Top 6 Bug Bounty PlatFormulare für Organisationen zur Verbesserung der Sicherheit

Nur ein Hacker kann wie ein Hacker denken. Wenn es also darum geht, „Hacker-proof“, müssen Sie sich möglicherweise an einen Hacker wenden.

Application security has always been a hot topic that has only gotten hotter mit der Zeit.

Selbst mit einer Horde von Verteidigungsmitteln und Übung, die uns zur Verfügung stehen (Firewalls, SSL, asymmetrische Kryptographie usw.), kann keine webbasierte Anwendung behaupten, dass sie außerhalb der Reichweite von Hackern sicher ist.

Woran liegt das?

Der einfache Grund ist, dass die Erstellung von Software nach wie vor sehr komplex und spröde ist process. Es gibt immer noch Fehler (bekannte und unbekannte) in der von den Entwicklern verwendeten Foundation, und es werden immer wieder neue entdecktated mit der Einführung neuer Software und Bibliotheken. Sogar die führenden Technologieunternehmen sind bereit für gelegentliche Peinlichkeiten, und das aus gutem Grund.

Jetzt einstellen. . . Hacker!

Da Fehler und Schwachstellen wird den Softwarebereich wahrscheinlich nie verlassen, wo bleiben die Unternehmen, die von dieser Software abhängig sind, um zu überleben? Wie kann beispielsweise eine neue Wallet-App sicher sein, dass sie den fiesen Versuchen von Hackern standhält?

Ja, Sie haben es inzwischen erraten: indem Sie Hacker anheuern, die kommen und einen neuen Versuch unternehmen minted-App! Und warum sollten sie? Nur weil es ein ausreichend großes Kopfgeld gibt – das Bug-Kopfgeld! 🙂

Wenn das Wort „Kopfgeld“ Erinnerungen an den Wilden Westen und an Kugeln weckt, die ohne Verzicht abgefeuert werden, ist das genau die Idee hier. Sie bringen die besten und sachkundigsten Hacker (Sicherheitsexperten) dazu, Ihre App auszuloten, und wenn sie etwas finden, werden sie belohnt.

Es gibt zwei Möglichkeiten, dies zu tun: 1) Sie können selbst eine Bug-Bounty durchführen. 2) Verwendung einer Bug-Bounty platForm.

Bug-Bounty: Self-gehostet vs. platFormen

Warum sollten Sie sich die Mühe machen, ein Bug-Bounty auszuwählen (und zu zahlen)? platFormular, wenn Sie es einfach selbst hosten können. Ich meine, einfach nur Create Erstellen Sie eine Seite mit den relevanten Details und sorgen Sie in den sozialen Medien für Aufsehen. Es kann offensichtlich nicht scheitern, oder?

Nun, das ist eine nette Idee, aber betrachten Sie es aus der Perspektive des Hackers. Das Aufspüren von Fehlern ist keine leichte Aufgabe, da es mehrere Jahre Training erfordert, virtually Grenzenloses Wissen über alte und neue Dinge, jede Menge Entschlossenheit und mehr Kreativität als die meisten „visuellen Designer“ (tut mir leid, dem konnte ich nicht widerstehen! :-P).

Der Hacker weiß nicht, wer Sie sind, oder ist sich nicht sicher, ob Sie zahlen werden. Oder vielleicht ist es kein Motivated. Self-Gehostete Kopfgelder arbeiten für Giganten wie Google, Apple, Facebook usw., deren Namen die Leute mit Stolz in ihr Portfolio aufnehmen können. „In der von XYZ Tech Systems entwickelten HRMS-App wurde eine kritische Sicherheitslücke bei der Anmeldung gefunden“ klingt doch nicht gerade beeindruckend, oder (mit gebührender Entschuldigung an alle Unternehmen da draußen, die diesem Namen ähneln könnten!)?

Dann gibt es noch andere praktische (und überwältigende Gründe), warum man nicht alleine geht, wenn es um Bug Bounties geht.

Mangel an Infrastruktur

Die "Hacker", über die wir gesprochen haben, sind nicht diejenigen, die das Dunkle Web verfolgen.

Diese haben weder Zeit noch Geduld für unsere „zivilisierte“ Welt. Stattdessen sprechen wir hier von Forschern mit Informatikhintergrund, die entweder an einer Universität sind oder ein Prämienstudium absolviert haben hunterDas ist schon lange her. Diese Leute wollen und übermitteln Informationen in einem bestimmten Format, was mühsam istself sich an etwas gewöhnen.

Selbst Ihre besten Entwickler werden Schwierigkeiten haben, Schritt zu halten, und die Opportunitätskosten könnten sich als zu hoch herausstellen.

Einlösen von Einsendungen

Finally, da ist das Problem proof. Die Software basiert zwar möglicherweise auf vollständig deterministischen Regeln, aber wann genau eine bestimmte Anforderung erfüllt wird, ist Sache der Debate. Nehmen wir ein Beispiel, um dies besser zu verstehen.

Angenommen, Sie schaffenateda Bug Bounty für Authentifizierungs- und Autorisierungsfehler. Das heißt, Sie behaupten, dass Ihr System frei von den Risiken des Identitätsdiebstahls ist, den die Hacker unterwandern müssen.

Jetzt hat der Hacker eine Schwachstelle gefunden, die darauf basiert, wie ein bestimmtes browser works, which allows them to steal a user’s session token and impersonate Them.

Ist das ein gültiger Befund?

Aus der Sicht des Hackers ist ein Verstoß definitiv ein Verstoß. Aus Ihrer Sicht vielleicht nicht, weil Sie entweder der Meinung sind, dass dies in den Verantwortungsbereich des Benutzers fällt, oder dass browsEr ist für Ihren Zielmarkt einfach kein Problem.

Wenn all dieses Drama aufgrund einer Bug-Bounty passieren würde platForm, es gäbe fähige ArbitEr entscheidet darüber impact der Entdeckung und schließen Sie das Problem.

Nachdem dies gesagt ist, schauen wir uns einige der beliebten Bug-Bounty-Programme an platFormen da draußen.

YesWeHack

YesWeHack ist ein globales Bug-Bounty platForm, die die Offenlegung von Schwachstellen und Crowdsourcing-Sicherheit in vielen Ländern wie Frankreich, Deutschland, der Schweiz und Singapur bietet. Es bietet eine bahnbrechende Bug-Bounty-Lösung zur Bekämpfung der Bedrohungen, die mit zunehmender Geschäftsflexibilität zunehmen und bei denen herkömmliche Tools nicht mehr die Erwartungen erfüllen.

Mit YesWeHack können Sie auf den virtuellen Pool ethischer Hacker zugreifen und die Testmöglichkeiten maximieren. Wähle aus hunterWenn Sie möchten, reichen Sie die zu testenden Bereiche ein oder teilen Sie sie mit der YesWeHack-Community. Es folgt einigen strengen Vorschriften und Standards, um die Interessen von zu schützen hunterEs ist genauso gut wie Ihres.

Verbessern Sie die Sicherheit Ihrer App, indem Sie leverAlterung der hunter Ermöglichen Sie eine schnellere Reaktionsfähigkeit und minimieren Sie die Zeit bis zur Behebung und Erkennung von Schwachstellen. Sie werden den Unterschied sehen, sobald Sie das Programm starten.

Öffnen Sie Bug Bounty

Zahlen Sie zu viel für Bug-Bounty-Programme?

MIT DER INTELLIGENTEN SCHADENKALKULATION VON Öffnen Sie Bug Bounty für Massensicherheitstests.

Dies ist ein von der Community betriebenes, offenes, kostenloses und intermediäres Programmated Bug-Bounty platbilden. Darüber hinaus bietet es Verantwortungs- und Koordinationsfähigkeitenated Offenlegung von Sicherheitslücken, die mit ISO 29147 kompatibel sind. Dazu dateEs hat dazu beigetragen, über 641 Schwachstellen zu beheben.

Sicherheitsforscher und Experten von führenden Websites wie WikiHow, Twitter, Verizon, IKEA, MIT, Berkeley University, Philips, Yamaha und mehr haben die Open Bug Bounty genutzt platForm zu resolve ihre Sicherheitsprobleme wie XSS-Schwachstellen, SQL-Injektionen, usw. Sie können sehr sachkundige und reaktionsschnelle Fachleute finden, um Ihre Arbeit schnell zu erledigen.

Hackeron

Unter den Bug-Bounty-Programmen, Hackeron ist führend, wenn es darum geht, auf Hacker zuzugreifen, Kopfgeldprogramme zu erstellen, das Wort zu verbreiten und die Beiträge zu bewerten.

Es gibt zwei Möglichkeiten, Hackerone zu verwenden: Verwenden Sie die platFormular zum Sammeln von Schwachstellenberichten und deren Ausarbeitungself Oder lassen Sie die Experten von Hackerone die harte Arbeit erledigen (Triaging). Triaging ist einfach das process Schwachstellenberichte zu erstellen, diese zu überprüfen und mit Hackern zu kommunizieren.

Hackerone wird von großen Namen wie Google Play, PayPal, GitHub, Starbucks und dergleichen verwendet. Daher ist es natürlich für diejenigen gedacht, die schwerwiegende Fehler und schwerwiegende Probleme haben. 😉

Bugcrowd

Bugcrowd bietet mehrere Lösungen für Sicherheitsbewertungen an, eine davon ist Bug Bounty. Es bietet eine SaaS-Lösung, die integriertateEs lässt sich problemlos in Ihren bestehenden Software-Lebenszyklus integrieren und macht die Durchführung eines erfolgreichen Bug-Bounty-Programms zum Kinderspiel.

Sie können sich für ein privates Zimmer entscheidenate B. ein Bug-Bounty-Programm, an dem einige ausgewählte Hacker beteiligt sind, oder ein öffentliches Programm, an dem Tausende beteiligt werden.

gewidmetated Sicherheitsberater, erfahrener Hacker profiles, Teilnahme nur auf Einladung – alles hängt von Ihren Bedürfnissen und dem Reifegrad Ihres Sicherheitsmodells ab.

intigriti

intigriti ist ein umfassendes Bug-Bounty platFormular, das Sie mit White-Hat-Hackern verbindet, unabhängig davon, ob Sie ein privates Unternehmen betreiben möchtenate Programm oder ein öffentliches Programm.

Für Hacker gibt es viele Kopfgelder greifen. Je nach Unternehmensgröße und Branche stehen Fehlerjagden zwischen 1,000 und 20,000 Euro zur Verfügung.

Synack

Synack scheint eine dieser Marktausnahmen zu sein, die die Form sprengen und am Ende etwas Massives tun. Ihr Sicherheitsprogramm Hack das Pentagon war das wichtigste Highlight und führte zur Entdeckung mehrerer kritischer Schwachstellen.

Wenn Sie also nicht nur nach Fehlererkennung, sondern auch nach Sicherheitsanweisungen und Schulungen auf höchstem Niveau suchen, Synack ist der Weg zu gehen.

Schlussfolgerung

So wie Sie sich von Heilern fernhalten, die „Wunderheilungen“ verkünden, halten Sie sich auch von Websites oder Diensten fern, auf denen „Bullet“ stehtproof Sicherheit ist möglich. Alles, was wir tun können, ist, dem Ideal einen Schritt näher zu kommen. Es ist daher nicht zu erwarten, dass Bug-Bounty-Programme zu Fehlern führen zero-bug-Anwendungen, sollten aber als wesentliche Str. angesehen werdenategy beim Aussortieren des Feuersally böse.

Check out this Bug Bounty Jagdkurs zu lernen und Ruhm, Belohnungen und Anerkennung zu erlangen.

Erfahren Sie mehr über größten Bug-Bounty-Programme der Welt.

Ich hoffe du zerquetschst viele von ihnen Bugs! 🙂