作者： Gartner 研究副总裁 Craig Lawson
网络威胁从不按固定时间出现，但许多安全运营工作却仍沿用固定周期开展。
面对日益复杂且不断演进的数字化环境，以及威胁行为者对应用和基础设施漏洞持续不断的探测与攻击，企业构建网络安全韧性仍面临重大挑战。
此外，人工智能（AI）和大语言模型（LLM）的快速发展进一步降低了漏洞挖掘的门槛。正如Mythos和Daybreak近期发布的成果所示，威胁行为者不再局限于寻找显而易见的漏洞。
AI赋能的技术正在降低复杂安全弱点的挖掘门槛，使攻击者能够更轻松地识别复杂漏洞、串联利用多个漏洞，并发现过去只有具备深厚专业知识才能识别的复杂攻击路径。简而言之，攻击者的速度更快、能力更强，且攻击规模不断扩大。
然而，许多企业机构仍依赖定期审计和一次性渗透测试来评估自身的安全状况。尽管这些方法仍然具备重要价值，但面对安全风险持续变化的环境，它们只能反映某一时刻的风险状况。
为了适应不断变化的形势，网络安全负责人需要转向主动型安全运营模式。漏洞赏金计划正是一种行之有效的方法，通过第三方安全研究人员发现那些可能被忽视的漏洞和风险。
作为传统渗透测试的补充，漏洞赏金计划进一步提升风险暴露管理能力，能够帮助企业减少安全暴露，增强网络安全韧性。
简而言之，在不断变化的安全风险环境中，漏洞挖掘不能只是一次性的工作。
为什么漏洞赏金计划至关重要
几乎所有软件都存在漏洞，而漏洞赏金计划的一项核心目标，就是识别出哪些漏洞可能被威胁行为者利用。
如果没有此类计划，企业机构可能无法及时发现漏洞和安全暴露，从而引发安全事件，并进一步导致监管处罚、声誉受损以及高昂的事件恢复成本。
漏洞赏金计划的一大优势，在于能够借助全球安全研究人员社区的力量。这些研究人员拥有多样化的技能和测试方法，往往能够发现边界场景下的问题以及不易察觉的攻击路径，而这些问题通过传统方式可能难以及时发现。随着更多安全研究人员参与安全评估，企业机构能够更快地识别并修复漏洞。
不同于一次性或不定期的网络安全评估，漏洞赏金计划能够随着应用、系统和基础设施的演进，持续挖掘新的漏洞。在敏捷开发环境已成为主流的今天，这种持续性至关重要，因为针对已有漏洞或新出现漏洞的新型攻击技术可能会频繁出现。
除了挖掘漏洞之外，漏洞赏金计划还能显著减轻管理负担。发现的漏洞通常会在上报前经过初步核验。对于互联网业务规模较大的企业机构而言，这种方式能够以更高效、更具可扩展性的方式开展漏洞挖掘与响应工作，同时提升整体安全运营的成效。
另一个常被忽视的优势是预算管理的灵活性。漏洞赏金计划可按照已获批的资金周期，在固定预算内运行，企业机构还可以设定特定时期内赏金支出的上限。一旦赏金支出达到约定的预算上限，该计划便可直接暂停。这种方式既能提高成本的可预测性，又能持续支持漏洞挖掘和安全暴露管理。
尽管AI和测试自动化将持续影响应用安全和安全暴露管理，但只有将先进的测试能力与经验丰富的安全测试人员相结合，才有可能真正提升网络安全韧性。
人类的专业经验能够以创造性的方式解决问题，以及提出“如果换一种方式会怎样？”的探索性思路，这是自动化技术难以替代的。因此，将AI增强测试与专业人员的判断能力相结合，仍将是抢先发现漏洞、提升网络安全韧性的重要保障。
构建并维持网络安全韧性
要持续运营漏洞赏金计划，仅靠初期部署是远远不够的。它需要持续投入、灵活调整，并建立良好的内部支持机制，以确保发现的问题得到高效管理，并切实降低安全风险。
为有效处理不断涌入的漏洞报告，企业需要配备专门的内部资源和技术能力，具体可包括指派专职人员、将相关职责纳入现有岗位或借助安全外包服务。
对于首次通过漏洞赏金计划开展众包网络安全管理的企业机构而言，从小范围项目起步，有助于建立信心、优化内部流程，并在此基础上逐步扩大项目规模。企业机构还可以借助早期实践积累经验，同时评估漏洞赏金计划是否适合作为其长期安全战略的一部分。
具有竞争力的奖励机制对于吸引并持续激励安全研究人员同样重要。漏洞赏金金额会因漏洞难度、涉及的技术等因素而有所不同。企业机构应定期审查并调整奖励机制。
归根结底，若企业机构将漏洞赏金计划视作一项持续性安全能力，而非一次性应对手段，就能够更有效地持续挖掘漏洞、抵御不断演变的威胁，并从长远来看，持续提升整体网络安全韧性。
关于作者
Craig Lawson现任Gartner研究副总裁，专注于基础设施安全、安全运营和网络风险。他将于9月14日至16日在澳大利亚黄金海岸举行的Gartner IT Symposium/Xpo上，就新兴网络安全风险发表演讲。
Gartner——全球权威的AI评估与洞察提供者
Gartner是企业C级高管与技术提供商实施AI战略，实现核心业务优先事项的过程中，不可或缺的合作伙伴。Gartner洞察的独立性与客观性，为客户决策提供信心保障，助力其充分挖掘AI潜力。众多C级高管客户正通过Gartner专有的AskGartner AI工具，确定如何在其业务中运用AI。凭借逾2500名商业与技术专家、6000份书面洞察以及1000余个AI应用场景与案例研究，Gartner已成为全球AI领域的权威机构。更多信息请访问此处。
关于Gartner
Gartner（纽约证券交易所代码： IT）为企业机构提供切实可行的客观洞察，助力企业机构在最关键的优先事项上做出明智决策，取得出色业绩。欲了解更多信息，请访问http://www.gartner.com/cn。
