【导读】伴随人工智能、5G、物联网、大数据、云计算等技术的发展与应用，全球互联网迎“百年未有之”的蓬勃发展大局。与之对应，网络安全也面临着亘古未有的巨大威胁。尤其面对“网络战”硝烟四起的2019年，智库认为：网络安全早已从传统的“合规防御”形式演变成高级别的“攻防对抗”视角。在“攻防对抗”的安全本质中，漏洞以“致命军火武器”之姿成为其核心。可以说，要想迅速崛起成为网络世界强国，赢得第五维空间战场的胜利，就必须拥有对这一“致命军火”——高危漏洞的掌握能力。然而，以往事件型漏洞平台已不能抵御新威胁，一场重塑漏洞平台价值的改革呼之欲出，聚焦开源及通用组件高危及以上尚未被披露的漏洞平台被推向时代浪潮的尖端。
见血封喉，高级黑客威胁不会给防御者反应时间
在探讨漏洞平台前，我们先看看当今，我们正处在一个什么样的网络环境中：
上个星期，印度库丹库拉姆核电站（Kudankulam）被官方证实已遭受朝鲜政府资助的拉撒路（Lazarus）小组（又名APT-C-26）的网络攻击；上个月伊朗炼油厂遭遇大火，疑似为美国对其发动的秘密网络攻击；7月，微软Outlook客户端爆出高危漏洞，全部主流Outlook版本均被影响，危及全球使用者；5月，全球排名前三的安全厂商悉数被黑客组织Fxmsp攻破，源代码遭到泄漏；3月，美国被指利用工控系统漏洞植入恶意软件，向委内瑞拉电力系统发动攻击，致使委全国遭遇“大断电”至暗危机。
时间线再向前移，2017年，勒索软件Wannacry携“永恒之蓝”席卷全球，这次黑客对微软操作系统中高危漏洞的成功利用，创下“漏洞军火”民用化的先例。而最为经典的案例则是名噪天下的“震网病毒”的5个在野0day，它成功令伊朗骄傲的“核计划”化为一纸空谈。
国家级网络攻击频繁打响，石油、电力、能源等关键基础设施成为对手攻击和渗透的主要目标；同时，高危漏洞的爆出，让网络攻击蠕虫般地肆虐全球，让人类网络安全陷入“毁灭级”打击的阴霾里。一旦网络攻击发起，便要见血封喉，从不会给防御者任何反应时间。
而这，就是我们当今所处的网络空间时代。
在这个“网络空间时代里”交火看似风平浪静，但确实发生在流动的代码和字节中。它会以堪比核武器、生化武器的威力，对全球基础设施和各国正常生产、生活造成严重破坏。所以，与传统的网络安全相比，新网络空间时代的内涵和外延正不断扩大，并向网络空间安全全面升级。紧跟这种演进，我们也必须从更高的维度、更广的视角来审视网络安全问题。而这就需要从传统的“合规防御”视角转向高级别的“攻防对抗”上来。
网络“攻防对抗”大幕已开，事件型漏洞平台难抵新威胁
可以说，在这个新网络空间时代里，波澜壮阔的“攻防对抗”早已拉开。高级网络威胁，这把高悬的达摩克利斯之剑似乎随时都会掉落下来。
网络安全的本质是攻防对抗。而漏洞则以“致命军火武器”之姿毫无悬念的成为这场攻防对抗的核心，成为攻防对抗中最为重要的战略资源。
然而，未知攻，焉能知防。所以，面对这一“致命军火武器”，漏洞收录平台显得越发重要。它是与黑客争分夺秒的“中枢神经”，它力争赶在黑客利用漏洞发动攻击之前，收录它并将其制止在“罪恶的萌芽”里；它是防御外敌入侵的第一道屏障；也是国家重要的军事储备力量；它还能在国与国第五维空间战场的复合博弈中，起到军事威慑他国的重要作用。
重塑漏洞平台价值，聚焦接收开源及通用组件漏洞
那么，重塑漏洞平台价值的第一要义：就是告别传统的以事件型漏洞收录为主导，打破任何一个“芝麻大小”的漏洞也接收的“鱼龙混杂”局面，而转向更高级别漏洞的收录，转向能与国家级网络攻防对抗相匹敌的漏洞。
因为针对开源软件的攻击利用，没有哪一个国家或企业能独善其身；也因为数量不等于质量，在野0day漏洞的爆发力足以撼动一个国家的根基。
所以，重塑漏洞平台价值的核心就是要认清：聚焦接收开源及通用组件的漏洞响应平台，即对0day漏洞和1day漏洞收录的重要性。
01 针对开源通用型漏洞的收录
据了解，全球十几亿的设备都安装有开源软件，它们可能是直接使用原生的开源软件，也可能是基于开源软件版本，本身进行二次开发的软件，一旦某个通用型开源漏洞被利用来攻破网络，顷刻间它能影响世界上数亿万设备。
这里有个典型的案例：2014年4月，“心脏滴血”漏洞横空出世，并在互联网界引发了腥风血雨。这个漏洞被曝光的黑客命名为“heartbleed”，意思是“心脏滴血”——代表着最致命的内伤。这是一个加密程序库OpenSSL的安全漏洞。其中，OpenSSL 里存在的致命漏洞——SSL加密是通过开源方式实现的。由于OpenSSL被广泛使用在Web服务器、邮件协议、通讯协议中，所以一时间受影响的用户数量难以估计。同时，利用该漏洞，黑客坐在自家电脑前，就可以实时获取到约30%https开头网址的用户登录账号密码，包括大批网银、购物网站、电子邮件等。据报道，该漏洞致使全球1/3网站核心数据被随意掠夺。
不止于这个案例，可以说，每一个开源通用型漏洞都足以直接造成批量信息泄露，或直接威胁主机安全。
02 针对0day、1day漏洞的收录
国内首家开源漏洞响应平台，360BugCloud严守攻防对抗的核心
回首国内，智库发现，近期国内也上线了一家聚焦接收开源及通用组件的漏洞响应平台——360BugCloud。
作为全国第一家开源漏洞响应平台，该平台致力于维护开源通用软件安全，力争打造以技术为驱动、以安全专家为核心，针对开源通用型高危漏洞进行安全研究及应急响应的组织与平台。
据报道，仅上线第一周，平台就收到来自全球超300个开源高危漏洞。每一个漏洞都足以直接造成批量信息泄露，或直接威胁主机安全。据初步统计，这批漏洞的提交成功守护了上千万终端，其中包括建站系统类511万，框架插件类322万，客户端软件201万等，涉及政府、企、事业等上百余家单位，覆盖能源、金融、交通、医疗、电信、教育众多关键行业领域，挽救了全球数亿的价值损失，共同维护了开源软件及社区平台的安全。
所以，智库今天主张重塑漏洞平台价值，就是希望引发网络安全从业者对开源通用型漏洞，以及0day、1day漏洞的高度重视。此外，智库也期望与全球的安全专家携手共建网络安全新生态，共创21世纪第五维战略空间新纪元，真正实现“协作无界，让世界走在威胁之前”。
来源：国际安全智库
如有侵权请联系:admin#unsafe.sh