***和服務商雙雙受益，而用戶是大的受害者

成都網絡公司-成都網站建設公司成都創(chuàng)新互聯(lián)十載經驗成就非凡，專業(yè)從事網站設計制作、成都做網站，成都網頁設計，成都網頁制作，軟文發(fā)稿，廣告投放等。十載來已成功提供全面的成都網站建設方案，打造行業(yè)特色的成都網站建設案例，建站熱線：13518219792，我們期待您的來電！

大多數(shù)“白帽子”安全工程師都受到一種社會責任感的驅動，使得他們一旦發(fā)現(xiàn)漏洞，就想立刻大聲告訴所有人。

在整個網絡安全行業(yè)，無論是新發(fā)現(xiàn)的漏洞還是不斷演變的網絡威脅，我們信奉的理念都是快速共享信息，目的是促使受影響的服務提供商（硬件或軟件）立即采取行動，及時修復漏洞。

而當我們從拉長時間線，從宏觀上來看漏洞披露的影響，會發(fā)現(xiàn)它是一枚雙刃劍——“及時修復”與“惡意利用”在博弈。

過早公布漏洞不是一件好事

披露漏洞的途徑有很多，消息往往以迅雷不及掩耳之勢傳播。對先前未知的問題進行過早的“全面披露”會催生邪惡力量的萌芽——***通常比服務提供商的IT團隊行動更快。

一個著名的例子就是Mirai僵尸網絡，該僵尸網絡在2016年***了美國的聯(lián)網設備，使美國多個城市的互聯(lián)網癱瘓。實際上最初，它是用于對Telnet的嵌入式監(jiān)聽設備進行暴力***。后來，Mirai源代碼被發(fā)布到開源社區(qū)，產生了模仿版本，用于對通過Secure Shell（SSH）的監(jiān)聽硬件進行暴力***。為了提高***率，這些***利用了安全性較弱的物聯(lián)網（IoT）設備中的多種漏洞。

如今，Mirai變體仍然對嵌入式Linux系統(tǒng)構成持續(xù)不斷的威脅。下圖展示了Mirai所帶來的威脅走勢。直到2019年6月，Mirai的變體仍然持續(xù)出現(xiàn)。

Mirai于2016年首次被發(fā)現(xiàn)，2018年的活動再次激增。（來源：Ixia《2019安全報告》）

先爭取時間修復漏洞

最佳的方法是在幕后進行負責任的披露。在指定的時間段（通常為90或120天）之后發(fā)布公告，從而使受影響的服務提供商有足夠時間來開發(fā)有效的補丁或修復程序，并將其提供給客戶。

舉一個正面的例子，Drupalgeddon是一個SQL注入漏洞，它針對免費的開源Drupal內容管理框架。2018年，一位研究人員發(fā)現(xiàn)了該漏洞的兩個類似的高危變體，分別為Drupalgeddon 2和3。他負責任地將該漏洞私下告知服務提供商，讓他們有時間在漏洞利用細節(jié)公開之前開發(fā)并發(fā)布補丁。

修復補丁發(fā)布后，研究人員于2018年4月12日至25日公布了漏洞利用的細節(jié)。下圖展示了該漏洞的威脅趨勢，可以看到，漏洞利用的威脅在2018年4月和5月激增，但隨后，迅速消退直至平息，主要原因是及時的補丁修復流程減少了可用目標的數(shù)量。

在2018年4月和5月遭受數(shù)千次***后，Drupalgeddon 2和3的威脅迅速消退。 （來源：Ixia《2019安全報告》）

守護共同的利益

為了促進信息共享，全球互聯(lián)網涌現(xiàn)了各種“開放”的IT專業(yè)人員社區(qū)。許多知名的開放社區(qū)都是零門檻的，可想而知***肯定也埋伏在其中，這就是漏洞被公開后的幾天或幾周內，***活動就會激增的原因。

對服務提供商來說，較安全的方法是組建有嚴格準入制度的封閉社區(qū)，對所有潛在成員進行審查。其他受信任的方法還有漏洞賞金計劃、可信眾測、國家級漏洞庫等。一個相互信任的平臺機制可以成為獲取時間，降低風險和預防下一波***的最佳方法。

公布漏洞的準確時機

在我國，對于公布網絡安全漏洞、發(fā)布網絡安全威脅信息，都有明確的時間規(guī)定（目前在征求意見階段）。

結合工信部2019年6月18日發(fā)布的《網絡安全漏洞管理規(guī)定（征求意見稿）》和網信辦2019年11月20日發(fā)布的《網絡安全威脅信息發(fā)布管理辦法（征求意見稿）》，我們可以梳理出一條從漏洞發(fā)現(xiàn)、漏洞修復到漏洞公布的標準時間線：

本文由安數(shù)網絡編譯整理，轉載請注明出處。

及時掌握網絡安全態(tài)勢 ?盡在傻蛋聯(lián)網設備搜索系統(tǒng)

另外有需要云服務器可以了解下創(chuàng)新互聯(lián)建站www.cdcxhl.com，海內外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。