GH-500 微軟 GitHub 安全性工程師認證: GitHub Advanced Security
[有意考證者請留意] 本課程為 Microsoft GitHub安全性工程師實務 + GH500 微軟 GitHub 安全性認證，歡迎預約下單以取得課程內容存取權 – ; 於本網頁中按”參加這門課程 / Enroll” 報名註冊亦可進入課程下單頁，下單後將可以存取課程教材/影片/Lab/考證練習題，即可線上自主學習，並於Live 實況課程時參加講師講解課程內容。
在軟體供應鏈攻擊日益頻繁的今天，開發流程中的每一段都可能成為威脅入口。GH-500 GitHub Advanced Security（GHAS）專業認證課程將帶你全面掌握 GitHub 最先進的安全防護能力，從秘密掃描（Secret Scanning）、程式碼掃描（CodeQL）、相依性安全（Dependabot / Dependency Review）到 SDLC 安全整合最佳實務，協助你打造自動化、可追溯、可預防、可補救的 DevSecOps 流程。
本課程以 大量 Lab、Demo 與實務情境演練 帶你逐步掌握 GHAS 的核心功能，並搭配 GH-500 認證題庫解析，讓你不只會用，更能順利通過國際證照考試。
🎯 你將學會
- 掌握 GHAS 全套安全功能：從秘密掃描、程式碼掃描、Dependabot、Dependency Review 到安全儀表板的完整應用。
- 設定與管理安全警示：判斷弱點來源、選擇合適補救方式、了解忽略警示的影響與權限差異。
- 設定秘密掃描與推送保護：啟用私人 Repo 安全功能、自訂掃描規則、排除特定檔案並設定通知流程。
- 熟練相依性弱點管理：建立 Dependabot 規則、撰寫有效設定檔、啟用組織層級警示與自動化安全更新。
- 運用 CodeQL 進行程式碼掃描：設定觸發條件、分析結果、找出資料流漏洞、上傳第三方掃描（SARIF），並能依需求調整工作流程。
- 實作安全最佳實務：CVE/CWE 判讀、PR 早期漏洞攔截、存放庫規則集強制安全檢查。
- 準備 GH-500 認證：透過模擬題講解、策略與重點提醒，大幅提升考試通過率。
💡 適合對象
- DevOps / SRE / Security Engineer，希望導入 安全自動化 者。
- 需管理企業級 GitHub 安全策略的技術主管或平台工程團隊。
- 使用 GitHub 建置軟體流程、希望提升 SDLC 安全性的開發者。
- 有志取得 微軟 GitHub 安全性工程師（GH-500）認證 的專業人才。
- 想真正理解 CodeQL、Dependabot、秘密掃描如何在真實專案中落地的工程師。
🔥 課程大綱
| 課程大綱 | Lab / Demo |
| Module 1: GHAS 安全性功能概述（15%） 1. GHAS 與安全性生態系統 對比開源專案自帶的安全功能與 GHAS 搭配 GHEC／GHES 的能力 說明安全性概觀的用途與價值 認識秘密掃描 vs 程式碼掃描 說明秘密掃描、程式碼掃描、Dependabot 在 SDLC 中的角色 對比傳統「隔離式安全檢閱」與「安全性整合至 SDLC 各環節」的差異 2. 使用 GHAS 功能處理安全警示 依相依性資料與弱點資料庫辨識脆弱相依性 選擇針對 GHAS 警示的合適措施 說明忽略警示的影響 定義開發者在發現安全警示時的責任 說明不同安全功能的存取權差異 辨識 Dependabot 警示在 SDLC 內的使用位置 | |
| Module 2: 設定和使用祕密掃描 （15%） 1. 設定和使用秘密掃描 描述秘密掃描、推送保護與有效性檢查 比較公共與私人存放庫的可用功能 啟用私人存放庫的秘密掃描 選擇適當的秘密掃描警示回應 判斷警示是否因特定樣式／秘密類型／供應商而觸發 判斷不同角色能否看到秘密掃描警示及通知方式 2. 自訂預設秘密掃描行為 設定秘密掃描警示的通知對象（含非管理員） 排除特定檔案避免被掃描 啟用存放庫層級的自訂秘密掃描 | |
| Module 3: 設定及使用 Dependabot 和 Dependency Review (35%) 1. 相依性安全管理工具概述 定義相依性圖與其生成方式 說明 SBOM（軟體材料清單）及 GitHub 使用的格式 定義相依性弱點與 Dependabot 警示／安全性更新 描述 Dependency Review 的目的 說明如何依據 GitHub Advisory Database 產生弱點警示 對比 Dependabot 與 Dependency Review 2. 啟用及設定用來管理易受攻擊相依性的工具 辨識公共／私人存放庫的預設 Dependabot 設定 認識啟用與檢視 Dependabot 警示所需的角色與權限 啟用私人存放庫與組織層級的 Dependabot 警示 撰寫有效的 Dependabot 設定檔以管理安全性更新 建立 Dependabot 規則（例如自動忽略低嚴重性警示） 建立 Dependency Review 的 GitHub Actions 工作流程 在 Dependency Review 中設定授權檢查與嚴重性閾值 設定相依性弱點警示 3. 識別並修復易受攻擊的依賴項 從 Dependabot 警示與 Pull Request 辨識弱點依賴 啟用安全性更新 於 Security 標籤下進行補救（更新或移除相依性） 在 Pull Request 修補弱點並合併 以測試與合併方式完成警示處理 | |
| Module 4：設定和使用 CodeQL 的程式碼掃描 （25%） 1. 搭配第三方工具使用程式代碼掃描 啟用程式碼掃描供第三方分析使用 比較 CodeQL 與第三方分析在啟用流程上的差異 比較 CodeQL 在 GitHub Actions 與外部 CI 工具中的設定方式 使用 SARIF API 上傳第三方掃描結果 2. 描述並啟用程式碼掃描 描述程式碼掃描在 SDLC 中的角色 比較掃描觸發方式（排程 vs 事件） 選擇適當事件（PR、特定檔案變更等） 編輯預設工作流程符合專案需求 從 CodeQL 分析結果檢視掃描輸出 疑難排解失敗的 CodeQL 工作流程（含自訂設定） 使用顯示路徑追蹤資料流 解釋程式碼掃描警示的原因來源 判斷警示是否需取消與理由 說明 CodeQL 編譯模型與語言支援的限制 定義 SARIF 類別的用途 | |
| Module 5: 描述 GitHub 進階安全性最佳做法、結果，以及如何採取矯正措施 （10%） 1. GitHub 進階安全性結果和最佳做法 使用 CVE、CWE 解讀 GHAS 警示與可能補救方式 說明關閉／解除警示的決策流程（紀錄與依據資料決策） 描述預設 CodeQL 查詢套件與其涵蓋範圍 說明 CodeQL 如何分析程式碼並處理不同語言 定義開發與安全團隊在 SDLC 中的角色分工 設定 CodeQL 在提取要求的嚴重性閾值 說明如何透過篩選與排序提升秘密掃描補救效率 使用存放庫規則集強制執行 CodeQL 與 Dependency Review 設定程式碼掃描以在 PR 早期發現漏洞 設定秘密掃描以提前補救（啟用推送保護） 啟用相依性分析與 Dependency Review 以在 PR 時識別弱點 | |
| Module 6: GH1500 認證準備及題目練習 (1.5小時線上課) 1. 註冊線上練習課程 – Build School Learn 2. GH-500 模擬題練習及講解 |
- GitHub 實戰教學：每個模組都配合 Lab
- 一次到位：學完立即應用於工作與專案
- 國際認可：證照全球通用，職場競爭力大幅提升
[常見的考證報名者問題與回答FAQ]
若下單後，就能提前就取得教材開始準備? 或課程講義/影片/考證練習題?
A: 可以的，當完成下單確認，系統即會自動發送課程開通，可立即線上存取教材，包括講義、教學影片、依考證大綱的講解影片、約300題的練習題供提前備考。另將提供PersonVue 考試用的 Coupon Code，請詳讀下一題。
本課程是包含一次考證嗎?
A: 是的，本課程包含一次的 PersonVue的考試用 Coupon Code，但需自行線上預約考證並自行於預約時段考證。PersonVue為微軟在全球委托的認證機構，你可以自行至官網預約考科及考試時間，可自行選擇「線上考證(OnVue線上考證服務)」，或在「台灣各考證中心(實體考)」，建議可線上考證即可(考量方便性; 因是獨自考試，考證中心不一定能預約到你想要的時段; 線上考時段多且可在家獨立空間考試)。當您下單後，將會收到email通知，內含一次考證用的Coupon Code，可於 PersonVue預約頁面中輸入，無需再付其它費用，自行選擇考試時間及方式(線上或實體)。預約取消/改期等，請直接至PersonVue官網操作 (全球皆為如此，我們無法代為處理; PersonVue考試預約/取消/改期需考生個人自行操作，也都是個別預約時段考試，並無團體考證)
建議: 可先預約考證時間，例如:上完課後1~2個月內，因考證需一股作氣，隔太久會沒動力。依我們準備的內容/教材及準備心法，即可順利應考。
但請留意: 您在本網站下單後取得的 Coupon Code 有效期(約為9個月左右)，為電子數位產品下單後無法取消/退回，但可供他人使用，敬請留意並見諒。使用 Coupon Code 於 PersonVue 預約考試日期後，若後續欲延期，也是依其規格(為原訂考試時間前幾日前，詳細延期規定請依PersonVue其公告。
如何預約考證?
A: 從此連結進入(如下圖) – https://learn.microsoft.com/zh-tw/credentials/certifications/azure-ai-engineer/?practice-assessment-type=certification
除了適合於資訊領域工作者或工程師外，請問本課程非 IT人員也能參加？
A: 本科目為微軟Azure 開發屬於中階內容，適合軟體開發者、IT或資訊背景。建議非技術人員，如:一般的上班族、行銷、業務或工程技術人員，可從 AZ-900 微軟 Azure 基礎認證培訓開始。了解及應用雲端已是數位人才之必備知識及技能，AZ-900也能幫助即將進入數位資訊領域的新人能快速進入 Microsoft Azure 的世界，並實際運用在生活和工作當中。
下單後的教材型式為何? 最近的培訓梯次沒辦法參加，還有其他梯次或線上/影片可學習嗎?
A: 我們會定期(3個月左右) 有培訓梯次，但下單後即會提供線上教材/影片/Lab/考證練習題等供線上學習，因此本課程為「線上自主學習」+每3-4個月一次課程更新最新內容「線上實體同步直播並提供錄影」。其它注意事項:
- 「線上自主學習」- 下單後即可存取完整教材並自主學習 (教材包括:影片+講義 + Lab 逐步演練文件+AI工具/平台試用帳號，將持續更新內容以跟進最新 Azure 或 AI 技術與趨勢，例如: Azure AI Foundry 的AI 模型與佈署)
- 「線上實體同步直播與錄影」- 每3~4個月1梯次，可參加該梯次的線上實體同步直播課並更新最新的 AI 技術內容，課後將會提供錄影於本平台後續線上自主學習或複習。
- 直播課前3個工作日將 email通知並提供線上Teams會議連結 – 若至上課日前3個工作日，該梯次報名學員數未達 10名，將通知已報名學員延至下一梯次，仍可先依線上學習教材自主學習
- 線上教材已很完整，包括:範例、可逐步演練的 Lab 講義、高品質的影片隨時回播，線上教材自主學習也能達到很好的學習效果
- 課程 Lab 實作將會使用到 Azure 或 Azure OpenAI API; 參加線上實體同步直播課程時，講師亦將協助開通試用帳號並指導如何自行建立帳號。您也可自行申請相關工具/平台帳號或API、自行建立帳號/環境以滿足後續內部或自行使用，課程中也說明了如何申請。
考證的準備心法為何? GH500 認證準備方法 (8天每次3小時 : 24+小時準備)
A: 以本課程的內容 (教學影片+講義+練習題) 搭配 MS Learn 官方GH500學習材料已足夠了，考證要目標導向，擬定一個短期目標並執行，以2023/12月至2025/11月我們舉辦的培訓及考證梯次為例，大約 300 位通過微軟900系列的認證。考證準備方法如下:
- 課程內容摘要 + 將 Lab 大致玩一下 ; 以下反覆 3 次 (考前1天為最後1次)
- MS Learn (每個單元模組都要看過) – 搭配實機操作幫助記憶及理解
- 模擬題練習 (Build School Learn Quiz) – 回看 MS Learn / MS Doc 官方文件 (用關鍵字搜尋) + 實機操作再次回顧
考證可選中文或英文嗎?
A: 大多數的考科皆提供多語系，可以自選繁體中文或英文考試。
Build School 專業講師群
Build School 是最酷的軟體工程/AI與IT專業培訓學校，我們也協助企業更有效的找到專業軟體及AI / IT 人才! 成立9年培育 600+ 位軟體與資訊人才，目前有台北新竹培訓場域及線上學習平台 Build School Learn。與 Microsoft 台灣微軟合作推廣認證、數位技能、AI 及雲端/軟體技術至 2025/9月達 3,200 人次培訓，協助職場與社會人士及青年學子養成數位技能以提升就業力。
Build School Learn 最完整的微軟認證培訓及學習地圖 – https://learn.build-school.com/
GitHub Copilot AI 輔助開發
ClosedGH-200 微軟 GitHub 開發工程師認證: GitHub Actions
NTD 9,900(含一張考試卷)GH-100 微軟 GitHub 開發工程師認證: GitHub Administration
NTD 9,900(含一張考試卷)GH-300 微軟 GitHub Copilot工程師認證: GitHub Copilot
NTD 9,900(含一張考試卷)
