網路攻擊與防禦實務
外部的資安研究人員在某企業的產品中發現了尚未公開的弱點。依照協調式弱點揭露（Coordinated Vulnerability Disclosure）的思維，最適當的進行方式是下列何者？
- A為了儘早告知使用者，在發現當天就連同具體的攻擊方法在網路上詳細公開
- B只要通報開發商就足夠了，因此即使修補公布之後，也不告訴使用者曾經存在弱點
- C不公開地通報開發商（或負責協調的機構），協調準備修補的期間後，與修補的公布同時公開弱點資訊
查看答案與解析
正確答案：C. 不公開地通報開發商（或負責協調的機構），協調準備修補的期間後，與修補的公布同時公開弱點資訊
在修補推出前公開詳細資訊，會讓攻擊者搶先利用，使用者則在沒有防護手段的情況下暴露於風險中。協調式揭露是由發現者不公開地通報開發商，雙方協調開發商準備修補所需的期間，再與修補的公布同時公開資訊（多半會設定例如90天的期限）。日本有由IPA與JPCERT/CC協調的「資訊安全早期預警合作」制度，經協調的弱點資訊會在JVN上公布。企業向通報者支付獎金的漏洞獎勵計畫（bug bounty），也透過事先公布通報窗口與規則，促進協調式揭露。
- A. 在修補前就公開攻擊方法，會讓攻擊者在使用者沒有防護手段時加以利用。
- B. 為了讓使用者能判斷是否應套用修補，會與修補同時公開弱點資訊。
- C. 正確。不公開通報、協調期間、與修補同時公開，是基本的流程。