提要：蚁集安全破绽败露是灵验缓解攻防扞拒衡态势和责怪蚁集安全风险的枢纽技能白虎 自慰，好意思国在蚁集安全破绽败露管束方面领有一套行之灵验的机制。为此，聚焦好意思国联邦政府互联网信息系统和国防部信息蚁集，分析其蚁集安全破绽败露管束情况。当先，抽象好意思国蚁集安全破绽管束政策律例，了解其蚁集安全破绽败露管束的政策布局和体系筹商；其次，梳理国防部信息蚁集的破绽管束依据和经由，分析以破绽败露筹商为代表的主要破绽管束举措；临了，多角度分析联邦互联网系统破绽败露的计划推行。以点带面透视好意思国蚁集安全破绽败露管束的体系化和多元化情况，对完善我国破绽管束机制具有一定模仿真理。
0. 小序
连年来，运用蚁集安全破绽奉行的蚁集袭击事件在巨匠领域内频发，给列国蚁集空间安全带来了不同进程的危害。破绽管束手脚识别、评估、败露、配置和缩小假想机系统中安全破绽的过程，是管束信息技能（Information Technology，IT）环境中蚁集安全的关节部分和灵验技能，对保护关节基础设施，选藏国度蚁集安全具有枢纽本体真理。破绽败露是指安全研究东谈主员、IT安全团队、开发东谈主员等将假想机软件或硬件中的破绽信息通过公开渠谈奉告公众的过程，IT居品供应商和安全破绽发现者通过该过程协同职责，寻找责怪安全破绽风险的管束决策。
1. 好意思国破绽管束要点政策律例
好意思国破绽管束政策律例从国度政策政策到律例行政令，再到条令指南，袒护全面。其中，对于破绽败露的管束政策奉命《国度蚁集政策》《国度蚁集安全政策》等政策律例中计划促进和使用破绽败露的总体布局，以及律例行政令的具体要乞降条令指南等奉行细目，好意思国破绽管束要点政策律举例表1所示。
表1 好意思国破绽管束要点政策律例
政策政策方面，2018年9月，好意思国《国度蚁集政策》发布，明确“促进和使用协同破绽败露、众包测试和其他转换性评估，以提高运用或袭击前的弹性”，从而“鼓吹全生命周期蚁集安全”；2023年，《国度蚁集安全政策》指出，“为进一步饱读舞摄取安全软件开发推行，政府将饱读舞在统统技能类型和行业中进行谐和的破绽败露”。
律例行政令方面，2020年9月，好意思国国防系统破绽管束的主要指导性文献《国防部破绽管束指示》（DoDI 8531.01）发布，领域袒护管束和反馈国防部信息蚁集（Department of Defense Information Networks，DoDIN）中统统软件、固件和硬件中发现的破绽，明确用高效的破绽评估技能、过程和功能救济国防部统统系统，空隙《破绽评估轨则》（Vulnerabilities Equities Process，VEP）的计划条件，并确保提交新发现的未公开破绽的后果，促进和保险破绽败露。2021年5月，《改善国度蚁集安全的行政令》（E.O.14028）发布，强调了联邦政府应答蚁集安全破绽和事件的经由圭表化，确保对蚁集安全事件进行愈加协长入集会的分类。
条令指示和指南边面，蚁集安全与基础设施安全局（Cybersecurity Infrastructure Security Agency，CISA）自成立以来发布了《制定并发布破绽败露政策》《责怪已知被运用破绽的要紧风险》等多份与破绽管束计划的拘谨性操作指示，划分从破绽败露、破绽识别和破绽追踪等方面临联邦机构的破绽管束作念出了明确条件。2021年11月，CISA又发布《蚁集安全事件和破绽反馈手册》，为联邦机构应答影响蚁集的破绽和事件提供了一套圭表形状。此外，好意思国国度圭表与技能研究院（National Institute of Standards and Technology，NIST）在2023年5月发布《对子邦破绽败露指南的建议》，就建立联邦破绽败露框架、正确处理破绽讲述及换取破绽的缓解和/或配置提议了指导性建议，可供好意思国政府建立和选藏兼并的破绽败露管束经由。
2. 好意思国DoDIN破绽管束的基本情况
DoDIN涵盖好意思国国防部统统蚁集空间，包括神秘和非神秘巨匠蚁集（如NIPRNET、SIPRNET、巨匠纠合谍报通讯系统等），以及国防部智高手机、射频识别标签、工业限制系统、零丁实验室蚁集和平台信息技能等。国防信息系统局等机构在《国防部破绽管束指示》（DoDI 8531.01）条件下，按照特定经由及出台的系列举措开展破绽管束。
2.1 好意思国国防部破绽管束依据
好意思国国防部层面奉命《国防部破绽管束指示》（DoDI 8531.01）奉行破绽管束，指示适用领域包括国防部长办公室构成部门、军事部门、咨询长联席会议主席办公室、作战教导部、国防部总监察长办公室、国防机构和国防部内的统统其他组织实体。指示特质如下：
一是明确了好意思国国防部破绽管束的指标。提供国防部破绽管束经由，制定计划策略、分拨职守，并对DoDIN中的统统软件、固件和硬件中的破绽作念出反馈；建立基于联邦和国防部圭表的兼并的国防部部门级蚁集安全破绽管束形状；为国防部破绽败露筹商（Vulnerability Disclosure Plan，VDP）制定策略并为其分拨职守；把柄好意思国政府的破绽平允裁决政策和经由，制定策略、分拨职守，并为国防部参与VEP提供形状指引。
二是好意思国国防部各部门协同进行破绽管束。国防部的破绽管束机构包括国防信息系统局、国度安全局、蚁集司令部、DoDIN纠合戎行总部、中央谍报局、空军、NIST、国防部蚁集坐法中心和国度安全委员会等，各部门各有职能侧重。该指示详确、昭着地赋予了国防部各计划部门破绽管束的带领职责。
2.2 好意思国国防部破绽管束经由
好意思国国防部破绽管束经由包括破绽识别、破绽分析、分析讲述、解救和蔼解、考据和查抄，如图1所示。一是破绽识别，包括破绽扫描、渗入测试、安全限制评估、历史文献、协同破绽败露和VEP；二是破绽分析，包括影响分析和优先级分析；三是分析讲述，指国防部各部门草拟和生成破绽分析讲述；四是解救和蔼解破绽，包括确定解救或缓解形状，接洽财富价值和风险清楚等身分，评估补丁灵验性、监控合规性、解救及缓解设施等，按照好意思国国防部安全技能奉行指南、国度安全局安全奉行和蔼解指南及NIST缓解指南，对软件、固件和硬件进行安全配置等；五是考据和查抄，包括核实“解救和蔼解”形状的后果，确保破绽已被配置或减轻，监视已配置或减轻的系统、子系统或系统组件，以发现更多相互依赖的破绽，络续监测受影响的系统。将日记存储在中央存储库或安全信息和事件管束平台中，奉命国防部信息安全络续监控筹商，以空隙联邦信息安全当代化法案的络续监控条件。
图1 好意思国国防部破绽管束经由
2.3 好意思国国防部破绽败露筹商
好意思国国防部在破绽管束方面有诸多举措，如国度安全局针对好意思国国度安全系统（National Security System，NSS）、好意思国国防工业基地和DoDIN发布破绽指南并败露国度行动体的破绽行动，缓解和幸免破绽运用风险等，而更具转换收效的败露举措是国防部破绽败露筹商（Department of Defense Vulnerability Disclosure Program，DoD-VDP）。
DoD-VDP于2016年建立，其源自“破解五角大楼”破绽赏金试点筹商，旨在通过加强DoDIN的安全性，为进一步奉行蚁集空间深度把稳策略提供保险。DoD-VDP建立了一个由国防部蚁集坐法中心、好意思国蚁集司令部、DoDIN纠合戎行总部及HackerOne众包白帽黑客等构成的生态社区，通过HackerOne等众测平台开展破绽赏金众测行动，发起多项破绽赏金筹商，发现更多灵验破绽，再由VDP蚁集分析师对讲述中的破绽进行考据、分类和处理缓解。
2021年1月，DoD-VDP领域认真从面向公众的网站彭胀到统统可公开视察的国防部信息系统，通过与救济DoDIN的众包蚁集安全研究东谈主员互动，扩大了对国防部蚁集袭击面的保护。截止2023年2月，好意思国国防部VDP已收到越过 45 000个破绽，其中6 346个已得胜缓解，近60%的破绽被考据为可操作的。VDP破绽逐财年严重进程讲述如图2所示，骄气了与黑客合作责怪风险的宏大价值。
图2 VDP破绽逐财年严重进程讲述 （府上着手：好意思国国防部蚁集坐法中心 《2022 年度破绽败露讲述》）
DoD-VDP由3个方面构成：一是为开展众测行为提供明确指导主义和政策；二是保护白帽安全研究东谈主员所讲述问题的安全容或，为其提供法律豁免；三所以稳健的面孔考据、筛选和配置破绽的里面经由。自2018年运转，破绽讲述管束蚁集系统认真上线，可自动化、追踪和处理统统讲述，灵验提高了国防部破绽败露后果。
DoD-VDP有5个方面的智商：一是通过使用协同破绽败露、众包测试和风险评估来提高全生命周期的蚁集安全，从而在破绽被运用之前提高蚁集弹性；二是加强国防部与假想机安全研究东谈主员的合作，建立积极的反馈轮回，通过快速发现和配置破绽来提高国防部蚁集的安全性；三是镌汰发现破绽、禀报系统统统者和得胜缓解破绽之间的时分；四是为破绽发现者向国防部讲述提供敞开渠谈和正当安全港；五是通过提高国防部蚁集空间财富的弹性，促进国防政策行动旅途——“建立一支更具杀伤力的力量”。
捆绑 调教DoD-VDP有4个方面的上风：一是平常运用多数白帽黑客的蚁集安全力量，深度把稳7 349 DoDIN；二是通过发现蚁集中已存在的破绽来减少袭击面，免于放弃性蚁集袭击；三是在现存经由的基础上，依托国防部已有资源，收尾近乎零资本的破绽败露；四是收尾敌手模拟，白帽黑客使用雷同的战术、技能和形状，特殊于一支侦察有素、装备考究的戎行。VDP自奉行以来，保险了2020年好意思国大选时间的蚁集安全，管束了针对DoDIN的关节和高危破绽，并启动了一项为期12个月的国防工业基地破绽败露试点筹商，允许黑客在线讲述 “几十家”国防工业基地公司运营系统中的破绽。把柄VDP 2022年度讲述，国防工业基地破绽败露试点筹商共检朴了6 140万好意思元的资本。
3. 联邦互联网信息系统破绽败露管束的基本情况
好意思国联邦政府民事机构破绽管束职责由CISA负责，其在面向互联网的联邦信息系统破绽管束方面有诸多举措，包括发布系列拘谨性操作指示、建立破绽败露框架和破绽败露平台、发布已知破绽运用目次和迫切指示，以及破绽表率化指南等，体现了其破绽败露过程的逐步表率化、智能化和公众化的趋向。
3.1 拘谨性操作指示明确破绽败露策略
好意思国联邦机构正逐步扩大部署可视察互联网系统及链接气儿的复杂系统，但由于发现破绽和运用破绽之间的平均时分正在镌汰，联邦政府以为必须络续取舍快速配置破绽等设施减少全体蚁集袭击面，并尽快将未授权视察联邦信息系统的风险降至最低。
CISA发布了系列拘谨性操作指示表率联邦破绽管束。举例，2019年1月，CISA发布《互联网可视察系统的破绽配置条件》的拘谨性操作指示（BOD 19-02），通过提高联邦层面临高危破绽和关节破绽的解救条件，进一步减少对子邦机构信息系统的袭击面和风险。2020年9月2日，CISA发布《制定并发布破绽败露政策》的拘谨性操作指示（BOD-20-01），旨在使2020年景为 “破绽管束年”，特出温存公众向政府部门败露破绽的便利性问题，条件各联邦民事行政机构（Federal Civilian Executive Branch，FCEB）为其互联网可视察系统制定和发布VDP，并建立职业和选藏经由以救济VDP，对破绽败露策略、破绽处理过程等提议了条件。随后发布的拘谨性操作指示BOD 22-1和拘谨性操作指示BOD 23-1也齐从不同方面表率指导着联邦机构的破绽管束。
3.2 联邦破绽败露框架圭表化破绽败露经由
2023年5月，NIST发布了《对子邦破绽败露指南的建议》（NIST SP 800-216），基于《ISO/IEC 29147：2018信息技能 安全技能 破绽败露》 《ISO/IEC 30111：2019信息技能 安全技能 破绽处理经由》圭表，特意为联邦政府建立了一个兼并、机动的破绽败露框架，用于制定破绽败露政策和奉行形状，以讲述、评估和管束联邦政府系统的破绽败露。高等联邦破绽败露框架和信息流如图3所示，主要政府参与实体是联邦谐和机构（Federal Coordinate Branch，FCB）和破绽败露面孔办公室（Vulnerabi、公众和外部谐和者。讲述者是指向政府机构提交源破绽讲述的政府表里部实体；FCB是一组合作成员，共同提供机动、高水平的机构间破绽败露谐和，政府通过FCB进行破绽追踪并提议破绽商量意见；VDPO是负责管束破绽败露筹商信息技能的办公室，负责与其他行动者谐和，识别、管束和发布破绽商量讲述；公众是指可能受到特定破绽影响或需要针对特定破绽取舍行动的对象；外部谐和者是指不属于FCB或VDPO的、接管源破绽讲述的任何破绽败露实体。
图3 高等联邦破绽败露框架和信息流
3.3 运用破绽败露平台掌捏潜在破绽
CISA蚁集质料职业管束办公室（Quality Services Management Office，QSMO）建立了面向联邦机公众构的VDP，该平台是一个软件即职业应用形状，由蚁集安全企业Bugcrowd和EnDyna为联邦互联网系统破绽败露提供分享职业，如图4所示。该平台为联邦机构提供了一个兼并的在线管束网站，使安全研究东谈主员和公众概况在机构网站中发现其破绽败露政策领域内的系统破绽并提交讲述以供各联邦机构分析。
图4 CISA破绽败露平台见解
该平台有4个方面的参与者：破绽讲述者、平台职业提供商、各联邦机构和CISA。破绽讲述者通过该平台讲述联邦系统破绽；平台职业提供商对提交的破绽讲述进行筛选和初步分类，考据正当性；CISA虽不主动参与具体破绽解救过程，但保持对败露行为的监督，并视察统统机构的汇总统计数据和讲述，已识别破绽的配置仍将由对应机构负责，而不是由CISA或VDP平台职业提供商负责。
该平台有两个方面的上风：一是兼并集会管束，提高分析、管束和传达已败露破绽的智商。联邦政府机构运用该平台手脚研究东谈主员败露、接管、分类和查找破绽的主要进口，简化了与安全研究社区的谐和面孔，事件讲述东谈主可使用兼并的网站来提交视察驱散，提高统统这个词联邦机构互联网可视察系统的安全性和协同败露。二是饱读舞公私结合与信息分享，权贵检朴政府资本。该平台通过允许研究东谈主员提交破绽讲述来饱读舞公私部门间的结合和信息分享，拓宽政府机构了解和管束未知破绽的渠谈；对已识别的破绽进行讲述和分类，各机构毋庸开发零丁系统讲述和分类已识别破绽，大幅普及机构专注处理破绽的后果。CISA瞻望，通过运用QSMO的分享职业形状，将在政府领域内检朴越过1 000万好意思元的资本。
3.4 破绽指南圭表化破绽反馈经由
CISA于2021年11月发布了《联邦政府蚁集安全事件与破绽反馈手册》，为FCEB提供了一套圭表经由，用于识别、谐和、解救、规复和追脚迹响FCEB系统、数据和蚁集的事件和破绽。该手册表率了政府机构应答迫切和高危破绽时应奉命的经由，包括识别、评估、配置和讲述破绽4个阶段：一是识别阶段，通过监控威逼流和信息资源来主动识别被运用破绽；二 是评估阶段，确定破绽并评估底层软硬件枢纽性；三是配置阶段，实时配置系统或环境中存在的破绽；四是讲述和禀报阶段，分享破绽运用信息可匡助联邦政府机构把稳者掌捏亟须配置的破绽。
3.5 特定破绽迫切指示指导破绽缓解
CISA会不定时发布破绽迫切指示，条件联邦机构缓解特定破绽。举例，CISA发布迫切指示ED 22-02，条件联邦机构评估其面向互联网的蚁集财富是否存在Apache Log4j破绽，独立即修补这些系统或奉行其他缓解设施。CISA建立了一个特意的Log4j网页，内容即CISA与联邦视察局、NSA、澳大利亚蚁集安全中心和加拿大蚁集安全中心等机构纠合发布的蚁集安全建议，包含用于蚁集把稳者的Log4j技能细节、缓解设施和资源，以及受影响开导和职业的GitHub软件。
4. 结语
破绽已成为蚁集空间的枢纽政策资源，好意思国破绽败露管束的发展推行预示着健全的破绽败露体系和敞开多元的破绽败露筹商，是快速掌捏破绽资源和收尾破绽缓解的制胜法宝。我国已初步建立破绽管束体系，在破绽律例出台、圭表体系建立、破绽运营管束等职责上获取了一定收效，应进一步模仿锻真金不怕火陶冶白虎 自慰，建设表率有序、充满活力的破绽采集和发布渠谈，增强蚁集弹性，督察蚁集安全要紧风险，保险国度蚁集安全。