Компания РЕД СОФТ подвела итоги первого этапа программы поиска уязвимостей на площадке Standoff Bug Bounty. Компания исправила 75 уязвимостей и выплатила независимым исследователям безопасности более 3 млн рублей. Максимальная сумма вознаграждений, полученная одним исследователем в рамках программы, составила 1,33 млн рублей.
Программа РЕД СОФТ стартовала на Standoff Bug Bounty в приватном формате. Первые 11 месяцев в тестировании участвовали только приглашенные исследователи, затем компания открыла программу для всех желающих. Проверить защищенность продукта «СУБД РЕД База данных» и получить вознаграждение за обнаруженные уязвимости может любой зарегистрированный участник платформы.
За это время исследователи отправили 144 отчета о найденных недостатках безопасности. Среди 75 обнаруженных уязвимостей, принятых к исправлению, пять имели критический уровень опасности. Еще 40 — высокий, 30 — средний и низкий уровни опасности. Всего компания выплатила багхантерам 3 010 000 рублей.
Развитие доверенной ИТ-среды требует нестандартных подходов и выхода за рамки классического аудита. Привлечение сообщества этичных хакеров помогло оценить архитектуру системы под совершенно иным углом. Инвестиции в поиск скрытых дефектов окупаются многократно, предотвращая реальные инциденты на критически важных объектах.
Роман Симаков, заместитель директора дивизиона системного ПО РЕД СОФТ
РЕД База Данных — российская система управления базами данных, сертифицированная ФСТЭК России по 4-му классу защиты и 4-му уровню доверия. В продукте предусмотрены шифрование данных, многофакторная аутентификация и контроль целостности. Для дополнительной проверки безопасности компания привлекла независимых исследователей на Standoff Bug Bounty.
В ходе тестирования багхантеры применяли сложные, многоступенчатые векторы атак, комбинируя различные техники эксплуатации уязвимостей. Полученные отчеты помогают разработчикам находить и исправлять ошибки в коде. Обнаруженные баги активно устраняются как в ядре РЕД Базы Данных, так и в Firebird.
Багбаунти можно встроить в процесс разработки безопасного ПО (РБПО), чтобы проверка защищенности не ограничивалась разовым аудитом. Продукт развивается, в нем появляются новые функции, меняется код, а вместе с этим могут возникать новые уязвимости. Независимые исследователи помогают находить такие баги превентивно, а модель вознаграждений за подтвержденные находки позволяет эффективно расходовать бюджет на безопасность. При этом тестирование сложного ПО, например систем управления базами данных, требует специальных знаний и опыта. На Standoff Bug Bounty есть исследователи с такой экспертизой, готовые разбираться в этих продуктах и анализировать их код.
Роман Приходько, руководитель Standoff Bug Bounty
Программа РЕД СОФТ на Standoff Bug Bounty продолжает работать в публичном формате. Исследователи могут присоединиться к тестированию и получить вознаграждение за подтвержденные уязвимости. Условия участия и разрешенная область тестирования доступны на странице программы.
Источник: habr.com