搜索

[11625] 2017-08-04_美国司法部是如何打造漏洞披露计划框架的？

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-08-04_美国司法部是如何打造漏洞披露计划框架的？ 美 国 司 法 部 是 如 何 打 造 漏 洞 披 露 计 划 框 架 的 ？ A n g e l a Y   F r e e B u f   2 0 1 7 - 0 8 - 0 4 美 国 司 法 部 （ 美 国 司 法 部 （ D O J ） 刑 事 部 门 网 络 安 全 分 部 日 前 打 造 了 ） 刑 事 部 门 网 络 安 全 分 部 日 前 打 造 了 “ 在 线 系 统 漏 洞 披 露 计 划 框 架 在 线 系 统 漏 洞 披 露 计 划 框 架 ” ， 旨 在 帮 助 组 织 机 构 开 发 ， 旨 在 帮 助 组 织 机 构 开 发 正 式 的 漏 洞 披 露 计 划 。 正 式 的 漏 洞 披 露 计 划 。 实 际 上 ， 现 在 越 来 越 多 的 企 业 机 构 都 已 经 意 识 到 ， 漏 洞 奖 励 计 划 有 助 于 更 高 效 地 发 现 网 络 和 应 用 中 的 漏 洞 。 很 多 大 型 私 有 企 业 这 些 年 一 直 在 实 施 漏 洞 奖 励 计 划 。 F r e e B u f   先 前 曾 经 采 访 过   H a c k e r O n e   的   C O O   王 宁 ， 她 在 采 访 中 提 到 漏 洞 奖 励 计 划 对 于 安 全 而 言 的 高 性 价 比 ， 因 为 这 是 一 种 按 劳 支 付 的 方 式 。 国 内 如 腾 讯 、 百 度 、 新 浪 、 网 易 等 大 型 厂 商 都 成 立 了 安 全 应 急 响 应 中 心 ， 还 有 一 些 厂 商 专 门 运 营 白 帽 子 众 测 平 台 ， 为 厂 商 和 白 帽 子 搭 建 桥 梁 ， 为 国 家 安 全 做 出 贡 献 。 国 家 应 急 响 应 中 心 和 国 家 信 息 安 全 漏 洞 库 ， 也 都 是 国 家 在 信 息 安 全 和 漏 洞 披 露 方 面 所 提 供 的 支 持 。 同 样 ， 美 国 政 府 也 针 对 漏 洞 披 露 采 取 了 一 些 重 要 措 施 。 美 国 政 府 的 漏 洞 披 露 举 措 美 国 政 府 的 漏 洞 披 露 举 措 美 国 国 防 部 通 过 安 全 漏 洞 披 露 平 台 “ H a c k e r O n e ” 运 营 三 大 漏 洞 奖 励 项 目 ： “ 入 侵 五 角 大 楼 （ H a c k   t h e   P e n t a g o n ） ” ， “ 入 侵 陆 军 （ H a c k   t h e   A r m y ） ” 和 “ 入 侵 空 军 （ H a c k   t h e   A i r   F o r c e ） ” 。 此 外 ， 美 国 总 务 署 （ G S A ） 在 五 月 宣 布 成 立 漏 洞 奖 励 计 划 ， 随 后 参 议 员 提 出 了 新 的 议 案 ， 计 划 在 国 土 安 全 部 内 部 建 立 漏 洞 奖 励 试 点 计 划 。 而 此 次 美 国 司 法 部 计 划 打 造 的 框 架 对 于 公 共 和 私 有 组 织 机 构 都 能 提 供 有 效 帮 助 ， 这 次 的 框 架 没 有 局 限 于 项 目 形 式 或 目 标 ， 而 是 重 在 描 述 有 授 权 的 漏 洞 发 现 和 披 露 行 为 ， 减 少 挖 洞 过 程 中 违 反 C F A A （ 《 计 算 机 欺 诈 与 滥 用 法 案 》 ） 的 情 况 发 生 。
按 框 架 行 动 ， 打 造 漏 洞 提 交 四 部 曲 按 框 架 行 动 ， 打 造 漏 洞 提 交 四 部 曲 第 一 步 是 设 计 项 目 ： 第 一 步 是 设 计 项 目 ： 确 认 项 目 中 使 用 的 网 络 组 件 和 数 据 、 确 定 需 要 使 用 或 排 除 的 漏 洞 类 型 和 安 全 实 践 ； 另 外 还 要 指 明 第 三 方 组 件 或 数 据 是 否 应 当 包 含 在 项 目 中 ， 以 及 是 否 需 要 获 得 额 外 授 权 ； 司 法 部 还 建 议 组 织 机 构 在 设 计 阶 段 参 考   1 8 F （ 数 字 服 务 机 构 ） 的 漏 洞 披 露 计 划 、 国 家 电 信 与 信 息 管 理 局 （ N T I A ） 的 漏 洞 披 露 做 法 ， 以 及 国 际 标 准 组 织 （ I S O ） 的 相 关 指 南 。 第 二 步 则 涉 及 项 目 管 理 ： 第 二 步 则 涉 及 项 目 管 理 ： 确 定 漏 洞 上 报 方 式 、 分 配 好 接 收 漏 洞 报 告 的 入 口 、 指 明 解 答 项 目 相 关 问 题 的 人 员 ， 以 及 确 定 如 何 处 理 意 外 事 件 和 故 意 违 反 漏 洞 政 策 的 行 为 ； 第 三 步 则 起 草 策 略 ： 第 三 步 则 起 草 策 略 ： 明 确 描 述 企 业 组 织 针 对 某 些 问 题 的 态 度 ： 包 括 授 权 或 未 授 权 的 行 为 、 数 据 访 问 限 制 、 不 遵 守 策 略 的 后 果 、 项 目 覆 盖 的 系 统 和 数 据 等 。 同 时 还 鼓 励 研 究 人 员 联 系 组 织 机 构 反 馈 项 目 未 解 决 的 问 题 ， 并 指 明 在 披 露 流 程 中 还 需 要 与 美 国 计 算 机 应 急 响 应 小 组 U S - C E R T 、 美 国 工 控 系 统 网 络 应 急 响 应 小 组 I S C - C E R T 等 机 构 协 作 ； 第 四 步 实 施 项 目 ： 第 四 步 实 施 项 目 ： 该 框 架 提 出 应 当 让 企 业 漏 洞 的 披 露 策 略 易 于 获 取 ， 并 鼓 励 找 漏 洞 的 用 户 通 过 其 项 目 披 露 系 统 中 的 任 何 漏 洞 。 F r e e B u f   随 后 会 有 关 于 这 个 框 架 的 详 细 解 读 ， 敬 请 期 待 。 * 参 考 来 源 ： S e c u r i t y w e e k ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理