DevSecOps敏捷安全

目　錄 Contents
推薦語
推薦序一
推薦序二
前言
第一部分　開發(fā)安全入門
第1章　初識開發(fā)安全2
1.1　軟件開發(fā)與SDLC2
1.1.1　軟件開發(fā)方式的革新與SDLC2
1.1.2　SDLC典型階段3
1.1.3　SDLC中的安全挑戰(zhàn)4
1.2　SDLC中的階段性安全活動5
1.2.1　準(zhǔn)備階段的安全活動6
1.2.2　開發(fā)階段的安全活動7
1.2.3　部署階段的安全活動8
1.2.4　運營階段的安全活動9
1.2.5　廢棄階段的安全活動9
1.3　開發(fā)安全現(xiàn)狀分析9
1.3.1　開發(fā)安全概述9
1.3.2　國內(nèi)外開發(fā)安全研究現(xiàn)狀11
1.3.3　開發(fā)安全關(guān)注點12
1.4　安全左移在SDLC中的意義13
1.5　總結(jié)14
第2章　全面認(rèn)識SDL15
2.1　SDL概述15
2.2　常見的SDL模型和框架16
2.2.1　政府組織—NIST SSDF16
2.2.2　企業(yè)實踐—微軟SDL模型17
2.2.3　開放組織—OWASP CLASP模型18
2.2.4　個人貢獻(xiàn)—McGraw BSI模型19
2.2.5　安全開發(fā)模型和框架對比分析21
2.3　SDL體系建設(shè)22
2.3.1　安全開發(fā)團(tuán)隊建設(shè)22
2.3.2　安全開發(fā)管理體系建設(shè)23
2.3.3　安全開發(fā)工具建設(shè)25
2.3.4　SDL體系建設(shè)實施技巧30
2.4　SDL體系建設(shè)面臨的挑戰(zhàn)32
2.4.1　威脅建模方面32
2.4.2　開源威脅治理方面33
2.4.3　全流程漏洞管控方面34
2.4.4　敏捷開發(fā)的安全挑戰(zhàn)35
2.5　總結(jié)36
第二部分　DevSecOps敏捷安全進(jìn)階
第3章　敏捷開發(fā)與DevOps38
3.1　開發(fā)模式的演進(jìn)38
3.1.1　傳統(tǒng)的瀑布式開發(fā)38
3.1.2　敏捷開發(fā)40
3.1.3　DevOps41
3.2　敏捷開發(fā)42
3.2.1　敏捷開發(fā)的發(fā)展歷史42
3.2.2　敏捷開發(fā)的基本要義42
3.2.3　敏捷開發(fā)方法論43
3.3　DevOps49
3.3.1　DevOps的發(fā)展歷史49
3.3.2　DevOps的核心要素49
3.3.3　DevOps實踐方法論50
3.3.4　DevOps的發(fā)展趨勢 52
3.4　DevOps與敏捷開發(fā)的對比53
3.5　DevOps面臨的安全挑戰(zhàn)55
3.6　總結(jié)55
第4章　DevSecOps敏捷安全內(nèi)涵56
4.1　DevSecOps敏捷安全起源56
4.2　從RSAC看DevSecOps進(jìn)化57
4.2.1　RSAC 2017定義DevSecOps57
4.2.2　RSAC 2018首次引入Golden Pipeline概念58
4.2.3　RSAC 2019聚焦文化融合與實踐效果度量60
4.2.4　RSAC 2020關(guān)注組織內(nèi)部DevSecOps轉(zhuǎn)型61
4.2.5　RSAC 2021重視軟件供應(yīng)鏈安全62
4.3　DevSecOps敏捷安全核心內(nèi)涵63
4.3.1　DevSecOps敏捷安全的理念63
4.3.2　DevSecOps敏捷安全的關(guān)鍵特性65
4.3.3　DevSecOps敏捷安全的優(yōu)勢66
4.4　DevSecOps敏捷安全架構(gòu)67
4.4.1　DevSecOps敏捷安全實踐思想68
4.4.2　新一代積極防御技術(shù)69
4.5　DevSecOps敏捷安全現(xiàn)實意義70
4.5.1　國際監(jiān)管70
4.5.2　國內(nèi)監(jiān)管74
4.6　總結(jié)79
第5章　DevSecOps敏捷安全體系80
5.1　DevSecOps敏捷安全體系目標(biāo)80
5.2　DevSecOps敏捷安全體系建設(shè)難點80
5.2.1　DevSecOps建設(shè)現(xiàn)狀80
5.2.2　企業(yè)DevSecOps體系建設(shè)痛點83
5.3　DevSecOps敏捷安全體系設(shè)計84
5.3.1　DevSecOps體系概述84
5.3.2　DevSecOps三大要素85
5.3.3　DevSecOps持續(xù)進(jìn)階96
5.4　DevSecOps敏捷安全體系建設(shè)97
5.4.1　計劃階段99
5.4.2　創(chuàng)建階段104
5.4.3　驗證階段105
5.4.4　預(yù)發(fā)布階段107
5.4.5　發(fā)布階段109
5.4.6　預(yù)防階段109
5.4.7　檢測階段110
5.4.8　響應(yīng)階段112
5.4.9　預(yù)測階段113
5.4.10　改進(jìn)階段113
5.5　DevSecOps敏捷安全體系建設(shè)參考114
5.5.1　GSA的DevSecOps指南114
5.5.2　DoD的DevSecOps設(shè)計參考116
5.5.3　NIST的DevSecOps項目116
5.6　總結(jié)118
第6章　DevSecOps敏捷安全技術(shù)119
6.1　敏捷安全技術(shù)概述119
6.1.1　應(yīng)用安全風(fēng)險面119
6.1.2　敏捷安全技術(shù)的構(gòu)成要件120
6.1.3　適合的敏捷安全技術(shù)122
6.1.4　敏捷技術(shù)和安全管理123
6.2　IAST技術(shù)解析124
6.2.1　多語言支持的必要性124
6.2.2　IAST全場景多核驅(qū)動131
6.2.3　IAST高可用和高并發(fā)支持135
6.2.4　IAST DevOps全流程生態(tài)支持141
6.3　RASP技術(shù)解析144
6.3.1　RASP技術(shù)概述144
6.3.2　RASP在DevOps中的應(yīng)用153
6.4　SCA技術(shù)解析156
6.4.1　SCA技術(shù)簡介156
6.4.2　SCA技術(shù)原理分析157
6.4.3　SCA技術(shù)應(yīng)用實踐164
6.4.4　DevSecOps下的SCA落地實踐165
6.4.5　SCA與軟件供應(yīng)鏈安全168
6.5　BAS技術(shù)解析169
6.5.1　背景介紹169
6.5.2　BAS技術(shù)簡介169
6.5.3　BAS原理分析171
6.5.4　BAS工作方式172
6.5.5　BAS與傳統(tǒng)攻防技術(shù)的區(qū)別174
6.5.6　DevSecOps下的BAS落地實踐174
6.5.7　BAS方案總結(jié)176
6.6　API安全技術(shù)解析177
6.6.1　API介紹177
6.6.2　API安全技術(shù)原理178
6.6.3　API安全技術(shù)實踐180
6.6.4　DevOps與API安全181
6.6.5　API安全技術(shù)價值183
6.6.6　多維度API風(fēng)險管理183
6.7　容器和Kubernetes安全解析184
6.7.1　容器與Kubernetes 184
6.7.2　容器與云原生184
6.7.3　威脅矩陣185
6.7.4　容器生命周期的安全問題186
6.7.5　容器安全技術(shù)實踐188
6.8　總結(jié)199
第7章　DevSecOps敏捷安全度量201
7.1　DevSecOps度量實踐的目標(biāo)201
7.1.1　敏捷安全度量的必要性和復(fù)雜性201
7.1.2　安全度量與安全成熟度模型202
7.2　常見軟件安全成熟度模型202
7.2.1　可信研發(fā)及運營安全能力成熟度模型203
7.2.2　研發(fā)運營一體化（DevOps）能力成熟度模型205
7.2.3　OWASP DevSecOps成熟度模型207
7.2.4　軟件安全構(gòu)建成熟度模型（BSIMM）208
7.2.5　系統(tǒng)安全工程能力成熟度模型（SSE-CMM）210
7.2.6　軟件保證成熟度模型（SAMM）213
7.3　成熟度模型對比分析215
7.4　基于BSIMM12的DevSecOps度量模型設(shè)計參考217
7.4.1　BSIMM12的安全活動和分級217
7.4.2　基于BSIMM12的分階段度量模型設(shè)計參考221
7.5　敏捷安全度量實踐框架223
7.6　總結(jié)224
第三部分　DevSecOps落地實踐
第8章　DevSecOps設(shè)計參考與建設(shè)指導(dǎo)226
8.1　DevSecOps落地挑戰(zhàn)226
8.1.1　組織文化227
8.1.2　流程管控228
8.1.3　技術(shù)工具228
8.2　DevSecOps設(shè)計參考229
8.2.1　安全組織和文化230
8.2.2　安全流程231
8.2.3　安全技術(shù)和工具232
8.2.4　安全度量和持續(xù)改進(jìn)233
8.3　DevSecOps建設(shè)指導(dǎo)236
8.3.1　現(xiàn)狀評估236
8.3.2　找尋支持伙伴237
8.3.3　考量建設(shè)尺度237
8.3.4　 制訂建設(shè)計劃240
8.4　SDL向DevSecOps的轉(zhuǎn)型240
8.4.1　SDL與DevSecOps關(guān)系的誤讀240
8.4.2　DevSecOps與SDL的關(guān)系240
8.4.3　安全開發(fā)方法論的選擇241
8.4.4　轉(zhuǎn)型期的選擇242
8.5　其他安全挑戰(zhàn)243
8.5.1　CI/CD平臺安全243
8.5.2　IaC安全244
8.5.3　代碼托管平臺安全247
8.5.4　項目管理平臺安全247
8.5.5　容器運行安全247
8.5.6　Kubernetes平臺安全248
8.5.7　代碼審計工具安全248
8.6　建議及思考249
8.7　總結(jié)249
第9章　云原生應(yīng)用場景敏捷安全探索250
9.1　云原生概述250
9.1.1　何為云原生250
9.1.2　云原生的核心技術(shù)252
9.2　云原生安全255
9.2.1　云原生安全防護(hù)模型255
9.2.2　云原生安全４C模型262
9.3　云原生安全與DevSecOps266
9.3.1　相同點266
9.3.2　不同點267
9.3.3　對比分析267
9.4　云原生下的敏捷安全落地實踐268
9.4.1　云原生下的敏捷安全實踐架構(gòu)268
9.4.2　云原生下的敏捷安全實踐方案268
9.5　總結(jié)269
第10章　DevSecOps落地實踐案例271
10.1　國內(nèi)行業(yè)頭部企業(yè)實踐271
10.1.1　某國有銀行DevSecOps實踐271
10.1.2　某券商DevSecOps實踐275
10.1.3　某運營商DevSecOps實踐279
10.1.4　某互聯(lián)網(wǎng)頭部企業(yè)DevSecOps實踐283
10.1.5　某車聯(lián)網(wǎng)企業(yè)DevSecOps實踐286
10.2　國際大型組織創(chuàng)新實踐289
10.2.1　美國國防部DevSecOps實踐289
10.2.2　Netflix DevSecOps實踐294
10.2.3　Salesforce DevSecOps實踐298
10.3　總結(jié)304
第四部分　DevSecOps與軟件供應(yīng)鏈安全
第11章　軟件供應(yīng)鏈安全306
11.1　軟件供應(yīng)鏈生態(tài)系統(tǒng)306
11.2　軟件供應(yīng)鏈安全現(xiàn)狀及挑戰(zhàn)307
11.2.1　安全現(xiàn)狀分析307
11.2.2　面臨的挑戰(zhàn)309
11.3　軟件供應(yīng)鏈攻擊風(fēng)險311
11.3.1　軟件供應(yīng)鏈的風(fēng)險面311
11.3.2　軟件供應(yīng)鏈攻擊環(huán)節(jié)312
11.3.3　軟件供應(yīng)鏈的攻擊類型315
11.4　軟件供應(yīng)鏈風(fēng)險治理319
11.4.1　體系構(gòu)建319
11.4.2　SDLC供應(yīng)鏈風(fēng)險治理319
11.4.3　軟件分發(fā)過程供應(yīng)鏈風(fēng)險治理326
11.5　軟件供應(yīng)鏈安全最新趨勢329
11.5.1　Google軟件供應(yīng)鏈安全框架SLSA329
11.5.2　云安全共享責(zé)任模型330
11.5.3　Grafeas開源計劃331
11.6　總結(jié)332
第12章　開源安全治理落地實踐333
12.1　開源軟件333
12.1.1　開源軟件由來333
12.1.2　開源軟件現(xiàn)狀335
12.1.3　開源軟件優(yōu)缺點335
12.2　開源軟件安全337
12.2.1　開源軟件風(fēng)險分析337
12.2.2　EAR對開源軟件的規(guī)定339
12.3　開源許可證分析339
12.3.1　開源許可證概述339
12.3.2　開源許可證分類340
12.3.3　常見開源許可證340
12.4　開源治理343
12.4.1　開源治理難點343
12.4.2　開源治理目標(biāo)344
12.4.3　開源治理實踐說明344
12.4.4　DevSecOps下的開源治理346
12.4.5　開源治理技術(shù)348
12.5　開源治理落地實踐案例355
12.5.1　企業(yè)痛點355
12.5.2　解決方案思路355
12.5.3　建設(shè)內(nèi)容357
12.5.4　實施效益360
12.6　總結(jié)361
第13章　典型供應(yīng)鏈漏洞及開源風(fēng)險分析362
13.1　Log4j 2.x遠(yuǎn)程代碼執(zhí)行漏洞362
13.1.1　漏洞概述362
13.1.2　漏洞利用原理362