DevSecOps企業級實踐-理念、技術與案例 陳能技 9787115601131 【台灣高等教育出版社】

編輯推薦
適讀人群 ：本書適合有 DevSecOps 轉型需求的國內 IT 從業人員閱讀，包括項目管理、開發、測試、運營、安全等相關工作的 IT 從業人員，同時也適合作為 IT 培訓機構和高校教授先進軟體工程理論及開發運營模式的教材。
1 前沿理論指導：本書闡述了DevSecOps的前沿理論，指導讀者如何將安全思維融入DevOps過程，提供企業級DevSecOps實施的理論基礎。
2 實用性與操作性：本書解讀了DevSecOps的best實踐，並介紹了平台設計與工具應用，以及流行的雲原生工具和技術。
3 全面實戰指南：本書以作者的實戰經驗和業界的實踐案例為指導，為讀者提供全面的DevSecOps實施方法。
4 專業背景和經驗：作者具有20多年的IT從業經驗，曾在多個公司擔任DevOps售前顧問及解決方案總監、產品經理等職位。這使得本書更具有可靠性和參考價值。

內容簡介
DevSecOps 在 DevOps 的基礎上融入安全底線思維，是軟體工程領域的前沿理論。本書系統地闡述企業實踐 DevSecOps 所需的理論、技術和方法，首先從軟體工程發展趨勢，尤其是敏捷、DevOps 等領域的發展趨勢出發，結合 DevOps best實踐、DevSecOps 相關報告和標準，循序漸進地闡述 DevSecOps 理念；然後解讀 DevSecOps best實踐，根據 DevSecOps best實踐涉及的重點階段和相關技術講解平台設計與工具應用，並結合開源、雲原生等領域的流行工具介紹 DevSecOps 工具鏈及平台建設方法；最後以作者的實戰經驗和業界的實踐案例介紹 DevSecOps 的實施方法。

作者簡介
陳能技
擁有20多年IT從業經驗，曾任測試工程師、QA、項目經理、培訓講師、諮詢顧問、架構師、技術總監等職位，親歷手工作坊式軟體團隊到專業化交付工程團隊的發展過程。曾任多家公司DevOps售前顧問及解決方案總監、產品經理，ITSS工作組DevOps專家組組長。他是《軟體測試技術大全：測試基礎、流行工具、項目實踐》《軟體自動化測試成功之道：常用工具、腳本開發、測試框架和項目實戰》等多本IT圖書的作者，包括國內DevOps實踐專著《大規模組織DevOps實踐》。目前專註于研究DevOps、DevSecOps、GitOps和軟體專業化交付能力。

精彩書評
軟體定義一切，DevOps驅動軟體，安全護航DevOps。越來越多的企業在數字化轉型中將數據安全、代碼安全、軟體供應鏈安全提升到新的高度。軟體是新一代信息技術的靈魂，是數字經濟發展的底座和基礎。安全是軟體的生命線，值得行業從業者深入探索。陳能技先生的這本新作，從主流商業和開源的DevSecOps工具與平台設計理念介紹，到國內外典型案例解析，為讀者還原了一個清晰的DevSecOps應用全景圖譜。相信無論是軟體從業者、技術管理者，還是技術研究者和愛好者，都可以通過本書獲得對DevSecOps的更多思考和實踐指導。
——極狐GitLab
DevSecOps將軟體開發與運營、安全整合，強調了三者之間的平衡可以在軟體開發過程中更早地發現安全漏洞。本書作者經驗豐富，他從理念框架，講到平台工具，再講到實踐案例，為我們提供了全面參考。這是一本值得推薦的好書。
——程永新，新炬網路董事、CTO
DevSecOps值得大型企業採納和實踐，任何規模的企業都應在構建其私有基礎設施或選用公有平台時對其給予充分考慮。希望廣大技術人員能夠通過本書受益，也十分鼓勵高校利用本書教授DevSecOps的思想、方法、工具及案例。
——張科，中國科學院計算技術研究所正高級工程師、中國科學院大學崗位教授
DevSecOps並不是一個特定的工具和流程，而是一種企業文化，表達了每個人對安全負責的理念。本書理論與實踐相結合，從基礎的DevOps概念到以安全視角看DevOps，結合了DevSecOps best實踐和平台設計與應用，是一本值得所有從業人員花時間研讀的指導性圖書。
——錢力，北京斯普信信息技術有限公司技術總監
軟體應用安全是熱門賽道之一，不管是SDLC還是DevSecOps建設都方興未艾，本書的推出恰逢其時，其內容全面，且實戰性非常強，是企業應用安全建設方面難得的一本好書。
——曹向志，安勢信息高級產品總監
安全、好用是合格軟體的唯二標準。DevSecOps是原則，是流程，是創造合格軟體的保障。本書以通俗易懂的文字表達豐富的知識點，適合反覆閱讀並依此實踐。
——金琨，中科天齊（山西）軟體安全技術研究院執行院長

目錄
第 1章 DevOps 基礎 1
1 1 從瀑布到敏捷，從敏捷到DevOps 1
1 1 1 軟體的生產力 1
1 1 2 從瀑布到敏捷 1
1 1 3 DevOps 的源起 2
1 2 DevOps 的實踐方法論 3
1 2 1 DevOps 的 3 個原則 3
1 2 2 DevOps 的 5 個理念 3
1 3 DevOps 解決的問題 4
1 3 1 縮短市場響應時間 4
1 3 2 減少技術債務 4
1 3 3 消除系統脆弱性 5
1 4 DevOps 現狀及發展趨勢 5
1 4 1 中國 DevOps 現狀 5
1 4 2 DevOps 發展方向 10
1 5 DevOps 相關標準規範 11
1 5 1 DevOps 能力成熟度模型 11
1 5 2 DevOps 解決方案標準 13
1 5 3 信息技術服務開發運維技術要求 15
第 2章 從安全視角看 DevOps 18
2 1 從 SDL 到 DevSecOps 18
2 1 1 DevOps 對 SDL 的挑戰 19
2 1 2 SRE 與 DevOps 20
2 1 3 DevSecOps 支撐體系 20
2 1 4 DevSecOps 工作過程的六大要點 22
2 1 5 DevSecOps 的三層方法論 23
2 2 DevSecOps 現狀及發展趨勢 27
2 2 1 雲安全與 DevSecOps 27
2 2 2 安全軟體開發框架 SSDF 29
2 2 3 《GitLab 第四次全球 DevSecOps年度調查》報告解讀 31
2 2 4 《研發運營安全白皮書》解讀 32
2 2 5 DevSecOps 技術發展趨勢預測 33
2 3 軟體供應鏈安全與 DevSecOps 34
2 3 1 軟體供應鏈安全問題 35
2 3 2 軟體供應鏈的生命周期 35
2 3 3 開源和雲原生時代下的軟體供應鏈 36
2 3 4 國外軟體供應鏈安全發展現狀 36
2 3 5 國內軟體供應鏈安全發展現狀 37
2 3 6 軟體供應鏈攻擊類型 37
2 3 7 軟體供應鏈風險分析 39
2 3 8 應用 DevSecOps 應對軟體供應鏈安全風險 40
2 3 9 軟體供應鏈安全最新發展趨勢 45
第3章 DevSecOps 最佳實踐 51
3 1 構建安全與安全左移 51
3 1 1 安全左移 51
3 1 2 安全意識與教育 51
3 1 3 常見漏洞列表 52
3 1 4 安全演練 53
3 1 5 結對編程和同行評審 53
3 1 6 Scrum 中的安全性 54
3 1 7 代碼審計 55
3 2 安全架構 56
3 2 1 自適應安全架構 56
3 2 2 零信任模型 58
3 2 3 ATT&CK 框架 59
3 2 4 CSMA 59
3 3 安全設計 60
3 3 1 核心安全設計原則 61
3 3 2 威脅建模 61
3 3 3 微服務安全 64
3 3 4 API 安全 66
3 3 5 容器安全 71
3 3 6 流水線安全 76
3 4 持續安全 79
3 4 1 測試驅動安全 79
3 4 2 攻擊監控與應對 81
3 4 3 實現持續的安全性 84
3 5 安全自動化 84
3 5 1 實現自動化 84
3 5 2 應用安全測試 85
3 5 3 移動應用安全測試 85
3 5 4 基礎設施安全測試 86
3 6 雲原生安全 87
3 6 1 雲原生安全的定義 87
3 6 2 Gartner 的雲安全體系 87
3 6 3 雲原生應用的供應鏈安全 88
3 6 4 容器技術安全基準 88
3 6 5 混沌工程思想 89
3 6 6 雲上安全部署 92
3 6 7 灰度發布 97
3 7 零信任網路安全 98
3 7 1 零信任 99
3 7 2 微隔離 99
3 8 安全度量 102
3 8 1 軟體安全成熟度發展史 102
3 8 2 軟體安全構建成熟度模型 103
3 8 3 可信研發運營安全能力成熟度模型 106
第4章 DevSecOps 平台設計與工具應用 118
4 1 DevSecOps 模型設計 118
4 1 1 概念模型 118
4 1 2 分層模型 118
4 1 3 架構模型 119
4 2 DevSecOps 工具鏈設計 120
4 2 1 計劃階段 121
4 2 2 創建階段 121
4 2 3 驗證階段 121
4 2 4 准生產階段 122
4 2 5 發布階段 123
4 2 6 配置階段 123
4 2 7 檢測階段 123
4 2 8 響應階段 124
4 2 9 預報階段 124
4 2 10 調整階段 124
4 3 代碼安全託管與代碼安全 125
4 3 1 高可用的 GitLab 125
4 3 2 代碼安全託管 130
4 3 3 SAST 134
4 4 開源組件管理與開源治理 137
4 4 1 SCA 工具選型 137
4 4 2 SCA 工具應用 141
4 4 3 開源治理體系與平台建設 144
4 5 API 安全防護 145
4 5 1 API 安全防護措施 146
4 5 2 API 安全工具 146
4 6 製品庫管理 147
4 6 1 製品與製品庫 147
4 6 2 製品庫管理需要解決的問題 147
4 6 3 製品庫管理要求 148
4 7 原生安全防護 148
4 7 1 原生主機安全 148
4 7 2 原生容器安全 150
4 7 3 原生應急響應和取證 151
4 8 DAST 153
OWASP ZAP 154
4 9 IAST 154
4 9 1 IAST 的檢測方式 154
4 9 2 IAST 的漏洞發現能力 155
4 9 3 IAST 工具的基本能力要求 155
4 9 4 IAST 與 DevSecOps 流程的整合 156
4 9 5 IAST 與 SCA 工具的集成 156
4 10 RASP 157
4 10 1 RASP 技術原理 158
4 10 2 OpenRASP 158
4 10 3 RASP 與 DevSecOps 流程的整合 159
4 11 入侵與攻擊模擬 160
4 11 1 人工滲透測試的限制 160
4 11 2 雲滲透測試 161
4 11 3 紫隊 161
4 11 4 自動化入侵與攻擊模擬 162
4 11 5 有效的入侵與攻擊模擬 163
4 11 6 XM Cyber 163
4 12 以安全為中心的流量分析 164
4 12 1 網路安全監控需求 164
4 12 2 DPI 164
4 12 3 基於 nDPI 的流量處理 165
4 12 4 應用場景 166
4 12 5 雲原生安全網格平台 166
4 13 混沌工程 169
4 13 1 生產環境中的問題 169
4 13 2 實施混沌工程的原則 169
4 13 3 混沌工程測試平台能力 170
4 13 4 混沌工程工具 170
4 14 網路安全演練 171
4 15 全鏈路壓測 172
4 15 1 性能測試的新挑戰 172
4 15 2 全鏈路壓測技術 172
4 15 3 監控分析技術 173
4 15 4 開源全鏈路壓測平台Takin 173
4 16 DevSecOps 平台建設方法 174
4