Bug Bounty Programları

7 Ocak 2020 | Cybrary

A Hata Bounty Programı Birçok web sitesi, kuruluş ve yazılım geliştiricisi tarafından sunulan ve bireylerin bir satıcının ürün tekliflerindeki hataları veya güvenlik açıklarını bildirmeleri karşılığında takdir ve parasal ödeme alabilecekleri bir anlaşmadır. Ürünler donanım, yazılım, hizmet veya web sitesi olabilir.

Hata Ödülü programları, kritik hataların yazılım satıcısına sorumlu bir şekilde açıklanmasını teşvik eder. Sorumlu açıklama, güvenlik araştırmacısının bulgularını kamuoyuyla paylaşmasından önce, satıcıya güvenlik açığını veya hatayı ele alıp düzeltmesi için makul bir süre tanınması anlamına gelir. Çoğu durumda, satıcı ve güvenlik araştırmacısı, düzeltmelerin gerçekten işe yaradığını doğrulamak için el ele çalışır ve ardından bir yama yayınlanıp satıcının istemcileri uygun şekilde güvenli hale getirildikten sonra, güvenlik araştırmacısı çalışmalarının ayrıntılarını paylaşabilir.

Yazılımlarını güvence altına almak için hata ödül programlarını kullanan kuruluşlara örnek olarak Google, Facebook ve Reddit verilebilir.

CyberHoot'un Hata Ödül Programı

CyberHoot, güvenlik farkındalığı eğitimi ve kimlik avı testi ürünümüzü, ekibimiz tarafından onaylandıktan sonra yazılımımızda, web sitemizde veya başka bir güvenlik açığında meydana gelen bir hatanın sorumlu bir şekilde ifşa edilmesi ve bize bildirilmesi için seçtiğiniz bir hayır kurumuna ayni bağışta bulunacaktır. Bunu yapmak için, web sitemizin gizlilik politikasında belirtildiği gibi raporu DPO@CyberHoot.com adresine e-posta ile göndermeniz yeterlidir.

Bu, KOBİ'm İçin Ne Anlama Geliyor?

Herhangi bir tür yazılım geliştirme yapan bir KOBİ iseniz, bir hata ödülü programı oluşturmanız gerekir. Mütevazı hata ödülü programlarının, yazılımlardaki kritik hataların sorumlu bir şekilde bildirilmesini ve açıklanmasını teşvik ettiği kanıtlanmıştır. Ancak, bir program geliştiriyorsanız, programınızı sistematik hale getirdiğinizden emin olun. Bu makalede özetlendiği gibi, Hata Ödülü programınızda karşılaşmanız gereken birçok zorluk vardır: Hata Ödülü Programınızı Oluşturmadan Önce Cevaplamanız Gereken 5 Soru.

Yazılım geliştirmeyle ilgilenmeyen diğer çoğu KOBİ ve MSP için böyle bir programla uğraşmanıza gerek kalmayacaktır. KOBİ ve MSP'lerin odaklanması gereken nokta, kritik güvenlik açığı uyarılarını ele alma süreçlerini geliştirmektir. Kritik güvenlik açıklarına nasıl tepki vereceğiniz konusunda riski hızlı bir şekilde değerlendirmek ve önemli, zamana duyarlı kararlar almak için bir sürece sahip olmanız hayati önem taşır. Bir Güvenlik Açığı Uyarı Yönetim Süreci (VAMP) ile, belirli bir güvenlik açığı veya risk için ne zaman ve ne kadar ileri gitmeniz gerektiği konusunda net bir rehbere sahip olabilirsiniz.

Her zaman güncel kalabilmek için, yazılımı gerektiğinde ve gerektiği yerde otomatik olarak güncelleyen bulut tabanlı bir yama yönetimi çözümü kullanmak önemlidir. Çoğu Yönetilen Hizmet Sağlayıcısı, üç büyük hizmetten birini kullanır: Uzaktan İzleme ve Yönetim (RMM) çözümleri (ConnectWise, Datto, ve Kaseya) Yönetilen sistemlerine yama uygulamak için. Bu RMM çözümleri, müşterilerine test edilmiş ve doğrulanmış yama hizmetlerinin yanı sıra izleme ve uzaktan erişim de sağlar.

Yukarıda belirtilen RMM çözümlerini kullanmayan şirketler için bağımsız yama yönetimi çözümleri şunları içerir: ManageEngine hem de Automox.

Yama Yönetiminin Ötesinde SMB ve MSP Korumaları

CyberHoot, bir yama yönetim sistemi benimsemenin yanı sıra, bireyleri ve işletmeleri çevrimiçi siber saldırılara karşı korumak ve bu saldırılardan kaynaklanan zararları sınırlamak için aşağıdaki en iyi uygulamaları önermektedir:

Benimsemek parola yöneticisi daha iyi kişisel/iş şifresi hijyeni için
Iste iki faktörlü kimlik doğrulama herhangi birinde SaaS çözümü veya kritik hesaplar
Şifrelerinizde 14+ karakter olmasını zorunlu kılın Yönetim Politikaları
Çalışanları eğitin e-posta tabanlı tehditleri tespit etmek ve önlemek için Kimlik avı saldırılar
Çalışanların kontrol edilmesi Kimlik avı e-postalarını test ederek tespit edebilir ve önleyebilirsiniz
Verileri kullanarak yedekleyin 3-2-1 yöntemi
dahil etmek En Az Ayrıcalık İlkesi
Bir gerçekleştirin risk değerlendirmesi her iki ila üç yılda bir