搜索

[10350] 2016-07-29_美国漏洞众测平台HackerOne运营模式解读与分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2016-07-29_美国漏洞众测平台HackerOne运营模式解读与分析 美 国 漏 洞 众 测 平 台 H a c k e r O n e 运 营 模 式 解 读 与 分 析 c l o u d s   F r e e B u f   2 0 1 6 - 0 7 - 2 9 3 月 ， 当 美 国 国 防 部 宣 布 与 月 ， 当 美 国 国 防 部 宣 布 与 H a c k e r O n e 合 作 邀 请 黑 客 参 与 合 作 邀 请 黑 客 参 与 “ H a c k   t h e   P e n t a g o n ” 的 漏 洞 奖 励 计 划 之 后 ， 让 的 漏 洞 奖 励 计 划 之 后 ， 让 H a c k e r O n e 再 次 成 为 再 次 成 为 业 界 焦 点 。 对 于 混 迹 于 国 内 外 各 漏 洞 众 测 平 台 的 菜 鸟 ， 以 个 人 之 见 和 能 力 所 及 对 业 界 焦 点 。 对 于 混 迹 于 国 内 外 各 漏 洞 众 测 平 台 的 菜 鸟 ， 以 个 人 之 见 和 能 力 所 及 对 H a c k e r O n e 写 点 介 绍 ， 谈 点 感 受 。 写 点 介 绍 ， 谈 点 感 受 。 1 .   公 司 介 绍 公 司 介 绍 H a c k e r O n e 是 一 个 总 部 位 于 美 国 旧 金 山 的 漏 洞 众 测 公 司 ， 公 司 分 部 位 于 荷 兰 格 罗 宁 根 。 多 家 世 界 知 名 技 术 公 司 都 使 用 H a c k e r O n e 平 台 ， 如 Y a h o o 、 T w i t t e r 、 A d o b e 、 U b e r 、 f a c e b o o k 等 。 目 前 ， H a c k e r O n e 平 台 注 册 黑 客 共 3 0 0 0 多 人 来 自 1 5 0 多 个 国 家 ， 漏 洞 众 测 合 作 企 业 达 5 0 0 多 家 。 H a c k e r O n e 是 最 早 接 受 并 利 用 黑 客 开 展 商 业 模 式 的 公 司 之 一 。 2 .   创 业 历 史 创 业 历 史 2 0 1 1 年 ， 2 0 多 岁 的 荷 兰 黑 客 J o b e r t A b m a ,   M i c h i e l   P r i n s ,   和 M e r i j n   T e r h e g g e n 出 于 打 赌 ， 列 出 了 他 们 计 划 入 侵 的 1 0 0 家 高 科 技 公 司 清 单 。 不 久 ， 他 们 就 发 现 F a c e b o o k ,   G o o g l e ,   A p p l e , M i c r o s o f t ,   T w i t t e r 等 其 它 9 5 家 公 司 的 网 络 系 统 中 都 存 在 不 同 程 度 的 安 全 漏 洞 。 他 们 将 这 一 清 单 称 作 “ H a c k   1 0 0 ” 。 当 他 们 联 系 这 些 公 司 时 ， 有 1 / 3 的 公 司 并 不 关 注 这 些 问 题 。 另 1 / 3 的 公 司 对 他 们 表 示 感 谢 ， 但 并 未 修 复 漏 洞 。 而 其 余 公 司 则 试 图 尽 快 解 决 漏 洞 。 幸 运 的 是 ， 没 人 通 知 警 察 。
在 处 理 F a c e b o o k 漏 洞 时 ， 他 们 与 F a c e b o o k 产 品 安 全 经 理 A l e x   R i c e 结 识 ， 共 同 组 成 公 司 合 伙 人 ， 于 2 0 1 2 年 成 立 H a c k e r O n e 。 由 A l e x   R i c e 担 任 公 司 C T O ， M e r i j n   T e r h e g g e n 任 C E O ， J o b e r t   A b m a 任 技 术 领 导 ， M i c h i e l   P r i n s 为 产 品 经 理 。 2 0 1 4 年 ，   微 软 前 首 席 安 全 策 略 师 ( C P O ) K a t i e   M o u s s o u r i s   加 盟 成 为 其   C P O 。 2 0 1 5 年 底 ， M y S Q L 和 E u c a l y p t u s 前 C E O   M a r t e n   M i c k o s   出 任 H a c k e r O n e   公 司 C E O 。 3 .   投 资 情 况 投 资 情 况 2 0 1 4 年 5 月 ， H a c k e r O n e 获 得 由 B e n c h m a r k 领 投 的 9 0 0 万 美 元 A 轮 投 资 ； 2 0 1 5 年 6 月 ， H a c k e r O n e 获 得 2 5 0 0 万 美 元 B 轮 投 资 ， 由 N e w   E n t e r p r i s e   A s s o c i a t e s 领 投 ， 投 资 方 有 N i c o l a s   B e r g g r u e n ， B r a n d o n   B e c k ， D a v i d   S a c k s ， J e r e m y   S t o p p e l m a n ， D r e w   H o u s t o n ， M a r c   B e n i o f f ， B e n c h m a r k 等 。
4 .   盈 利 模 式 盈 利 模 式 H a c k e r O n e 以 信 息 安 全 为 重 ， 通 过 在 企 业 和 黑 客 之 间 建 立 漏 洞 奖 励 平 台 ， 致 力 实 现 企 业 和 黑 客 的 利 益 双 赢 。 H a c k e r O n e 通 过 建 立 的 漏 洞 众 测 平 台 ， 由 众 测 企 业 向 黑 客 支 付 发 现 漏 洞 的 奖 励 ， H a c k e r O n e 则 从 企 业 奖 励 中 抽 取   2 0 %   的 费 用 。 另 外 ， H a c k e r O n e 还 通 过 向 企 业 提 供 付 费 服 务 模 式 ， 如 漏 洞 订 阅 服 务 、 漏 洞 披 露 指 导 、 安 全 咨 询 等 。 目 前 ， H a c k e r O n e 已 帮 助 5 0 0 多 家 企 业 找 出 2 万 多 个 漏 洞 ， 向 3 2 0 0 多 名 独 立 安 全 研 究 员 发 放 了 6 0 0 多 万 美 元 的 奖 励 ， 单 个 漏 洞 奖 励 最 多 达 到 3 万 美 元 。 5   .   服 务 方 式 服 务 方 式 F o r   h a c k e r s : 与 通 常 的 众 测 平 台 一 样 ， 注 册 ， 加 入 项 目 ， 提 交 漏 洞 ； F o r   c o m p a n i e s : 对 于 众 测 企 业 ， H a c k e r O n e 提 供 了 四 种 服 务 模 式 ： S e c u r i t y @ 、   P r o f e s s i o n a l 、 E n t e r p r i s e 、 F u l l y   M a n a g e d ， H a c k e r O n e 对 这 几 种 模 式 的 漏 洞 披 露 、 漏 洞 管 理 、 安 全 性 等 方 面 提 供 不 同 的 服 务 ， 以 下 是 不 同 服 务 模 式 的 对 比 ：



S e c u r i t y   P a g e 页 面 包 含 公 司 情 况 、 披 露 政 策 、 希 望 邀 请 的 黑 客 、 漏 洞 规 则 等 关 键 信 息 。 F u l l y   M a n a g e d 是 H a c k e r O n e 的 付 费 服 务 ， 针 对 那 些 想 要 对 漏 洞 情 况 进 行 进 一 步 筛 查 和 校 验 的 企 业 。 企 业 通 过 F u l l y   M a n a g e d 模 式 可 选 择 与 H a c k e r O n e 推 荐 的 世 界 级 安 全 咨 询 合 作 机 构 签 订 不 定 期 的 信 息 安 全 服 务 。 S e c u r i t y @   是 H a c k e r O n e 社 区 的 安 全 项 目 快 速 查 询 目 录 ， 通 过 该 查 询 目 录 可 以 快 速 找 到 在 H a c k e r O n e 平 台 上 开 展 漏 洞 众 测 项 目 的 企 业 ， 方 便 黑 客 提 交 漏 洞 。 6 .   漏 洞 保 密 原 则 漏 洞 保 密 原 则
H a c k e r O n e 只 为 “ 漏 洞 协 作 披 露 ” 项 目 提 供 处 理 工 具 ， 网 站 实 行 漏 洞 库 访 问 控 制 权 限 ， H a c k e r O n e 雇 员 无 权 查 看 任 何 厂 商 漏 洞 信 息 ， H a c k e r O n e 决 不 与 其 它 第 三 方 分 享 客 户 的 漏 洞 数 据 ， 并 提 倡 以 P G P 加 密 方 式 提 交 漏 洞 信 息 。 在 漏 洞 未 解 决 之 前 ， 所 有 提 交 漏 洞 信 息 除 企 业 和 漏 洞 提 交 者 之 外 都 不 可 见 。 7 .   漏 洞 奖 励 价 格 漏 洞 奖 励 价 格 （ 1 ） 依 靠 提 交 的 漏 洞 质 量 来 定 。 厂 商 给 出 的 漏 洞 价 格 可 以 参 考 几 个 方 面 ： 漏 洞 严 重 性 、 对 最 终 用 户 或 客 户 的 影 响 范 围 、 项 目 预 算 、 项 目 阶 段 及 保 密 性 、 厂 商 漏 洞 披 露 计 划 成 熟 度 等 。 （ 2 ） 为 了 吸 引 和 激 励 黑 客 ， H a c k e r O n e 规 定 每 个 漏 洞 奖 励 金 额 下 限 不 低 于 1 0 0 美 元 ， 针 对 大 多 数 的 一 般 漏 洞 ， 针 对 大 多 数 的 一 般 漏 洞 ， 奖 励 金 额 范 围 为 $ 1 0 0 - $ 1 , 0 0 0 ， 当 然 ， H a c k e r O n e 也 提 倡 超 出 范 围 重 奖 某 些 严 重 漏 洞 。 考 虑 到 不 同 漏 洞 对 不 同 厂 商 的 影 响 不 一 ， 如 C l i c k j a c k i n g 类 型 漏 洞 对 某 些 企 业 来 说 很 严 重 ， 但 对 其 它 企 业 来 说 只 属 于 i n f o r m a t i v e 类 漏 洞 ， 因 此 ， 除 规 定 1 0 0 美 金 的 下 限 外 ， H a c k e r O n e 未 针 对 不 同 漏 洞 类 别 设 置 最 低 奖 励 限 制 。 奖 励 金 额 根 据 漏 洞 对 厂 商 影 响 程 度 而 定 。 （ 3 ） 针 对 几 类 特 别 重 要 漏 洞 针 对 几 类 特 别 重 要 漏 洞 ， 为 了 提 高 奖 励 透 明 度 和 黑 客 期 望 值 ， H a c k e r O n e 根 据 漏 洞 成 熟 度 模 型 给 出 了 一 个 以 供 企 业 参 考 的 最 低 奖 励 结 构 ， 当 然 企 业 有 权 根 据 漏 洞 影 响 程 度 来 上 调 最 低 奖 励 基 准 。 如 最 近 U b e r 的 一 个 X S S 漏 洞 奖 励 就 达 7 0 0 0 美 金 。 8 .   安 全 性 安 全 性
（ 1 ） 所 有 和 H a c k e r O n e 服 务 器 平 台 交 流 的 信 息 都 是 加 密 的 。 安 全 团 队 可 以 使 用 H a c k e r O n e 的 I P 白 名 单 策 略 进 行 权 限 访 问 控 制 。 （ 2 ） H a c k e r O n e 采 用 军 用 级 加 密 技 术 、 双 因 子 认 证 、 单 点 登 录 、 I S O / I E C   2 7 0 0 1 信 息 安 全 管 理 体 系 认 证 ； （ 3 ） H a c k e r O n e 提 倡 企 业 遵 守 I S O / I E C   2 9 1 4 7 - 2 0 1 4   《 信 息 技 术 - 安 全 技 术 - 漏 洞 披 露 标 准 》 ， 同 时 通 过 自 动 化 平 台 帮 助 指 导 企 业 进 行 漏 洞 披 露 。 I S O / I E C 2 9 1 4 7 - 2 0 1 4 标 准 的 目 的 ： 为 企 业 提 供 如 何 接 收 漏 洞 、 发 布 漏 洞 解 决 方 案 的 指 导 方 针 ， 为 企 业 提 供 漏 洞 披 露 过 程 的 相 关 信 息 和 示 例 。 9 .   特 色 点 之 特 色 点 之 D A S H B O A R D H a c k e r O n e 的 D a s h b o a r d 功 能 是 为 了 显 示 企 业 提 交 漏 洞 和 奖 励 金 额 的 准 确 信 息 ， D a s h b o a r d 还 可 以 帮 助 企 业 确 定 和 跟 踪 软 件 开 发 生 命 周 期 中 的 改 进 领 域 。 通 过 D a s h b o a r d ， 企 业 可 以 查 看 每 天 、 每 周 和 每 月 的 漏 洞 趋 势 和 发 展 情 况 ， 数 据 产 生 的 报 告 可 下 载 为 C S V 格 式 保 存 。 另 外 ， 如 果 企 业 需 要 更 先 进 和 及 时 的 报 告 要 求 ， 可 以 通 过 H a c k e r O n e 的 A P I 把 D a s h b o a r d 数 据 整 合 到 第 三 方 报 告 工 具 中 。 D a s h b o a r d 的 数 据 指 标 包 括 ： 解 决 的 漏 洞 数 、 奖 励 金 额 总 和 、 黑 客 致 谢 、 奖 励 的 报 告 数 、 奖 金 平 均 数 、 支 付 与 漏 洞 解 决 占 比 、 漏 洞 响 应 时 间 、 漏 洞 解 决 时 间 、 报 告 状 态 图 、 漏 洞 响 应 与 解 决 时 间 状 态 图 、 奖 金 支 付 走 势 图 、 黑 客 获 取 金 额 排 行 图 、 黑 客 奖 励 次 数 排 行 图 。 1 0 .   特 色 点 之 漏 洞 协 调 成 熟 度 模 型 特 色 点 之 漏 洞 协 调 成 熟 度 模 型 H a c k e r O n e 根 据 长 期 的 漏 洞 提 交 模 式 分 析 ， 发 布 了 针 对 漏 洞 协 作 披 露 的 漏 洞 协 调 成 熟 度 模 型 （ V u l n e r a b i l i t y   C o o r d i n a t i o n   M a t u r i t y   M o d e l ， V C M M ） 。
H a c k e r O n e 认 为 ， 影 响 漏 洞 协 作 披 露 的 因 素 主 要 包 括 5 个 方 面 的 能 力 领 域 ： 组 织 、 工 程 、 交 流 、 分 析 与 激 励 ， 每 个 领 域 又 包 含 基 本 、 高 级 和 专 家 3 个 成 熟 度 等 级 ， V C M M 模 型 目 的 在 于 帮 助 企 业 评 估 漏 洞 协 调 机 制 ， 直 观 地 识 别 出 需 要 改 进 的 领 域 ， 指 导 企 业 进 行 内 外 部 组 织 能 力 提 升 ， 更 好 地 消 除 安 全 漏 洞 隐 患 。 H a c k e r O n e 的 V C M M 针 对 社 会 面 的 公 开 测 试 模 型 为 ： V C M M - s u r v e y ， 当 然 除 此 之 外 ， H a c k e r O n e 还 针 对 在 其 平 台 合 作 的 众 测 企 业 提 供 漏 洞 信 息 量 化 模 型 指 标 。 以 下 是 V C M M 5 个 能 力 领 域 的 等 级 介 绍 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理