Поиск ошибок своими силами или силами сторонних консультантов (аудитор

15 сентября 2016 г. в 16:10

Поиск ошибок своими силами или силами сторонних консультантов (аудиторов) — необходимая часть процесса обеспечения безопасности. Ничто в безопасности не является панацеей, все измеряется эффективностью затрат. В данном случае, оплата по факту обнаружения уязвимости оправдана. Многие компании — например «Фейсбук» — выдают премии своим сотрудникам при обнаружении уязвимостей в своих же продуктах, так как по правилам они не могут участвовать в bug bounty. Весь краудсорсинг затевается, чтобы снизить риск человеческого фактора и «замыленности» глаз. При большой массе исследователей, bug bounty дает возможность сделать аудит приложений непрерывным. Плохо, что параметры этого процесса никак нельзя контролировать (багхантеры работают хаотично), но сама идея хороша. Иван Новиков, CEO Wallarm, отвечает на распространённые вопросы о программах bug bounty.