Programmi Bug Bounty

A Bug Bounty Programma È un'offerta offerta da molti siti web, organizzazioni e sviluppatori di software, grazie alla quale i singoli utenti possono ricevere un riconoscimento e un compenso in denaro per la segnalazione di bug o vulnerabilità nei prodotti offerti da un fornitore. I prodotti possono essere hardware, software, servizi o siti web.

I programmi Bug Bounty incoraggiano la divulgazione responsabile di bug critici al fornitore del software. La divulgazione responsabile significa che al fornitore viene concesso un lasso di tempo ragionevole per affrontare e correggere la vulnerabilità o il bug prima che il ricercatore di sicurezza possa rendere pubblici i risultati. Nella maggior parte dei casi, il fornitore e il ricercatore di sicurezza collaborano a stretto contatto per convalidare l'effettiva efficacia delle correzioni. Una volta rilasciata una patch e quando i clienti del fornitore sono adeguatamente protetti, il ricercatore di sicurezza può divulgare i dettagli del proprio lavoro. 

Google, Facebook e Reddit sono esempi di organizzazioni che utilizzano programmi bug bounty per proteggere il loro software.

Programma Bug Bounty di CyberHoot

CyberHoot donerà in natura il nostro prodotto di formazione sulla sicurezza e di test anti-phishing a un ente benefico di tua scelta in cambio della segnalazione responsabile di un bug nel nostro software, sito web o di altre insicurezze, una volta confermate dal nostro team. Per farlo, è sufficiente inviare la segnalazione via email a DPO@CyberHoot.com, come indicato nell'informativa sulla privacy del nostro sito web.

Cosa significa questo per la mia PMI?

Se sei una PMI che si occupa di sviluppo software di qualsiasi tipo, allora è fondamentale creare un programma di bug bounty. È stato dimostrato che programmi di bug bounty di modesta entità incoraggiano la segnalazione e la divulgazione responsabili di bug critici nel software. Tuttavia, se stai sviluppando un programma, assicurati di sistematizzarlo. Ci sono molte sfide che devi affrontare nel tuo programma di bug bounty, come descritto in questo articolo: 5 domande a cui rispondere prima di creare il tuo programma Bug Bounty.

Per la maggior parte delle altre PMI e MSP non coinvolte nello sviluppo software, non sarà necessario preoccuparsi di un programma del genere. L'attenzione di PMI e MSP deve invece concentrarsi sullo sviluppo di un processo per la gestione degli avvisi di vulnerabilità critiche. È di vitale importanza disporre di un processo per valutare rapidamente i rischi e prendere decisioni importanti e urgenti su come reagire alle vulnerabilità critiche. Con un Vulnerability Alert Management Process (VAMP), è possibile disporre di una guida chiara su quando e quanto intervenire per una determinata vulnerabilità o esposizione.

Per rimanere sempre aggiornati, è importante implementare una soluzione di gestione delle patch basata su cloud per aggiornare automaticamente il software quando e dove necessario. La maggior parte dei Managed Service Provider sfrutta uno dei tre principali provider. Monitoraggio e gestione remoti (RMM) soluzioni (ConnectWise, Dattoe Kaseya) per l'applicazione delle patch ai sistemi gestiti. Queste soluzioni RMM forniscono ai clienti anche monitoraggio e accesso remoto, oltre a servizi di patching testati e convalidati.

Le soluzioni di gestione delle patch autonome per le aziende che non utilizzano le soluzioni RMM sopra menzionate includono ManageEngine and Automox.

PROTEZIONI SMB E MSP OLTRE LA GESTIONE DELLE PATCH

Oltre ad adottare un sistema di gestione delle patch, CyberHoot consiglia le seguenti best practice per proteggere individui e aziende dagli attacchi informatici online e limitarne i danni:

• Adotta un gestore di password per una migliore igiene delle password personali/di lavoro
• Richiedere autenticazione a due fattori su qualsiasi Soluzione SaaS o resoconti critici
• Richiedi password di 14+ caratteri nel tuo Politiche di governance
• Formare i dipendenti per individuare ed evitare email basate phishing attacchi
• Controllare che i dipendenti può individuare ed evitare le email di phishing testandole
• Eseguire il backup dei dati utilizzando il Metodo 3-2-1
• Incorporare il Principio del minimo privilegio
• Eseguire un valutazione del rischio ogni due o tre anni

Termini correlati: Insetto, Vulnerabilità

Fonte: HackerOne