站长之家 - 业界 2021-12-24 14:45

Log4j威胁加剧 美国土安全部宣布拓展HackDHS漏洞赏金计划

为鼓励安全研究人员积极向官方提交漏洞报告,美国国土安全部(DHS)发起了 #HackDHS 漏洞赏金计划。不过随着 Log4j 威胁的加剧,美国网络安全与基础设施安全局(CISA)的 Jen Easterly,又于 Twitter 上宣布了 #HackDHS 项目的更新。

1.png

(via HotHardware)

起初大家只是将“Log4shell”当做《我的世界》这款游戏中的聊天恶作剧,但这个安全漏洞迅速散播到了世界各地。

作为美国国防部(DHS)下属的一个下属机构,CISA 正在对相关漏洞利用保持高度密切关注。微软等科技巨头更是指出,全球许多有深厚背景的黑客,都在积极利用 Log4shell 漏洞。

在 Log4shell 漏洞公开披露数日后,DHS 就在上周设立了 #HackDHS 计划,以期更好地应对相关事件。

与许多私营企业的漏洞赏金计划不同,#HackDHS 并不是一个完全向公众敞开的计划,而是希望吸引更多通过审核的网络安全研究人员加盟。

贯穿整个 2022 年,#HackDHS 将分三个阶段进行。在第一阶段,安全研究人员将对某些 DHS 外部系统展开虚拟评估。

到第二阶段,他们将参与现场、面对面的黑客活动。最后的第三阶段,DHS 将识别和审查数据,并规划未来的漏洞赏金计划。

2.png

(传送门:Apache Log4j 漏洞指南)

本周三,CISA 主管 Jen Easterly 在推特上发布了更新后的消息。本质上,相关事项只是作为 #HackDHS 漏洞赏金计划的一个补充。

尽管围绕 Log4j 的主要漏洞已经实施了两轮修复,但由于早期补丁本身也存在缺陷、许多 Log4j 应用程序未得到及时更新、且总有些系统未获得正确修补,后续还有一系列考验正在路上。

至于 #HackDHS 计划的资质,首先你得被 DHS 挑中才有机会参与。后若顺利找到一个漏洞,即可获得 5000 美元的奖励。

DHS 方面将在缺陷曝光 48 小时内予以验证,并努力在 15 天内完成修复。但若漏洞更加复杂且严重,DHS 也可能需要耗费更长的时间。

相关话题

推荐关键词

24小时热搜

查看更多内容

大家正在看

京东拍卖618活动正式开启