Bug Bounty

Минулого разу ми розповіли вам про те, у якому форматі великі світові корпорації проводять програму пошуку вразливостей Bug Bounty. А от наскільки розвинута сфера користування послугами «білих» хакерів у нашій країні? Пропонуємо дізнатися про досвід українського бізнесу у цій статті.

Досвід «ПриватБанку»

У 2012 році «ПриватБанк» став першою українською компанією, а також першою банківською установою у світі, яка запустила публічну програму Bug Bounty для пошуку вразливостей своїх інтернет-систем.

Сьогодні кожен охочий ІТ-фахівець може взяти участь у програмі, зареєструвавшись на спеціальному сайті банку, що був запущений у 2017 році. На ньому зазначені умови участі та ведеться рейтинг «білих» хакерів.

Трохи статистики Bug Bounty «ПриватБанку»:

- 1 800 недоліків виявлено за перші 5 років роботи програми;
- понад 2,7 млн гривень винагород виплачено за ці недоліки;
- 512 тис. гривень виплатив «ПриватБанк» лише у 2017 році (винагороди отримали 127 учасників);
- 120 вразливостей знайдено у 2018 році;
- 419 вразливостей знайдено у 2019 році.

Наразі за кожен із підтверджених недоліків банк пропонує виплату від 50 до 1000 доларів у гривневому еквіваленті.

Досвід мобільного оператора «Київстар»

Компанія «Київстар» запустила Bug Bounty у 2017 році з метою тестування власних мобільних додатків та веб-сервісів. Спочатку програма проходила у закритому режимі, і за 3 місяці її роботи ІТ-фахівці виявили лише 20 вразливостей.

У березні 2018 року оператор зробив програму публічною, запустивши двотижневий марафон на спеціальному майданчику, завдяки чому до участі долучилися ще 160 баг-хантерів.

Трохи статистики:

- понад 31 тис. доларів виплачено за перші 2 роки Bug Bounty;
- 1 500 доларів склала максимальна винагорода одного фахівця.

Наразі «Київстар» заохочує «білих» хакерів до участі на власному сайті та пропонує винагороду до 3 тис. доларів за знайдені помилки.

Досвід ІТ-компанії Grammarly

Grammarly — це створений в Україні онлайн-сервіс, який працює на базі штучного інтелекту та допомагає редагувати тексти, написані англійською мовою. Щоденно до даного сервісу звертаються понад 20 млн користувачів з усього світу.

Деякий час компанія користувалася приватною версією Bug Bounty (доступ до системи мало обмежене коло хакерів — до 2 000), але у 2018 році вирішила перейти на публічну версію, щоб збільшити кількість потенційних учасників (за перший рік їхня кількість сягнула 150 тисяч).

За півтора року роботи програми сервіс отримав такі результати:

- закрито 138 знайдених вразливостей;
- 90 тис. доларів склав сумарний об’єм виплат;
- 118 «білих» хакерів отримали винагороду;
- 5 тис. доларів склала найбільша винагорода одного фахівця.

Наразі спеціалісти Grammarly продовжують вдосконалювати правила участі у програмі Bug Bounty, активно залучають хакерів до дослідження нових сервісів та пропонують виплати до 10 тис. доларів за знайдені вразливості.

Наскільки програма Bug Bounty розвинена в Україні

На жаль, українське законодавство ще не підлаштувалося під сучасні реалії кіберпростору, тому не дозволяє «білим» хакерам працювати на повну силу. Навіть діючи з добрих намірів, ІТ-фахівець ризикує потрапити під антихакерські норми Кримінального Кодексу. Це сприяє поширенню практики, коли українські компанії та державні установи користуються послугами штатних хакерів або обмеженої кількості перевірених «білих» хакерів на закритих майданчиках.

Окремі державні українські сервіси тестуються на базі програмного забезпечення офісу ефективного регулювання BRDO. Для максимальної безпеки користувачів дослідження проходять на дзеркальних копіях сервісів з вигаданими даними, які розміщують на сторонніх серверах.

Чому запуск Prozorro Bug Bounty є унікальним для України

Позитивний досвід дводенного марафону Prozorro у вересні 2019 року показав, що цей проєкт дає змогу не лише виявити потенційні вектори кібератак, а й зробити сервіс зручнішим та зрозумілішим для користувачів.

У червні 2020 року Prozorro запустили програму пошуку вразливостей на постійній основі та запросили до участі всіх охочих. Система дозволяє фахівцям проводити тести всередині власного тестового (препродуктивного) середовища, що максимально повторює робоче (продуктивне) середовище. У такого рішення є дві важливі переваги:

- це захищає персональні дані зареєстрованих користувачів та дає можливість не заважати їхній роботі із закупівлями;
- «білі» хакери знаходять помилки, які дійсно здатні зробити систему вразливою.

На фоні ситуації з етичним хакінгом, що склалася в Україні, запуск відкритої програми Bug Bounty системою держзакупівель Prozorro є унікальною подією. У перспективі це може посприяти зміні стратегій захисту українського (зокрема державного) кіберпростору.

Детальні умови участі у програмі Bug Bounty від Prozorro можна прочитати на офіційному сайті.

Дізнавайтеся про найцікавіше, беріть участь у закупівлях та перемагайте разом зі SmartTender!