Bug bounty

Що це означає

Bug bounty - програма, у якій компанія винагороджує незалежних дослідників безпеки за знаходження та повідомлення про вразливості у своїх сайтах, застосунках чи системах. Правила заздалегідь визначають, що можна тестувати, як повідомляти та які винагороди.

Програма доповнює тестування на проникнення: тест проводить один підрядник за обмежений час, а bug bounty відкриває систему багатьом хакерам постійно. Платять лише за справді знайдені та підтверджені помилки.

Програми запускають через спеціалізовані платформи або самостійно. Простіша форма - політика відповідального розкриття, яка не пропонує винагороди, але дає дослідникам законний шлях і обіцянку не переслідувати їх.

Як це працює на практиці

Для малих фірм повноцінна bug bounty зазвичай надто дорога й трудомістка в обробці повідомлень. Досить сторінки з контактом для повідомлень про вразливості та файлу security.txt на сайті, щоб дослідник знав, кому писати.

Кожне повідомлення треба перевірити, оцінити серйозність, виправити й повідомити дослідника. Серйозні помилки вирішуються в межах реагування на інциденти, а у відомому ПЗ можуть отримати позначення CVE.

Винагороди дослідникам - податкова витрата компанії. Для іноземних дослідників треба оцінити, чи є це послугою з-за кордону та чи виникає обов'язок утримати податок у джерела.

На що звернути увагу

Без чітких правил дослідник під час тестування може порушити роботу чи отримати доступ до персональних даних. Програма має визначити заборонені техніки, наприклад DDoS, і заборонити доступ до даних клієнтів понад необхідне.

Проігнороване повідомлення - ризик: дослідник може з часом оприлюднити помилку, і зловмисники використають її як вразливість нульового дня. Навіть компанії без програми варто мати порядок відповіді на повідомлення.