為什么要寫這本書
12年前，DevOps（研發(fā)運維一體化）作為精益和敏捷之后的另一個全新的方法論被提出，并且走進(jìn)了軟件開發(fā)的世界。作為DevOps的核心理念，持續(xù)交付幫助企業(yè)通過自動化和更好的團(tuán)隊協(xié)作實現(xiàn)了快速交付。之后出現(xiàn)的微服務(wù)讓DevOps擺脫了單一架構(gòu)模式下各個模塊的依賴關(guān)系，從而使得交付速度更上一層樓。而云原生的出現(xiàn)不僅降低了基礎(chǔ)設(shè)施的成本，也使得系統(tǒng)的運維和運營更加穩(wěn)定。經(jīng)過過去10多年的發(fā)展，企業(yè)的DevOps已經(jīng)逐漸成熟。大家突然發(fā)現(xiàn)，除了速度和質(zhì)量外，安全對于企業(yè)來說也同等重要。而且傳統(tǒng)應(yīng)用安全保護(hù)模式已經(jīng)不適應(yīng)DevOps模式下的快速交付了，甚至逐漸成為快速交付繼續(xù)進(jìn)階的瓶頸。為了解決這個問題，2012年就被提出來的DevSecOps于2017年開始在世界范圍內(nèi)逐漸流行起來。
然而，DevSecOps橫跨研發(fā)效能和安全兩個領(lǐng)域，過去這種復(fù)合型人才幾乎不存在。從事研發(fā)效能的專家將安全引入開發(fā)流程的各個階段，以及從事應(yīng)用安全的專家將安全在開發(fā)團(tuán)隊進(jìn)行落地，都需要額外的技能和大膽的嘗試。由于實踐DevSecOps的挑戰(zhàn)巨大和難度極高，雖然經(jīng)歷了三四年的發(fā)展，不僅國外DevSecOps相關(guān)的書籍甚少，國內(nèi)至今仍無一本全面并且系統(tǒng)地介紹DevSecOps落地實踐的書籍。
自從2018年在匯豐銀行內(nèi)部開始實踐DevSecOps，并于2019年年初作為演講嘉賓參加日內(nèi)瓦DevOpsDays以來，截至2020年，我已經(jīng)在國內(nèi)外20多場技術(shù)峰會、論壇以及社區(qū)分享過自己在國際大型銀行和國內(nèi)大型互聯(lián)網(wǎng)公司實踐DevSecOps的經(jīng)驗。在有了一定的積累之后，為了讓更多正迷茫于如何落地DevSecOps的企業(yè)和對DevSecOps感興趣的個人有相關(guān)的經(jīng)驗可以參考，從2020年年末開始，我聯(lián)合騰訊、百度等多家互聯(lián)網(wǎng)公司和匯豐銀行等金融行業(yè)的研發(fā)效能和應(yīng)用安全領(lǐng)域的DevSecOps實踐者，一起計劃編寫國內(nèi)本DevSecOps相關(guān)書籍，希望讓更多人受益，尤其是對DevSecOps這種全新的理念和方法論還處于迷茫狀態(tài)的人們。
本書特色
本書采取了與大部分技術(shù)書不同的編寫方式。書中杜撰了一個簡單的故事，講述了兩位發(fā)小，作為研發(fā)效能和安全專家在比較有代表性的互聯(lián)網(wǎng)公司（灰石網(wǎng)絡(luò)）和金融企業(yè)（德富銀行）落地DevSecOps的經(jīng)歷。通過故事里實踐DevSecOps過程中拋出的問題和痛點，引出各章的相關(guān)內(nèi)容和解決方案，讓讀者更有實際工作場景的代入感。
本書的作者都是擁有DevSecOps相關(guān)工具開發(fā)或者落地實踐經(jīng)驗的資深專家和高級管理者，卻又來自不同的領(lǐng)域（DevOps和應(yīng)用安全）和不同的行業(yè)（互聯(lián)網(wǎng)和金融）。由于DevSecOps本身是跨越軟件開發(fā)、研發(fā)效能和應(yīng)用安全等不同領(lǐng)域的全新方法論，并且在不同行業(yè)的落地目標(biāo)和方式也有所不同，因此本書的作者群體正好可以從不同角度對DevSecOps的實踐和落地進(jìn)行全方位覆蓋。其目標(biāo)是不僅使來自不同行業(yè)的開發(fā)和DevOps背景的讀者了解DevSecOps相關(guān)安全理念和實踐，也使來自不同行業(yè)信息安全背景的讀者了解如何進(jìn)行安全前置，終將安全意識和能力落地開發(fā)團(tuán)隊。
讀者對象
研發(fā)效能工程師
研發(fā)效能架構(gòu)師
研發(fā)效能管理人員
敏捷和研發(fā)效能教練
應(yīng)用安全工程師
應(yīng)用安全架構(gòu)師
應(yīng)用安全管理人員
開發(fā)、測試和運維人員
對研發(fā)效能和應(yīng)用安全感興趣的其他人員
如何閱讀本書
本書共分為9章。其中，第3～7章為本書的重點，如果你沒有充足的時間完成全書的閱讀，則可以選擇性地進(jìn)行重點章節(jié)的閱讀。
第1章由馬松松、周紀(jì)海和楊偉強編寫，簡單介紹了DevOps的理念和發(fā)展史，以及DevOps到DevSecOps的演進(jìn)，接著詳細(xì)介紹了實踐DevSecOps的理論基礎(chǔ)和指導(dǎo)原則，后分析了互聯(lián)網(wǎng)和金融行業(yè)推動DevSecOps的動機(jī)和目標(biāo)。
第2章由周紀(jì)海和周一帆編寫，對DevSecOps行業(yè)和企業(yè)現(xiàn)狀進(jìn)行了調(diào)研和分析。關(guān)于DevSecOps解決方案，本章從流程和方法論、技術(shù)、文化和組織，以及DevSecOps體系建設(shè)層面進(jìn)行了詳細(xì)的介紹和討論。
第3章由馬松松和周紀(jì)海編寫，詳細(xì)介紹了在軟件開發(fā)階段DevSecOps通過安全左移帶來的開發(fā)人員安全意識和能力提升、安全編碼、代碼質(zhì)量，以及如何通過持續(xù)集成流水線實現(xiàn)安全掃描自動化等內(nèi)容。
第4章由程勝聰和周紀(jì)海編寫，詳細(xì)介紹和討論了持續(xù)測試對于提高測試效能、實現(xiàn)自動化測試的重要性，以及安全左移和右移后對測試階段的影響。另外，本章對融入測試階段的動態(tài)安全測試和交互式安全測試也進(jìn)行了詳細(xì)的介紹。
第5章由周紀(jì)海和周一帆編寫，詳細(xì)介紹了一個完整的業(yè)務(wù)需求管理涵蓋的各個方面：需求收集和過濾、需求分析、需求排期、需求描述、需求拆分和需求評審等。另外，本章也詳細(xì)介紹了如何基于變更分類進(jìn)行需求安全管理和評審的融入。
第6章由周一帆和陳亞平編寫，詳細(xì)介紹了DevOps快速交付模式下微服務(wù)架構(gòu)的拆分和設(shè)計原則、微服務(wù)改造和開發(fā)框架。接著詳細(xì)介紹了架構(gòu)安全評估體系下的不同實現(xiàn)模式（快速檢查表、威脅建模以及合規(guī)檢查等），其中尤其重點介紹了完整風(fēng)險評估——威脅建模。
第7章由周一帆、周紀(jì)海和楊偉強編寫，詳細(xì)介紹了運維和線上運營階段DevSecOps包含的各方面內(nèi)容：