摘要 : 之所以黑客大行其道,主要还是利益相关,如果在将来,能够让白帽子的收入达到甚至超过黑客,对于整个网络安全环境都是一件功德无量的事情。
数据显示,2013年,国内有超过95%的网站存在安全漏洞,40%的网站被植入后门,这些数据表明,几乎所有网站都可能有漏洞,这个问题是长期存在的。为了保护网站安全,部分大公司建立了SRC(安全应急响应中心),能够发动全网白帽子为企业提交漏洞。但是,大部分企业没有建立SRC。但这些企业对安全隐患是心知肚明的,它们当然不想问题暴露,所以问题的关键在于,企业如何与发现漏洞的白帽子进行沟通。之所以还会出现类似携程、智联招聘等公司的问题,主要有两个原因。
第一,白帽子发现漏洞后递交时存在顾虑。360网站安全总监赵武表示,刑法修正案有一项规定,如果安全人员获取了敏感信息或提供了安全工具,有可能触犯刑法。所以,当白帽子找到了网站的漏洞,由于涉嫌触犯刑法,白帽子会考虑要不要告诉企业。而此前,有过这样的案例,当白帽子告知企业网站存在漏洞时,厂商直接报警抓人。因此,白帽子不敢将漏洞报告给企业,隐患最终爆发也就很常见了。
第二,企业对漏洞的定义存在误区。即便企业能够接受白帽子提供的漏洞,在赵武看来,双方对漏洞严重程度的评估存在分歧。对企业来说,某个漏洞也许不涉及核心部分,也就不严重。但在技术人员看来,这一漏洞存在很大的隐患,通过此漏洞侵入网站核心部分是很容易的。双方在定级方面存在分歧,一旦谈不拢,漏洞很有可能会被曝光。
综上所述,如果没有SRC,企业与白帽子沟通起来是很困难的,对双方来说,都存在一定的风险,需要有一个中间方协调二者的关系。
平台作用:让技术语言与商业语言契合
在赵武看来,如果能像大企业一样,为其他企业建立SRC,有两个优点,一是能够让企业变被动为主动,主动发现网站的漏洞;二是有助有建立长效机制,保证企业避免受到攻击。在这种情况下,360成立了补天平台。
补天平台主要的作用是帮助企业建立SRC(安全应急响应中心),建立起厂商与白帽子之间的桥梁,最大程度避免企业由于安全漏洞遭受损失,让白帽子获得收益。在赵武看来,这样可以保证白帽子与企业的利益。
第一,白帽子能够获得收益,增加动力。补天平台可以建立一个有效的机制,企业为白帽子找到的漏洞支付报酬,发现漏洞的白帽子则将获得与辛劳相匹配的物质奖励,这样一来,白帽子就会更有动力。据赵武透露,有白帽子通过找漏洞,一个周可以拿到几千块钱,这对白帽子来说是一个相当大的激励。如果白帽子与企业对漏洞的定性依然存在问题,那么补天平台会作为调停方进行协调,平台的作用就发挥了出来。
第二,漏洞不会公开,防止被竞争对手利用。将漏洞毫无保留地公布,很有可能会被竞争对手和黑客利用,导致企业遭受到舆论压力,面临更大的被攻击的风险。而在补天平台上,除了漏洞发现者和相关企业之外,所有其他人员均不能看到漏洞相关细节,企业便可以安心修补漏洞。
综合来看,补天平台能够兼顾网站站长、白帽子和第三方建站程序厂商的共同利益。便可以让技术的“驴唇”和商业的“马嘴”对上。
写在最后:
携程、智联招聘等网站是无辜的,因为没有百分之百的安全,总会不断有漏洞出现。关键在于这个漏洞是被谁发现的,如何协调的。如果协调地顺利,事情便不会发酵,企业利益也就能够保障。
关于网络安全,赵武表示,“希望能让白帽子将爱好变成职业”。目前来看,之所以黑客大行其道,主要还是利益相关,如果在将来,能够让白帽子的收入达到甚至超过黑客,对于整个网络安全环境都是一件功德无量的事情。
联系客服