美国国土安全部推出“Hack DHS”计划或尝试与黑客合作

导读：当地时间12月14日，美国国土安全部部长亚历杭德罗·马约卡斯表示，美国国土安全部 (DHS) 推出了一项名为“Hack DHS”的漏洞赏金计划，旨在识别某些DHS系统中的潜在网络安全漏洞并提高网络安全弹性，允许黑客报告其系统中的漏洞，以换取金钱奖励。

详细内容

“作为联邦政府的网络安全四分卫，国土安全部必须以身作则，不断寻求加强我们自己的系统的安全性，”部长亚历杭德罗·N·马约卡斯 (Alejandro N. Mayorkas) 说。“Hack DHS 计划激励高技能黑客在我们系统中的网络安全弱点被不良行为者利用之前识别它们。该计划是该部门如何与社区合作以帮助保护我们国家的网络安全的一个例子。”

Hack DHS 将在 2022 财年分三个阶段进行，其目标是开发一种模型，可供各级政府的其他组织使用，以提高其自身的网络安全弹性。在第一阶段，黑客将对某些 DHS 外部系统进行虚拟评估。在第二阶段，黑客将参加现场的、面对面的黑客活动。在第三个也是最后一个阶段，国土安全部将确定和审查吸取的教训，并计划未来的漏洞赏金。

Hack DHS 将利用该部门网络安全和基础设施安全局 (CISA) 创建的平台，将受多项参与规则的约束，并由 DHS 首席信息官办公室进行监控。黑客将向 DHS 系统所有者和领导层披露他们的发现，包括漏洞是什么、他们如何利用它以及它如何允许其他参与者访问信息。识别每个错误的赏金是通过使用滑动比例确定的，黑客在识别最严重的错误时获得最高的赏金。

根据马约卡斯在彭博科技峰会上讨论的“入侵国土安全部”（Hack DHS）计划，道德黑客将根据漏洞的严重程度获得500至5000美元的奖励。该部将在48小时内验证漏洞，并在15天内修复它们，或者对于复杂的漏洞，会制定一个在限定时间内完成的计划。

Hack DHS 并不是美国政府和军方发起的唯一漏洞赏金计划，联邦政府的类似举措包括“ Hack the Pentagon ”和“ Hack the Army”计划。

“这次扩展证明了政府网络安全方法的转变，并超越了目前国防部的技术状态，”国防数字服务主管Brett Goldstein说。

然而，对漏洞赏金计划持批评态度的人认为，这些计划将重点放在组织在其整体安全设置中过于依赖的较小漏洞上，无助于整体网络安全的改进，此外还有其他潜在的不良副作用。国土安全部今年建立了一个漏洞披露计划，设定了道德黑客如何向国土安全部通报漏洞的条款。去年，它还发布了一项指令，要求联邦机构设立此类项目。