全新正版DevSecOps敏捷安全9787111709299机械工业出版社

语

序一

序二

前言

部开发安全入门

章初识开发安全2

1.1软件开发与SDLC2

1.1.1软件开发方式的革新与SDLC2

1.1.2SDLC典型阶段3

1.1.3SDLC中的安全挑战4

1.2SDLC中的阶段安全活动5

1.2.1准备阶段的安全活动6

1.2.2开发阶段的安全活动7

1..部署阶段的安全活动8

1.2.4运营阶段的安全活动9

1.2.5废弃阶段的安全活动9

1.3开发安全现状分析9

1.3.1开发安全概述9

1.3.2国内外开发安全研究现状11

1.3.3开发安全关注点12

1.4安全左移在SDLC中的意义13

1.5总结14

第2章全面认识SDL15

2.1SDL概述15

2.2常见的SDL模型和框架16

2.2.1组织——NIST SSDF16

2.2.2企业实践——微软SDL模型17

2..开放组织——OWASP CLASP模型18

2.2.4个人贡献——McGraw BSI模型19

2.2.5安全开发模型和框架对比分析21

.SDL体系建设22

..1安全开发团队建设22

..2安全开发管理体系建设

..安全开发工具建设25

..4SDL体系建设实施技巧30

2.4SDL体系建设面临的挑战32

2.4.1威胁建模方面32

2.4.2开源威胁治理方面33

2.4.3全流程漏洞管控方面34

2.4.4敏捷开发的安全挑战35

2.5总结36

第二部分DevSecOps敏捷安全进阶

第3章敏捷开发与DevOps38

3.1开发模式的演进38

3.1.1传统的瀑布式开发38

3.1.2敏捷开发40

3.1.3DevOps41

3.2敏捷开发42

3.2.1敏捷开发的发展历史42

3.2.2敏捷开发的基本要义42

3..敏捷开发方43

3.3DevOps49

3.3.1DevOps的发展历史49

3.3.2DevOps的核心要素49

3.3.3DevOps实践方50

3.3.4DevOps的发展趋势 52

3.4DevOps与敏捷开发的对比53

3.5DevOps面临的安全挑战55

3.6总结55

第4章DevSecOps敏捷安全内涵56

4.1DevSecOps敏捷安全起源56

4.2从RSAC看DevSecOps进化57

4.2.1RSAC 2017定义DevSecOps57

4.2.2RSAC 2018抢先发售引入Golden Pipeline概念58

4..RSAC 2019聚焦文化融合与实践效果度量60

4.2.4RSAC 2020关注组织内部DevSecOps转型61

4.2.5RSAC 2021重视软件供应链安全62

4.3DevSecOps敏捷安全核心内涵63

4.3.1DevSecOps敏捷安全的理念63

4.3.2DevSecOps敏捷安全的关键特65

4.3.3DevSecOps敏捷安全的优势66

4.4DevSecOps敏捷安全架构67

4.4.1DevSecOps敏捷安全实践思想68

4.4.2新一代积极防御技术69

4.5DevSecOps敏捷安全现实意义70

4.5.1靠前监管70

4.5.2国内监管74

4.6总结79

第5章DevSecOps敏捷安全体系80

5.1DevSecOps敏捷安全体系目标80

5.2DevSecOps敏捷安全体系建设难点80

5.2.1DevSecO设现状80

5.2.2企业DevSecO体系设痛点83

5.3DevSecOps敏捷安全体系设计84

5.3.1DevSecOps体系概述84

5.3.2DevSecOps三大要素85

5.3.3DevSecOps持续进阶96

5.4DevSecOps敏捷安全体系建设97

5.4.1计划阶段99

5.4.2创建阶段104

5.4.3验阶段105

5.4.4预发布阶段107

5.4.5发布阶段109

5.4.6预防阶段109

5.4.7检测阶段110

5.4.8响应阶段112

5.4.9预测阶段113

5.4.10改进阶段113

5.5DevSecOps敏捷安全体系建设参考114

5.5.1GSA的DevSecOps指南114

5.5.2DoD的DevSecOps设计参考116

5.5.3NIST的DevSecOps项目116

5.6总结118

第6章DevSecOps敏捷安全技术119

6.1敏捷安全技术概述119

6.1.1应用安全风险面119

6.1.2敏捷安全技术的构成要件120

6.1.3适合的敏捷安全技术122

6.1.4敏捷技术和安全管理1

6.2IAST技术解析124

6.2.1多语言支持的必要124

6.2.2IAST全场景多核驱动131

6..IAST高可用和高并发支持135

6.2.4IAST DevOps全流程生态支持141

6.3RASP技术解析144

6.3.1RASP技术概述144

6.3.2RASP在DevOps中的应用153

6.4SCA技术解析156

6.4.1SCA技术简介156

6.4.2SCA技术原理分析157

6.4.3SCA技术应用实践164

6.4.4DevSecOps下的SCA落地实践165

6.4.5SCA与软件供应链安全168

6.5BAS技术解析169

6.5.1背景介绍169

6.5.2BAS技术简介169

6.5.3BAS原理分析171

6.5.4BAS工作方式172

6.5.5BAS与传统攻防技术的区别174

6.5.6DevSecOps下的BAS落地实践174

6.5.7BAS方案总结176

6.6API安全技术解析177

6.6.1API介绍177

6.6.2API安全技术原理178

6.6.3API安全技术实践180

6.6.4DevOps与API安全181

6.6.5API安全技术价值183

6.6.6多维度API风险管理183

6.7容器和Kubernetes安全解析184

6.7.1容器与Kubernetes 184

6.7.2容器与云原生184

6.7.3威胁矩阵185

6.7.4容器生命周期的安全问题186

6.7.5容器安全技术实践188

6.8总结199

第7章DevSecOps敏捷安全度量201

7.1DevSecOps度量实践的目标201

7.1.1敏捷安全度量的必要和复杂201

7.1.2安全度量与安全成熟度模型202

7.2常见软件安全成熟度模型202

7.2.1可信研发及运营安力成熟度模型203

7.2.2研发运营一体化（DevOps）能力成熟度模型205

7..OWASP DevSecOps成熟度模型207

7.2.4软件安全构建成熟度模型（BSIMM）208

7.2.5系统安全工程能力成熟度模型（SSE-CMM）210

7.2.6软件保成熟度模型（SAMM）213

7.3成熟度模型对比分析215





7.4基于BSIMM12的DevSecOps度量模型设计参考217



……

子芽，悬镜安全创始人兼CEO，OpenSCA开源社区创始人，资深安全技术专家，拥有10年以上前沿安全技术研究实践经验，具有靠前视野和工程综合创新能力的高端科技领军人才。 长期从事AI深度学习算法在持续威胁评估领域的研究，拥有多项原创发明授权，曾承担重大网络安全项目和科研项目，的“DevSecOps智适应威胁管理体系”已演进至第三代，在产业界影响颇深。 中国信通院软件供应链安全社区首席安全专家，DSO敏捷安全大会出品人，北京大学奖学金、很好科研奖和光华奖学金获得者。

序二 前言 部分　开发入门 章　初识开发2 1.1　软件开发与SDLC2 1.1.1　软件开发方式的革新与SDLC2 1.1.2　SDLC典型阶段3 1.1.3　SDLC中的挑战4 1.2　SDLC中的阶段活动5 1.2.1　准备阶段的活动6 1.2.2　开发阶段的活动7 1..　部署阶段的活动8 1.2.4　运营阶段的活动9 1.2.5　废弃阶段的活动9 1.3　开发现状分析9 1.3.1　开发概述9 1.3.2　国内外开发研究现状11 1.3.3　开发关注点12 1.4　左移在SDLC中的意义13 1.5结14 第2章　认识SDL15 2.1　SDL概述15 2.2　常见的SDL模型和框架16 2.2.1　组织—NIST SSDF16 2.2.2　企业实践—微软SDL模型17 2..　开放组织—OWASP CLASP模型18 2.2.4　个人贡献—McGraw BSI模型19 2.2.5　开发模型和框架对比分析21 .　SDL体系建设22 ..1　开发团队建设22 ..2　开发管理体系建设 ..　开发工具建设25 ..4　SDL体系建设实施技巧30 2.4　SDL体系建设面临的挑战32 2.4.1　威胁建模方面32 2.4.2　开源威胁治理方面33 2.4.3　全流程漏洞管控方面34 2.4.4　敏捷开发的挑战35 2.5结36 部分　DevSecOps敏捷进阶 第3章　敏捷开发与DevOps38 3.1　开发模式的演进38 3.1.1　传统的瀑布式开发38 3.1.2　敏捷开发40 3.1.3　DevOps41 3.2　敏捷开发4 .2.1　敏捷开发的发展历史4 .2.2　敏捷开发的基本要义4 ..　敏捷开43 3.3　DevOps49 3.3.1　DevOps的发展历史49 3.3.2　DevOps的核心要素49 3.3.3　DevOps实践方50 3.3.4　DevOps的发展趋势 5 .4　DevOps与敏捷开发的对比53 3.5　DevOps面临的挑战55 3.6结55 第4章　DevSecOps敏捷内涵56 4.1　DevSecOps敏捷起源56 4.2　从RSAC看DevSecOps进化57 4.2.1　RSAC 2017定义DevSecOps57 4.2.2　RSAC 2018引入Golden Pipeline概念58 4..　RSAC 2019聚焦文化融合与实践效果度量60 4.2.4　RSAC 2020关注组织内部DevSecOps转型61 4.2.5　RSAC 2021重视软件供应链62 4.3　DevSecOps敏捷核心内涵63 4.3.1　DevSecOps敏捷的理念63 4.3.2　DevSecOps敏捷的关键特65 4.3.3　DevSecOps敏捷的优势66 4.4　DevSecOps敏捷架构67 4.4.1　DevSecOps敏捷实践思想68 4.4.2　新一代积极防御技术6.5　DevSecOps敏捷现实意义70 4.5.1　监管70 4.5.2　国内监管74 4.6结79 第5章　DevSecOps敏捷体系80 5.1　DevSecOps敏捷体系目标80 5.2　DevSecOps敏捷体系建设难点80 5.2.1　DevSecO设现状80 5.2.2　企业DevSecO体系设痛点83 5.3　DevSecOps敏捷体系设计84 5.3.1　DevSecOps体系概述84 5.3.2　DevSecOps三大要素85 5.3.3　DevSecOps持续进阶96 5.4　DevSecOps敏捷体系建设97 5.4.1　计划阶段95..2　创建阶段104 5.4.3　验阶段105 5.4.4　预发布阶段107 5.4.5　发布阶段105..6　阶段105..7　检测阶段110 5.4.8　响应阶段112 5.4.9　预测阶段113 5.4.10　改进阶段113 5.5　DevSecOps敏捷体系建设参考114 5.5.1　GSA的DevSecOps指南114 5.5.2　DoD的DevSecOps设计参考116 5.5.3　NIST的DevSecOps项目116 5.6结118 第6章　DevSecOps敏捷技术119 6.1　敏捷技术概述119 6.1.1　应用风险面119 6.1.2　敏捷技术的构成要件120 6.1.3　适合的敏捷技术122 6.1.4　敏捷技术和管理1 .2　IAST技术解析124 6.2.1　多语言支持的必要124 6.2.2　IAST景多核驱动131 6..　IAST高可用和高并发支持135 6.2.4　IAST DevOps全流程生态支持141 6.3　RASP技术解析144 6.3.1　RASP技术概述144 6.3.2　RASP在DevOps中的应用153 6.4　SCA技术解析156 6.4.1　SCA技术简介156 6.4.2　SCA技术原理分析157 6.4.3　SCA技术应用实践164 6.4.4　DevSecOps下的SCA落地实践165 6.4.5　SCA与软件供应链168 6.5　BAS技术解析169 6.5.1　背景介绍169 6.5.2　BAS技术简介169 6.5.3　BAS原理分析171 6.5.4　BAS工作方式172 6.5.5　BAS与传统攻防技术的区别174 6.5.6　DevSecOps下的BAS落地实践174 6.5.7　BAS方结176 6.6　API技术解析177 6.6.1　API介绍177 6.6.2　API技术原理178 6.6.3　API技术实践180 6.6.4　DevOps与API181 6.6.5　API技术价值183 6.6.6　多维度API风险管理183 6.7　容器和Kuberes解析184 6.7.1　容器与Kuberes 184 6.7.2　容器与云原生184 6.7.3　威胁矩阵185 6.7.4　容器生命周期的问题186 6.7.5　容器技术实践188 6.8结199 第7章　DevSecOps敏捷度量201 7.1　DevSecOps度量实践的目标201 7.1.1　敏捷度量的必要和复杂201 7.1.2　度量与成熟度模型202 7.2　常见软件成熟度模型202 7.2.1　可信研发及运营能力成熟度模型203 7.2.2　研发运营一体化（DevOps）能力成熟度模型205 7..　OWASP DevSecOps成熟度模型207 7.2.4　软件构建成熟度模型（BSIMM）208 7.2.5　系统工程能力成熟度模型（SSE-CMM）210 7.2.6　软件保成熟度模型（SAMM）213 7.3　成熟度模型对比分析215 7.4　基于BSIMM12的DevSecOps度量模型设计参考217 7.4.1　BSIMM12的活动和分级217 7.4.2　基于BSIMM12的分阶段度量模型设计参考221 7.5　敏捷度量实践框架2 .6结224 第三部分　DevSecOps落地实践 第8章　DevSecOps设计参考与建设指导226 8.1　DevSecOps落地挑战226 8.1.1　组织文化227 8.1.2　流程管控228 8.1.3　技术工具228 8.2　DevSecOps设计参考229 8.2.1　组织和文化0 .2.2　流程1 ..　技术和工具2 .2.4　度量和持续改进 8.3　DevSecO设指导 8.3.1　现状评估 8.3.2　找寻支持伙伴 .3.3　考量建设尺度 .3.4　 制订建设计划240 8.4　SDL向DevSecOps的转型240 8.4.1　SDL与DevSecOps关系的误读240 8.4.2　DevSecOps与SDL的关系240 8.4.3　开的选择241 8.4.4　转型期的选择242 8.5　挑战243 8.5.1　C/C平台243 8.5.2　IaC244 8.5.3　代码托管平台247 8.5.4　项目管理平台247 8.5.5　容器运行247 8.5.6　Kuberes平台248 8.5.7　代码审计工具248 8.6　建议及思考249 8.7结249 第9章　云原生应用场景敏捷探索250 9.1　云原生概述250 9.1.1　何为云原生250 9.1.2　云原生的核心技术252 9.2　云原生255 9.2.1　云原生防护模型255 9.2.2　云原生４C模型262 9.3　云原生与DevSecOps266 9.3.1　相同点266 9.3.2　不同点267 9.3.3　对比分析267 9.4　云原生下的敏捷落地实践268 9.4.1　云原生下的敏捷实践架构268 9.4.2　云原生下的敏捷实践方案268 9.5结269 0章　DevSecOps落地实践案例271 10.1　国内行业头部企业实践271 10.1.1　某国有银行DevSecOps实践271 10.1.2　某券商DevSecOps实践275 10.1.3　某运营商DevSecOps实践279 10.1.4　某互联网头部企业DevSecOps实践283 10.1.5　某车联网企业DevSecOps实践286 10.2　大型组织创新实践289 10.2.1　美国DevSecOps实践289 10.2.2　Netflix DevSecOps实践294 10..　Salesforce DevSecOps实践298 10.3结304 第四部分　DevSecOps与软件供应链 1章　软件供应链306 11.1　软件供应链生态系统306 11.2　软件供应链现状及挑战307 11.2.1　现状分析307 11.2.2　面临的挑战309 11.3　软件供应链攻击风险311 11.3.1　软件供应链的风险面311 11.3.2　软件供应链攻击环节312 11.3.3　软件供应链的攻击类型315 11.4　软件供应链风险治理319 11.4.1　体系构建319 11.4.2　SDLC供应链风险治理319 11.4.3　软件分发过程供应链风险治理326 11.5　软件供应链新趋势329 11.5.1　Google软件供应链框架SLSA329 11.5.2　云共享责任模型330 11.5.3　Grafeas开源计划331 11.6结332 2章　开源治理落地实践333 12.1　开源软件333 12.1.1　开源软件由来333 12.1.2　开源软件现状335 12.1.3　开源软件优缺点335 12.2　开源软件337 12.2.1　开源软件风险分析337 12.2.2　EAR对开源软件的规定339 1.　开源许可分析339 1..1　开源许可概述339 1..2　开源许可分类340 1..　常见开源许可340 12.4　开源治理343 12.4.1　开源治理难点343 12.4.2　开源治理目标344 12.4.3　开源治理实践说明344 12.4.4　DevSecOps下的开源治理346 12.4.5　开源治理技术348 12.5　开源治理落地实践案例355 12.5.1　企业痛点355 12.5.2　解决方案思路355 12.5.3　建设内容357 12.5.4　实施效益360 12.6结361 3章　典型供应链漏洞及开源风险分析362 13.1　Log4j 2.x远程代码执行漏洞362 13.1.1　漏洞概述362 13.1.2　漏洞利用原理362 13.1.3　漏洞应急处置364 13.1.4　开源治理365 13.2　SolarWinds供应链攻击事件368 13.2.1　事件概述368 13.2.2　事件分析368 13..　SolarWinds供应链攻击事件370 13.3　GPL3.0开源许可侵权事件370 13.3.1　事件概述370 13.3.2　事件分析371 13.3.3　开源许可风险应对371 13.4结372 第五部分　趋势与思考 4章　DevSecOps敏捷趋势374 14.1　DevSecOps敏捷趋势思考374 14.1.1　软件供应链的矛与盾374积极防御376 14.2　DevSecOps敏捷技术演进378 14.3结382

体系创新：不仅对业界已有的DevSecOps敏捷的理论和方法进行了系统梳理，而且分享了DevSecOps敏捷架构、DevSecOps敏捷技术金字塔等大量来自悬镜的创新理论和技术，讲解了DevSecOps敏捷的核心内涵、架构设计、体系建设、技术原理、度量方法、落地实践； 注重实战含大量实践原则、参考和落地方法，以及来自银行、券商、运营商、互联网、机构等领域的一线落地实践案例； 全球视野：立足于全球，对美国、Netflix、Salesforce等机构和企业的DevSecOps实践进行了分析和解读； 前瞻强：不仅讲解了DevSecOps在云原生、软件供应链等热点领域的落地实践，而且展望了DevSecOps敏捷的发展趋势和技术演进方向。