: ส่วนหัวที่ทรงพลังที่สุด
  • X-Frame-Options: ป้องกัน Clickjacking
  • X-Content-Type-Options: ป้องกัน MIME Sniffing
  • Referrer-Policy: ควบคุมข้อมูลที่แชร์ออกไป
  • Permissions-Policy: จำกัดการใช้งาน API ของเบราว์เซอร์
  • พรอมต์ AI: ตรวจสอบส่วนหัวด้านความปลอดภัย
• 2.3 Rate limiting และ WAF

  • ทำไมต้องใช้ Rate Limiting
  • Rate Limit vs Throttling
  • ควรใช้ Rate Limiting ที่จุดไหน
  • ข้อผิดพลาดที่พบบ่อยในการใช้ Rate Limiting
  • WAF: เมื่อไหร่ควรใช้ และเมื่อไหร่ที่ไม่เพียงพอ
  • fail2ban สำหรับ Nginx: การเชื่อมโยงระหว่าง firewall ↔ เว็บ
  • พรอมต์ AI: ตรวจสอบ Rate Limiting และ WAF
• 2.4 Docker — การแยกตัวและการจำกัดขอบเขต

  • ทำไม container จึงไม่ใช่เครื่องเสมือน
  • Container escape: ผู้โจมตีหลุดออกจาก container ได้อย่างไร
  • ห้ามรันด้วยสิทธิ์ root อย่างเด็ดขาด
  • การจำกัดทรัพยากร: CPU, หน่วยความจำ, ดิสก์
  • Docker Compose: แยกเพื่อจำกัดพื้นที่ที่ได้รับผลกระทบ
  • Prompt สำหรับ AI: ตรวจสอบความปลอดภัย Docker
• 2.5 FastAPI — รักษาความปลอดภัยให้กับ API

  • CORS : ทำไมจึงจำเป็นและเมื่อไหร่ที่กลายเป็นความเสี่ยง
  • การตรวจสอบข้อมูลนำเข้า: Pydantic ในฐานะกลไกป้องกันหลายชั้น
  • การจัดการความลับ: ไฟล์ .env ไม่เพียงพอสำหรับระบบ Production
  • การบันทึก Log อย่างปลอดภัย: อย่าบันทึก Token ลงใน Log โดยเด็ดขาด
  • Prompt สำหรับ AI: ตรวจสอบความปลอดภัย API ของ FastAPI
• 2.6 WAF — Web Application Firewall

  • 2.6 WAF — Web Application Firewall
• 2.7 ความปลอดภัย CI/CD — รักษาความปลอดภัยไปป์ไลน์การปรับใช้งาน

  • 2.7 ความปลอดภัย CI/CD — รักษาความปลอดภัยไปป์ไลน์การปรับใช้งาน
• 2.8 พรอมต์สำหรับการตรวจสอบ — Nginx, FastAPI, Docker

  • 2.8 พรอมต์สำหรับการตรวจสอบ — Nginx, FastAPI, Docker
• 3.1 ทำไมเอเจนต์ AI ถึงแตกต่าง

  • เอเจนต์ AI ตัดสินใจ — ซอฟต์แวร์แบบดั้งเดิมทำได้เพียงรันคำสั่ง
  • พื้นผิวการโจมตีไม่ใช่โค้ดอีกต่อไป แต่เป็นพรอมต์
  • กรณีจริง: อุบัติเหตุของ Meta (มีนาคม 2026)
  • กรณีจริง: Summer Yue — กล่องจดหมายที่ถูกลบทิ้ง
  • บทเรียนสำหรับอินฟราสตรักเจอร์ของคุณ
• 3.2 Prompt injection — เข้าใจการโจมตี

  • การแทรกคำสั่งแบบตรง: จัดการกับพรอมต์ของผู้ใช้
  • การแทรกคำสั่งแบบอ้อม: ควบคุมเนื้อหาที่เอเจนต์รับเข้ามา
  • ทำไมการกรองเนื้อหาจึงไม่เพียงพอ
  • แนวทางที่ใช้สิทธิ์ ไม่ใช่การกรอง
  • ตัวอย่างจริงของการโจมตีที่สำเร็จ
• 3.3 สิทธิ์และหลักการมอบสิทธิ์อย่างน้อยที่สุด

  • ทำไมตัวแทน AI ต้องมีสิทธิ์น้อยกว่าคุณ
  • Read-only เทียบกับ Read-write: ตัดสินใจตามแต่ละการดำเนินการ
  • ขอบเขตของ API: จำกัดแต่ละ Token ให้ตรงกับการใช้งาน
  • การหมดอายุของสิทธิ์โดยอัตโนมัติ
  • Prompt สำหรับ AI: ตรวจสอบสิทธิ์ของตัวแทน AI
• 3.4 Sandboxing, kill switches และการตรวจสอบย้อนกลับ

  • ทำไมตัวแทนจึงต้องทำงานในสภาพแวดล้อมที่แยกไว้
  • คอนเทนเนอร์ เครือข่ายแยกไว้ และระบบไฟล์แบบอ่านอย่างเดียว
  • Hard gates เทียบกับ soft prompts
  • Kill switches : ปุ่มหยุดฉุกเฉิน
  • ล็อก: ทุกการกระทำต้องถูกติดตาม
  • การปิดบังข้อมูลและ canary data
  • พรอมต์ AI: ตรวจสอบฟีลเซฟของตัวแทน
• 3.5 การควบคุมเครื่องมือและบันทึกที่ละเอียดอ่อน

  • 3.5 การควบคุมเครื่องมือและบันทึกที่ละเอียดอ่อน
• 3.6 พรอมต์สำหรับการตรวจสอบ — เอเจนต์ AI อัตโนมัติ

  • 3.6 พรอมต์สำหรับการตรวจสอบ — เอเจนต์ AI อัตโนมัติ
• 4.1 เช็คลิสต์ก่อนการปรับใช้งาน

  • VPS : SSH, firewall, ผู้ใช้งาน, การอัปเดต
  • Docker : การแยก, ผู้ใช้งาน, การจำกัดทรัพยากร
  • API : headers, CORS, rate limiting, secrets
  • เอเจนต์ AI : สิทธิ์, sandboxing, kill switch, บันทึก
• 4.2 เครื่องมือตรวจสอบอัตโนมัติ

  • Lynis : เครื่องมือสแกนเครื่องแบบครบวงจร
  • Trivy : ช่องโหว่ของคอนเทนเนอร์และอิมเมจ
  • docker-bench-security : CIS Docker Benchmark
  • Mozilla Observatory : HTTP headers
  • การบูรณาการเข้ากับเวิร์กโฟลว์รายเดือน
  • พร้อมพต์ AI: รันและวิเคราะห์ผลการตรวจสอบแบบครบวงจร
• 4.3 การตรวจสอบรายเดือนและกรอบอ้างอิง

  • ทำไมการตรวจสอบครั้งเดียวจึงไม่เพียงพอ
  • การตรวจสอบ 7 รายการสำคัญรายเดือน
  • เมื่อเครื่องมือตรวจพบช่องโหว่
  • กรอบอ้างอิง: NIST, CIS, OWASP
• 4.4 พรอมต์สำหรับตรวจสอบ — โครงสร้างพื้นฐานแบบครบวงจร

  • 4.4 พรอมต์สำหรับตรวจสอบ — โครงสร้างพื้นฐานแบบครบวงจร
• บทสรุป

  • ความปลอดภัยเป็นกระบวนการ ไม่ใช่สถานะ
  • สรุป: หลักการพื้นฐาน
  • ขั้นตอนถัดไป
  • อภิธานศัพท์
  • ทรัพยากรเพิ่มเติม

Ce qui rend ce livre différent

Formats et compatibilité

Questions fréquentes