HackerOne《2020年黑客驱动安全报告》：中国白帽子的收入增长幅度最大

最新推荐文章于 2024-02-06 17:25:34 发布

奇安信代码卫士

最新推荐文章于 2024-02-06 17:25:34 发布

阅读量527

点赞数

文章标签： iot 微软区块链 tab jqgrid

原文链接：https://codesafe.qianxin.com/#/home

版权

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

HackerOne 发布了第四份《黑客驱动安全报告》。报告指出，全球加大了对漏洞奖励计划的投入，亚太区增加了93%，拉美增加了29%。全球所有漏洞奖励计划颁发的奖金同比增长了87%。全球的黑客社区的规模和深度也在不断增强。来自7个国家的9名黑客在该平台上的收入已经超过100万美元大关。在疫情期间，黑客每月上报的漏洞数量比平时增长了28%。在疫情爆发前，黑客通过投入时间和精力，借由 Hacker for Good 计划为社会贡献自己的力量，已向世界卫生组织捐献3万美元用于抗击疫情。

关键发现

目前HackerOne 平台上的注册黑客超过83万名，提交的有效漏洞数量超过18.1万个。
严重漏洞获得的平均奖金增长到3650美元，同比增长8%，任意严重级别的漏洞获得的奖金平均为979美元，比去年同比增长了9%。
过去一年，为全球黑客支付的奖金总额超过4475万美元，同比增长87%，截止到2020年5月，支付的奖金总额就超过了1亿美元大关。
美国仍然是漏洞奖励计划的头部玩家，所发放的奖金超过总额的87%，不过随着其它地区漏洞奖励计划数量的增多，这一比例呈现下降趋势。西班牙方法的奖金同比增长了4321%，巴西增长了1843%，中国增长了1429%，另外还有4个国家加入。
100个国家的黑客收入同比提高，中国黑客的收入增长增速最快，达582%，其次是西班牙 (307%)、法国 (297%)和土耳其 (214%)。
来自7个国家的9名黑客的奖金收入已达到100万美元。
黑客来自全球各地，遍布226个国家和领土。
通过 Hack for Good，黑客共捐赠3万美元，世界卫生组织是第一个受赠方。
全球疫情爆发后是 HackerOne 平台上 hacktivity 的激增。新增黑客注册数量增长了59%，提交的漏洞报告增加了28%，组织机构支付的奖金总额提高了29%。
不当访问控制是接受奖金最多的弱点类型，同比增长130%。信息泄漏从去年的第一位落到今年的第二位，得到的奖金总额增长了60%。

全球影响力

全球安全漏洞奖励计划的数量增长惊人，34%的计划是在去年推出的。北美仍然占大头，占比69%，而单是 EMEA 就占据所有新增计划的20%，亚太地区同比增长93%。亚太市场正在快速成熟，新加坡的计划数量增长了164%，中国增长了67%、新西兰增长了40%。日本、韩国和泰国的计划数量也见增长。

黑客获得的奖金总额同比增长了87%。

奖金支付 Top 5

77%的公开漏洞奖励计划会在设立24小时内收到第一份漏洞报告。

支付奖金最多的前五个国家依次是美国（3910万美元）、俄罗斯（88.7万美元）、英国（55.9万美元）、新加坡（50.6万美元）和加拿大（49.7万美元）。其中俄罗斯是新晋玩家，从去年的第六名上升到第二名，而德国被挤到第六名（36.3万美元）。

疫情对安全的影响

HackerOne 的调查发现，64%的全球安全领导者认为自己所在的组织机构会因为疫情而遭受数据泄漏事故，30%表示因疫情而遭受攻击。遗憾的是，30%的领导者表示疫情导致安全团队规模减小。

谁获得最多奖金？

从地区分布来看，亚太地区获得的奖金同比增长了131%，EMEA 几乎翻了一番，增长了90%，北美和拉美的增长率均超过60%。

从黑客所在国家的角度来看，美国仍然是奖金霸主，过去一年斩获720万美元，同比增长了63%。不过美国的增长率远不如中国（582%）、西班牙（307%）、法国（297%）和土耳其（214%）。100个国家的黑客收入都在增长。赢得奖金最多的黑客所在国家 Top 5 是美国、中国、印度、俄罗斯和德国。中国的巨幅增长使加拿大屈居第六。

哪些行业在设立漏洞奖励计划

报告指出，漏洞奖励计划多种多样，服务目标也各不相同。

多数组织机构会选择从漏洞披露策略 (VDP) 开始设立漏洞奖励计划。漏洞奖励计划是黑客驱动安全的最高阶表现形式。一般而言，参加公开漏洞奖励计划的人数是非公开计划的五倍。和之前一样，非公开计划占 HackerOne 平台漏洞奖励计划总数的81%，而余下的19%是公开计划。

哪个行业设立的漏洞奖励计划最多？

从行业的角度来看，密币和区块链组织机构设立的公开漏洞奖励计划数量最多，占总数的43%。医疗行业以及北美州政府和地方政府仅设立非公开漏洞奖励计划。公开漏洞计划设立偏少的行业是计算机硬件和外围设备 (7%) 和旅游酒店行业（8%）。计算机软件和互联网及在线服务行业的漏洞奖励计划非常常见。过去一年新增的40%的漏洞奖励计划属于计算机及软件与互联网和在线服务行业，而支付的奖金占过去一年总数的72%还多。不过其它行业的增长率也不容小觑，同比增长达到200%及以上的行业是计算机硬件 (250%)、消费者商品 (243%)、教育 (200%) 和医疗 (200%)，而媒体及娱乐行业增长了164%，零售和电商翻了一番，金融服务和计算机软件行业的增长率均超过75%。

其它行业向更多的黑客支付更多的奖金。支付总额超过100万美元的行业包括电信（近250万美元）、金融服务（近230万美元）、媒体及娱乐（近183万美元）以及汽车行业（近105万美元）。