Bug bounty

Что это значит

Bug bounty - программа, в которой компания вознаграждает независимых исследователей безопасности за нахождение и сообщение об уязвимостях в своих сайтах, приложениях или системах. Правила заранее определяют, что можно тестировать, как сообщать и каковы вознаграждения.

Программа дополняет тестирование на проникновение: тест проводит один подрядчик за ограниченное время, а bug bounty открывает систему многим хакерам постоянно. Платят только за реально найденные и подтверждённые ошибки.

Программы запускают через специализированные платформы или самостоятельно. Более простая форма - политика ответственного раскрытия, которая не предлагает вознаграждения, но даёт исследователям законный путь и обещание не преследовать их.

Как это работает на практике

Для малых фирм полноценная bug bounty обычно слишком дорога и трудоёмка в обработке сообщений. Достаточно страницы с контактом для сообщения об уязвимостях и файла security.txt на сайте, чтобы исследователь знал, кому писать.

Каждое сообщение нужно проверить, оценить серьёзность, исправить и уведомить исследователя. Серьёзные ошибки решаются в рамках реагирования на инциденты, а в известном ПО могут получить обозначение CVE.

Вознаграждения исследователям - налоговый расход компании. При иностранных исследователях нужно оценить, является ли это услугой из-за границы и возникает ли обязанность удержать налог у источника.

На что обратить внимание

Без чётких правил исследователь при тестировании может нарушить работу или получить доступ к персональным данным. Программа должна определить запрещённые техники, например DDoS, и запретить доступ к данным клиентов сверх необходимого.

Проигнорированное сообщение - риск: исследователь может со временем опубликовать ошибку, и злоумышленники используют её как уязвимость нулевого дня. Даже компании без программы стоит иметь порядок ответа на сообщения.