Остановить атаку теперь можно в любой момент: на Standoff Bug Bounty появилась "красная кнопка" в программах на недопустимые события
На платформе Standoff Bug Bounty появилась новая функция — своеобразная "красная кнопка". Этот сервис будет особенно востребован компаниями, которые запускают программы APT Bug Bounty1 или участвуют в кибериспытаниях2 с целью исследовать самые опасные для нее сценарии кибератак. Теперь у участников есть возможность в любой момент приостановить программу, если действия багхантеров выходят за рамки установленной области исследований. Благодаря этому качественно новому шагу процесс проверки защищенности инфраструктуры станет более контролируемым, а сам формат таких программ для компаний — привлекательнее.
В условиях постоянного роста количества кибератак, их усложнения, а также выявления все большего числа уязвимостей ПО, эксперты Positive Technologies рекомендуют организациям для эффективной защиты своей инфраструктуры внедрять принципы результативной кибербезопасности и проверять свою защищенность с помощью программ багбаунти и кибериспытаний.
Самым продвинутым, финальным этапом подтвреждения качества и эффективности выстроенной защиты компании, которая стремится к достижению реального результата и прошла все уровни подготовки ИБ, являются программы по демонстрации возможности реализовать типовые недопустимые для бизнеса события. Новый подход — альтернатива классическому тестированию на проникновение и red team, потому что тысячи независимых исследователей с разными навыками и инструментарием будут искать векторы атак и уязвимости. Они проверяют возможность реализации недопустимых событий в соответствии с критериями, сформулированными совместно со специалистами Positive Technologies. Форматы APT Bug Bounty и кибериспытаний позволяют оценивать существующую систему защиты компании (ее достаточность, эффективность и необходимость доработки), а также быстро и безопасно устранять потенциальные возможности для достижения недопустимых событий.
"Для каждой организации можно выделить недопустимые события, наступление которых будет иметь для нее катастрофические последствия, — отмечает Алексей Новиков, управляющий директор Positive Technologies.— Их определение — ключевой шаг на пути к построению результативной кибербезопасности. На нашей платформе уже давно существует формат багбаунти для исследования возможностей реализовать недопустимые события. При этом не все наши клиенты уверены в своей готовности к таким проверкам. Именно поэтому мы предлагаем революционный подход, который позволит компаниям в любой момент остановить атаку багхантеров. Такая „красная кнопка" поможет устранить важную причину для сомнений наших клиентов и повысить гарантии безопасности багбаунти".
Как поясняют эксперты, исследователи ИБ будут участвовать в реализации программ таких форматов только посредством специального виртуального рабочего стола, а все их действия будут фиксироваться.
Для клиентов и пользователей "красная кнопка" сделает действия специалистов более прозрачными, процесс — более контролируемым, а значит и уровень доверия к таким программам возрастет. Новая функция позволит расширить круг компаний и организаций, запускающих этот современный формат багбаунти. В частности, "красная кнопка" может быть востребована государственными организациями, промышленными предприятиями и теми компаниями, которые сомневаются в запуске программ по оценке защищенности независимыми исследователями. В результате и у багхантеров на платформе будет больше интересных заданий и возможностей получить вознаграждение.
Standoff Bug Bounty была запущена в мае 2022 года. С тех пор на платформе зарегистрировалось более 16 тысяч исследователей безопасности и было размещено свыше 80 багбаунти-программ компаний из самых разных сфер. Один из наиболее значимых показателей результативности — количество валидных отчетов о найденных уязвимостях. Всего с момента запуска платформы от багхантеров получено уже почти 8000 отчетов. Часть принятых компаниями отчетов (12%) касалась критически опасных уязвимостей, еще 20 % — уязвимостей с высоким уровнем опасности. Общая сумма вознаграждений за обнаруженные уязвимости превысила 148 млн рублей, а максимальные выплаты сопоставимы с аналогичными на мировых площадках. Новый формат багбаунти-программ и кибериспытаний на платформе уже запустили компании Positive Technologies, Rambler&Co и Innostage.
1APT Bug Bounty — подход к проверке защищенности от киберугроз, при котором независимые исследователи выявляют способы реализации недопустимых для компании событий в условиях постоянно изменяющейся инфраструктуры на платформе Standoff Bug Bounty.
2Кибериспытание — подход к объективной оценке защищенности бизнеса от киберугроз. В рамках испытаний исследователи должны выяввить способы реализации недопустимых событий с минимальными для себя ограничениями. Оценка основывается на специальной методологии, разработанной совместно с индустрией кибербезопасности, и работе экспертного совета, который контролирует проведение исследований.
