北京
安全团队现在最头疼的可能不是漏洞发现得太少，而是发现得太多。开源安全公司 ProjectDiscovery 今天给旗下 Neo 安全测试平台加了一个叫 Neo Triage 的能力，目标很直接：在团队动手修之前，先确认哪些被报上来的漏洞真的能被利用。
按这家公司的说法，积压的根源是 AI。扫描器、AI 代码审查、AI 辅助的漏洞挖掘，让发现问题的速度快过了安全团队处理问题的速度。而每一条发现仍然需要人工复现，ProjectDiscovery 给出的时间是每条 15 分钟到 4 小时。
Neo Triage 的做法是，对每一条进来的发现，在它被报告的那台在线资产上尝试复现。测试从隔离沙箱里跑，公司强调这些测试在设计上不会破坏被探测的系统。
每次检查会给出一个结论，比如有效、重复或垃圾信息，测试产生的确切流量会作为证据交给复核人。严重程度取决于测试实际展示出的影响。Neo 还会看资产暴露到什么程度、背后放着什么数据、攻击者从那里还能摸到什么。
发现本身可以来自 HackerOne、GitHub 安全公告、安全邮箱，以及 Qualys、Orca Security 这类扫描器，全部汇到同一块看板上。其他带 API 的工具也能接进来。
一条发现被确认后，Neo 会给出修复建议，并起草一封给报告该问题的研究员的回复。改动上线后会自动跑一次复测。一个洞察看板跟踪未处理的积压和服务级别协议状态，还会给每个来源送来的东西打分，看质量如何。
ProjectDiscovery 联合创始人兼首席执行官 Rishi Sharma 预计，未来 6 到 12 个月里，分类处理会是安全团队最大的问题。他说多数组织已经开着成千上万条发现，有些是几百万条。
“现在难的部分是判断哪些发现重要，评分做不了这个决定，”Sharma 说，“证据可以。”
这家公司算过一笔账：人工处理 10 万条发现的积压大约要 5 万小时，够 25 个人忙一年。按它的统计，复核 Neo 对同一批积压给出的结论大约要 8300 小时。
ProjectDiscovery 是一家有风投支持的初创公司，2023 年完成了由 CRV 领投的 2500 万美元 A 轮融资。它最有名的工具是开源扫描器 Nuclei，公司称其累计扫描次数超过 100 亿次。Neo 跑在围绕 Nuclei 成长起来的那套工具之上，今年 3 月开卖，8 月全面可用。
Neo Triage 现在在所有 Neo 档位里都能用，包括免费档。上手 Neo 不花钱，含每月用量、没有时间限制，用量大的可以升到 Pro 或 Enterprise 方案，这些方案在零数据留存下运行。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
