尝试与黑客合作，美国国土安全部推出“Hack DHS”计划-低调大师

尝试与黑客合作，美国国土安全部推出“Hack DHS”计划

2021-12-17 556

当地时间12月14日，美国国土安全部部长亚历杭德罗·马约卡斯表示，美国国土安全部 (DHS) 推出了一项名为“Hack DHS”的漏洞赏金计划，旨在识别某些DHS系统中的潜在网络安全漏洞并提高网络安全弹性，允许黑客报告其系统中的漏洞，以换取金钱奖励。

详细内容

“作为联邦政府的网络安全四分卫，国土安全部必须以身作则，不断寻求加强我们自己的系统的安全性，”部长亚历杭德罗·N·马约卡斯 (Alejandro N. Mayorkas) 说。“Hack DHS 计划激励高技能黑客在我们系统中的网络安全弱点被不良行为者利用之前识别它们。该计划是该部门如何与社区合作以帮助保护我们国家的网络安全的一个例子。”

Hack DHS 将在 2022 财年分三个阶段进行，其目标是开发一种模型，可供各级政府的其他组织使用，以提高其自身的网络安全弹性。在第一阶段，黑客将对某些 DHS 外部系统进行虚拟评估。在第二阶段，黑客将参加现场的、面对面的黑客活动。在第三个也是最后一个阶段，国土安全部将确定和审查吸取的教训，并计划未来的漏洞赏金。

Hack DHS 将利用该部门网络安全和基础设施安全局 (CISA) 创建的平台，将受多项参与规则的约束，并由 DHS 首席信息官办公室进行监控。黑客将向 DHS 系统所有者和领导层披露他们的发现，包括漏洞是什么、他们如何利用它以及它如何允许其他参与者访问信息。识别每个错误的赏金是通过使用滑动比例确定的，黑客在识别最严重的错误时获得最高的赏金。

根据马约卡斯在彭博科技峰会上讨论的“入侵国土安全部”(Hack DHS)计划，道德黑客将根据漏洞的严重程度获得500至5000美元的奖励。该部将在48小时内验证漏洞，并在15天内修复它们，或者对于复杂的漏洞，会制定一个在限定时间内完成的计划。

Hack DHS 并不是美国政府和军方发起的唯一漏洞赏金计划，联邦政府的类似举措包括“ Hack the Pentagon ”和“ Hack the Army”计划。

“这次扩展证明了政府网络安全方法的转变，并超越了目前国防部的技术状态，”国防数字服务主管Brett Goldstein说。

然而，对漏洞赏金计划持批评态度的人认为，这些计划将重点放在组织在其整体安全设置中过于依赖的较小漏洞上，无助于整体网络安全的改进，此外还有其他潜在的不良副作用。国土安全部今年建立了一个漏洞披露计划，设定了道德黑客如何向国土安全部通报漏洞的条款。去年，它还发布了一项指令，要求联邦机构设立此类项目。

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202112/695726.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

BitDefender 发现首个利用Log4Shell漏洞的勒索软件

日前，BitDefender 宣称发现首个通过 Log4Shell 漏洞直接安装的勒索软件，该漏洞利用程序会下载一个 Java 类hxxp://3.145.115[.]94/Main.class(该类由 Log4j 应用程序加载和执行)文件。加载后，它会从同一台服务器下载一个 .NET 二进制文件，该文件是一个安装名为“Khonsari”的新勒索软件。这个名字也被用作加密文件的扩展名和勒索通知，如图1所示。图1 Khonsari赎金票据在此后的攻击中，BitDefender 注意到攻击者使用相同的服务器来分发 Orcus 远程访问木马，有安全专家认为这可能是个数据擦除器(Wiper)。Emsisoft 分析师Brett Callow指出，该勒索软件以路易斯安那州一家古董店老板的联系信息命名并使用其联系信息，而不是使用攻击者自己的信息。因此，尚不清楚此人是勒索软件攻击的实际受害者还是诱饵。不管是什么原因，由于该恶意软件不包含攻击者的有效联系信息，Callow认为这是一个擦除器而不是勒索软件。虽然这可能是首个利用Log4j 漏洞直接安装勒索软件(或者擦除器)的实例，但在此之前微软已...

2021-12-17

524

据研究人员称，伊朗的一个黑客组织正在使用消息平台Slack上的免费工作空间，在亚洲某航空公司的系统中部署了后门。根据IBM Security X-Force 的一份报告，被称为Aclip的后门可能使攻击者能够访问航空公司的乘客预订数据。Aclip名称来自名为“aclip.bat”的 Windows 批处理脚本，能通过添加一个注册表密钥建立持久性，并在受感染设备的系统启动时自动启动。报告称，目前还不清楚攻击者是否已从系统中窃取了数据，，尽管在攻击者的命令和控制 (C2) 服务器上发现的文件表明他们可能已经访问了预订数据。分析认为，他们的重点是监视，因为在其 C2 服务器上只能找到名称中带有“保留管理”的文件。它没有透露泄露的存档文件的内容。网络安全公司 Cybereason 的 CSO Sam Curry 在推测攻击者的动机时认为，酒店和飞行数据可用于流量分析、网络推断等行为和目的分析，比如，如果两位 CEO 飞到一个城市，住在酒店，然后马上离开，他们很有可能彼此认识，可能正在考虑做一些不公开的事情，这是可用于内幕交易的信息。作为寻求战略性使用数据的一部分，航空公司信息很有价值...

2021-12-17

502

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。