基本信息
编辑推荐
软件供应链安全领域领军企业悬镜安全创始人创作，10位学术界和企业界安全专家联袂推荐
深度讲解DevSecOps敏捷安全的核心内涵、架构设计、体系建设、技术原理、度量方法、落地实践
融合前沿创新技术和全球实践经验，创造性提出“DevSecOps敏捷安全体系”
内容简介
书籍
计算机书籍
内容简介
这是一本体系化讲解DevSecOps敏捷安全的实战性著作，为企业应对软件开发方式敏态化与软件供应链开源化带来的安全挑战提供了解决之道，它能有效指导企业快速将安全能力完整嵌入整个DevOps体系，在保证业务研发效能的同时实现敏捷安全内生和自成长。
本书由国内软件供应链安全领域领军企业悬镜安全创始人子芽出品，得到了企业界和学术界10位权威安全技术专家的联袂推荐。主要的内容及其特色如下：
体系创新：不仅对业界已有的DevSecOps理论和方法进行了系统梳理，而且还分享了DevSecOps敏捷安全架构、DevSecOps敏捷安全技术金字塔等大量来自悬镜安全的创新理论和技术，全面讲解了DevSecOps敏捷安全的核心内涵、架构设计、体系建设、技术原理、度量方法、落地实践；
注重实战：包含大量实践原则、参考和落地方法，以及来自银行、券商、运营商、互联网、政府机构等领域的一线落地实践案例；
全球视野：立足于全球，对美国国防部、Netflix、Salesforce等机构和企业的DevSecOps实践进行了逐一分析和解读；
前瞻性强：不仅讲解了DevSecOps敏捷安全在云原生安全、软件供应链安全等热点领域的落地实践，而且展望了DevSecOps敏捷安全的发展趋势和技术演进方向。
计算机书籍
内容简介
这是一本体系化讲解DevSecOps敏捷安全的实战性著作，为企业应对软件开发方式敏态化与软件供应链开源化带来的安全挑战提供了解决之道，它能有效指导企业快速将安全能力完整嵌入整个DevOps体系，在保证业务研发效能的同时实现敏捷安全内生和自成长。
本书由国内软件供应链安全领域领军企业悬镜安全创始人子芽出品，得到了企业界和学术界10位权威安全技术专家的联袂推荐。主要的内容及其特色如下：
体系创新：不仅对业界已有的DevSecOps理论和方法进行了系统梳理，而且还分享了DevSecOps敏捷安全架构、DevSecOps敏捷安全技术金字塔等大量来自悬镜安全的创新理论和技术，全面讲解了DevSecOps敏捷安全的核心内涵、架构设计、体系建设、技术原理、度量方法、落地实践；
注重实战：包含大量实践原则、参考和落地方法，以及来自银行、券商、运营商、互联网、政府机构等领域的一线落地实践案例；
全球视野：立足于全球，对美国国防部、Netflix、Salesforce等机构和企业的DevSecOps实践进行了逐一分析和解读；
前瞻性强：不仅讲解了DevSecOps敏捷安全在云原生安全、软件供应链安全等热点领域的落地实践，而且展望了DevSecOps敏捷安全的发展趋势和技术演进方向。
作译者
子芽 著：作者简介（附照片）
子芽
悬镜安全创始人兼CEO，OpenSCA开源社区创始人，资深安全技术专家，拥有10年以上前沿安全技术研究实践经验，具有国际视野和工程综合创新能力的高端科技领军人才。
长期从事AI深度学习算法在持续威胁评估领域的研究，拥有多项原创发明专利授权，曾承担国家级重大网络安全项目和科研项目，首创的“DevSecOps智适应威胁管理体系”已演进至第三代，在产业界影响颇深。
中国信通院软件供应链安全社区首席安全专家，DSO敏捷安全大会出品人，北京大学国家奖学金、优秀科研奖和光华奖学金获得者。
悬镜安全
起源于北京大学网络安全技术研究团队“XMIRROR”，创始人子芽。作为DevSecOps敏捷安全领域的领导者，始终专注于以代码疫苗技术为核心，先后获得红杉资本、腾讯产业生态投资、源码资本和GGV纪源资本的持续加持，并通过原创专利级“全流程软件供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，持续帮助金融、车联网、泛互联网、能源等行业数千家企业构筑起适应自身业务弹性发展、面向敏捷业务交付的下一代积极防御体系。
子芽
悬镜安全创始人兼CEO，OpenSCA开源社区创始人，资深安全技术专家，拥有10年以上前沿安全技术研究实践经验，具有国际视野和工程综合创新能力的高端科技领军人才。
长期从事AI深度学习算法在持续威胁评估领域的研究，拥有多项原创发明专利授权，曾承担国家级重大网络安全项目和科研项目，首创的“DevSecOps智适应威胁管理体系”已演进至第三代，在产业界影响颇深。
中国信通院软件供应链安全社区首席安全专家，DSO敏捷安全大会出品人，北京大学国家奖学金、优秀科研奖和光华奖学金获得者。
悬镜安全
起源于北京大学网络安全技术研究团队“XMIRROR”，创始人子芽。作为DevSecOps敏捷安全领域的领导者，始终专注于以代码疫苗技术为核心，先后获得红杉资本、腾讯产业生态投资、源码资本和GGV纪源资本的持续加持，并通过原创专利级“全流程软件供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，持续帮助金融、车联网、泛互联网、能源等行业数千家企业构筑起适应自身业务弹性发展、面向敏捷业务交付的下一代积极防御体系。
目录
推荐语
推荐序一
推荐序二
前言
第一部分 开发安全入门
第1章 初识开发安全2
1.1 软件开发与SDLC2
1.1.1 软件开发方式的革新与SDLC2
1.1.2 SDLC典型阶段3
1.1.3 SDLC中的安全挑战4
1.2 SDLC中的阶段性安全活动5
1.2.1 准备阶段的安全活动6
1.2.2 开发阶段的安全活动7
1.2.3 部署阶段的安全活动8
1.2.4 运营阶段的安全活动9
1.2.5 废弃阶段的安全活动9
1.3 开发安全现状分析9
1.3.1 开发安全概述9
1.3.2 国内外开发安全研究现状11
1.3.3 开发安全关注点12
推荐序一
推荐序二
前言
第一部分 开发安全入门
第1章 初识开发安全2
1.1 软件开发与SDLC2
1.1.1 软件开发方式的革新与SDLC2
1.1.2 SDLC典型阶段3
1.1.3 SDLC中的安全挑战4
1.2 SDLC中的阶段性安全活动5
1.2.1 准备阶段的安全活动6
1.2.2 开发阶段的安全活动7
1.2.3 部署阶段的安全活动8
1.2.4 运营阶段的安全活动9
1.2.5 废弃阶段的安全活动9
1.3 开发安全现状分析9
1.3.1 开发安全概述9
1.3.2 国内外开发安全研究现状11
1.3.3 开发安全关注点12
前言
为什么要写这本书
数字经济时代，万物可编程，软件逐渐成为支撑社会正常运转的最基本元素之一，是新一代信息技术的灵魂。随着开源应用软件开发方式的使用度越来越高，开源组件事实上逐渐成为软件开发的核心基础设施，混源软件开发也已成为现代应用的主要开发交付方式，开源软件的安全问题也已被提升到关键基础设施安全和国家安全的高度来对待。
软件供应链开源化使得各个环节不可避免地受到开源应用的影响。尤其是开源应用的安全性，将直接影响软件供应链的安全性。除开源应用开发者在开发过程中引入安全缺陷之外，也可能会存在开发者有目的性地预留的安全缺陷，甚至存在攻击者将含有隐藏性恶意功能的异常行为代码上传到上游开源代码托管平台，以便实施定向软件供应链攻击的安全风险。上述开源应用中存在的众多安全问题，都将导致软件供应链安全隐患大大增加，使得安全形势更加严峻。早在春秋战国时期，我国军事家孙武就曾在《孙子兵法·虚实篇》中提出这样的军事思想：“故兵无常势，水无常形，能因敌变化而取胜者，谓之神。”面对复杂的攻防对抗局面，因应变化、拥抱变化也是敏捷安全建设的基石。
随着云计算、微服务和容器技术的快速普及，不仅IT基础架构发生了巨大变化，IT组织的业务交付模式也迎来巨大变革—从传统瀑布式开发和一次性全量交付逐渐趋向DevOps敏捷开发和持续性交付。在业务交付规模不断扩大、交付效率要求不断提高、研发及运营场景走向一体化的大环境下，如何在保证快速交付节奏的前提下保障业务安全性是安全部门最大的难题。DevSecOps敏捷安全应运而生，它通过一套全新的方法论及配套工具链将安全能力完整嵌入整个DevOps体系，在保证业务研发效能的同时能够实现敏捷安全内生和自成长。
除了现实业务安全需求的推动以外，DevSecOps体系的持续进化还受益于国际学术界和产业界的持续探索和实践输出。2017年，DevSecOps敏捷安全理念被首次引入RSA 大会（简称RSAC）—大会甚至为其设置专项技术研讨会。2021年，RSAC首次采用网络虚拟会议的形式举办，以“韧性”（Resilience）为本次大会的主题。大会上提出在构筑具有“韧性”的网络时，共同的核心目标是尽量避免攻击、减少攻击损失，以及攻击后快速恢复。在具体的应用实践中，业务应用本身及配套的安全系统应具备出厂免疫及预警功能，以做到规避攻击，借助风险管控将损失最小化，并提供及时的响应联动，帮助应用快速恢复。RSA创新沙盒有着“全球网络安全风向标”之称，而入选RSA创新沙盒十强的近半数厂商均聚焦在应用安全领域。其中，来自以色列的DevSecOps初创厂商Apiiro凭借创新的代码风险可视化管理技术斩获RSAC 2021创新沙盒全球总冠军，使得软件供应链与开发安全进一步受到国内外产业界与学术界的高度关注。
DevSecOps敏捷安全的起源、演进和广泛应用，标志着保障软件供应链安全开始进入一个全新的时代。将安全作为IT管理对象的一种属性，并将安全管理覆盖整个软件开发全生命周期，这将彻底改变企业和机构在软件供应链和开发基础设施方面的安全现状。
作为国内DevSecOps的主要推动力量之一，从2016年年初开始，我和悬镜创始团队就一直希望能有机会结合自身在前沿技术创新研究和行业应用中的实践，对DevSecOps敏捷安全体系的演进做一个系统性梳理，分享我们这些年在不同典型用户场景探索的落地经验。
“学到的就要教人，得到的就要给人。”研究生求学期间，导师曾这样要求过我们：“如果把人类现有的认知比作一个圈，那么当博士毕业时，我们的研究实践成果至少可以将现有认知向外再踏出一步。”这个要求至今对我和悬镜团队都有着巨大的影响。我们希望在这个新的前沿技术领域，凭借长期的技术积累来推动中国的安全产业向新的未知空间做更深层次的探索。
本书是一本DevSecOps软件供应链安全领域的专业书籍。我希望借助书中的理论阐述、体系构筑、技术研究、实践沉淀及技术演进预测，推动更多行业用户、技术爱好人员、专家学者及产业智库，结合自身业务和组织特点，去尝试了解、对比学习甚至着手采纳业内领先的DevSecOps 敏捷安全体系及落地实践经验，从源头追踪软件在开发、测试、部署、运营等环节面临的应用安全风险与未知外部威胁，帮助企业和机构逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并能够引领未来架构演进的内生敏捷安全体系。同时，希望本书不仅能够成为新一代敏捷安全体系建设的指南，也能鼓励更多不同类型的技术力量与DevSecOps行业开展新的对话。
读者对象
CTO/CIO/CSO/CEO
应用安全管理人员
应用安全工程师
应用安全架构师
开发、测试和运营人员
研发效能工程师
敏捷和研发效能教练
网络安全和计算机专业的学生和教师
对敏捷安全和研发效能感兴趣的其他人员
本书特色
数字经济时代，万物可编程，软件逐渐成为支撑社会正常运转的最基本元素之一，是新一代信息技术的灵魂。随着开源应用软件开发方式的使用度越来越高，开源组件事实上逐渐成为软件开发的核心基础设施，混源软件开发也已成为现代应用的主要开发交付方式，开源软件的安全问题也已被提升到关键基础设施安全和国家安全的高度来对待。
软件供应链开源化使得各个环节不可避免地受到开源应用的影响。尤其是开源应用的安全性，将直接影响软件供应链的安全性。除开源应用开发者在开发过程中引入安全缺陷之外，也可能会存在开发者有目的性地预留的安全缺陷，甚至存在攻击者将含有隐藏性恶意功能的异常行为代码上传到上游开源代码托管平台，以便实施定向软件供应链攻击的安全风险。上述开源应用中存在的众多安全问题，都将导致软件供应链安全隐患大大增加，使得安全形势更加严峻。早在春秋战国时期，我国军事家孙武就曾在《孙子兵法·虚实篇》中提出这样的军事思想：“故兵无常势，水无常形，能因敌变化而取胜者，谓之神。”面对复杂的攻防对抗局面，因应变化、拥抱变化也是敏捷安全建设的基石。
随着云计算、微服务和容器技术的快速普及，不仅IT基础架构发生了巨大变化，IT组织的业务交付模式也迎来巨大变革—从传统瀑布式开发和一次性全量交付逐渐趋向DevOps敏捷开发和持续性交付。在业务交付规模不断扩大、交付效率要求不断提高、研发及运营场景走向一体化的大环境下，如何在保证快速交付节奏的前提下保障业务安全性是安全部门最大的难题。DevSecOps敏捷安全应运而生，它通过一套全新的方法论及配套工具链将安全能力完整嵌入整个DevOps体系，在保证业务研发效能的同时能够实现敏捷安全内生和自成长。
除了现实业务安全需求的推动以外，DevSecOps体系的持续进化还受益于国际学术界和产业界的持续探索和实践输出。2017年，DevSecOps敏捷安全理念被首次引入RSA 大会（简称RSAC）—大会甚至为其设置专项技术研讨会。2021年，RSAC首次采用网络虚拟会议的形式举办，以“韧性”（Resilience）为本次大会的主题。大会上提出在构筑具有“韧性”的网络时，共同的核心目标是尽量避免攻击、减少攻击损失，以及攻击后快速恢复。在具体的应用实践中，业务应用本身及配套的安全系统应具备出厂免疫及预警功能，以做到规避攻击，借助风险管控将损失最小化，并提供及时的响应联动，帮助应用快速恢复。RSA创新沙盒有着“全球网络安全风向标”之称，而入选RSA创新沙盒十强的近半数厂商均聚焦在应用安全领域。其中，来自以色列的DevSecOps初创厂商Apiiro凭借创新的代码风险可视化管理技术斩获RSAC 2021创新沙盒全球总冠军，使得软件供应链与开发安全进一步受到国内外产业界与学术界的高度关注。
DevSecOps敏捷安全的起源、演进和广泛应用，标志着保障软件供应链安全开始进入一个全新的时代。将安全作为IT管理对象的一种属性，并将安全管理覆盖整个软件开发全生命周期，这将彻底改变企业和机构在软件供应链和开发基础设施方面的安全现状。
作为国内DevSecOps的主要推动力量之一，从2016年年初开始，我和悬镜创始团队就一直希望能有机会结合自身在前沿技术创新研究和行业应用中的实践，对DevSecOps敏捷安全体系的演进做一个系统性梳理，分享我们这些年在不同典型用户场景探索的落地经验。
“学到的就要教人，得到的就要给人。”研究生求学期间，导师曾这样要求过我们：“如果把人类现有的认知比作一个圈，那么当博士毕业时，我们的研究实践成果至少可以将现有认知向外再踏出一步。”这个要求至今对我和悬镜团队都有着巨大的影响。我们希望在这个新的前沿技术领域，凭借长期的技术积累来推动中国的安全产业向新的未知空间做更深层次的探索。
本书是一本DevSecOps软件供应链安全领域的专业书籍。我希望借助书中的理论阐述、体系构筑、技术研究、实践沉淀及技术演进预测，推动更多行业用户、技术爱好人员、专家学者及产业智库，结合自身业务和组织特点，去尝试了解、对比学习甚至着手采纳业内领先的DevSecOps 敏捷安全体系及落地实践经验，从源头追踪软件在开发、测试、部署、运营等环节面临的应用安全风险与未知外部威胁，帮助企业和机构逐步构筑一套适应自身业务弹性发展、面向敏捷业务交付并能够引领未来架构演进的内生敏捷安全体系。同时，希望本书不仅能够成为新一代敏捷安全体系建设的指南，也能鼓励更多不同类型的技术力量与DevSecOps行业开展新的对话。
读者对象
CTO/CIO/CSO/CEO
应用安全管理人员
应用安全工程师
应用安全架构师
开发、测试和运营人员
研发效能工程师
敏捷和研发效能教练
网络安全和计算机专业的学生和教师
对敏捷安全和研发效能感兴趣的其他人员
本书特色
媒体评论
段钢 看雪学苑创始人
网络安全的本质在于对抗，对抗的本质在于攻、防两端的能力较量，两者在互相争斗中发展和进步。安全防护并不只是找几个漏洞并进行修补，它是一个系统工程，从开发到运维，每个阶段都要投入。安全架构设计应在一开始就作为项目开发的一部分来考虑，列入开发计划和开发成本，并在防护强度、成本、易用性之间进行折中考虑，选择一个合适的平衡点。本书深入浅出地向读者展示了如何将安全能力完整嵌入整个DevOps体系，帮助读者快速打造安全的产品，获得宝贵的知识和经验。
张嵩 道客网络首席安全官/华泰证券原信息安全总监
我们五年前开始实践 DevSecOps 时，主要凭借零散的资料，结合企业的实际情况逐步摸索。今天兴奋地看到子芽的新书提供了一站式的总结和指导：从方法论、框架、内涵，到落地中的体系设计、实践经验、分阶段建设路径、应用场景、案例，再到主流技术工具和成熟度模型，可谓面面俱到，而且与云原生安全、供应链安全等热点呼应。本书非常适合开发管理者和应用安全架构师开始实践 DevSecOps时阅读。
张海龙 CODING创始人&CEO
2018年，DevOps开始在国内发芽，到今天，基本每个团队都用上了流水线。然而，流程自动化并不能解决安全问题，相反可能还会引发供应链攻击。于是，DevSecOps概念开始兴起，我们需要把安全植入研发的每一个环节。本书详细地分析了软件工程各个阶段面临的安全威胁及其应对手段，并深度分析了相关工具，是很好的DevSecOps实践指南。本书最后部分讲到的软件供应链安全和开源治理是企业比较容易忽视的部分，值得每一个技术管理者关注。
红薯 开源中国& Gitee创始人兼CTO
依托云原生等技术，DevOps、工程效能度量等相关理论和实践逐渐兴起，其本质是解决软件技术复杂度提升导致软件交付效率下降的问题。新的理论使得效率提高的同时，安全始终是软件从业者的心腹之患，尤其近几年来国内外软件安全问题频发。DevSecOps也因此应运而生。本书从“道、法、术”三个维度立体化地解构了DevSecOps是什么、如何实践、怎样落地，并且对开源生态安全以及未来软件安全发展态势做出了预测，全场景地展现了软件安全开发新模式，让人受益匪浅。
网络安全的本质在于对抗，对抗的本质在于攻、防两端的能力较量，两者在互相争斗中发展和进步。安全防护并不只是找几个漏洞并进行修补，它是一个系统工程，从开发到运维，每个阶段都要投入。安全架构设计应在一开始就作为项目开发的一部分来考虑，列入开发计划和开发成本，并在防护强度、成本、易用性之间进行折中考虑，选择一个合适的平衡点。本书深入浅出地向读者展示了如何将安全能力完整嵌入整个DevOps体系，帮助读者快速打造安全的产品，获得宝贵的知识和经验。
张嵩 道客网络首席安全官/华泰证券原信息安全总监
我们五年前开始实践 DevSecOps 时，主要凭借零散的资料，结合企业的实际情况逐步摸索。今天兴奋地看到子芽的新书提供了一站式的总结和指导：从方法论、框架、内涵，到落地中的体系设计、实践经验、分阶段建设路径、应用场景、案例，再到主流技术工具和成熟度模型，可谓面面俱到，而且与云原生安全、供应链安全等热点呼应。本书非常适合开发管理者和应用安全架构师开始实践 DevSecOps时阅读。
张海龙 CODING创始人&CEO
2018年，DevOps开始在国内发芽，到今天，基本每个团队都用上了流水线。然而，流程自动化并不能解决安全问题，相反可能还会引发供应链攻击。于是，DevSecOps概念开始兴起，我们需要把安全植入研发的每一个环节。本书详细地分析了软件工程各个阶段面临的安全威胁及其应对手段，并深度分析了相关工具，是很好的DevSecOps实践指南。本书最后部分讲到的软件供应链安全和开源治理是企业比较容易忽视的部分，值得每一个技术管理者关注。
红薯 开源中国& Gitee创始人兼CTO
依托云原生等技术，DevOps、工程效能度量等相关理论和实践逐渐兴起，其本质是解决软件技术复杂度提升导致软件交付效率下降的问题。新的理论使得效率提高的同时，安全始终是软件从业者的心腹之患，尤其近几年来国内外软件安全问题频发。DevSecOps也因此应运而生。本书从“道、法、术”三个维度立体化地解构了DevSecOps是什么、如何实践、怎样落地，并且对开源生态安全以及未来软件安全发展态势做出了预测，全场景地展现了软件安全开发新模式，让人受益匪浅。
