Платформы bug bounty: исследование мирового рынка

Содержание

• Резюме
• Введение
• Bug bounty: программы и платформы
  • Сложности реализации программ bug bounty
  • Платформы bug bounty
  • За что нужно платить и сколько это стоит
  • Как оценить опасность уязвимости и от чего зависит вознаграждение
  • Сводная статистика платформ bug bounty
• Перспективы развития и проблемы рынка bug bounty
• Выводы
• Методика исследования

Резюме

• Программа bug bounty — процесс, в рамках которого привлекается множество внештатных исследователей кибербезопасности для поиска уязвимостей в программном обеспечении, веб-приложениях и IT-инфраструктуре.
• Программы bug bounty нацелены на результат, поэтому вознаграждение выплачивается только за обнаруженную уязвимость, а не за время, которое было затрачено на ее поиск.
• Условия успеха программы bug bounty: необходимые инфраструктура и кадры, опыт, известность компании, умение точно определить целевые информационные активы, подлежащие тестированию, и границы исследования.
• Для помощи в проведении программ bug bounty созданы платформы bug bounty, предназначенные для организации поиска уязвимостей, предоставления необходимой инфраструктуры, поддержки и экспертных рекомендаций, но в первую очередь для анализа защищенности сообществом исследователей безопасности.
• Открытые программы платформ bug bounty предназначены для всех участников сообщества вне зависимости от уровня подготовки; закрытые программы — только для определенного круга исследователей по приглашению компании-клиента. Большинство платформ (88%) публикуют и открытые, и закрытые программы, 8% — только закрытые, 4% — только открытые.
• Наиболее востребованными услуги платформ bug bounty оказались в следующих отраслях: IT-компании (16%), онлайн-сервисы (14%), сфера услуг (13%), торговля (11%), финансовые организации (9%) и блокчейн-проекты (9%).
• 7200 долларов — средняя сумма вознаграждения за найденную уязвимость критического уровня опасности, 3000 — высокого, 1100 — среднего, 254 доллара — за уязвимость низкого уровня опасности.
• Наибольшие средние суммы вознаграждений за уязвимости критического и высокого уровня опасности выплачиваются в программах bug bounty блокчейн-проектов (13 000 и 5300 долларов соответственно) и IT-компаний (6600 и 2200 долларов соответственно). Тройку лидеров замыкают медицинские учреждения: 5500 долларов за уязвимость критического уровня опасности и 1600 долларов — высокого.
• Итоговая стоимость услуг платформ складывается из нескольких составляющих. Во-первых, это стоимость первичного размещения, которая рассчитывается для каждого клиента индивидуально. Во-вторых, стоимость подписки на услуги платформы, в число которых входят использование инфраструктуры, взаимодействие с исследователями, верификация уязвимостей. Средняя цена годовой подписки на услуги платформ bug bounty составляет 16 000 долларов. В-третьих, в зависимости от плана подписки или опасности уязвимости платформа удерживает комиссию, которая составляет в среднем 20% от каждой выплаты исследователям и не вычитается из награды исследователя.

Введение

Bug bounty: программы и платформы

Сложности реализации программ bug bounty

1. Все отчеты, присылаемые исследователями, подлежат первичной сортировке для выявления дубликатов, некорректных отчетов, для определения уровня опасности обнаруженной уязвимости и для отсева отчетов об уязвимостях с крайне низким уровнем опасности. Кроме того, необходимо организовать эффективное взаимодействие с исследователями, постоянную обратную связь и верификацию обнаруженных уязвимостей. Все эти действия требуют от организации дополнительных ресурсов.
2. Самостоятельное создание подробных отчетов о показателях программы bug bounty для оценки эффективности, обеспечения прозрачности, формирования и мониторинга ключевых показателей может оказаться затруднительным для организаций, которые не имеют достаточного опыта в проведении подобных программ.
3. Чтобы получить наибольший эффект от программы bug bounty нужно заранее максимально четко определить границы проведения работ и те информационные активы, которые будут тестироваться исследователями, что может оказаться нетривиальной задачей для некоторых организаций.
4. Известность организации играет важную роль. Объявление программы bug bounty может не найти отклика в сообществе исследователей, так как, работая с малоизвестной организацией, они должны учитывать возможные риски. Стоит ли тратить время на поиск уязвимостей в системах этой организации, будут ли вовремя и справедливо выплачиваться вознаграждения, насколько профессионально выстроена программа bug bounty — вот первые вопросы, которые возникают у исследователей.

Платформы bug bounty

• Сообщество исследователей безопасности. Сообщество — это основная ценность платформы: чем больше в нем участников и чем выше их уровень подготовки, тем эффективнее поиск уязвимостей. Платформы прикладывают большие усилия для развития и поддержки своего сообщества, и на его формирование могут потребоваться годы. В среднем компании, оказывающие услуги анализа защищенности, задействуют для проверки приложения от пяти до пятнадцати сотрудников. За это же время ваше приложение могут протестировать сотни или даже тысячи специалистов и исследователей со всего мира, зарегистрированных на платформе. Исследователи могут активно тестировать приложения месяцами или годами, в отличие от классического анализа защищенности, который длится около месяца. Это позволяет снизить шанс появления необнаруженных уязвимостей и обеспечить непрерывный анализ защищенности приложений.
• Высококвалифицированная команда специалистов по кибербезопасности, занимающаяся проверкой отчетов исследователей и верификацией обнаруженных ими уязвимостей. Также в задачи команды платформы входят поддержка клиентов и взаимодействие с исследователями.
  Все исследователи, приступившие к поиску уязвимостей, обязуются придерживаться принципа ответственного разглашения, который гарантирует организациям, что об обнаруженной уязвимости не узнает никто, кроме платформы и исследователя, а организация получит достаточно сведений об уязвимости и времени для ее устранения.
  Наиболее крупные мировые платформы bug bounty: HackerOne, BugCrowd, Intigrity, Synack, YesWeHack.

За что нужно платить и сколько это стоит

В случае соблюдения трех перечисленных выше условий отчет засчитывается, исследователю выплачивается вознаграждение и начисляются рейтинговые баллы, а организация получает подробный отчет об обнаруженной уязвимости.

• Стоимость первичного размещения программы на платформе. За эту сумму компания получает помощь в определении границ исследования, недопустимых событий, ценовой политики и формы отчета об уязвимостях. Стоимость первичного размещения зависит от множества факторов, например от рода деятельности компании-клиента, ее размера и капитализации, и рассчитывается индивидуально.
• Подписка на услуги платформы. В стоимость подписки входит привлечение сообщества к размещенной программе, использование инфраструктуры платформы для получения отчетов от исследователей и формирования аналитики по идущей программе, проверка отчетов исследователей, верификация уязвимостей (триаж) и взаимодействие с исследователями.
• Комиссия платформы от сумм выплат. Размер комиссии зависит от плана подписки (чем дороже подписка, тем ниже комиссия) или от уровня опасности уязвимости, за которую производится выплата (чем опаснее уязвимость, тем выше комиссия).

• Прямые выплаты. Компании-клиенты могут выплачивать единовременное вознаграждение исследователям через платформу за каждую обнаруженную уязвимость. Такая модель больше подходит для краткосрочных программ, при этом финансовое взаимодействие с исследователями осуществляет клиент, что может быть сопряжено с определенными трудностями.
• Выплаты из фонда программы, который заранее резервируется компанией-клиентом. Такая модель больше подходит для долгосрочных программ. Она позволяет организациям уйти от прямого взаимодействия с исследователями по финансовым вопросам и дает возможность платформам действовать более автономно.

Как оценить опасность уязвимости и от чего зависит вознаграждение

Исследователи могут получить дополнительное вознаграждение за оперативную помощь организации в устранении выявленных уязвимостей. Подобный подход применяется на платформе Huntr.

Рисунок 3. Средние суммы вознаграждений за одну уязвимость

Вознаграждения за уязвимости среднего и низкого уровня риска достаточно невысоки, в отличие от уязвимостей критического и высокого уровня, которые могут стать источником наиболее опасных для бизнеса угроз — утечек конфиденциальной информации, несанкционированного доступа к приложению или атак на локальные ресурсы. Бизнес понимает последствия реализации опасных уязвимостей и готов платить значительно больше за выявление уязвимостей высокого и критического уровня опасности. Например, участившиеся в последние месяцы случаи атак на блокчейн-проекты вынуждают разработчиков тщательнее выявлять уязвимости в своих продуктах, а за уязвимости критического и высокого уровня опасности предлагается максимальное вознаграждение — 13 100 и 5300 долларов соответственно. Особо опасные уязвимости могут оцениваться в 100 000 долларов и более. Решения IT-компаний также должны быть защищены от атак. Такие компании, как Sony и Intel, предлагают не менее достойные награды: 50 000 и 100 000 долларов соответственно за уязвимости критического уровня риска.
Такой подход выгоден для всех взаимодействующих сторон. Компания-клиент получает подробный отчет об эксплуатации целого ряда уязвимостей, которые привели к реальной атаке и недопустимому событию, возможность оперативно исправить уязвимости и реальное представление о последствиях и сценариях атаки. Исследователь получает значительно большее вознаграждение и продвигается в рейтинге, а платформа может одновременно проверить цепочку уязвимостей вместо разрозненных отчетов.

Сводная статистика платформ bug bounty

Одно из главных преимуществ краудсорсингового подхода к обеспечению безопасности — это число участников. Однако не все исследователи обладают требуемой квалификацией или являются специалистами в определенной сфере (в сфере веб-приложений, блокчейна и т. п.), а организации не всегда готовы сразу обрабатывать большое количество обнаруженных уязвимостей. Поэтому на платформах реализуются два типа программ — открытые и закрытые.
Открытые программы позволяют получить больший охват, расширить категории и увеличить количество обнаруживаемых уязвимостей благодаря разнообразным навыкам и опыту исследователей. Но стоит учесть, что квалификация участников открытых программ может существенно различаться, что не способствует выявлению уязвимостей критического и высокого уровня опасности. Закрытые программы позволяют отбирать специалистов, которые соответствуют заданным требованиям, или приглашать наиболее продвинутых исследователей, чтобы повысить шансы обнаружения серьезных уязвимостей. Такие платформы, как Synack и Cobalt, проводят только закрытые программы, в которых принимают участие члены сообщества, прошедшие строгий квалификационный отбор.

Рисунок 5. Распределение платформ bug bounty в зависимости от проводимых программ

Бизнес не упускает возможности прибегнуть к таким перспективным способам обеспечения кибербезопасности, как программы bug bounty, и пробует внедрять их в свои процессы. IT-компании, постоянно работающие над улучшением своих приложений, являются наиболее частыми клиентами таких платформ (16%). Каждое десятое приложение на платформах bug bounty предоставлено финансовым или торговым секторами: согласно отчету платформы HackerOne, прирост числа клиентов из этих секторов в 2021 году составил 62% и 51% соответственно. Недавние взломы ([1], [2]) криптовалютных площадок (9%) выявили потребность в создании программ bug bounty для поиска уязвимостей в протоколах и смарт-контрактах.

Рисунок 6. Отраслевое распределение участников платформ bug bounty

Перспективы развития и проблемы рынка bug bounty

• распространение интернета во всем мире;
• растущая осведомленность о необходимости обеспечения информационной безопасности;
• привлекательные суммы вознаграждения за найденные ошибки;
• широкое применение онлайн-сервисов в организациях в связи с тем, что сотрудники все чаще используют портативные и другие устройства, подключенные к интернету;
• высокий спрос на средства обеспечения кибербезопасности среди организаций;
• технологические достижения и тенденции, такие как IoT, IIoT, облачные вычисления, искусственный интеллект, машинное обучение и «Индустрия 4.0».
  Однако достижению прогнозируемых показателей могут помешать следующие факторы:
• отсутствие расширения рынка в менее развитых странах;
• сложность поиска уязвимостей без приобретения дополнительного специализированного программного обеспечения;
• жесткая конкуренция в отрасли;
• сложность поиска уязвимостей из-за мер безопасности при разработке веб-приложений.

Выводы

Методика исследования