每週自動化弱點掃描：從程式碼到網站逐層檢查
給需要定期確認系統安全、但沒有人力每週手動檢查的企業：拓 ERP 每週一自動掃描一次，從程式碼紀錄、第三方套件、系統映像到實際運作中的網站逐層檢查，程式沒改動時新公布的漏洞也抓得到。
解決什麼問題
系統上線後常被忽略的風險，是「程式沒動，外面變了」。開源套件每天都有新的漏洞公告，上個月掃過沒問題的版本，這個月可能就被列為高風險。只在改程式時才檢查，碰上長時間沒有改版的系統，就會出現空窗。
另一個常見落差是只掃程式碼，不掃實際跑起來的網站。設定錯誤、缺少安全標頭這類問題，只有把系統真的跑起來、用瀏覽器登入後逐頁走過才看得到。拓 ERP 的每週掃描兩邊都做，而且掃描網站時會先確認真的登入成功，避免掃描工具停在登入頁，什麼都沒掃到卻回報通過。
做法
排程
- 每週一台灣時間上午 10 點自動執行，每次都跑全部項目，不因為程式沒改就略過。
- 需要時可以隨時手動啟動同一套掃描，例如外界剛公布重大漏洞的時候。
程式碼與相依套件
- 掃描完整的程式碼歷史，找出不小心提交的密碼、金鑰等機密資料。
- 後端套件比對官方漏洞資料庫，並分析程式是否真的呼叫到有漏洞的程式碼，減少誤報。
- 前端網頁元件與 AI 介接元件檢查正式上線會用到的套件，高風險以上即標示為未通過。
- 對整份原始碼的相依套件再做一次漏洞比對，鎖定高風險與重大等級、且已有修補版本的項目。
- 檢查自動化建置與部署流程本身的設定，避免流程被拿來當成攻擊入口。
系統映像
- 把實際要部署的容器映像建置出來再掃，涵蓋作業系統套件與程式函式庫，不只看原始碼。
網站動態掃描
- 在一套用完即丟的獨立測試環境把系統完整跑起來，載入範例資料，以登入身分依 OWASP（開放網路應用程式安全計畫，國際通用的網站資安參考）準則爬過登入後的各個頁面與資料介面。
- 掃描前先驗證登入成功、沒有卡在改密碼或兩步驟驗證畫面，確保掃到的是系統內頁。
- 只做不改資料的被動檢查。發現的警告由人工判讀分級，掃描報告保留 30 天。
常見問題
每週掃描包含哪些項目？
包含程式碼歷史中的機密外洩檢查、自動化流程設定檢查、後端套件與前端元件的漏洞比對、整份原始碼的相依套件比對、實際部署用的系統映像掃描，以及在獨立測試環境以登入身分進行的網站動態掃描。每週一執行，每次都跑全部項目。
網站掃描會不會影響正式資料？
不會碰到正式資料。網站動態掃描是在用完即丟的獨立測試環境進行，系統與資料庫都是當次臨時建立、載入範例資料，掃完就移除。掃描本身只做被動檢查，不送出修改資料的請求。
掃到問題之後怎麼處理？
套件與系統映像的掃描以高風險以上、且已有修補版本為門檻，未通過時列為必須處理，依修補時效目標升級套件並換版。網站動態掃描的警告由人工判讀分級後決定處理方式，掃描報告保留 30 天。