Компания «Ред Софт» подвела итоги первого этапа программы поиска уязвимостей на площадке Standoff Bug Bounty. Компания исправила 75 уязвимостей и выплатила независимым исследователям безопасности более 3 млн руб. Максимальная сумма вознаграждений, полученная одним исследователем в рамках программы, составила 1,33 млн руб. Об этом CNews сообщили представители Positive Technologies.
Программа «Ред Софт» стартовала на Standoff Bug Bounty в приватном формате. Первые 11 месяцев в тестировании участвовали только приглашенные исследователи, затем компания открыла программу для всех желающих. Проверить защищенность продукта «СУБД Ред База данных» и получить вознаграждение за обнаруженные уязвимости может любой зарегистрированный участник платформы.
За это время исследователи отправили 144 отчета о найденных недостатках безопасности. Среди 75 обнаруженных уязвимостей, принятых к исправлению, пять имели критический уровень опасности. Еще 40 — высокий, 30 — средний и низкий уровни опасности. Всего компания выплатила багхантерам 3,01 млн руб.
«Развитие доверенной ИТ-среды требует нестандартных подходов и выхода за рамки классического аудита. Привлечение сообщества этичных хакеров помогло оценить архитектуру системы под совершенно иным углом. Инвестиции в поиск скрытых дефектов окупаются многократно, предотвращая реальные инциденты на критически важных объектах», — отметил Роман Симаков, заместитель директора дивизиона системного ПО «Ред Софт».
«Ред База Данных» — российская система управления базами данных, сертифицированная ФСТЭК России по четвертому классу защиты и четвертому уровню доверия. В продукте предусмотрены шифрование данных, многофакторная аутентификация и контроль целостности. Для дополнительной проверки безопасности компания привлекла независимых исследователей на Standoff Bug Bounty.
В ходе тестирования багхантеры применяли сложные, многоступенчатые векторы атак, комбинируя различные техники эксплуатации уязвимостей. Полученные отчеты помогают разработчикам находить и исправлять ошибки в коде. Обнаруженные баги активно устраняются как в ядре «Ред Базы Данных», так и в Firebird.
«Багбаунти можно встроить в процесс разработки безопасного ПО (РБПО), чтобы проверка защищенности не ограничивалась разовым аудитом. Продукт развивается, в нем появляются новые функции, меняется код, а вместе с этим могут возникать новые уязвимости. Независимые исследователи помогают находить такие баги превентивно, а модель вознаграждений за подтвержденные находки позволяет эффективно расходовать бюджет на безопасность. При этом тестирование сложного ПО, например систем управления базами данных, требует специальных знаний и опыта. На Standoff Bug Bounty есть исследователи с такой экспертизой, готовые разбираться в этих продуктах и анализировать их код», — сказал Роман Приходько, руководитель Standoff Bug Bounty.
Программа «Ред Софт» на Standoff Bug Bounty продолжает работать в публичном формате. Исследователи могут присоединиться к тестированию и получить вознаграждение за подтвержденные уязвимости. Условия участия и разрешенная область тестирования доступны на странице программы.
Поделиться
