اگر علاقمند به آموزش هک هستین در این مقاله به یکی از مفاهیم اصلی هک و امنیت می پردازیم. دلایل زیادی وجود داره که یک شرکت بخواد برنامه باگ بانتی راه اندازی کنه. مهم ترین دلیل اینه که هیچ وقت مهم نیست که چقدر تست نرم افزار یک سازمان خوب انجام میشه، چقدر توسعه دهنده ها امنیت رو به طور حرفه ای کد میزنن یا چقدر تست های امنیتی نرم افزارها کامل و دقیق انجام میشه، همیشه نقص هایی وجود دارن. این نقص ها این امکان رو میدن که مهاجم ها از آسیب پذیری های امنیتی استفاده کنن و از موانع امنیتی عبور کنن.
نقص های امنیتی در نرم افزارها باعث میشه که مهاجم ها بتونن از آسیب پذیری ها استفاده کنن و از موانع امنیتی عبور کنن. اینجا هست که برنامه های باگ بانتی وارد عمل میشن. یک برنامه باگ بانتی وقتی اتفاق میفته که یک سازمان به محققان امنیتی ثالث پول میده وقتی که نقص های امنیتی نرم‌افزار رو پیدا کنن که شرایط خاصی رو در نرم افزار یا سایت ها، اپلیکیشن ها یا خدمات اون سازمان برآورده کنه.
بسیاری از مزایای احتمالی برای این برنامه ها وجود داره، مثل شناسایی و رفع آسیب پذیری های بیشتر و زیرساختی امن تر که اصلاح شده. اما همچنین چالش ها و معایب زیادی هم هست که باید در نظر گرفته بشه.
شرکت های بزرگ مثل فیس بوک، گوگل، سامسونگ (برنامه امنیتی باگ بانتی تلویزیون های هوشمند سامسونگ) و موزیلا که باگ بانتی ارائه میدن و دیگر شرکت ها منابع فنی و مالی زیادی دارن که برای راه اندازی برنامه های خود به اون نیاز دارن. با محیط های پیچیده وب یا توسعه، برنامه های باگ بانتی این شرکت های بزرگ راه اضافی برای پیدا کردن خطاهای نرم افزاری و پیکربندی هایی فراهم می کنن که از دست توسعه دهنده‌ها، تسترها و تیم های امنیتی در میره. این سازمان ها به طور معمول توانایی مدیریت برنامه باگ بانتی رو دارن، از تعیین هزینه ها گرفته تا تحلیل باگ های پیدا شده و ارتباط با محققان امنیتی.
اما برای سازمان های متوسط و کوچک، بهتره که به سرویس دهندگان باگ بانتی مراجعه کنن. فروشنده باگ بانتی می تونه کار استخدام، ارزیابی و مدیریت محققان امنیتی رو برای کسب و کارهای کوچک انجام بده. همچنین تحلیل یافته های باگ و مدیریت پرداخت ها رو هم انجام میده. برای شرکت های کوچکی که تخصص و تیم کامل برای مدیریت برنامه باگ بانتی خودشون رو ندارن، این یک روش مقرون به صرفه و قابل مدیریت برای پیدا کردن باگ‌هایی هست که ممکنه از اسکن های خودکارشون رد بشه.
بعضی از شرکت ها دوست دارن برنامه های باگ بانتی پیوسته اجرا کنن تا هر وقت یک محقق باگی پیدا کرد، اگه اون باگ نقصی باشه که مستحق پرداخت باشه، اون پرداخت انجام بشه. برنامه های دیگه برای مدت های زمان محدود اجرا می شن و در این بازه زمانی محققان فرصت دارن تا نقص ها رو بررسی کنن.
با اینکه ایده برنامه های باگ بانتی شباهت زیادی به تست نفوذ سنتی داره، اما رویکردش کاملاً برعکسه. اگه بخوایم این رو به نوشتن مقایسه کنیم، باگ بانتی مثل یک مسابقه میمونه که در اون نویسنده های زیادی با هم رقابت می کنن و نویسنده هایی که بهترین مقالات رو مینویسن، جایزه رو می برن.
مزایای این برنامه ها به شرح زیر هستند:
هزینه کلی راه اندازی برنامه باگ بانتی به طور قابل توجهی از استخدام کارشناسان فردی برای انجام بررسی های امنیت سایبری و تست های نفوذ ارزان تره. شکارچیان باگ در مدل پرداخت نتیجه محور پرداخت میشن. این همون دلیلیه که کیفیت باگ‌هایی که شکارچی ها پیدا می کنن معمولاً خیلی بالاتر از بقیه هست، یعنی از اون نوع باگ هایی که بیشتر هکرهای هوشمند ازشون سو استفاده می کنن.
متخصصانی با سطوح مختلف دانش، ابزارها و از مناطق زمانی مختلف منابع شرکت شما رو به صورت ۲۴ ساعته و ۷ روز هفته مورد حمله قرار میدن. در نهایت، با جذب تعداد زیادی شرکت کننده، شما پوشش استثنایی برای تست محصول خودتون فراهم می کنید. به جز هزینه های ثبت‌نام معتدل، مشتری فقط برای باگ های اصلی شناسایی شده پرداخت می کنه. اگر باگی نباشه، شرکت زیاد هزینه نمی کنه. چون تعداد زیادی تستر از زمینه های مختلف میاد، سناریوهای تست و بررسی های آسیب پذیری معمولاً بسیار متنوع و پیچیده هستند.
اگر علاقمند به آموزش CEH یا همان هک اخلاقی هستین بد نیست بدانید وقتی یک هکر اخلاقی تحلیل سیستم یک شرکت رو تموم می کنه، گزارشی واضح و کامل از نواحی آسیب پذیر سیستم ارائه میده. این ممکنه به عدم رمزنگاری صحیح پسوردها یا کارمندی مربوط باشه که پسوردها رو به افراد غیرمجاز میده. به این ترتیب، مدیران شرکت می تونن روش های ایمن تری رو برای جلوگیری از نفوذ افراد بدخواه به شبکه های کامپیوتری پیاده سازی کنن و همچنین از اشتباهات مختلفی که کارکنان مرتکب میشن جلوگیری کنن.
یکی دیگه از مزایای مهم داشتن هکرهای اخلاقی در برنامه های پاداش (جایزه برای هک کردن قانونی) اینه که بتونن تدابیر امنیتی شرکت رو تست کنن. این متخصص ها به راحتی کمک می کنن تا شرکت مشخص کنه که تدابیر امنیتی کامپیوتری تا چه حد مؤثر هستند، کدوم تدابیر باید بروزرسانی بشن و کدوم‌ها کاملاً بی اثر هستند برای جلوگیری از نفوذ به سیستم.
مایکروسافت و فیس بوک در سال ۲۰۱۳ برای حمایت مالی از برنامه "Internet Bug Bounty" برنامه ای طراحی شده برای ارائه جوایزی برای گزارش هک ها و باگ ها در نرم افزارهای مختلف ارائه کردن. نرم افزارهایی که تحت پوشش این برنامه قرار دارند شامل:
Adobe Flash، Nginx، Ruby PHP، Ruby on Rails، OpenSSL، Python، Perl، Apache HTTP Server، Django و Phabricator می‌باشند. این برنامه به بهره برداری از هوش جمعی محققان امنیتی کمک کرد تا از داده های مشتریان ارزشمند محافظت کنن.
در سال ۲۰۱۶، وزارت دفاع ایالات متحده برنامه باگ بانتی خودش رو با نام "Hack the Pentagon" اعلام کرد. این برنامه به سایت های عمومی توجه داشت و با HackerOne یک شرکت مستقر در سیلیکون ولی که مشاوره می داد، اجرا می کرد و برنامه رو راه اندازی می کرد، همکاری کرد. این برنامه به مدت ۲۵ روز اجرا شد و ۱۴۱۰ هکر گزارش های ۱۳۸ باگ معتبر رو ارسال کردن. HackerOne سریعاً ۷۵,۰۰۰ دلار به عنوان جوایز به محققان پرداخت کرد.
در انتهای مقاله «باگ بانتی چیست؟» به اینجا رسیدیم که اگرچه استفاده از هکرهای اخلاقی برای پیدا کردن باگ ها می تونه بسیار مؤثر باشه و سازمان ها از برنامه های باگ بانتی بهره مند شدن، اما این برنامه ها ممکنه جنجالی هم باشن. هکرها ممکنه تهدیدی برای افشای آسیب پذیری به دنیای بیرون باشن اگر سازمان توسعه دهنده نتونه به موقع پاسخ بده. همچنین چنین برنامه ای نمی‌تونه کاملاً نیاز به فرآیندهای تحقیق و بازرسی رو از بین ببره.
برای محدود کردن این خطر بالقوه، بعضی سازمان ها برنامه های باگ بانتی بسته ارائه میدن که نیاز به دعوت دارند. به عنوان مثال، اپل مشارکت در برنامه های باگ بانتی رو به تعداد کمی از محققان محدود کرده. یک گزینه دیگه استفاده از پلتفرم های ثالث هست.
حامیان باگ بانتی راهی پیدا کردن تا تمام وقت جستجو و شکست ها برای شرکت‌های نرم‌افزاری بدون هزینه باشه. اگرچه این برنامه ها در واقع یک توسعه از برنامه های تست امنیتی هستند و زمان بر و نسبتاً مقرون به صرفه می باشند، شرکت ها باید از اجرای مؤثر این برنامه ها اطمینان به دست بیارند.
