Instiq

GitHub Advanced Security参考書

GHAS でコード・シークレット・依存関係を保護する中級セキュリティ資格（GH-500）。

問題集で演習する →用語集を見る →ナレッジマップ →

GitHub Advanced Security（GH-500）について

GitHub Advanced Security（GH-500）は、GitHub が提供するアソシエイトレベルの認定資格です。このページでは、試験範囲を全 6 章・12 節の参考書として体系的に解説し、本番形式の練習問題で理解度を確認できます。下の章一覧から順に読み進め、「問題集で演習する」で実力を試すのが効率的な学習の流れです。

試験で問われる分野（出題範囲の目安）

  • Security スイートとエコシステム約 18%
  • Secret Protection（シークレット保護）約 18%
  • サプライチェーンセキュリティ約 17%
  • Code Security（CodeQL）約 14%
  • セキュリティ運用（優先順位付けと修復）約 18%
  • Security スイートの管理約 15%

配点は本番試験の目安です。各分野は下の章・節で詳しく解説しています。

公式の試験情報：https://learn.microsoft.com/en-us/credentials/certifications/resources/study-guides/gh-500

1Security スイートとエコシステム

  • 1.1GitHub Security スイートとアーキテクチャ

    GitHub Security スイートの構成とナビゲーション、Code Security・Secret Protection・サプライチェーンセキュリティの違い、公開リポジトリと Enterprise 環境での機能可用性の差、そして Security Overview の機能と利点を理解します。

  • 1.2セキュア SDLC とアラート戦略・ガバナンス

    GitHub Security スイートを用いたエンドツーエンドのセキュア SDLC、予防優先（prevention-first）とゲートベースの戦略の比較、セキュリティキャンペーンの役割、アラートの検知・管理・対応、そして役割（開発者/セキュリティ/管理者）・委譲バイパス・強制を理解します。

2Secret Protection（シークレット保護）

  • 2.1Secret Protection の有効化と漏洩防止

    Secret Protection をリポジトリ/組織レベルで有効化し設定する方法、公開とプライベート/Enterprise での挙動の違い、Push Protection による源流での漏洩防止、そして検証（validity check）と高信頼シークレットの優先アラートを理解します。

  • 2.2Secret Protection アラートの管理・ポリシー・カスタムパターン

    Secret Protection アラートのライフサイクル（作成・状態・却下）と適切な修復、役割ベース/委譲バイパスのポリシー、アラート受信者と除外の構成、そしてカスタムシークレットパターンの作成と管理を理解します。

3サプライチェーンセキュリティ

  • 3.1依存関係のリスク管理 — 依存関係グラフ・SBOM・Dependabot

    依存関係グラフの生成と解釈、SBOM の用途・形式・エクスポート、Dependabot による脆弱性アラートとセキュリティ更新、EPSS スコアによる優先順位付け、そしてキャンペーンや PR を通じた修復を理解します。

  • 3.2Dependency Review・更新ルール・ポリシーと連携

    マージ前の Dependency Review（ライセンス/コンプライアンス検証・構成）、高度な依存更新ルール（グルーピング・自動却下・更新戦略）、権限と役割ベースのアラート割り当て、ワークフロー管理、そして外部通知・Webhook・セキュリティ連携を理解します。

4Code Security（CodeQL）

  • 4.1Code Security のアプローチと設定

    ネイティブ（CodeQL）とサードパーティのコードスキャン、CodeQL とサードパーティ解析の選択、SARIF ファイルの取り込みと相互運用、そして GitHub Actions や外部 CI での有効化・ワークフローテンプレート・マトリックスビルド・スキャン頻度を理解します。

  • 4.2結果の分析・トリアージ・最適化

    スキャン結果（データフロー解析の洞察を含む）のレビュー、アラートのライフサイクルと自動修正（autofix）・修復ワークフロー、却下と重大度/カテゴリの分類、そして高度な構成・カスタマイズとスキャン失敗/性能のトラブルシュートを理解します。

5セキュリティ運用（優先順位付けと修復）

  • 5.1脆弱性のコンテキストと優先順位付け

    CVE・CWE・GitHub Security Advisory の概念、アラートとアドバイザリにまたがるエンドツーエンドの修復ワークフロー、重大度/修復のルールセットの定義・優先順位付け・強制、キャンペーンベースの一括管理、そして自動却下と記録の実践を理解します。

  • 5.2検出のカスタマイズ・ガバナンス・シフトレフト

    CodeQL クエリスイートのカスタマイズと言語別解析、組織のリスクプロファイルへの調整、セキュリティの役割・委譲例外・アラートの所有権、チーム横断のコラボレーション、スイート横断のルールセット/ポリシー/強制、そして Push Protection・依存スキャン・マージ前解析による予防強化（シフトレフト）を理解します。

6Security スイートの管理

  • 6.1大規模なロールアウトとデフォルト構成

    Enterprise・組織・リポジトリの各レベルでの GitHub Security スイートの有効化、GitHub Enterprise Cloud と Enterprise Server の機能差、Code Security・Secret Protection・サプライチェーンの有効化、そしてデフォルト構成と継承の挙動を理解します。

  • 6.2ガバナンス・アクセス・CodeQL ワークフローと自動化

    Enterprise/組織のセキュリティポリシーとルールセットの定義、強制境界・バイパス権限・例外の構成、管理者/security manager/開発者の役割、アラート管理/却下の権限、既定/承認済みカスタム CodeQL ワークフローの有効化、そして大規模なセキュリティ構成・ガバナンスのための API と自動化を理解します。