搜索

[3532] 2017-02-09_美国总务管理局计划通过承包启动漏洞悬赏计划

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2017-02-09_美国总务管理局计划通过承包启动漏洞悬赏计划 美 国 总 务 管 理 局 计 划 通 过 承 包 启 动 漏 洞 悬 赏 计 划 原 创   E 安 全   E 安 全   2 0 1 7 - 0 2 - 0 9 E 安 全 2 月 9 日 讯   美 国 总 务 管 理 局 （ U . S .   G e n e r a l   S e r v i c e s   A d m i n i s t r a t i o n ， G S A ） 跟 随 联 邦 政 府 机 构 的 大 潮 流 ， 招 募 白 帽 子 黑 客 寻 找 漏 洞 ， 以 此 提 高 系 统 安 全 性 。 今 年 早 些 时 候 ， G S A 的 技 术 改 革 服 务 部 （ T e c h n o l o g y   T r a n s f o r m a t i o n   S e r v i c e ， T T S ） 在 开 源 G i t H u b 项 目 上 发 布 草 案 征 集 ， 期 望 潜 在 的 资 深 厂 商 帮 助 G S A 建 立 自 己 的 漏 洞 悬 赏 计 划 。 T T S 要 求 有 关 各 方 1 月 3 0 日 之 前 提 供 反 馈 意 见 。 漏 洞 悬 赏 的 概 念 非 常 简 单 ： 雇 用 或 未 发 现 漏 洞 的 白 帽 子 黑 客 给 予 奖 励 。 这 是 众 包 网 络 安 全 概 念 ， 只 是 方 式 更 正 式 、 更 可 信 。 漏 洞 悬 赏 的 概 念 非 常 简 单 ： 雇 用 或 未 发 现 漏 洞 的 白 帽 子 黑 客 给 予 奖 励 。 这 是 众 包 网 络 安 全 概 念 ， 只 是 方 式 更 正 式 、 更 可 信 。 漏 洞 悬 赏 计 划   —   要 求 安 全 研 究 人 员 寻 找 组 织 机 构 网 络 或 系 统 内 部 的 漏 洞 ， 机 构 给 予 相 应 的 奖 励 。 自 美 国 国 防 部 和 美 国 陆 军 取 得 初 步 成 功 后 ， 该 计 划 在 联 邦 政 府 机 构 中 日 益 兴 起 。 草 案 征 集 的 执 行 工 作 说 明 （ P e r f o r m a n c e   W o r k   S t a t e m e n t ， P W S ） 指 出 ， “ 作 为 关 注 安 全 的 重 要 组 成 部 分 ， T T S 需 要 采 购 预 先 存 在 的 商 业 漏 需 要 采 购 预 先 存 在 的 商 业 漏 洞 悬 赏 洞 悬 赏 S a a s （ 软 件 即 服 务 ） 平 台 服 务 ， 从 而 启 动 并 管 理 （ 软 件 即 服 务 ） 平 台 服 务 ， 从 而 启 动 并 管 理 T T S 漏 洞 悬 赏 计 划 漏 洞 悬 赏 计 划 ” 。 G S A   —   尤 其 1 8 F 数 字 服 务 团 队 ， 相 当 长 时 间 以 来 ， 一 直 有 建 立 漏 洞 悬 赏 计 划 的 想 法 。 1 8 F 团 队 早 在 2 0 1 6 年 早 些 时 候 就 开 始 研 究 漏 洞 悬 赏 试 点 ， 以 此 为 其 它 机 构 提 供 服 务 ， 但 具 体 项 目 似 乎 仍 处 于 初 期 规 划 阶 段 。 根 据 这 份 悬 赏 计 划 ， T T S 将 借 助 承 包 商 的 帮 助 ， 邀 请 研 究 人 员 寻 找 T T S   W e b 应 用 程 序 的 漏 洞 。 承 包 商 还 需 对 报 告 的 漏 洞 进 行 分 类 ， 为 发 现 有
效 漏 洞 的 研 究 人 员 支 付 奖 金 ， 并 解 释 驳 回 的 原 因 。 G S A 在 G i t H u b 上 提 供 建 议 价 格 ： 低 危 漏 洞 3 0 0 美 元 ， 中 危 漏 洞 1 0 0 0 美 元 ， 高 危 漏 洞 5 0 0 0 美 元 。 合 同 为 固 定 价 格 合 同 ， 基 础 期 限 为 3 个 月 ， 预 计 每 个 月 的 奖 金 支 出 ： 6 个 有 效 低 危 漏 洞 、 1 个 有 效 中 危 漏 洞 和 1 个 高 效 高 危 漏 洞 。 G S A 表 示 ， 合 同 另 外 还 有 2 个 为 期 3 个 月 的 选 择 期 。 另 外 ， 感 兴 趣 的 承 包 商 向 G S A 提 供 使 用 其 悬 赏 平 台 的 报 价 。 T T S 基 本 上 会 指 定 较 大 的 资 深 漏 洞 悬 赏 厂 商 ， 这 样 的 厂 商 已 经 建 立 了 安 全 研 究 人 员 库 ， 有 利 于 发 现 更 多 的 漏 洞 。   草 案 执 行 工 作 说 明 指 出 ， 考 虑 到 漏 洞 悬 赏 计 划 的 特 性 ， 提 供 漏 洞 悬 赏 S a a S 平 台 （ B u g   B o u n t y   S a a S   P l a t f o r m ， 能 实 现 T T S 的 目 标 ， 并 为 政 府 带 来 最 大 价 值 ） 的 承 包 商 必 须 具 有 良 好 的 信 誉 。 漏 洞 悬 赏 S a a S 平 台 的 提 供 商 越 知 名 ， 在 业 界 拥 有 的 安 全 研 究 人 才 就 越 多 。 漏 洞 悬 赏 S a a S 平 台 提 供 商 网 络 的 安 全 研 究 人 员 群 体 越 大 ， 在 T T S   W e b 应 用 程 序 上 发 现 漏 洞 和 技 术 问 题 的 机 率 就 越 大 。 G S A 表 示 ， 已 经 开 始 审 批 行 业 内 三 大 知 名 承 包 商 。 大 量 漏 洞 悬 赏 平 台 公 司 近 年 不 断 发 展 壮 大 ， 例 如 H a c k e r O n e （ 运 作 国 防 部 和 美 国 陆 军 的 项 目 ） 、 S y n a c k 和 B u g c r o w d ， 但 G S A 未 表 明 联 系 了 哪 家 公 司 。 H a c k e r O n e 是 唯 一 一 家 在 该 G i t H u b 项 目 上 公 开 提 交 问 题 的 公 司 。 H a c k e r O n e 的 首 席 技 术 官 A l e x   R i c e   指 出 ， T T S 正 在 展 现 最 佳 做 法 ， 其 它 联 邦 政 府 的 机 构 可 能 轻 松 如 法 炮 制 ， 从 发 布 漏 洞 披 露 政 策 开 始 。 R i c e 表 示 ，   “ 一 旦 完 成 了 其 中 一 个 漏 洞 披 露 计 划 ， 漏 洞 悬 赏 项 目 便 能 以 相 对 简 易 的 程 序 进 行 。 T T S 本 质 上 是 在 构 建 蓝 图 ， 供 其 他 人 实 施 这 些 项 目 提 供 向 导 。 ” R i c e 指 出 ， 此 外 ， T T S 在 G i t H u b 上 公 开 采 购 ， 并 给 予 最 大 程 度 的 灵 活 性 ， 这 是 在 构 建 人 性 化 模 式 ， 供 合 作 机 构 获 取 、 调 整 并 实 施 计 划 ， 以 满 足 自 身 需 求 。 R i c e 还 表 示 ， “ T T S 是 先 驱 ， 通 过 联 邦 承 包 的 方 式 开 辟 新 天 地 。 1 8 F 和 国 防 部 的 经 验 教 训 使 得 这 些 项 目 可 为 每 个 政 府 机 构 所 用 。 因 此 ， 我 认 为 联 邦 政 府 其 它 机 构 （ 尤 其 具 有 与 采 购 相 关 总 开 销 的 机 构 ） 很 快 会 加 以 重 复 利 用 ， 并 会 利 用 现 有 的 好 处 。 相 比 更 传 统 的 方 法 ， 政 府 将 进 一 步 强 化 众 包 安 全 的 成 本 节 约 方 式 。 ” R i c e 认 为 ， 就 像 1 8 F 和 T T S 开 发 的 其 它 许 多 项 目 一 样 ， 该 漏 洞 悬 赏 计 划 最 开 始 也 许 只 是 单 从 机 构 利 益 出 发 ， 但 其 真 正 的 价 值 是 作 为 其 它 美 国 政 府 机 构 的 P o C 。 他 表 示 ， 真 正 的 好 处 是 ， 它 会 带 来 可 重 复 的 过 程 ， 几 乎 任 何 机 构 都 能 通 过 承 包 的 方 式 实 施 这 样 的 计 划 。 这 项 提 议 的 深 意 在 于 ， 如 果 经 历 了 该 过 程 ， 没 有 必 要 重 复 执 行 这 项 工 作 。 ” T T S 预 计 将 在 4 月 6 日 左 右 确 定 承 包 商 。 获 批 的 承 包 商 将 在 1 0 天 内 开 始 实 施 计 划 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理