行業(yè)動(dòng)態(tài)

Bugcrowd:美國(guó)漏洞披露政策推動(dòng)漏洞提交增長(zhǎng)十倍

來(lái)源:聚銘網(wǎng)絡(luò)    發(fā)布時(shí)間:2022-03-28    瀏覽次數(shù):
 

信息來(lái)源:安全內(nèi)參


Bugcrowd 2021年“Priority One”報(bào)告

2020年9月,美國(guó)各政府機(jī)構(gòu)收到指令制定漏洞披露政策。此后,漏洞報(bào)告激增:2021年前三季度,聯(lián)邦部門有效漏洞提交數(shù)量增加1000%。

過(guò)去兩年來(lái),安全研究人員花費(fèi)更多時(shí)間遠(yuǎn)程工作,分配給研究活動(dòng)的時(shí)間也隨之增加。在2022年1月下旬發(fā)布的年度“Priority One”報(bào)告中,Bugcrowd報(bào)告稱,美國(guó)政府部門已得益于這一趨勢(shì),加之美國(guó)國(guó)土安全部(DHS)第20-01號(hào)約束性操作指令(Binding Operational Directive 20-01)的授權(quán),2021年研究人員提交的漏洞報(bào)告明顯多于上一年。

Bugcrowd創(chuàng)始人兼首席技術(shù)官Casey Ellis表示,指令的反響起初很小,但在2021年猛然加速,暴露出政府機(jī)構(gòu)的巨大攻擊面,以及其基礎(chǔ)設(shè)施中仍舊沒(méi)怎么經(jīng)受測(cè)試的地方。

“我不認(rèn)為政府在漏洞管理方面存在什么特殊的困難。那些歷經(jīng)有機(jī)增長(zhǎng)和無(wú)機(jī)增長(zhǎng)的老牌公司,他們首先發(fā)現(xiàn)的就是自己不知道自家東西都在哪里,而政府也不例外。所有這些因素疊加就促成了這高達(dá)10倍的漏洞報(bào)告數(shù)量增長(zhǎng)——我們現(xiàn)在研究的就是如此巨大的攻擊面?!?

面對(duì)這一問(wèn)題的不單單只有政府部門一家。Bugcrowd的報(bào)告顯示,金融行業(yè)漏洞報(bào)告數(shù)量幾乎翻番,2021年前三季度的有效漏洞報(bào)告增長(zhǎng)了82%。總體上看,Bugcrowd和其他漏洞賞金計(jì)劃,以及獨(dú)立的企業(yè)漏洞賞金,都見(jiàn)證了賞金隨時(shí)間推移而增加,并且研究人員的關(guān)注重點(diǎn)也逐漸轉(zhuǎn)向了最關(guān)鍵的漏洞。

Bugcrowd還看出了漏洞研究中的從眾心理。在公開(kāi)漏洞披露之后,黑客往往扎堆攻克同一類安全問(wèn)題。例如,Log4j漏洞披露就引發(fā)了針對(duì)類似問(wèn)題的平臺(tái)測(cè)試井噴,由此帶來(lái)超過(guò)1200份報(bào)告,其中至少500份是報(bào)給該公司客戶的有效漏洞提交。轉(zhuǎn)而聚焦這一最新重大漏洞為某位研究人員贏得了9萬(wàn)美元的獎(jiǎng)勵(lì)。

Ellis稱:“這種關(guān)注重點(diǎn)轉(zhuǎn)移就好像所有人都在后院聚會(huì)上等人加入一樣。我們看到太多視線聚焦到關(guān)鍵的遠(yuǎn)程訪問(wèn)問(wèn)題上了?!?

優(yōu)先級(jí)為1級(jí)和2級(jí)的問(wèn)題,也就是Bugcrowd漏洞分類中列為關(guān)鍵和高嚴(yán)重性的那些漏洞,占了所有報(bào)告漏洞的24%??缯灸_本和訪問(wèn)控制失效仍舊是研究人員發(fā)現(xiàn)的主要漏洞類型,但敏感數(shù)據(jù)暴露在最常見(jiàn)漏洞排行榜上從2020年的第九位上升到了第三位。

所有行業(yè)的漏洞賞金支出都在增長(zhǎng)。金融服務(wù)行業(yè)向發(fā)現(xiàn)漏洞的研究人員支付的獎(jiǎng)金增長(zhǎng)了一倍多(106%),而軟件公司2021年付出的漏洞賞金比上一年多出了73%。

能夠掙來(lái)賞金的漏洞未必是新漏洞:各家公司都在尋找任何未修復(fù)的漏洞,即使這些漏洞并不算新。Bugcrowd在報(bào)告中稱,從很多方面看,所謂的“N日”漏洞已經(jīng)變得比零日漏洞更為重要。

比如,Log4j漏洞就也算是長(zhǎng)尾安全漏洞,攻擊者未來(lái)也將繼續(xù)利用這個(gè)漏洞。Ellis表示,Log4j安全咨詢觸發(fā)了大量白帽子和黑帽子黑客活動(dòng)。

他聲稱:“在眾人的認(rèn)知中,高端攻擊者向來(lái)與域外隱秘漏洞利用掛鉤,但我認(rèn)為,情況明顯不再總是這樣了。作為攻擊者,無(wú)論你是否官方,你都得證明自己付出的代價(jià)是值得的。在免費(fèi)下載同樣有用的情況下,為什么要燒幾百萬(wàn)美元去搞個(gè)零日漏洞呢?”

新研究對(duì)黑客興趣點(diǎn)的影響,以及其在研究社區(qū)引發(fā)的勢(shì)頭,都值得分析,這樣我們才能找出未來(lái)最有可能被發(fā)現(xiàn)和利用的漏洞類型。

“研究人員和黑客社區(qū)確實(shí)有群體思維——他們互相借鑒,只要嗅到哪里散發(fā)著成功的氣息,就鉚足了勁涌入這個(gè)領(lǐng)域展開(kāi)新的研究。這不過(guò)是理性的經(jīng)濟(jì)學(xué)。他們的目標(biāo)是發(fā)現(xiàn)獨(dú)特的漏洞,然后以之賺錢?!?

Bugcrowd 2021年“Priority One”報(bào)告:

https://www.bugcrowd.com/press-release/bugcrowd-reports-185-increase-in-high-risk-vulnerabilities-within-financial-sector/


 
 

上一篇:FCC將中國(guó)電信、中國(guó)移動(dòng)等公司列入“安全威脅”名單

下一篇:2022年3月28日聚銘安全速遞