Bug Bounty

В прошлый раз мы рассказали вам о том, в каком формате крупные мировые корпорации проводят программу поиска уязвимостей Bug Bounty. А вот насколько развита сфера пользования услугами «белых» хакеров в нашей стране? Предлагаем узнать об опыте украинского бизнеса в этой статье.

Опыт «ПриватБанка»

В 2012 году «ПриватБанк» стал первым банковским учреждением в мире, а также первой украинской компанией, которая запустила публичную программу Bug Bounty для поиска уязвимостей своих интернет-систем.

Сегодня каждый желающий IТ-специалист может принять участие в программе, зарегистрировавшись на специальном сайте банка, запущенном в 2017 году. На нем указаны условия участия и ведется рейтинг «белых» хакеров.

Немного статистики Bug Bounty «ПриватБанка»:

- 1800 ошибок выявлено за первые 5 лет работы программы;
- более 2,7 млн гривен вознаграждений выплачено за эти ошибки;
- 512 тыс. гривен выплатил «ПриватБанк» только в 2017 году (награды получили 127 участников);
- 120 уязвимостей найдено в 2018 году;
- 419 уязвимостей найдено в 2019 году.

Сегодня по каждому из подтвержденных недостатков банк предлагает выплату от 50 до 1000 долларов в гривневом эквиваленте.

Опыт мобильного оператора «Киевстар»

Компания «Киевстар» запустила Bug Bounty в 2017 году с целью тестирования собственных мобильных приложений и веб-сервисов. Сначала программа проходила в закрытом режиме, и за 3 месяца ее работы IТ-специалисты обнаружили только 20 уязвимостей.

В марте 2018 оператор сделал программу публичной, запустив двухнедельный марафон на специальной площадке, благодаря чему к участию присоединились еще 160 баг-хантеров.

Немного статистики:

- более 31 тыс. долларов выплачено за первые 2 года Bug Bounty;
- 1500 долларов составило максимальное вознаграждение одного специалиста.

Сейчас «Киевстар» приглашает «белых» хакеров к участию на собственном сайте и предлагает вознаграждение в 3 тыс. долларов за найденные ошибки.

Опыт IТ-компании Grammarly

Grammarly — это созданный в Украине онлайн-сервис, который работает на базе искусственного интеллекта и помогает редактировать тексты, написанные на английском языке. Ежедневно к данному сервису обращаются более 20 млн пользователей по всему миру.

Некоторое время компания пользовалась приватной версией Bug Bounty (доступ к системе имел ограниченный круг хакеров — до 2000), но в 2018 году решила перейти на публичную версию, чтобы увеличить количество потенциальных участников (за первый год их количество достигло 150 тыс.).

За полтора года работы программы сервис получил следующие результаты:

- закрыто 138 найденных уязвимостей;
- 90 тыс. долларов составил суммарный объем выплат;
- 118 «белых» хакеров получили вознаграждение;
- 5 тыс. долларов составило наибольшее вознаграждение одного специалиста.

Сейчас специалисты Grammarly продолжают совершенствовать правила участия в программе Bug Bounty, активно привлекают хакеров к исследованию новых сервисов и предлагают выплаты до 10 тыс. долларов за найденные уязвимости.

Насколько программа Bug Bounty развита в Украине

К сожалению, украинское законодательство еще не подстроилось под современные реалии киберпространства, поэтому не позволяет «белым» хакерам работать в полную силу. Даже действуя из благих намерений, IТ-специалист рискует попасть под антихакерские нормы Уголовного Кодекса. Это способствует распространению практики, при которой украинские компании и государственные учреждения пользуются услугами штатных хакеров или ограниченного количества проверенных «белых» хакеров на закрытых площадках.

Отдельные государственные украинские сервисы тестируются на базе программного обеспечения офиса эффективного регулирования BRDO. Для максимальной безопасности пользователей исследования проходят на зеркальных копиях сервисов с вымышленными данными, которые размещают на сторонних серверах.

Почему запуск Prozorro Bug Bounty является уникальным для Украины

Положительный опыт двухдневного марафона Prozorro в сентябре 2019 показал, что этот проект позволяет не только выявить потенциальные векторы кибератак, но и сделать сервис более удобным и понятным для пользователей.

В июне 2020 Prozorro запустили программу поиска уязвимостей на постоянной основе и пригласили к участию всех желающих. Система разрешает специалистам проводить тесты внутри собственной тестовой (препродуктивной) среды, что максимально повторяет рабочую (продуктивную) среду. У такого решения есть два важных преимущества:

- это защищает персональные данные зарегистрированных пользователей и дает возможность не мешать их работе с закупками;
- «белые» хакеры находят ошибки, которые действительно способны сделать систему уязвимой.

На фоне ситуации, сложившейся с этическим хакингом в Украине, запуск открытой программы Bug Bounty системой госзакупок Prozorro является уникальным событием. В перспективе это может поспособствовать изменению стратегий защиты украинского (в частности государственного) киберпространства.

Подробные условия участия в программе Bug Bounty от Prozorro можно прочитать на официальном сайте.

Узнавайте о самом интересном, участвуйте в закупках и побеждайте вместе со SmartTender!