HackerOne 平台发布年度《黑客驱动安全报告》，指出数据源自该平台的漏洞数据库以及平台客户和2000多名黑客的观点，数据收集范围是2022年6月至2023年9月。本文是对该报告主要内容的编译。

报告主要关注以下方面：

报告提到，网络犯罪活动日益增多而首席信息安全官可用的人力资源和预算却在减少。在这一背景下，如果忽视黑客社区资源，则面临的风险更高。96%的HackerOne 客户表明通过第三方提交的漏洞报告，能够更好地对抗网络攻击；70%的客户表示黑客投入助力他们避免重大安全事件。

相比以往的年度报告，2023年的报告增加了客户视角以及世界顶级黑客的观点。报告将更加全面地解读十大漏洞以及不同行业对于黑客的激励措施。

报告将说明：

报告指出，仅有四分之一的黑客在全职挖洞，近三分之二的黑客每周挖洞时间少于20小时，近三分之一的黑客在网络安全行业工作。

黑客固然在寻求丰厚报酬，但不仅受金钱驱动。调查显示，80%的黑客挖洞是为了钱（2022年这一比例为71%），78%的黑客表示挖洞是为了学习，47%的黑客表示是以保护和防御企业和终端用户安全。

黑客关注的行业

互联网和网络服务是黑客的首要选择，58%的黑客会关注这一领域。该行业支付的奖励金最多，在HackerOne 平台占据主导地位，在所有客户漏洞奖励计划中占据25%。

金融服务是增长行业，53%的黑客会投入该行业的漏洞奖励计划，而在2022年该比例为44%。

政府行业吸引了40%的黑客，2022年这一比例为33%。

而密币和区块链在前几年增长后，今年获得的关注变少，从2022年的22%下降到16%。

零售和电商平台仍然流行，会吸引48%的黑客，不过相比2022%的54%仍然有所下降。

黑客的技能集多种多样。虽然95%的黑客的专长主要集中在 web 应用测试，但也涉足多种新型技术。47%的黑客专注于网络应用测试，20%的黑客具有社工经验，63%的黑客从事漏洞研究。39%的黑客表示最擅长侦查，而20%表示在利用方面最得心应手。

图：黑客技能集

说到黑客专攻的技术和应用领域，网站仍然独占鳌头。98%的黑客表示专攻网站，17%表示专攻iOS 应用（2022年为15%），43%专攻安卓应用（2022年为39%）。8%的黑客专注于物联网技术，而随着去年生成式AI的大爆发，7%的黑客表示现在主攻这些工具，而区块链下降至6%（2022年为8%）。

图：黑客主攻方向

目前，安全管理者们正在试图了解如何利用生成式AI阻止内在安全问题和威胁，而道德黑客们已经从2022年开始成长为该领域的专家：

当问到客户认为他们最大的风险来自何处时，57%的人表示最大威胁是已遭利用的漏洞，10%是国家黑客组织，22%表示是钓鱼攻击，12%表示是内部威胁。

图：客户眼中的最大风险

而面对同样的问题，32%黑客表示最大的响应需求是缺乏自有技能和专业，而91%的客户表示相比AI或扫描解决方案，黑客提供的漏洞报告更具影响力且更有价值。

图：黑客眼中的最大风险

如何吸引更多黑客参与漏洞奖励计划？73%的黑客表示漏洞赏金是主要动力，50%的黑客认为目标含有很多漏洞的预期是参加计划的动力，46%的黑客认为推动因素是计划范围较广泛，17%的黑客会因为与组织机构安全团队的良好关系而选择参加计划。

何种漏洞奖励计划会让黑客敬而远之？一切都和体验有关；沟通不畅赶走55%的黑客，相应缓慢赶走60%的黑客，仅有9%的黑客表示保密协议是他们拒绝参与的原因，仅有14%的黑客会因为被要求不能公开漏洞而出走。这些比例较2022年都有所下降。

图：黑客选择参与某个漏洞奖励计划的原因

图：让黑客敬而远之的原因

HackerOne 平台上一个漏洞的中位数赏金是500美元，比2022年增长100美元；90%的漏洞奖励计划提供3000美元的赏金，比2022年增长了500美元。汽车行业是平台新秀，赏金数额增长最快。全行业的平均赏金是1000美元，而90%的赏金集中在3000美元。

图：全行业的赏金平均数、中位数和90%数

如果按漏洞严重程度划分，则会发现加密和区块链行业支付的赏金仍然最多，最高赏金超过10万美元（100050美元），计算机软件和软件与在线服务在最严重漏洞奖励方面仍然非常具有竞争力。由于安全成熟行业收到的高危和严重漏洞更少，因此更加慷慨。报送给互联网和在线服务组织机构的26%的漏洞是高危和严重级别，而在加密和区块链组织机构中这一比例仅为22%。

目前已有29名黑客在HackerOne平台上获得超过100万美元的赏金。

道德黑客可为客户在软件开发生命周期 (SDLC) 的多个阶段提供支持，而开发阶段是组织机构引入漏洞最多的阶段。

通过代码安全审计最容易发现的漏洞是：

在产品交付前发现漏洞能节约大量成本。数据显示，通过漏洞奖励计划找到这些漏洞的成本是29437美元，而40小时的代码安全审计成本仅为11400美元。

通过渗透测试即服务 (PTaaS) 找到的十大漏洞是：

漏洞奖励计划中找到的十大漏洞是：

根据平台收到的横跨所有产品的十大漏洞以及每种漏洞类型所获得的漏洞报告比例，之后与行业交叉验证，获得根据行业划分的漏洞报告类型与平台收到的一般漏洞报告类型之间的对比情况。

图：按行业划分的漏洞类型情况

图：按行业划分的高危和严重漏洞类型情况

在报告期间内，漏洞修复需要的时间从2022年的35.5天减少到25.5天。汽车、媒体和娱乐以及政府客户的改进提升最多，自2022年起提升至少50%。

关于如何衡量漏洞奖励计划成功与否，客户（比例表示客户占比）的答案是：

报告在结论部分提到，道德黑客的用例将持续扩展和保持多样化，从保护生成式AI应用到从SDLC中更早发现漏洞等不一而足。与道德黑客合作将获益于前沿研究和技术、局外人思维和人才资源。这种合作伙伴关系意味着组织机构将比网络犯罪分子更快一步，并随着漏洞的发现和修复更快速，能更专注于构建新的且更安全的产品。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~