前言 1 第1章 安全概述 9 不僅僅是技術(shù)問(wèn)題 10 不僅僅是極客 11 安全和風(fēng)險(xiǎn)有關(guān) 12 威脅因素，以及了解你的敵人 15 安全價(jià)值：保護(hù)我們的數(shù)據(jù)、系統(tǒng)和人員 17 常見(jiàn)的安全誤區(qū)和錯(cuò)誤 19 讓我們開(kāi)始 21 第2章 敏捷促進(jìn)者 22 構(gòu)建管道 22 自動(dòng)化測(cè)試 23 持續(xù)集成 26 基礎(chǔ)設(shè)施即代碼 26 發(fā)布管理 28 可視化追蹤 29 集中反饋 30 部署過(guò)的代碼才是唯一優(yōu)秀的代碼 31 安全、高速運(yùn)行 31 第3章 迎接敏捷革命的到來(lái) 33 敏捷：一座美麗的盆景 33 Scrum，*時(shí)髦的敏捷技術(shù) 36 極限編程 39 看板 42 精益開(kāi)發(fā) 45 常見(jiàn)敏捷方法 46 什么是 DevOps？ 48 敏捷和安全 49 第4章 在現(xiàn)有的敏捷生命周期中工作 51 傳統(tǒng)應(yīng)用的安全模型 51 迭代前儀式 54 迭代前參與 56 迭代后參與 57 設(shè)置安全基線 58 那么當(dāng)你擴(kuò)大規(guī)模的時(shí)候呢？ 59 建立安全團(tuán)隊(duì) 59 關(guān)鍵點(diǎn) 61 第5章 安全和需求 63 在需求中處理安全 63 敏捷需求：講述故事 64 跟蹤和管理故事：backlog 66 處理bug 67 將安全性放入需求 67 安全角色和反角色 74 攻擊者故事：戴上黑帽子 76 攻擊樹(shù) 79 基礎(chǔ)架構(gòu)和運(yùn)維需求 82 重點(diǎn)回顧 85 第6章 敏捷漏洞管理 87 漏洞掃描及修復(fù) 87 處理關(guān)鍵漏洞 93 確保軟件供應(yīng)鏈安全 94 如何以敏捷方式修復(fù)漏洞 96 安全Sprints、強(qiáng)化Sprints和黑客日 100 技術(shù)安全債務(wù)的承擔(dān)和償還 101 關(guān)鍵點(diǎn) 103 第7章 敏捷團(tuán)隊(duì)的風(fēng)險(xiǎn) 104 安全團(tuán)隊(duì)說(shuō)不 104 理解風(fēng)險(xiǎn)和風(fēng)險(xiǎn)管理 105 風(fēng)險(xiǎn)和威脅 106 風(fēng)險(xiǎn)處置 107 敏捷和DevOps中的風(fēng)險(xiǎn)管理 112 在敏捷和DevOps中處理安全風(fēng)險(xiǎn) 117 重點(diǎn)回顧 119 第8章 理解攻擊和評(píng)估風(fēng)險(xiǎn) 120 理解攻擊：妄想和現(xiàn)實(shí) 121 系統(tǒng)的攻擊面 129 敏捷威脅建模 132 常見(jiàn)攻擊方式 142 要點(diǎn)總結(jié) 143 第9章 構(gòu)建安全和可用的系統(tǒng) 145 反入侵設(shè)計(jì) 145 安全性與可用性 146 技術(shù)控制 146 安全架構(gòu) 149 復(fù)雜性和安全性 152 重點(diǎn)回顧 154 第10章 代碼評(píng)審安全 155 為什么需要進(jìn)行代碼評(píng)審？ 155 代碼評(píng)審的類型 156 結(jié)對(duì)代碼評(píng)審 158 你應(yīng)該何時(shí)評(píng)審代碼？ 160 怎樣評(píng)審代碼？ 161 誰(shuí)需要評(píng)審代碼？ 167 自動(dòng)代碼評(píng)審 169 代碼評(píng)審的挑戰(zhàn)和局限性 178 采用安全代碼評(píng)審 181 查看安全功能和控件 186 評(píng)審代碼的內(nèi)部威脅 187 關(guān)鍵要點(diǎn) 188 第11章 敏捷安全測(cè)試 191 那么敏捷開(kāi)發(fā)中如何進(jìn)行測(cè)試？ 191 有bug 的地方，就會(huì)被攻破 192 敏捷測(cè)試金字塔 194 單元測(cè)試和TDD 196 服務(wù)級(jí)別的測(cè)試和BDD工具 199 驗(yàn)收測(cè)試 201 功能安全測(cè)試和掃描 202 應(yīng)用程序掃描的問(wèn)題 206 測(cè)試基礎(chǔ)設(shè)施 208 創(chuàng)建自動(dòng)化的構(gòu)建和測(cè)試管道 212 敏捷開(kāi)發(fā)中的手動(dòng)測(cè)試 218 如何在敏捷和DevOps中進(jìn)行安全測(cè)試？ 220 重點(diǎn)回顧 221 第12章 外部審計(jì)，測(cè)試和建議 223 為什么我們需要外部審計(jì)？ 224 缺陷評(píng)估 226 滲透測(cè)試 227 紅隊(duì) 229 BUG獎(jiǎng)勵(lì) 231 配置審查 238 安全代碼審計(jì) 238 加密審計(jì) 239 選擇一個(gè)外部的公司 240 使你的錢(qián)花的值得 242 關(guān)鍵點(diǎn) 246 第13章 運(yùn)維和OpSec 247 系統(tǒng)加固：建立安全系統(tǒng) 248 網(wǎng)絡(luò)即代碼 256 監(jiān)控與入侵檢測(cè) 257 在運(yùn)行時(shí)捕捉錯(cuò)誤 262 運(yùn)行時(shí)防御 264 事件反應(yīng)：為破壞而準(zhǔn)備 266 保護(hù)你的構(gòu)建管道 270 噓……請(qǐng)保密 277 重點(diǎn)回顧 279 第14章 合規(guī)性 281 合規(guī)性和安全性 281 風(fēng)險(xiǎn)管理和合規(guī) 288 變更的可追溯性 289 數(shù)據(jù)隱私 290 如何滿足合規(guī)性并保持敏捷 292 證明和認(rèn)證 303 關(guān)鍵點(diǎn) 304 第15章 安全文化 306 安全文化的意義 306 搭建安全文化 307 有效安全原則 309 安全外展 320 重點(diǎn)回顧 327 第16章 敏捷安全意味著什么？ 328 Laura的故事 328 Jim的故事 331 Michael的故事 335 Rich的故事 339