新闻资讯

360发布“安全漏洞”双报告 政产学研发声力挺“白帽黑客”

字号+ 作者: 来源: 2021-04-03 10:38:37

  特斯拉上海超级工厂监控系统遭入侵、骗子破解人脸识别系统虚开5亿发票、视频会议工具Zoom频曝安全漏洞……随着数字时代的加速到来,漏洞的危害性与日俱增。数据显示,平均每一千行代码中就存在着4-6个漏洞,而软件系统越复杂,漏洞就会越多。   发现和修补...

  特斯拉上海超级工厂监控系统遭入侵、骗子破解人脸识别系统虚开5亿发票、视频会议工具Zoom频曝安全漏洞……随着数字时代的加速到来,漏洞的危害性与日俱增。数据显示,平均每一千行代码中就存在着4-6个漏洞,而软件系统越复杂,漏洞就会越多。

  发现和修补无处不在的安全漏洞,不仅需要企业的意识及行动,国家级漏洞管理平台的响应与担当,更需要广发民间技术力量的支撑与参与,发挥好白帽子群体和漏洞社会化第三方平台的价值。今年两会期间,全国政协委员,360集团创始人、董事长周鸿祎就提案呼吁为白帽黑客正名,提供一系列激励政策,吸引他们为网络强国建设做贡献。

  3月31日, 由360集团举办的“盘今圆桌会”第1期正式召开,会议聚焦“白帽子职业规划与漏洞生态治理”,汇集了来自公安部第三研究所、西安交通大学苏州信息安全法学所、北京市朝阳区人民检察院、中国信息安全测评中心、中国信息安全法律大会专委会等机构多位专家学者献计献策。

  360集团联合西交苏州信息安全法学所在会上发布了《白帽子安全漏洞挖掘与披露行为规范研究》和《安全漏洞生态治理的法治保障研究》两份报告,基于国内外现状,立足行业痛点,给出诸多设计构想,以推动行业生态建设。

  漏洞生态治理需要民间力量 白帽黑客成“关键先生”

  所谓“盘今”,就是要盘点当今网络安全法治建设现状,盘理当前法治实践的攸关问题,盘清未来我国安全法治实践的趋势与进路。据360集团副总裁、总法务顾问张伟介绍,“盘今”首期活动直切网络安全“人的因素”,可谓要害。

360集团副总裁、总法务顾问张伟

  据了解,在新技术、新模式、新产业的推动下,数字经济迅速发展。但不能否认的是,网络安全问题也日益突出,并为社会平稳运行提出新的挑战。

  “从研究角度上看,安全漏洞是网络空间系统构建的必然结果,缺陷是安全漏洞第一位的特质。”针对漏洞乱象和治理建议,公安部第三研究所信息安全法律研究中心主任、研究员黄道丽这样表示。

  在黄道丽看来,“漏洞乱象”不仅与安全漏洞本身多重属性相关,还叠加、迭代着多重利益主体诉求、多重治理理念。因此,应建立以挖掘为起点的全周期,以发掘者、平台、厂商,直到监管为主体的治理架构,形成披露、限制与禁止的一般与例外规则和体系化的治理生态。

公安部第三研究所信息安全法律研究中心主任、研究员黄道丽

  而根据《安全漏洞生态治理的法治保障研究》,由于漏洞披露在漏洞生命周期中处于“由暗转明”的特殊环节,因此应借助市场化的披露主体,收集、披露和修复,乃至实现漏洞利用,把漏洞披露作为顺理成章的治理抓手。

  在漏洞披露这一“抓手环节”,白帽黑客的贡献巨大。360BugCloud是中国首家开源漏洞响应平台,自2019年上线以来,已收到了白帽黑客提交的大量开源高危漏洞,目前累计发放漏洞奖金超5000万,收录的开源通用组件高危严重漏洞占比98%,涉及政府、企业、事业等数百余家单位,覆盖能源、金融、交通、医疗、电信、教育众多关键行业领域,挽救了全球数亿的价值损失。

  360安全大脑漏洞云负责人胡晓娜直言道,作为民间重要的网络安全力量,“白帽子”已经引起行业的重视,其在对抗黑客攻击、完善网络安全环境、提升互联网环境等方面,扮演着更加重要的角色。

  也正如360集团法务中心总监孙艳玲所言,“白帽子个人与群体的存在有其必然性与合理性,如果说漏洞披露是生态治理中最敏捷的抓手,白帽子就是其间最活跃的要素。”

  引导、规范、激励 专家为白帽黑客生态构建开“处方”

  白帽子的合理存在构筑了网络安全的一道重要屏障,但需注意的是,网络空间也非法外之地,要通过规则构筑形成约束边界。

  北京市朝阳区人民检察院参会代表王爱强表示,刑法其实已经预留了相对自由的空间,白帽子应当,也可以做到对自己的手段和工具充分了解,确保知悉每一步的后果,自律其实就是最大的自由。

北京市朝阳区人民检察院参会代表王爱强

  在规则指引上,360集团所发布的《白帽子安全漏洞挖掘与披露行为规范研究》,则首次对白帽子行为的红线和蓝线进行了强调与划分,为白帽子的合法、合规发展提供了正向引导。

  据中国信息安全测评中心助理研究员杨诗雨介绍,鉴于国内外漏洞治理的相关经验,发展国家、社会、企业等多平台“协同”机制,也将为白帽子等主体提供更广阔的发展空间。

中国信息安全测评中心助理研究员杨诗雨

  而有关渗透测试的合法边界,360法律研究院资深研究员马可分析,物联网和人工智能等的发展,会导致渗透测试在进行授权模式建立过程中,不仅需考虑传统的资产测试与保护边界,还将不得不增加考虑人身安全等更为复杂的测试环境。加之,网络安全是个整体,你中有我,我中有他,通过对第三方漏洞平台,以及平台注册白帽子的一系列、多层次的资质认证、认可,最终形成白帽子和漏洞平台的信任机制,可能是一个值得关注和努力的正确方向。

  规范和边界的探寻之外,激励制度和适度容忍空间的赋予同样推动着白帽子正向评价的形成。胡晓娜补充称,做好对“白帽子”群体的扶持和激励,提升整个行业白帽待遇,对构建良性的漏洞生态具有积极的作用。基于此,360集团不断通过多种渠道发声,希望建立可落地,可执行的漏洞标准和管理办法,对行业进行必要引导和规范,从而应对未来更加多元、复杂、严峻的网络空间安全风险。

  今年两会期间,360集团创始人、董事长周鸿祎还带来了一份《关于网安特殊人才认定和激励政策的提案》。他建议,要采取特殊人才认定和激励政策,提高社会对这个群体的理解和认可,也增强他们对国家的认同感,激励他们为网络强国建设做贡献。

  漏洞是个永恒的话题,而漏洞的发现更多要靠人来解决。因此,只有通过对白帽子的正向激励政策和负面行为限定评价,对行业进行必要引导和规范,才能应对未来更加多元、复杂、严峻的网络安全风险。

【编辑:姜雨薇】

转载请注明出处。

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。

相关文章
  • 天坛家具成为北京冬奥会和冬残奥会官方生活家...

  • 励步携手中国日报发起“生而阅读”公益行动,...

  • 双汇携手黄小厨推出“双厨狂喜”海派餐厅 黄...

  • 专利技术助推公益教育 VIPKID星云EI...

  • 助力职业网络赛事发展,高尔夫尊中国网络大赛...

  • 360发布“安全漏洞”双报告 政产学研发声...

  • 快手召开音乐版权生态大会 首推直播间场景音...

  • 复旦大学附属儿科医院联合好大夫在线开展免费...

广告位招租