Internet Bug Bounty خطط المكافآت للأدوات الجديدة للعثور على نقاط الضعف

البرنامج الذي يدفع للباحثين للحصول على معلومات حول نقاط ضعف البرامج ، الإنترنت Bug Bounty (IBB) ، سيكافئ أيضًا أولئك الذين يطورون أدوات وتقنيات لتحديد الأخطاء.

الفكرة هي توسيع نطاق مجموعة الأدوات التي يمكن للمنظمات استخدامها لإيجاد عيوب أمنية في برمجياتهم قبل أن يقوم المتسللون ببيع تلك المعلومات القيمة ، كتب كاتي موسوريس ، مسؤول السياسة الرئيسي لـ HackerOne ، أحد رعاة IBB ، إلى جانب Facebook و Microsoft.

"في النهاية ، شد الحبل بين وكتب موسوريس في مدونة نشرت يوم الثلاثاء "سيكون المهاجمون والمدافعون موجودون دائما." "كيف نرتب حوافز لجعل الإجرام أكثر تكلفة للمهاجمين وإعطاء مزيد من المدافعين والمزايا هو السؤال."

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows]

يوجد سوق مزعج مزدهر لنقاط الضعف الأمنية . من المعروف أن الحكومات ، بما في ذلك الولايات المتحدة ، تدفع مبالغ كبيرة للحصول على معلومات حول العيوب الأمنية التي يمكن استخدامها في عمليات الاستخبارات.

يمكن للباحثين المستقلين كسب أموال أكثر بكثير لبيع معلومات القابلية للتأثر للمشترين الذين يستفيدون من المخاطر ، بدلاً من إبلاغهم للشركات. على الرغم من أن العديد من مثل Facebook و Google تقدم مكافآت للحصول على معلومات ، إلا أن الشركات لا تستطيع مطابقة المنظمات التي ترعاها الدولة أو مجموعات المجرمين الإلكترونيين.

من المقرر أن يقدم Moussouris بحثًا تم إجراؤه مع باحثي MIT و Harvard University في مؤتمر RSA للأمن في سان فرانسيسكو الاسبوع القادم. ينظر إلى الدوافع الكامنة وراء بيع نقاط الضعف في البرامج ، خاصة تلك المعروفة بـ "أيام الصفر".

تعتبر الأيام صفر من أخطر مشاكل البرامج لأن المهاجمين يستخدمونها بشكل فعال للتنازل عن الأنظمة ولكن ليس هناك بقع متاحة. > سعت دراستهم لإيجاد طرق فعالة للحد من تجمع نقاط الضعف يوم الصفر للبيع. في حين أن برامج مكافآت الشجاعة التي تديرها الشركات كانت فعالة ، "ازدادت فرصة البيع لكل من سوقي الإجرام والدفاع" ، كما كتب موسوريس.

أفضل فرصة للمنظمات التي تحاول الدفاع عن برامجها هي أن يكون لديها المزيد من الأدوات لفحص ". وتشمل الأدوات سبيل المثال لا الحصر على fuzzers ، الإضافات المصحح ، وخاصة طرق للمساعدة في تحديد قابلية استغلال البق أكثر كفاءة" ، كما كتبت.