Program Bug Bounty

A Program Bug Bounty ialah perjanjian yang ditawarkan oleh banyak tapak web, organisasi dan pembangun perisian di mana individu boleh menerima pengiktirafan dan bayaran kewangan untuk melaporkan pepijat atau kelemahan dalam penawaran produk vendor. Produk boleh berupa perkakasan, perisian, perkhidmatan atau tapak web.

Program Bug Bounty menggalakkan pendedahan pepijat kritikal yang bertanggungjawab kepada vendor perisian. Pendedahan yang bertanggungjawab bermakna vendor diberi tempoh masa yang munasabah untuk menangani dan membetulkan kelemahan atau pepijat sebelum penyelidik keselamatan boleh mengeluarkan penemuan mereka kepada umum. Dalam kebanyakan kes, vendor dan penyelidikan keselamatan bekerjasama untuk mengesahkan pembetulan benar-benar berfungsi, dan kemudian setelah tampalan dikeluarkan dan pelanggan vendor dilindungi dengan betul, penyelidik keselamatan boleh mengeluarkan butiran kerja mereka. 

Google, Facebook dan Reddit ialah contoh organisasi yang menggunakan program hadiah pepijat untuk membantu mengamankan perisian mereka.

Program Bounty Bug CyberHoot

CyberHoot akan membuat sumbangan dalam bentuk produk latihan kesedaran keselamatan dan ujian phish kami kepada badan amal pilihan anda untuk pendedahan yang bertanggungjawab dan melaporkan kepada kami pepijat dalam perisian, tapak web kami atau ketidakamanan lain setelah disahkan oleh pasukan kami. Untuk melakukan ini, e-melkan laporan ringkas kepada DPO@CyberHoot.com seperti yang digariskan dalam dasar privasi tapak web kami.

Apakah Maksud Ini Untuk SMB Saya?

Jika anda seorang SMB yang melakukan pembangunan perisian dalam apa jua bentuk, maka anda perlu mencipta program hadiah pepijat. Program hadiah pepijat sederhana telah ditunjukkan untuk menggalakkan pelaporan yang bertanggungjawab dan pendedahan pepijat kritikal dalam perisian. Walau bagaimanapun, jika anda sedang membina program, pastikan anda mensistemkan program anda. Terdapat banyak cabaran yang mesti anda tempuhi dalam program Bug Bounty anda seperti yang digariskan dalam artikel ini: 5 Soalan untuk Dijawab Sebelum Membuat Program Bounty Bug Anda.

Bagi kebanyakan SMB dan MSP lain yang tidak terlibat dalam pembangunan perisian, anda tidak perlu bermasalah dengan program sedemikian. Di mana SMB dan MSP perlu menumpukan perhatian mereka ialah membangunkan proses mereka untuk mengendalikan amaran kerentanan kritikal. Adalah amat penting untuk anda mempunyai proses untuk menilai risiko dengan cepat dan membuat keputusan penting, sensitif masa, tentang cara bertindak balas terhadap kelemahan kritikal. Dengan adanya Proses Pengurusan Amaran Kerentanan (VAMP), anda boleh mempunyai panduan yang jelas tentang masa untuk melompat dan berapa tinggi untuk melompat untuk kelemahan atau pendedahan tertentu.

Untuk mengikuti perkembangan terkini pada setiap masa, adalah penting untuk menggunakan penyelesaian pengurusan tampung berasaskan awan untuk mengemas kini perisian secara automatik pada bila-bila masa dan di mana sahaja perlu. Kebanyakan Penyedia Perkhidmatan Terurus memanfaatkan salah satu daripada tiga besar Pemantauan dan Pengurusan Jauh (RMM) penyelesaian (Bersambung, datto, dan Kaseya) untuk menampal sistem terurus mereka. Penyelesaian RMM ini juga menyediakan pemantauan, dan akses jauh sebagai tambahan kepada perkhidmatan tampalan yang diuji dan disahkan kepada pelanggan mereka.

Penyelesaian pengurusan patch kendiri untuk syarikat yang tidak menggunakan penyelesaian RMM yang disebutkan di atas termasuk ManageEngine dan Automox.

PERLINDUNGAN SMB dan MSP DI LUAR PENGURUSAN PATCH

Selain mengguna pakai sistem pengurusan tampung, CyberHoot mengesyorkan amalan terbaik berikut untuk melindungi individu dan perniagaan daripada, dan mengehadkan kerosakan daripada, serangan siber dalam talian:

• Mengamalkan a pengurus kata laluan untuk kebersihan kata laluan peribadi/kerja yang lebih baik
• Memerlukan pengesahan dua faktor pada mana-mana sahaja Penyelesaian SaaS atau akaun kritikal
• Memerlukan 14+ aksara Kata laluan dalam anda Dasar Tadbir Urus
• Melatih pekerja untuk mengesan dan mengelakkan berasaskan e-mel Phishing serangan
• Periksa pekerja itu boleh mengesan dan mengelakkan e-mel pancingan data dengan mengujinya
• Sandarkan data menggunakan Kaedah 3-2-1
• Memasukkan Prinsip Keistimewaan Paling Rendah
• Lakukan a penilaian risiko setiap dua hingga tiga tahun

Terma Berkaitan: Bug, Vulnerability

Sumber: HackerOne