3月27日，美国土安全部（DHS）“持续诊断和处置（Continuous Diagnostics and Mitigation，CDM）”项目经理凯文.考克斯（Kevin Cox）在当天美国先进技术学术研究中心（Advanced Technology Academic Research Center）主办的一次会议上透露，美国土安全部计划在未来两年里部署新的网络安全打分算法“机构范围适应性风险列举（Agency-Wide Adaptive Risk Enumeration，AWARE）”，帮助美国政府机构规划其风险处置行动的优先度，并从根本上提升美国政府网络的安全状态。考克斯指出该算法将在今年10月进行“预先发布（Soft rollout）”，并将用于形成漏洞管理、补丁和配置情况等美国政府机构的网络安全基础指标。
考克斯指出，美国土安全部发现美国政府机构在网络安全基础建设方面仍“敷衍了事”，而攻击者也早已习惯于“首先攻击美国政府脆弱目标来获得立足点，而后再在内网中扩散和渗透”的手段；同时攻击者在入侵美国政府网络时也极少使用高价值的攻击手段，过去四年里美国安局没有响应过针对美国政府网络及系统的0Day攻击--这说明攻击者往往能够通过网络钓鱼、登陆凭证窃取等“初级”攻击手法就可入侵美国政府网络。
考克斯表示，尽管美国土安全部计划在10月上线“机构范围适应性风险列举”算法，但美国政府各机构无需担忧因为网络安全性不足而受到国土安全部的批评，考克斯指出国土安全部只是希望确保这些机构看到的网络安全状态与国土安全部看到的所一致，而后再帮助这些机构识别需要获得相关技术支持的领域。
美国土安全部今年还计划将不受《首席财务官法案（CFO Act）》约束的美国政府小型机构加入到一个提供共享式网络安全服务的“持续诊断和处置”子项目上，目前该子项目的进度安排是在3月底完成19家小型机构的加入工作。考克斯还透露，美国联邦政府、国会和管理与预算办公室（Office of Management and Budget，OMB）已要求“持续诊断和处置”项目提供更多运营数据，因此国土安全部计划在今年5月启动一个旨在建设针对美国政府用户、支持数据展示及分析的展示板（Dashboard）新项目。
声明：本文来自国际安全简报，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
