“漏洞銀行”羅清籃：“聯(lián)合診斷”開啟無風(fēng)險眾測全新紀(jì)元

　　前言：我個人認(rèn)為未來白帽這個群體的價值只會不斷的增大，因?yàn)樗麄兊拇嬖?，所以可以說明眾測在未來確實(shí)是一種性價比極高的解決方案。--漏洞銀行羅清籃

　　今年足以稱得上是網(wǎng)絡(luò)安全行業(yè)發(fā)展舉足輕重的一年，先有世紀(jì)佳緣袁煒案的影響，再有消息不斷放出說國家正在出臺相應(yīng)的政策。網(wǎng)絡(luò)安全行業(yè)此起彼伏的大事件將"白帽子"推上了風(fēng)口浪尖，原本小眾的群體在極短的時間內(nèi)占據(jù)了大眾的視線，成為了網(wǎng)絡(luò)安全行業(yè)最先品嘗到變革陣痛的一群人。

　　面對此種現(xiàn)實(shí)，羅清籃和漏洞銀行創(chuàng)造性地提出"聯(lián)合診斷"的理念，悍然在輿論的中心為白帽子開辟出一條通向未來的道路。

　　優(yōu)秀的舶來品：眾測

　　安全眾測是基于眾包概念提出的安全測試模式，即讓白帽子參與企業(yè)的安全測試。最早起源于美國，目前已經(jīng)十分成熟。HackerOne（美國的眾測平臺）在前幾個月剛剛與五角大樓舉辦了一場1400名白帽子參與的攻陷五角大樓活動HackthePentagon），只花了15萬美元左右的獎金，就幫助五角大樓發(fā)現(xiàn)了1189個薄弱環(huán)節(jié)和138個高危漏洞。低投入和高收益無疑是安全眾測最為引人注目的優(yōu)勢。

　　五角大樓的官方發(fā)言人國防部長阿什頓·卡特曾表示，安全眾測比雇傭承包商來做好得多，也比出事后再發(fā)現(xiàn)好得多。如果按照通常做法，五角大樓雇傭承包商的花費(fèi)將超過100萬美元。

　　據(jù)此羅清籃斷言：未來白帽這個群體的價值只會不斷的增大，因?yàn)樗麄兊拇嬖?，所以可以說明眾測在未來確實(shí)是一種性價比極高的解決方案。

　　國內(nèi)：水土不服的模式

　　然而，"眾測"這個在美國運(yùn)行良好的檢測模式，在中國市場卻陷入了水土不服的狀況。究其原因，是現(xiàn)在安全行業(yè)對白帽是否有權(quán)進(jìn)入未測試授權(quán)的系統(tǒng)存在爭議。同時中國企業(yè)擔(dān)心，個別白帽在進(jìn)行測試時夾帶"私貨"--對發(fā)現(xiàn)的漏洞有所隱瞞，以期更大的收益。

　　羅清籃認(rèn)為，企業(yè)之所以存在這樣的顧慮，最核心的問題在于企業(yè)對白帽行為缺乏辨識能力。企業(yè)沒有能力去辨別白帽在測試過程中到底做了什么，白帽的行為對他們來說是未知的。這種未知直接導(dǎo)致企業(yè)認(rèn)定白帽群體是有害的。

　　曙光："聯(lián)合診斷"的提出

　　為打消企業(yè)的顧慮，在漏洞銀行推出的眾測模式里，羅清籃創(chuàng)造性地構(gòu)建出"聯(lián)合診斷"的眾測模式。

　　羅清籃說：不同于傳統(tǒng)的企業(yè)--白帽雙邊對接的眾測模式，"聯(lián)合診斷"模式引入了安全專家這一方。

　　漏洞銀行在企業(yè)發(fā)起眾測的時候，不是單純讓白帽進(jìn)行測試，白帽需要把自己的IP或設(shè)備指紋在漏洞銀行數(shù)據(jù)庫進(jìn)行備案，企業(yè)可以把自己的日志提交給漏洞銀行專家方進(jìn)行審計，這樣白帽所有的行為都被誠實(shí)記錄。把安全專家引入后，白帽的行為得到了有效的辨識，也就意味著企業(yè)、白帽、安全專家三位一體的共同督促。

　　這種概念的提出，是漏洞銀行團(tuán)隊在開展企業(yè)服務(wù)的過程中，慢慢總結(jié)出來的經(jīng)驗(yàn)。類似這種技術(shù)其實(shí)還有很多，漏洞銀行希望在一些技術(shù)手段的努力下，能夠讓白帽這個群體重新站在陽光下，也讓更多的企業(yè)真正意識到眾測的價值。

　　盡管眾測模式在國內(nèi)才剛剛起步，但羅清籃和漏洞銀行相信，隨著互聯(lián)網(wǎng)安全的崛起，白帽這個群體將逐漸被大眾認(rèn)可和接受。漏洞銀行將永遠(yuǎn)行走在為企業(yè)和白帽創(chuàng)造價值的道路上，為網(wǎng)絡(luò)安全行業(yè)的發(fā)展奮斗終生。

　　版權(quán)及免責(zé)聲明：凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章，不代表本網(wǎng)觀點(diǎn)和立場。版權(quán)事宜請聯(lián)系：010-65363056。

延伸閱讀