【書籍資訊】
CI/CD安全防護大揭密：DevSecOps最佳實踐指南
ISBN13：9786263337718
出版社：博碩文化
作者：高于凱(Kai; HackerCat)
出版日：2024/03/06
裝訂／頁數：平裝／416頁
規格：23cm*17cm*2.2cm (高/寬/厚)
版次：1

【內容】
本書涵蓋 DevSecOps 理論、策略與實踐
從觀念到實作，打造安全 CI/CD 管道流程

【內容簡介】
本書是台灣首本詳細探討 DevSecOps 的書籍，不僅解釋了 DevSecOps 的核心概念，也從人員、流程和技術的面向探討 DevSecOps 的實踐與挑戰。

書中詳細介紹了 DevSecOps 的所需知識與技能，為組織和個人提供了一條明確的成長和提升路徑。無論你是資訊安全的新手，還是經驗豐富的專家，本書都將是你不可或缺的指南。

【專業推薦】
我極力推薦這本書給所有關心軟體開發安全的讀者。本書深入解析 DevSecOps 的各個層面，從基本概念、CI/CD 管道保護，到新興技術的安全開發。

勤業眾信 風險諮詢服務 資深執行副總經理 | Ike Chen 陳威棋

這本書無疑可以被稱作是 DevSecOps 領域的百科全書，為讀者提供了一個關於如何建立、執行並優化DevSecOps的全面指引。

AWS Security Hero╱DevSecOps Taiwan 社長 | Ray Lin 林家瑋

本書含括面向完整，推薦給想要入門安全開發或深受安全開發議題困擾的讀者。又或者如果去年的你沒有讀到一本乾貨滿滿的資安書籍、或者今年你需要一本扎實的資安書籍醒腦，這本書都相當適合的喔！

恆逸教育訓練中心 資深講師 | Vincent Tang 唐任威

【目標讀者】
• CISO/CTO/CIO
• DevOps 人員
• DevSecOps 人員
• 開發、測試以及維運人員
• SRE 人員
• 資訊安全顧問
• 對 DevSecOps 感興趣人員
• 對敏捷軟體安全開發感興趣人員
• 想提升 CI/CD 安全性的人員

【目錄】
CHAPTER 1軟體安全開發

CHAPTER 2 DevOps to DevSecOps

CHAPTER 3 新興技術
3.1 雲端技術
3.1.1 共同責任模型
3.1.2 雲端安全
3.1.3 雲端安全工具
3.2 容器技術
3.2.1 容器與虛擬化技術
3.2.2 容器安全
3.2.3 安全性與穩定性
3.3 微服務架構
3.3.1 微服務架構的發展
3.3.2 微服務架構的優勢
3.3.3 DevSecOps 與微服務架構
3.3.4 微服務架構的安全隱患與挑戰
3.3.5 NIST SP 800-204
3.3.6 API 安全
3.4 基礎設施即程式碼（IaC）
3.4.1 為什麼要使用IaC
3.4.2 配置漂移
3.4.3 IaC 類型
3.4.4 DevSecOps 當中的 IaC
3.4.5 IaC 程式碼的安全性
3.4.6 IaC 實作：以 Ansible 為例

CHAPTER 4 安全測試與自動化
4.1 CI/CD 管道
4.2 Pre-Commit Hooks
4.2.1 Pre-Commit 概述
4.2.2 Git Hooks
4.2.3 Pre-commit 實作
4.3 SAST
4.3.1 SAST 概述
4.3.2 SAST 在 DevOps 的重要性
4.3.3 SAST 技術原理
4.3.4 SAST 優勢與局限性
4.3.5 SAST 實作
4.4 SCA
4.4.1 SCA 概述
4.4.2 將 SCA 整合進入 CI/CD
4.4.3 SCA 技術原理
4.4.4 SCA 與 SBOM
4.4.5 SCA 優勢
4.4.6 SCA 實作
4.5 DAST
4.5.1 DAST 概述
4.5.2 DAST 技術原理
4.5.3 DAST 挑戰
4.5.4 DAST 實作
4.6 IAST
4.6.1 IAST 概述
4.6.2 IAST 技術原理
4.6.3 IAST 困難與挑戰
4.7 RASP
4.7.1 RASP 概述
4.7.2 RASP vs WAF
4.7.3 將 RASP 整合進入DevOps
4.7.4 RASP 技術原理
4.7.5 RASP 技術困難與挑戰
4.8 IMAGE Scanning
4.8.1 IMAGE Scanning 概述
4.8.2 容器映像檔安全檢測
4.9 其他測試
4.9.1 弱點評估
4.9.2 滲透測試
4.9.3 模糊測試
4.9.4 入侵與攻擊模擬方案（BAS）
4.9.5 攻擊面管理（ASM）
4.9.6 漏洞獎金計劃
4.10 工具的選擇

CHAPTER 5 保護CI/CD 管道
5.1 為何需要保護CI/CD
5.2 CI/CD Top 10
5.3 CI/CD 威脅矩陣
5.4 CI/CD 管道安全防護指南
5.4.1 已知漏洞
5.4.2 身分驗證與識別
5.4.3 存取控制
5.4.4 信任來源及完整性檢查
5.4.5 秘密管理
5.4.6 加密
5.4.7 合規與安全基準
5.4.8 日誌與監控
5.4.9 CI/CD 管道安全防護指南檢核表

CHAPTER 6 DevSecOps 指導與成熟度模型
6.1 美國國防部（DoD）DevSecOps 手冊
6.1.1 美國國防部 DevSecOps 指導
6.1.2 DoD DevSecOps 指導文件
6.1.3 DoD DevSecOps 生態系
6.1.4 DoD 軟體工廠
6.2 聯邦總務署（GSA）DevSecOps 指南
6.2.1 如何使用 GSA DevSecOps 指南
6.2.2 GSA DevSecOps 平台領域
6.3 OWASP DSOMM
6.3.1 DSOMM 架構與使用方式
6.3.2 DSOMM 安全活動