Bug Bounty (программа поиска уязвимостей за вознаграждение) – формат, при котором компания приглашает независимых исследователей безопасности искать уязвимости в своих сайтах, приложениях и сервисах по заранее опубликованным правилам и выплачивает вознаграждение за подтверждённые находки.
Как устроена
- Правила: область тестирования, запрещённые действия, порядок сообщения.
- Шкала вознаграждений по критичности уязвимостей.
- Триаж – проверка и подтверждение отчётов.
- Исправление и выплата.
- Возможность публичного раскрытия после исправления по согласованию.
Платформы
Программы размещают на специализированных платформах, которые берут на себя взаимодействие с исследователями, выплаты и часть триажа. В России работают собственные bug bounty-платформы, а также государственные инициативы для поиска уязвимостей в госсистемах.
Чем полезна
- Непрерывная проверка безопасности большим числом специалистов.
- Оплата только за результат.
- Дополнение к пентестам и безопасной разработке.
Что нужно для запуска
Зрелый процесс управления уязвимостями: способность быстро проверять и исправлять находки.
