防禦性設計
適用對象： 軟體工程師、IT 人員難度等級： 基礎
時間： 8 個模組，每個模組 3-5 分鐘 + 每個模組 5 道題目
可用性： 可在訓練中以單一模組形式使用。無需一併指派或觀看，各模組皆設計為可獨立學習。
模組：
- 防禦性設計：應用程式組合管理
- 防禦性設計：技術人員的 GRC（治理、風險與合規）
- 防禦性設計：開放原始碼
- 防禦性設計：OWASP
- 防禦性設計：技術人員的網路釣魚防範
- 防禦性設計：技術人員的社交工程防範
- 防禦性設計：威脅建模
- 防禦性設計：使用者權限與存取管理
預告片： 觀看預告片
行銷素材： 防禦性設計行銷套件
主要學習概念：
-
防禦性設計：應用程式組合管理
- 應用程式組合管理在網路安全中的重要性
- 建立應用程式組合清冊的效益
- 應用程式組合的內容，包括業務面與技術面
- 在災難復原規劃中的角色
- 對組織健全運作的持續支援
-
防禦性設計：技術人員的 GRC（治理、風險與合規）
- GRC 的定義
- 合規的重要性
- 明確政策的角色
- 主動式風險管理
- 定期進行風險評估與分析
- 了解並遵循 GRC 計畫
-
防禦性設計：開放原始碼
- 開放原始碼的普及程度與效益
- 開放原始碼相關的安全風險
- 選擇安全的開放原始碼的準則
- 安全實務不足所帶來的威脅
- 定期更新開放原始碼元件的重要性
- 維護軟體物料清單（SBOM）
- 負責任地使用開放原始碼
-
防禦性設計：OWASP
- OWASP 概述及其重要性
- OWASP 工具概述
-
防禦性設計：技術人員的網路釣魚防範
- 網路釣魚攻擊的針對性
- 商業電子郵件詐騙（BEC）
- 招募話術——透過就業機會進行網路釣魚
- 以社群為基礎的攻擊——論壇、群組等
- 保持警覺的重要性
- 溝通時的查證與謹慎
- 警訊：製造急迫感等
-
防禦性設計：技術人員的社交工程防範
- 針對性的社交工程攻擊
- 密碼安全
- 開放原始碼情報（OSINT）風險
- 產業活動中的實體安全威脅
- 遵循組織政策
- 保持警覺並採取主動的安全實務
-
防禦性設計：威脅建模
- 威脅建模在降低風險方面的重要性
- 威脅建模的關鍵組成
- 記錄應用程式
- 識別潛在威脅並排定優先順序
- 決定並實施對策
- 整合至開發生命週期
- 持續改善與教育
-
防禦性設計：使用者權限與存取管理
- 管理使用者權限的重要性
- 組織管理使用者權限的方法
- 防止權限提升
- 最小權限與特權存取
- 維持可視性與控管
- 合規、法規與定期稽核
- 有效存取管理的影響