Василий Задворный о Prozorro Bug Bounty

1 июня система Prozorro во второй раз запустила программу поиска уязвимостей информационной защищенности Bug Bounty. О первом опыте сотрудничества с «белыми» хакерами и о том, как будет происходить тестирование сервиса — рассказал генеральный директор ГП «Прозорро» Василий Задворный.

Почему Prozorro решили проводить именно проект Bug Bounty?

Современный мир становится все более диджитализованным, и с каждым месяцем увеличивается количество ситуаций, в которых утечка данных приводит к серьезным последствиям. Этот проект является наиболее популярным и надежным способом проверить кибербезопасность системы в режиме реального времени. Уже много лет его используют такие мировые компании как Google, Facebook, Microsoft и государственные структуры вроде Пентагона. Это помогает им защищать свои базы данных и программные продукты.

Как в целом происходит защита системы Prozorro? Уязвима ли она к хакерским атакам?

К сожалению, единая информационная система, не уязвимая к атакам — это система, не подключенная к сети. Любые системы в мире, какими бы защищенными они ни были, являются уязвимыми. Вопрос только в том, сколько будет стоить их взлом. Поэтому задача защиты состоит не в том, чтобы абсолютно защитить систему, а в том, чтобы увеличить стоимость атаки.

Именно по такой стратегии происходит защита сервиса Prozorro: мы максимально уменьшаем количество потенциальных векторов атаки, минимизируя возможные потери и делая систему максимально недоступной для внешних угроз. Мы постоянно следим за обновлениями программного обеспечения, чтобы обезопасить себя от так называемых уязвимостей нулевого дня — вредоносных программ, против которых еще не разработаны защитные механизмы. К тому же, активно применяем ресурсы внешних сторон, чтобы оперативно реагировать на возникающие ситуации.

В подавляющем большинстве случаев мы не сталкиваемся с целенаправленными атаками на систему Prozorro. Скорее с разведкой. Мы фиксируем ее и следим, чтобы серьезных вмешательств в работу сервиса не было.

Каких результатов вам удалось достичь от сотрудничества с «белыми» хакерами в прошлом году?

Осенью 2019 система Prozorro впервые запустила программу Bug Bounty в формате двухдневного марафона. Даже за такой короткий срок мы получили очень полезный для нас результат. IT-специалисты не нашли критических уязвимостей на продуктивной системе, зато обнаружили два вектора атак, которые могли бы стать критическими в будущем, и большое количество потенциально интересных векторов атак.

Кроме того, именно Bug Bounty заставил нас обратить внимание на необходимость обеспечения безопасности системы в целом, а не только ее центрального компонента. Осенью мы тестировали именно центральную базу данных, а поскольку этот компонент почти не имеет юзер-интерфейсов, это существенно уменьшило количество потенциальных векторов атак. Именно поэтому с этого года мы расширяем зону тестирования и на площадки, которые с нами работают.

Какие отличия нынешнего Bug Bounty от прошлогоднего марафона?

Нам важно защитить ВСЕ данные пользователей, независимо от того, где они хранятся: в базах Prozorro, на площадках или еще где-то. Поэтому основное отличие нынешнего проекта заключается в том, что теперь мы будем тестировать не только центральную базу данных, но и площадки, которые также являются частью экосистемы (сейчас в программу включились три торговых онлайн-площадки из тринадцати). Это делает проект более сложным, но одновременно и более интересным. Мы должны защищать всех участников экосистемы, поэтому в наших планах до конца года расширить программу на все площадки.

Еще одно отличие — теперь проект будет действовать на постоянной основе. Все понимают, что Prozorro, как и любой другой программный продукт, постоянно обновляется. Поэтому тестирование сервиса может каждый раз приносить новые результаты.

Как скажутся хакерские вмешательства на работе системы и площадок?

Хочу сразу успокоить всех пользователей сервиса: исследование будет проходить в специальной среде и никак не скажется на проведении тендеров. На самом деле это вызвано тем, что в Украине существуют определенные юридические ограничения по проведению подобных проектов, особенно если мы говорим о продуктивной системе. Именно поэтому тестирование в Prozorro проходит не в продуктивной, а в препродуктивной (stage-in) среде, использующейся в процессе развертывания (деплойминга) системы.

Несмотря на это, такое условие лишь минимально ограничит возможности хакеров, так как препродуктивная среда большую часть времени аналогична продуктивной. Мы не хотели создавать искусственную площадку специально для тестирования, чтобы в итоге не найти уязвимостей и успокоить себя. Нет, проект будет проходить именно в той части системы, которая постоянно обновляется. Аналогично будет проходить и тестирование онлайн-площадок.

Какие ваши личные ожидания от проекта? Удастся ли, по вашему мнению, кому-то «хакнуть» Prozorro и площадки?

Я уверен, что да, удастся, и именно для этого мы и делаем данный проект. Мы понимаем, что программы вроде Bug Bounty проводятся не для того, чтобы успокоиться и отчитаться, что у нас все замечательно и никакие уязвимости не нашли. Наоборот, мы хотим, чтобы эти вещи были найдены. Основная задача тестирования в том, чтобы они были найдены нами раньше, чем кем-то другим.

Поэтому мы призываем всех, кому интересно участие в такого рода мероприятиях, присоединяться. Bug Bounty от Prozorro — это первый в Украине проект, который проводится государством, и в этом его уникальность. Это прекрасная возможность для IT-специалистов применить свои навыки на полную, найти уязвимости в кибербезопасности государственного сервиса и в результате получить не иски юридических направлений, а благодарность и признание.