建站
咨詢
售后
建站咨詢
新聞中心
英國國家網(wǎng)絡(luò)安全中心(NCSC)發(fā)布了一項(xiàng)指南——“漏洞披露工具包”，以幫助公司實(shí)施漏洞披露流程或在已建立漏洞披露流程的情況下進(jìn)行改進(jìn)。該指南強(qiáng)調(diào)，各種規(guī)模的組織都需要為鼓勵(lì)負(fù)責(zé)任的漏洞披露。
在濱湖等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強(qiáng)發(fā)展的系統(tǒng)性、市場(chǎng)前瞻性、產(chǎn)品創(chuàng)新能力，以專注、極致的服務(wù)理念，為客戶提供網(wǎng)站設(shè)計(jì)、成都網(wǎng)站制作 網(wǎng)站設(shè)計(jì)制作按需設(shè)計(jì),公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),成都品牌網(wǎng)站建設(shè),成都全網(wǎng)營銷推廣,成都外貿(mào)網(wǎng)站制作,濱湖網(wǎng)站建設(shè)費(fèi)用合理。
這份指南并不是讓漏洞披露更容易，而是提供了更好的流程建議及必要信息。
如今，大多數(shù)網(wǎng)絡(luò)攻擊持續(xù)發(fā)生，同時(shí)研究人員也在不斷發(fā)現(xiàn)新的安全漏洞風(fēng)險(xiǎn)，所以，漏洞披露程序非常有必要。
不過，現(xiàn)狀是，披露這些問題可能特別困難。因?yàn)樵诙鄶?shù)情況下，需要花費(fèi)大量精力來尋找可以采取相關(guān)措施的聯(lián)系人。NCSC表示，人們希望能夠直接向負(fù)責(zé)的主體報(bào)告發(fā)現(xiàn)的漏洞。
該指南的內(nèi)容包括：如何將外部漏洞信息定向給到合適的人;此外該指南遵循明確的標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)定義了公認(rèn)的關(guān)閉漏洞的框架。
NCSC建議設(shè)置易于查找的專用聯(lián)系人(電子郵件地址或安全的Web表單)。這可以通過security.txt輕松完成，該文件是發(fā)布在域根目錄/.well-known目錄中的純文本文件。security.txt可以存儲(chǔ)覆蓋公司的安全聯(lián)系人和漏洞披露政策，也可以鏈接到這些信息。
確認(rèn)并非網(wǎng)絡(luò)釣魚的情況下，企業(yè)應(yīng)該及時(shí)響應(yīng)未經(jīng)請(qǐng)求的漏洞披露做出響應(yīng)，可以與他們互動(dòng)或者表示感謝等。一家減少其基礎(chǔ)結(jié)構(gòu)中漏洞數(shù)量的公司，可以提供更安全的產(chǎn)品和服務(wù)，并降低成為網(wǎng)絡(luò)攻擊受害者的風(fēng)險(xiǎn)。
此外，NCSC建議企業(yè)避免強(qiáng)迫漏洞披露者簽署保密協(xié)議，“因?yàn)閭€(gè)人只是想確保漏洞已得到修復(fù)?！彼?，讓研究人員了解漏洞的處理進(jìn)展也很重要，這表明對(duì)漏洞披露的透明及贊賞。這樣做的另一個(gè)好處是，可以重新測(cè)試并確認(rèn)問題已經(jīng)解決。
“漏洞披露工具包”的發(fā)布是將漏洞報(bào)告嵌入英國立法框架的序言。英國政府目前正在制定法律，要求智能設(shè)備制造商向公眾提供漏洞披露流程。
參考來源：
https://www.bleepingcomputer.com/news/security/uk-government-releases-toolkit-to-easily-disclose-vulnerabilities/
分享名稱：英國政府發(fā)布工具包，幫助公司改進(jìn)漏洞披露流程
文章路徑：http://m.fisionsoft.com.cn/article/ccshchj.html
