Программы Баунти Бага

Программа вознаграждения за обнаружение ошибок ( Bug Bounty Program) — это предложение, которое предоставляют многие веб-сайты, организации и разработчики программного обеспечения, в рамках которого отдельные лица могут получать признание и денежное вознаграждение за сообщение об ошибках или уязвимостях в продуктах поставщика. Продуктами могут быть оборудование, программное обеспечение, услуги или веб-сайты.

Программы вознаграждений за обнаружение ошибок (Bug Bounty) поощряют ответственное раскрытие информации о критических ошибках поставщику программного обеспечения. Ответственное раскрытие информации означает, что поставщику предоставляется разумный срок для устранения уязвимости или ошибки, прежде чем исследователь безопасности сможет опубликовать свои выводы. В большинстве случаев поставщик и исследователь безопасности работают рука об руку, чтобы убедиться в эффективности исправлений, а затем, после выпуска исправления и обеспечения надлежащей защиты клиентов поставщика, исследователь безопасности может опубликовать информацию о своей работе. 

Google, Facebook и Reddit — примеры организаций, которые используют программы вознаграждения за обнаруженные ошибки для защиты своего программного обеспечения.

Программа вознаграждений за найденные ошибки CyberHoot

CyberHoot сделает пожертвование в виде нашего продукта для обучения по вопросам безопасности и тестирования на фишинг благотворительной организации по вашему выбору в обмен на ответственное раскрытие информации и сообщение нам об ошибках в нашем программном обеспечении, веб-сайте или других уязвимостях безопасности после подтверждения нашей командой. Для этого просто отправьте сообщение по электронной почте на адрес DPO@CyberHoot.com, как указано в политике конфиденциальности нашего веб-сайта.

Что это означает для моего малого и среднего бизнеса?

Если вы — малый или средний бизнес, занимающийся разработкой программного обеспечения любого рода, вам следует создать программу вознаграждения за обнаружение ошибок. Доказано, что даже небольшие программы вознаграждения способствуют ответственному сообщению о критических ошибках в программном обеспечении и их раскрытию. Однако, если вы разрабатываете такую ​​программу, обязательно систематизируйте её. В вашей программе вознаграждения за обнаружение ошибок предстоит решить множество задач, как описано в этой статье: 5 вопросов, на которые нужно ответить перед созданием программы вознаграждения за обнаружение ошибок.

Большинству других малых и средних предприятий и поставщиков управляемых услуг, не занимающихся разработкой программного обеспечения, такая программа не составит труда. Малым и средним предприятиям и поставщикам управляемых услуг следует сосредоточиться на разработке процесса обработки критических оповещений об уязвимостях. Крайне важно иметь процесс быстрой оценки рисков и принятия важных, срочных решений о том, как реагировать на критические уязвимости. Внедрение процесса управления оповещениями об уязвимостях (VAMP) даст вам чёткое представление о том, когда и как эффективно реагировать на конкретную уязвимость или воздействие.

Для обеспечения постоянной актуальности программного обеспечения важно использовать облачное решение для управления обновлениями, позволяющее автоматически обновлять ПО в любое время и в любом месте. Большинство поставщиков управляемых услуг используют одно из трех крупнейших решений для удаленного мониторинга и управления (RMM) ( Connectwise , Datto и Kaseya) для обновления своих управляемых систем. Эти решения RMM также предоставляют своим клиентам мониторинг и удаленный доступ в дополнение к проверенным и подтвержденным услугам по обновлению.

К автономным решениям для управления обновлениями, предназначенным для компаний, не использующих вышеупомянутые решения RMM, относятся ManageEngine и Automox.

ЗАЩИТА SMB И MSP ЗА ПРЕДЕЛАМИ УПРАВЛЕНИЯ ИСПРАВЛЕНИЯМИ

Помимо внедрения системы управления исправлениями, CyberHoot рекомендует следующие передовые методы защиты частных лиц и предприятий от онлайн-кибератак и ограничения ущерба от них:

• Принять Password Manager для лучшей гигиены личных/рабочих паролей
• Требовать двухфакторная аутентификация . SaaS решение или критические счета
• Требуйте пароли длиной 14+ символов в вашем аккаунте Политика управления
• Обучаем сотрудников чтобы обнаружить и избежать электронных писем фишинг нападки
• Проверьте, что сотрудники может обнаружить и предотвратить фишинговые письма, тестируя их
• Резервное копирование данных с помощью 3-2-1 метод
• Включите Принцип наименьших привилегий
• Выполнить оценка риска каждые два-три года

Связанные термины: ошибка , уязвимость

Источник: HackerOne