Компания РЕД СОФТ подвела итоги первого этапа программы поиска уязвимостей на площадке Standoff Bug Bounty. Компания исправила 75 уязвимостей и выплатила независимым исследователям безопасности более 3 млн рублей. Максимальная сумма вознаграждений, полученная одним исследователем в контексте программы, составила 1,33 млн рублей.

Приложение РЕД СОФТ стартовала на Standoff Bug Bounty в приватном формате. Первые 11 месяцев в тестировании участвовали только приглашенные исследователи, затем компания открыла программу для всех желающих. Проверить защищенность продукта «СУБД РЕД База данных» и получить вознаграждение за обнаруженные уязвимости может любой зарегистрированный участник платформы.

За это время исследователи отправили 144 отчета о найденных недостатках безопасности. Среди 75 обнаруженных уязвимостей, принятых к исправлению, пять имели критический уровень опасности. Еще 40 — высокий, 30 — средний и низкий уровни опасности. Всего компания выплатила багхантерам 3 010 000 рублей.

Развитие доверенной ИТ-среды требует нестандартных подходов и выхода за рамки классического аудита. Привлечение сообщества этичных хакеров помогло оценить архитектуру системы под совершенно иным углом. Вложения в поиск скрытых дефектов окупаются многократно, предотвращая реальные инциденты на критически важных объектах.

Роман Симаков, заместитель директора дивизиона системного ПО РЕД СОФТ

РЕД База Данных — российская платформа управления базами данных, сертифицированная ФСТЭК России по 4-му классу защиты и 4-му уровню доверия. В продукте предусмотрены шифрование данных, многофакторная аутентификация и контроль целостности. Для дополнительной проверки безопасности организация привлекла независимых исследователей на Standoff Bug Bounty.

В процессе тестирования багхантеры применяли сложные, многоступенчатые векторы атак, комбинируя разнообразные техники эксплуатации уязвимостей. Полученные отчеты помогают разработчикам находить и исправлять ошибки в коде. Обнаруженные баги активно устраняются как в ядре РЕД Базы Данных, так и в Firebird.

Багбаунти можно встроить в процесс разработки безопасного ПО (РБПО), чтобы проверка защищенности не ограничивалась разовым аудитом. Продукт развивается, в нем появляются новые функции, меняется исходник, а вместе с этим могут возникать новые уязвимости. Независимые исследователи помогают находить такие баги превентивно, а модель вознаграждений за подтвержденные находки позволяет эффективно расходовать бюджет на безопасность. При этом тестирование сложного ПО, в частности систем управления базами данных, требует специальных знаний и опыта. На Standoff Bug Bounty есть исследователи с такой экспертизой, готовые разбираться в этих продуктах и анализировать их исходник.

Роман Приходько, руководитель Standoff Bug Bounty

Программа РЕД СОФТ на Standoff Bug Bounty продолжает работать в публичном формате. Исследователи могут присоединиться к тестированию и получить вознаграждение за подтвержденные уязвимости. Условия участия и разрешенная область тестирования доступны на странице программы.