GH-500 數位教科書 開啟互動版

GH-500 四週讀書計畫

第 1 週：安全套件、Secret Protection

  1. 建立考試地圖
    閱讀：讀認證頁、Study Guide 與六領域權重。
    產出：畫出六領域與 25 個 objective 的一頁地圖。
    過關標準：能不看資料說出六領域與權重區間。
  2. 三層功能與 security overview
    閱讀：D1-O1：三層功能對照、公開 repository 差別、security overview。
    產出：整理三層功能表與各 overview 檢視的用途。
    過關標準：能說出某功能在公開 repository 是否可用。
  3. 安全 SDLC 與警示管理
    閱讀：D1-O2、D1-O3：功能對應開發流程、campaigns、delegated dismissal。
    產出：列出各階段對應功能與警示的關閉治理。
    過關標準：能區分預防導向與事後處理。
  4. 存取、治理與供應鏈基本概念
    閱讀：D1-O4：security manager、治理功能、供應鏈功能表。
    產出：畫出七個供應鏈功能各自的作用。
    過關標準：能說出 version updates 與 security updates 的差別。
  5. 啟用 Secret Protection
    閱讀：D2-O1：誰需要啟用、樣式類型、有效性檢查。
    產出：寫出公開、私有、使用者擁有三種 repository 的條件。
    過關標準：能判斷某 repository 是否需要啟用。
  6. 預防機密外洩
    閱讀：D2-O2：push protection 途徑、樣式、繞過理由。
    產出：做一張途徑與支援樣式的對照表。
    過關標準：能說出三個繞過理由各建立什麼警示。
  7. D1、D2 題組
    閱讀：重讀 D1、D2 的判斷練習並做題。
    產出：完成 D1、D2 錯題分類。
    過關標準：D1、D2 題目答對率達 80%。

第 2 週：Secret Protection 與供應鏈安全

  1. 警示回應、存取與自訂樣式
    閱讀：D2-O3、D2-O4：修復優先順序、委派繞過、自訂樣式。
    產出：寫出外洩 secret 的處理順序與自訂樣式流程。
    過關標準：能說出 exemption 與 bypass privileges 的差別。
  2. 相依性風險與 SBOM
    閱讀：D3-O1：dependency graph、Advisory Database、SBOM。
    產出：匯出一份 SBOM 並說明它不含什麼。
    過關標準：能說出 SBOM 的內容與匯出方式。
  3. 偵測、優先順序與回應警示
    閱讀：D3-O2：警示觸發、EPSS、security updates、auto-triage。
    產出：畫出警示從產生到關閉的流程。
    過關標準：能說出怎麼只對部分警示開 pull request。
  4. 開發中保護相依性
    閱讀：D3-O3：dependency review、action 選項、version updates。
    產出：列出 action 的四個選項與限制。
    過關標準：能說出 allow 與 deny 的規則。
  5. 供應鏈的原則、權限與整合
    閱讀：D3-O4：誰能啟用、警示指派、webhook 與 API。
    產出：整理各功能的啟用權限表。
    過關標準：能說出指派 Dependabot 警示需要什麼授權。
  6. D3 題組
    閱讀：重讀 D3 判斷練習並做題。
    產出：完成 D3 錯題分類。
    過關標準：D3 題目答對率達 80%。
  7. D1 到 D3 複習
    閱讀：重讀 D1 到 D3 的陷阱欄與名詞。
    產出：寫出 D1 到 D3 各自的三個易混淆對。
    過關標準：能不看資料說出各對的差別。

第 3 週：Code Security 與安全營運

  1. 程式碼掃描的做法與工具
    閱讀：D4-O1：CodeQL、build mode、query suite、SARIF。
    產出：整理三個 query suite 的差別與可用 setup。
    過關標準：能判斷某語言是否被 CodeQL 支援。
  2. 設定 Code Security
    閱讀：D4-O2：default setup、advanced setup、repository properties。
    產出：做 default 與 advanced 的選擇表。
    過關標準：能說出 default setup 的觸發時機。
  3. 分析、分流並修復警示
    閱讀：D4-O3：警示頁面、pull request 檢查、merge protection、autofix。
    產出：畫出 pull request 上警示到合併的流程。
    過關標準：能說出哪些嚴重度使檢查失敗。
  4. 最佳化與自動化營運
    閱讀：D4-O4：tool status page、指標、issue 連結、SARIF 上傳。
    產出：寫出多組 SARIF 上傳的規則。
    過關標準：能說出 category 的用途。
  5. D4 題組
    閱讀：重讀 D4 判斷練習並做題。
    產出：完成 D4 錯題分類。
    過關標準：D4 題目答對率達 80%。
  6. 弱點脈絡與修復框架
    閱讀：D5-O1：GHSA、CVE、CWE、EPSS、advisory 類型。
    產出：做 advisory 三類與是否產生警示的對照表。
    過關標準：能說出 EPSS 的正確解讀。
  7. 大規模排定與管理
    閱讀：D5-O2：security campaigns、合併規則、關閉與記錄。
    產出：寫出 campaign 的限制與建立流程。
    過關標準：能說出 1000 與 25 兩個數字各代表什麼。

第 4 週：安全營運、套件管理與總複習

  1. 客製化偵測與協作治理
    閱讀：D5-O3、D5-O4：extra-queries、security manager、委派機制。
    產出：整理委派繞過與委派關閉的差別。
    過關標準：能說出誰一律可繞過 push protection。
  2. 左移與 D5 題組
    閱讀：D5-O5 並重讀 D5 判斷練習。
    產出：完成 D5 錯題分類。
    過關標準：D5 題目答對率達 80%。
  3. 大規模推出
    閱讀：D6-O1：security configuration、狀態、強制。
    產出：畫出 configuration 八個狀態的轉換。
    過關標準：能說出 removed 與 detached 的差別。
  4. 設定功能與預設值
    閱讀：D6-O2：建立 configuration、global settings。
    產出：整理 configuration 區塊與 global settings 的項目。
    過關標準：能說出預設 configuration 的套用範圍。
  5. 治理與自動化
    閱讀：D6-O3、D6-O4：角色、大規模啟用 code scanning、REST API。
    產出：寫出大規模啟用 default 與 advanced setup 的方式。
    過關標準：能說出強制 configuration 透過 API 修改的結果。
  6. 全題庫模擬
    閱讀：做完整題庫並分類錯題。
    產出：完成錯題原因分類。
    過關標準：整體答對率達 80%。
  7. 總複習與考前檢查
    閱讀：重讀必背句、對照表與考前清單。
    產出：完成考前檢查清單。
    過關標準：能在 10 分鐘內說出六領域的重點與易混淆對。

錯題分類與補強

功能混淆
症狀：把相近的功能或設定當成同一個，例如 security updates 與 version updates。
補強：回到章節的對照表，寫出各自的觸發條件與邊界。
題幹漏讀
症狀：忽略「公開」「組織層級」「預設分支」等限制詞。
補強：圈出限制詞後再看選項。
數字記錯
症狀：把 3 天、25 則、1000 則、7 天等數字互換。
補強：每個數字配一個它代表的規則，寫成必背句。
直覺錯誤
症狀：依常理選答案，但官方行為違反直覺，例如 Not set 反而啟用付費功能。
補強：把違反直覺的行為記進陷阱清單，並在實驗中驗證。