ProjectDiscovery 为 Neo 平台新增 Neo Triage 漏洞可利用性验证功能

开源网络安全公司 ProjectDiscovery Inc. 今日在其 Neo 安全测试平台中新增了 Neo Triage，用于在团队着手修复之前确认哪些已上报的漏洞确实可被利用。

这项新能力针对的是漏洞分诊积压问题，ProjectDiscovery 将其归咎于人工智能。扫描器、AI 代码审查和 AI 辅助的漏洞挖掘如今发现问题的速度已超过安全团队的处理能力。每一个发现的问题仍需人工复现，该公司表示，每条复现耗时从 15 分钟到 4 小时不等。

Neo Triage 会尝试针对每条上报问题所涉及的实际在线资产进行复现。测试在隔离沙箱中运行，ProjectDiscovery 表示，这些测试的设计初衷是不会破坏被探测的系统。

每项检查最终都会给出一个结论，例如有效、重复或垃圾信息，并且该检查产生的确切流量会作为证据发送给审核人员。严重程度取决于测试所证明的影响。Neo 还会考察该资产的暴露程度、其背后存放的数据，以及攻击者还能从该资产触达哪些其他目标。

这些发现本身可能来自 HackerOne Inc.、GitHub 安全公告、安全邮箱，以及 Qualys Inc. 和 Orca Security Ltd. 等扫描器，所有这些都会汇总到同一个看板上。任何其他提供应用程序编程接口的工具也可以接入。

一旦某个发现得到确认，Neo 会建议修复方案，并起草一份给上报该问题的研究人员的回复。变更发布后会自动运行复测。一个洞察仪表盘会跟踪未处理的积压和 SLA 状态，还会根据各来源提交内容的质量对其进行评分。

ProjectDiscovery 联合创始人兼首席执行官 Rishi Sharma 预计，分诊将成为安全团队在未来 6 到 12 个月内面临的最大问题。他说，大多数组织已经有数千条未处理的发现，有些甚至有数百万条。“现在的难点在于判断哪些发现真正重要，而一个评分无法做出这个决定，”Sharma 说，“证据可以。”

该公司估计，人工处理 10 万条积压发现大约需要 5 万小时，足以让 25 个人忙碌一年。按该公司的计算，对同一批积压复核 Neo 的结论大约需要 8,300 小时。

ProjectDiscovery 是一家获得风险投资支持的初创公司，于 2023 年在由 CRV 领投的 A 轮融资中筹集了 2,500 万美元。其最知名的工具是开源扫描器 Nuclei，该公司称其已记录超过 100 亿次扫描。Neo 运行在围绕 Nuclei 成长起来的那套工具之上，于 3 月开售，并于 8 月全面上市。

Neo Triage 现已在所有 Neo 套餐中提供，包括免费版。开始使用 Neo 无需任何费用，包含每月用量且没有时间限制，用量较大的用户可以升级到 Pro 或 Enterprise 套餐，这些套餐在零数据保留模式下运行。

图片：ProjectDiscovery