搜索

[17105] 2021-08-03_一场关于漏洞的“无间道”

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-08-03_一场关于漏洞的“无间道” 一 场 关 于 漏 洞 的 “ 无 间 道 ” y a n n i c h e n   F r e e B u f   2 0 2 1 - 0 8 - 0 3 和 黑 客 赛 跑 ， 谁 先 夺 旗 谁 就 赢 。 攻 防 对 抗 里 ， 漏 洞 就 是 那 杆 旗 。 和 黑 客 赛 跑 ， 谁 先 夺 旗 谁 就 赢 。 攻 防 对 抗 里 ， 漏 洞 就 是 那 杆 旗 。 近 年 来 ， 随 着 安 全 行 业 的 发 展 ， 漏 洞 的 挖 掘 越 来 越 艰 难 ， 但 总 有 一 群 人 ， 仍 然 为 轻 易 看 不 到 结 果 的 事 情 努 力 ， 在 和 看 不 见 的 黑 客 赛 跑 。 7 月 2 8 日 ， 在 第 九 届 互 联 网 安 全 大 会 I S C   2 0 2 1 的 H a c k i n g C l u b 白 帽 峰 会 上 ， 3 6 0 政 企 安 全 集 团 漏 洞 云 发 布 了 2 0 2 1 年 业 内 首 个 通 用 漏 洞 研 究 报 告 — 《 2 0 2 1 全 球 通 用 漏 洞 研 究 报 告 》 。 报 告 显 示 ， 2 0 2 0 年 全 球 披 露 的 通 用 漏 洞 数 据 为 年 全 球 披 露 的 通 用 漏 洞 数 据 为 1 7 7 9 4 条 ， 预 计 条 ， 预 计 2 0 2 1 年 全 年 全 球 通 用 漏 洞 数 量 将 突 破 两 万 大 关 。 年 全 年 全 球 通 用 漏 洞 数 量 将 突 破 两 万 大 关 。 图 / 第 九 届 互 联 网 安 全 大 会 I S C   2 0 2 1   H a c k i n g C l u b 白 帽 峰 会 一 切 皆 可 编 程 ， 漏 洞 无 处 不 在 一 切 皆 可 编 程 ， 漏 洞 无 处 不 在 “ 一 切 皆 可 编 程 ， 漏 洞 无 处 不 在 。 ” 3 6 0 集 团 创 始 人 、 董 事 长 周 鸿 祎 在 大 会 上 表 示 ， 这 是 数 字 化 的 三 个 特 征 之 一 。 有 编 程 ， 就 有 漏 洞 。 自 我 们 进 入 互 联 网 世 界 以 来 ， 披 露 的 漏 洞 越 来 越 多 ， 黑 客 利 用 漏 洞 发 起 的 攻 击 也 随 之 增 多 。 有 一 类 漏 洞 ， 是 针 对 应 用 软 件 、 操 作 系 统 或 者 硬 件 设 备 等 通 用 组 件 的 漏 洞 ， 一 旦 中 招 杀 伤 面 很 广 ， 被 称 为 通 用 型 漏 洞 。 其 漏 洞 类 型 主 要 包 括 ： 跨 站 脚 本 攻 击 漏 洞 （ X S S ） 、 权 限 失 控 漏 洞 、 输 入 验 证 问 题 漏 洞 等 。 以 2 0 1 9 年 3 6 0   A l p h a   L a b   发 现 的 “ 梯 云 纵 ” 漏 洞 链 为 例 ， 作 为 内 核 级 漏 洞 ， 几 乎 影 响 所 有 A n d r o i d 系 统 和 C h r o m e 浏 览 器 。 一 旦 攻 击 者 利 用 该 漏 洞 链 ， 可 轻 易 获 得 手 机 r o o t 权 限 ， 会 对 用 户 个 人 隐 私 和 财 产 造 成 极 大 威 胁 。 无 处 不 在 的 漏 洞 是 攻 击 者 有 力 的 “ 武 器 ” ， 为 了 赢 得 网 络 安 全 这 场 没 有 硝 烟 的 战 争 ， 我 们 需 要 对 这 些 漏 洞 逐 一 击 破 。
不 少 互 联 网 公 司 针 对 漏 洞 设 立 了 S R C （ 安 全 应 急 响 应 中 心 ） ， 不 仅 内 部 有 专 门 的 漏 洞 安 全 研 究 人 员 ， 还 以 漏 洞 赏 金 的 方 式 激 励 外 部 “ 白 帽 黑 客 ” 报 送 产 品 安 全 漏 洞 。 《 2 0 2 1 全 球 通 用 漏 洞 研 究 报 告 》 统 计 了 谷 歌 、 微 软 、 苹 果 三 家 企 业 S R C 数 据 ， 它 们 累 计 在 漏 洞 赏 金 上 花 费 超 过 3 0 0 0 万 美 元 （ 2 0 1 7 年 至 今 ） 。 以 谷 歌 为 例 ， 2 0 2 0 年 其 累 计 发 出 6 7 0 万 美 元 漏 洞 赏 金 。 报 告 显 示 ， 漏 洞 赏 金 越 高 ， 企 业 收 集 到 的 漏 洞 数 量 越 多 。 该 结 果 是 研 究 人 员 对 全 球 3 0 余 家 企 业 S R C 的 历 年 漏 洞 数 据 、 赏 金 数 据 等 原 始 数 据 做 清 洗 、 筛 选 、 鉴 别 、 真 伪 性 确 认 后 ， 最 终 选 取 谷 歌 、 微 软 、 苹 果 ， 这 三 家 在 各 项 数 据 都 比 较 严 谨 的 企 业 作 为 研 究 对 象 ， 进 行 了 漏 洞 赏 金 和 漏 洞 数 量 的 关 联 性 分 析 。 图 / 3 6 0 B u g C l o u d 技 术 负 责 人 冯 飞 介 绍 漏 洞 赏 金 和 漏 洞 数 量 关 联 性 分 析 但 漏 洞 赏 金 和 漏 洞 等 级 的 关 系 则 比 较 有 趣 。 报 告 中 称 ， 漏 洞 赏 金 越 高 ， 收 集 到 的 高 危 漏 洞 越 多 ， 严 重 漏 洞 数 量 则 会 逐 步 减 少 ， 同 比 情 况 下 出 现 负 增 长 或 保 持 一 个 较 低 的 范 围 区 间 。 据 介 绍 ， 该 报 告 是 由 3 6 0 政 企 安 全 集 团 多 位 漏 洞 研 究 专 家 ， 结 合 近 2 2 年 的 C V E 、 C N V D 、 C N N V D 等   1 5 万 基 础 漏 洞 数 据 ， 近 5 年 的 1 . 7 万 开 源 软 件 漏 洞 数 据 ， 多 家 全 球 知 名 企 业 S R C 数 据 ， 开 源 中 国 软 件 数 据 和 3 6 0 安 全 大 脑 监 测 平 台 攻 击 监 测 数 据 ， 从 多 个 维 度 进 行 研 究 分 析 得 出 。 除 了 对 外 输 出 研 究 报 告 ， 3 6 0 也 亲 身 投 入 到 这 场 漏 洞 抢 夺 战 中 。 在 大 会 上 ， 周 鸿 祎 向 外 界 介 绍 3 6 0 安 全 团 队 的 攻 防 能 力 ， 在 0 d a y 漏 洞 挖 掘 方 面 ， “ 团 队 已 挖 掘 全 球 主 流 厂 商 漏 洞 团 队 已 挖 掘 全 球 主 流 厂 商 漏 洞 2 0 0 0 个 个 ” ， 包 揽 苹 果 、 谷 歌 、 微 软 等 巨 头 厂 商 的 漏 洞 致 谢 ， 达 成 “ 漏 洞 挖 掘 大 满 贯 ” 成 就 。 在 国 际 榜 单 上 ， 3 6 0 安 全 团 队 更 是 常 年 占 据 前 列 位 置 。 在 微 软 微 软 应 急 响 应 中 心 M S R C 的 最 具 价 值 安 全 精 英 榜 中 ， 3 6 0 安 全 团 队 成 员 连 续 蝉 联 冠 亚 季 军 。 3 6 0 还 连 续 三 年 问 鼎 “ 天 府 杯 ” 冠 军 。 今 年 成 绩 尤 其 耀 眼 ， 3 6 0 政 企 安 全 的 漏 洞 安 全 研 究 院 凭 借 攻 破 C h r o m e 、 F i r e f o x 、 V M W a r e   等 项 目 ， 摘 得 2 0 2 0 天 府 杯 “ 最 佳 产 品 破 解 奖 一 等 奖 ” 。 在 自 身 能 力 过 硬 的 前 提 下 ， 3 6 0 还 积 极 协 助 其 他 厂 商 。 2 0 1 9 年 ， 3 6 0 S k y - G o 团 队 曾 向 奔 驰 报 告 1 9 个 奔 驰 智 能 网 联 汽 车 有 关 的 潜 在 漏 洞 ， 在 联 合 修 复 后 ， 奔 驰 向 该 团 队 颁 发 卓 越 奖 。 通 过 提 交 、 修 复 高 危 漏 洞 ， 3 6 0 为 全 球 厂 商 减 少 了 诸 多 安 全 隐 患 ， 全 力 守 护 用 户 隐 私 安 全 。
漏 洞 管 理 合 规 下 的 漏 洞 管 理 合 规 下 的 “ 安 全 倒 逼 安 全 倒 逼 ” 在 漏 洞 在 漏 洞 “ 武 器 化 武 器 化 ” 的 形 势 下 ， 高 危 漏 洞 已 成 为 数 字 时 代 备 战 的 的 形 势 下 ， 高 危 漏 洞 已 成 为 数 字 时 代 备 战 的 “ 军 火 库 军 火 库 ” 。 。 最 近 ， 国 家 针 对 漏 洞 管 理 出 台 了 规 定 ， 在 国 家 和 法 律 法 规 层 面 提 高 对 漏 洞 的 重 视 ， 同 时 针 对 漏 洞 挖 掘 、 漏 洞 报 送 和 漏 洞 披 露 等 环 节 制 定 了 规 范 。 9 月 1 日 起 ， 《 网 络 产 品 安 全 漏 洞 管 理 规 定 》 （ 以 下 简 称 “ 《 规 定 》 ” ） 将 正 式 实 施 。 《 规 定 》 中 将 及 时 修 补 网 络 产 品 安 全 漏 洞 作 为 网 络 产 品 提 供 者 的 义 务 ， 要 求 网 络 产 品 提 供 者 和 网 络 运 营 者 建 立 畅 通 的 漏 洞 信 息 接 收 渠 道 ， 及 时 对 漏 洞 进 行 验 证 并 完 成 漏 洞 修 补 。 《 规 定 》 之 下 ， 网 络 产 品 提 供 者 和 网 络 运 营 者 需 要 投 入 更 多 安 全 力 量 ， 否 则 将 面 临 违 规 处 罚 。 由 此 可 见 ， 漏 洞 管 理 和 运 营 能 力 将 成 为 更 多 企 业 的 刚 需 ， 企 业 需 要 努 力 补 齐 安 全 能 力 的 短 板 。 《 规 定 》 还 鼓 励 网 络 产 品 提 供 者 建 立 网 络 安 全 产 品 漏 洞 奖 励 机 制 ， 对 发 现 并 通 报 所 提 供 网 络 产 品 安 全 漏 洞 的 组 织 或 者 个 人 给 予 奖 励 。 3 6 0 漏 洞 云 产 品 线 负 责 人 胡 晓 娜 表 示 ， 目 前 国 内 大 型 的 S R C 平 台 及 漏 洞 响 应 平 台 等 都 具 有 良 好 的 漏 洞 管 理 机 制 ， 但 之 前 也 存 在 某 些 平 台 疏 于 管 理 ， 和 白 帽 子 产 生 非 良 性 沟 通 。 而 《 规 定 》 的 颁 布 则 给 行 业 划 定 了 一 道 标 准 ， 能 更 好 地 引 导 及 约 束 行 业 健 康 发 展 。 图 / 3 6 0 漏 洞 云 产 品 线 负 责 人 胡 晓 娜 介 绍 企 业 漏 洞 管 理 能 力 现 状 而 《 规 定 》 要 求 对 S R C 平 台 进 行 备 案 管 理 ， 在 她 看 来 也 是 利 好 因 素 。 她 表 示 ， 备 案 管 理 是 为 了 平 台 的 规 范 化 和 标 准 化 。 今 年 两 会 上 ， 周 鸿 祎 也 曾 建 议 建 立 漏 洞 管 理 全 流 程 监 督 处 罚 制 度 ， 及 时 发 现 未 修 复 漏 洞 的 行 为 ， 并 追 究 相 关 责 任 ； 强 制 执 行 重 要 信 息 系 统 上 线 前 漏 洞 检 测 ， 尽 量 在 源 头 上 堵 住 漏 洞 。 安 全 即 基 础 设 施 ， 拥 抱 漏 洞 管 理 能 力 开 放 安 全 即 基 础 设 施 ， 拥 抱 漏 洞 管 理 能 力 开 放 网 络 环 境 不 断 变 化 ， 网 络 安 全 威 胁 也 随 之 不 断 升 级 。 今 年 上 半 年 ， 全 球 范 围 内 供 应 链 攻 击 、 勒 索 攻 击 、 工 控 设 备 攻 击
等 事 件 接 连 发 生 。 根 据 多 年 深 耕 网 络 安 全 行 业 的 经 验 ， 3 6 0 意 识 到 ， 堆 砌 碎 片 化 产 品 不 能 解 决 不 断 变 化 的 安 全 问 题 。 面 对 上 述 威 胁 ， 体 面 对 上 述 威 胁 ， 体 系 化 建 设 安 全 能 力 ， 将 安 全 基 础 设 施 化 是 安 全 发 展 重 要 趋 势 。 系 化 建 设 安 全 能 力 ， 将 安 全 基 础 设 施 化 是 安 全 发 展 重 要 趋 势 。 2 0 1 9 年 1 0 月 ， 3 6 0 上 线 了 通 用 漏 洞 收 集 平 台 3 6 0 B u g C l o u d ， 自 上 线 以 来 ， 平 台 收 录 的 开 源 通 用 组 件 高 危 严 重 漏 洞 占 比 9 8 % ， 成 功 守 护 了 上 千 万 终 端 ， 涉 及 政 府 、 企 、 事 业 等 上 百 余 家 单 位 ， 覆 盖 能 源 、 金 融 、 交 通 、 医 疗 、 电 信 、 教 育 等 众 多 关 键 行 业 领 域 。 2 0 2 0 年 ， 3 6 0 B u g C l o u d 发 放 了 2 6 0 0 万 元 漏 洞 赏 金 用 以 征 集 漏 洞 。 作 为 一 家 企 业 发 起 的 漏 洞 平 台 ， 这 个 数 字 很 可 观 ， 毕 竟 做 通 用 型 漏 洞 收 集 几 乎 无 利 可 图 。 图 / 3 6 0 漏 洞 云 安 全 众 测 平 台 2 0 2 0 年 度 精 英 白 帽 将 漏 洞 管 理 能 力 安 全 基 础 设 施 化 是 3 6 0 一 直 坚 持 的 事 情 。 在 漏 洞 管 理 政 策 的 号 召 下 ， 3 6 0 政 企 安 全 集 团 积 极 响 应 ， 胡 晓 娜 在 大 会 现 场 介 绍 并 发 布 了 “ 企 业 专 属 S R C 的 公 益 活 动   ” 。 该 计 划 一 是 将 3 6 0 政 企 安 全 集 团 成 熟 的 漏 洞 响 应 平 台 系 统 免 费 提 供 给 广 大 企 业 厂 商 ， 让 厂 商 快 速 建 成 属 于 自 己 的 对 外 漏 洞 收 集 入 口 渠 道 。 二 是 同 时 面 向 所 有 厂 商 开 源 了 3 6 0 的 白 帽 子 技 术 生 态 并 提 供 免 费 的 漏 洞 专 家 运 营 服 务 。
图 / 3 6 0 漏 洞 云 产 品 线 负 责 人 胡 晓 娜 宣 布 企 业 专 属 S R C 公 益 活 动 此 次 公 益 上 线 彰 显 了 3 6 0 政 企 安 全 集 团 作 为 数 字 经 济 守 护 者 的 社 会 责 任 感 ， 其 背 后 更 根 本 的 支 撑 则 是 使 命 ， 即 为 广 大 政 企 单 位 打 造 新 一 代 安 全 能 力 框 架 ， 帮 其 建 设 漏 洞 发 现 、 漏 洞 管 理 等 各 类 安 全 基 础 设 施 ， 建 立 起 一 套 能 力 完 备 、 可 运 营 、 可 成 长 、 可 输 出 的 安 全 体 系 。 同 时 ， 3 6 0 还 将 通 过 提 供 漏 洞 运 营 等 多 种 安 全 服 务 ， 使 企 业 自 身 的 安 全 能 力 得 到 不 断 进 化 ， 以 应 对 动 态 的 安 全 威 胁 。 正 如 周 鸿 祎 所 说 ， 今 天 我 们 面 临 共 同 的 威 胁 或 者 共 同 的 责 任 ， 就 是 保 护 中 国 的 国 家 网 络 不 被 入 侵 ， 不 被 攻 击 ， 保 护 中 国 的 数 字 经 济 和 数 字 中 国 的 建 设 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理