民國115年 高考三級 資通安全 資通安全防護技術
第4題
請說明軟體供應鏈攻擊的意義，並從「安全開發流程」、「第三方套件管 理」、「CI/CD 管線保護」、「軟體簽章與來源驗證」、「SBOM」五個面 向提出防護措施。（…
題目
請說明軟體供應鏈攻擊的意義，並從「安全開發流程」、「第三方套件管 理」、「CI/CD 管線保護」、「軟體簽章與來源驗證」、「SBOM」五個面 向提出防護措施。（25 分）
參考解答（AI 生成，非官方）
- 一、意義與案例：軟體供應鏈攻擊指攻擊者不直接入侵目標，而透過上游元件、開發工具、建置環境或更新機制植入惡意程式，濫用既有的信任關係（trust exploitation）。典型案例包括 SolarWinds、Log4Shell、xz-utils 後門與 3CX 事件，特徵為隱蔽性高、影響範圍廣且難以追溯。
- 二、安全開發流程：導入安全軟體開發生命週期（SSDLC）與威脅建模（Threat Modeling）、制定安全編碼規範，並將 SAST、DAST、SCA 與秘密掃描設為 CI 品質門檻；落實程式碼審查與多人覆核，開發者工作站與簽章金鑰實體隔離。
- 三、第三方套件管理：建立套件白名單與私有套件代理（proxy），以 lockfile 鎖定版本與雜湊值、審核新增相依套件、監控 CVE 與維護者變更；禁止直接自公網拉取未經驗證套件，以防範 typo-squatting 與依賴混淆（dependency confusion）攻擊。
- 四、CI/CD 管線保護與簽章驗證：管線屬高權限資產，須以 OIDC 短效憑證取代長期權杖、落實最小權限、分支保護與強制審查，建置環境隔離且日誌不可竄改；產出以 Sigstore／Cosign 簽章，部署前驗證簽章與來源證明（provenance，參照 SLSA 等級），金鑰存於 HSM 並定期輪替。
- 五、SBOM 與治理：產出 SPDX 或 CycloneDX 格式的軟體物料清單（SBOM），涵蓋傳遞性相依並搭配 VEX 標註；建立 SBOM 管理平台，於新漏洞公布時快速盤點受影響資產，並將 SBOM 與安全更新承諾納入採購契約，形成供應鏈治理閉環。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。