敏捷应用程序安全

你将在本书中学习到：在软件开发生命周期的每一阶段中加入安全措施。在计划、需求、设计和编码阶段集成安全。在每个发布版本中加入安全测试，并将它作为团队发布工作中的一部分。在敏捷开发或 DevOps 环境中实现合规。通过共鸣、开放、透明、协作构建高效安全的程序。

Laura Bell是SafeStack的创始人和首席顾问，SafeStack是一家安全培训、开发和咨询公司。
Michael Brunton-Spall是公共数字服务部的技术及运营副主任，公共数字服务部是政府内阁办公室的一个部门。
Rich Smith是Duo 的研发总监，负责组织Duo security的不错安全研究会议。
Jim Bird是一位在金融服务技术方面拥有超过20年经验的CTO、软件开发经理和项目经理。

前言1
第1章安全概述9
不仅仅是技术问题10
不仅仅是极客11
安全和风险有关12
威胁因素，以及了解你的敌人15
安全价值：保护我们的数据、系统和人员17
常见的安全误区和错误19
让我们开始21
第2章敏捷促进者22
构建管道22
自动化测试23
持续集成26
基础设施即代码26
发布管理28
可视化追踪29
集中反馈30
部署过的代码才是专享优秀的代码31
安全、高速运行31
第3章迎接敏捷革命的到来33
敏捷：一座美丽的盆景33
Scrum，最时髦的敏捷技术36
极限编程39
看板42
精益开发45
常见敏捷方法46
什么是DevOps？48
敏捷和安全49
第4章在现有的敏捷生命周期中工作51
传统应用的安全模型51
迭代前仪式54
迭代前参与56
迭代后参与57
设置安全基线58
那么当你扩大规模的时候呢？59
建立安全团队59
关键点61
第5章安全和需求63
在需求中处理安全63
敏捷需求：讲述故事64
跟踪和管理故事：backlog66
处理bug67
将安全性放入需求67
安全角色和反角色74
攻击者故事：戴上黑帽子76
攻击树79
基础架构和运维需求82
重点回顾85
第6章敏捷漏洞管理87
漏洞扫描及修复87
处理关键漏洞93
确保软件供应链安全94
如何以敏捷方式修复漏洞96
安全Sprints、强化Sprints和黑客日100
技术安全债务的承担和偿还101
关键点103
第7章敏捷团队的风险104
安全团队说不104
理解风险和风险管理105
风险和威胁106
风险处置107
敏捷和DevOps中的风险管理112
在敏捷和DevOps中处理安全风险117
重点回顾119
第8章理解攻击和评估风险120
理解攻击：妄想和现实121
系统的攻击面129
敏捷威胁建模132
常见攻击方式142
要点总结143
第9章构建安全和可用的系统145
反入侵设计145
安全性与可用性146
技术控制146
安全架构149
复杂性和安全性152
重点回顾154
第10章代码评审安全155
为什么需要进行代码评审？155
代码评审的类型156
结对代码评审158
你应该何时评审代码？160
怎样评审代码？161
谁需要评审代码？167
自动代码评审169
代码评审的挑战和局限性178
采用安全代码评审181
查看安全功能和控件186
评审代码的内部威胁187
关键要点188
第11章敏捷安全测试191
那么敏捷开发中如何进行测试？191
有bug的地方，就会被攻破192
敏捷测试金字塔194
单元测试和TDD196
服务级别的测试和BDD工具199
验收测试201
功能安全测试和扫描202
应用程序扫描的问题206
测试基础设施208
创建自动化的构建和测试管道212
敏捷开发中的手动测试218
如何在敏捷和DevOps中进行安全测试？220
重点回顾221
第12章外部审计，测试和建议223
为什么我们需要外部审计？224
缺陷评估226
渗透测试227
红队229
BUG奖励231
配置审查238
安全代码审计238
加密审计239
选择一个外部的公司240
使你的钱花的值得242
关键点246
第13章运维和OpSec247
系统加固：建立安全系统248
网络即代码256
监控与入侵检测257
在运行时捕捉错误262
运行时防御264
事件反应：为破坏而准备266
保护你的构建管道270
嘘……请保密277
重点回顾279
第14章合规性281
合规性和安全性281
风险管理和合规288
变更的可追溯性289
数据隐私290
如何满足合规性并保持敏捷292
证明和认证303
关键点304
第15章安全文化306
安全文化的意义306
搭建安全文化307
有效安全原则309
安全外展320
重点回顾327
第16章敏捷安全意味着什么？328
Laura的故事328
Jim的故事331
Michael的故事335
Rich的故事339