Bug Bounty-programma's

7 januari 2020 | cyber

Een bug bounty-programma is een overeenkomst die door veel websites, organisaties en softwareontwikkelaars wordt aangeboden. Hierbij kunnen individuen erkenning en een financiële beloning ontvangen voor het melden van bugs of kwetsbaarheden in de producten van een leverancier. Het kan hierbij gaan om hardware, software, diensten of websites.

Bug Bounty-programma's moedigen de verantwoorde melding van kritieke bugs aan de softwareleverancier aan. Verantwoorde melding betekent dat de leverancier een redelijke termijn krijgt om de kwetsbaarheid of bug aan te pakken en te verhelpen voordat de beveiligingsonderzoeker zijn bevindingen openbaar kan maken. In de meeste gevallen werken de leverancier en de beveiligingsonderzoeker nauw samen om te valideren of de oplossingen daadwerkelijk werken. Zodra een patch is uitgebracht en de klanten van de leverancier goed beveiligd zijn, mag de beveiligingsonderzoeker de details van zijn werk openbaar maken.

Google, Facebook en Reddit zijn voorbeelden van organisaties die bug bounty-programma's gebruiken om hun software te beveiligen.

CyberHoot's Bug Bounty-programma

CyberHoot doneert onze training in beveiligingsbewustzijn en ons product voor phishingtesten in natura aan een goed doel naar keuze. Zodra ons team een bug in onze software, website of andere onveiligheid heeft vastgesteld, wordt deze melding verantwoord aan ons gemeld. U kunt dit doen door de melding te mailen naar DPO@CyberHoot.com, zoals beschreven in het privacybeleid van onze website.

Wat betekent dit voor mijn MKB-bedrijf?

Als je een mkb-bedrijf bent dat zich bezighoudt met softwareontwikkeling, is het verstandig om een bug bounty-programma op te zetten. Bescheiden bug bounty-programma's blijken het verantwoord melden en openbaar maken van kritieke softwarefouten te stimuleren. Zorg er echter voor dat je een dergelijk programma systematisch aanpakt. Er zijn veel uitdagingen waarmee je te maken krijgt bij het opzetten van een bug bounty-programma, zoals beschreven in dit artikel: 5 vragen die je moet beantwoorden voordat je een bug bounty-programma opzet.

Voor de meeste andere MKB'ers en MSP's die niet betrokken zijn bij softwareontwikkeling, is een dergelijk programma geen probleem. MKB'ers en MSP's moeten zich vooral richten op het ontwikkelen van hun proces voor het afhandelen van meldingen van kritieke kwetsbaarheden. Het is van cruciaal belang dat u over een proces beschikt om snel risico's te beoordelen en belangrijke, tijdsgevoelige beslissingen te nemen over hoe u moet reageren op kritieke kwetsbaarheden. Met een Vulnerability Alert Management Process (VAMP) beschikt u over een duidelijke richtlijn voor wanneer u moet reageren en hoe hoog u moet reageren op een bepaalde kwetsbaarheid of blootstelling.

Om altijd up-to-date te blijven, is het belangrijk om een cloudgebaseerde patchmanagementoplossing te implementeren waarmee software automatisch kan worden bijgewerkt wanneer en waar nodig. De meeste Managed Service Providers maken gebruik van een van de drie grote Remote Monitoring and Management (RMM)-oplossingen ( Connectwise , Datto en Kaseya) voor het patchen van hun beheerde systemen. Deze RMM-oplossingen bieden hun klanten naast geteste en gevalideerde patchservices ook monitoring en toegang op afstand.

Standalone patchmanagementoplossingen voor bedrijven die geen gebruik maken van de bovengenoemde RMM-oplossingen zijn onder andere ManageEngine en Automox.

SMB- en MSP-BESCHERMING DIE VERDERGAAT DAN PATCHBEHEER

Naast het implementeren van een patchmanagementsysteem, adviseert CyberHoot de volgende best practices om personen en bedrijven te beschermen tegen online cyberaanvallen en de schade als gevolg daarvan te beperken:

Adopteer een Password Manager voor een betere persoonlijke/werkwachtwoordhygiëne
Vereisen two-factor authenticatie op elke SaaS-oplossing of kritische accounts
Vereist wachtwoorden van 14+ tekens in uw Bestuursbeleid
Train medewerkers om e-mailgebaseerde advertenties te herkennen en te vermijden Phishing aanvallen
Controleer of werknemers kunt phishing-e-mails herkennen en vermijden door ze te testen
Maak een back-up van gegevens met behulp van de 3-2-1 methode
opnemen van de Principe van de minste privileges
Voer een risico-evaluatie elke twee tot drie jaar