วันที่ 22 มีนาคม 2018 Netflix เริ่มโปรแกรม "Bug Bounty" ที่จ่ายเงินให้แฮกเกอร์ที่รายงานช่องโหว่ให้บริษัท นี่เป็นสิ่งที่บริษัททำมาสิบปีแล้ว แต่ในรูปแบบจำกัด ตอนนี้เปิดโปรแกรมสู่สาธารณะ จะมีแฮกเกอร์จำนวนมากมาตรวจสอบเว็บไซต์อย่างละเอียด
แนวทางนี้อาจดูวุ่นวาย แต่หลายคนเชื่อว่าจ่ายเงินให้คนแปลกหน้ามาแฮกเว็บไซต์เป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุดในการรักษาความปลอดภัยจากภัยคุกคาม คำถามคือ: Bug Bounty Programs จริงๆ แล้วมีประสิทธิภาพมากกว่าทีม Penetration Testing ภายในองค์กรหรือไม่?
Penetration Testing ทำงานอย่างไร?
Penetration Testing เป็นส่วนปกติของวัฏจักรการพัฒนา ทำก่อนปล่อยผลิตภัณฑ์สู่สาธารณะ เกี่ยวข้องกับทีมบุคคล (จ้างนอกหรือในองค์กร) ที่พยายาม "แฮก" ซอฟต์แวร์หรือระบบที่บริษัทต้องการปล่อย พวกเขาจึงรายงานช่องโหว่ทั้งหมดที่พบบนแพลตฟอร์ม ให้นักพัฒนาแก้ไขปัญหาเหล่านี้ก่อนที่จะกลายเป็นภาระในภายหลัง
ระหว่าง Penetration Testing ทีมมักปฏิบัติตามขั้นตอนมาตรฐานเพื่อค้นพบช่องโหว่ทั้งหมดที่เป็นไปได้ อาจเกี่ยวข้องกับเทคนิคที่แฮกเกอร์ใช้เพื่อเจาะระบบและซอฟต์แวร์ ผลลัพธ์คือรายการครบถ้วนของพื้นที่สำคัญในซอฟต์แวร์ที่แฮกเกอร์ส่วนใหญ่สามารถรุกล้ำได้
ทำไม Bug Bounties จึงดึงดูด?
เมื่อสร้าง Bug Bounty Program คือบอกสาธารณะว่ายินดีจ่ายเงินจำนวนคงที่ให้ผู้ที่รายงานช่องโหว่สำคัญได้สำเร็จ เพื่อรัน Bug Bounty ให้สำเร็จ ต้องกำหนดกฎเกณฑ์พื้นฐาน เพื่อให้คนทราบว่าพฤติกรรมแบบไหนไม่ยอมรับ
แม้จะดูขัดกับ直覺ที่จะมีนโยบายแบบนี้ Bug Bounties ให้ข้อได้เปรียบบางอย่างเหนือ Penetration Testing แบบดั้งเดิม:
- ผู้เข้าร่วมได้รับเงินเมื่อพบช่องโหว่ สร้างแรงจูงใจให้ตรวจสอบซอฟต์แวร์อย่างละเอียด Penetration Testing ไม่มีแรงจูงใจแบบนี้ เนื่องจากสมาชิกได้รับเงินไม่ว่าจะละเอียดหรือไม่
- Bounties ให้โอกาสแฮกเกอร์เก่งหลายพันคนทดสอบความสามารถ ให้มุมมองมหาศาล ทีม Penetration Testing มักจำกัดขนาด มุมมองจึงจำกัด
- ผู้เข้าร่วม Bug Bounty หลายคนเป็นมืออาชีพเต็มเวลา ที่เข้าร่วมการล่า Bug หลายโปรแกรมพร้อมกัน
- บริษัทที่มี "Attack Surfaces" ใหญ่ (ซอฟต์แวร์ที่ร้อนแรงต่อการรั่วไหล) สามารถค้นพบบั๊กที่ทีมของตนพลาดไป
ทำไม Penetration Testing ยังคงสำคัญ?
Bug Bounties อาจดี แต่มันไม่ได้ทำงานสำหรับบริษัทที่ไม่มีชุมชนใหญ่ นั่นคือเหตุผลที่ Penetration Testing ยังเป็นปรากฏการใหญ่ หากคุณเป็นบริษัทซอฟต์แวร์อุปกรณ์醫療 เช่น อาจไม่ได้ผู้เข้าร่วมเต็มใจเท่าสตูดิโอเกมที่มีชุมชนหลายหมื่นคน
Penetration Testing ยังเสนอข้อได้เปรียบอื่นๆ ที่อาจทำให้บริษัทตัดสินใจไม่ทำ Bug Bounties:
- ลดความเสี่ยงที่ช่องโหว่ถูกเปิดเผยสู่สาธารณะก่อนที่จะได้แก้ไข แม้จะตั้งกฎห้ามใน Bug Bounty คนก็แน่ใจจะเข้าใจผิด
- บริษัท Penetration Testing ภายนอกอาจเสนอการรับรองที่สำคัญต่อลูกค้า
- คุณภาพรายงานมักสูงกว่าใน Penetration Testing
- มีประโยชน์ในตลาดที่มีการควบคุมเข้มงวด (เช่น การประมวลผลการชำระเงิน และสิ่งที่จัดการข้อมูลบัตรธนาคาร/เดบิต/เครดิต)
คุณรู้สึกปลอดภัยมากขึ้นกับ Netflix เพราะ Bug Bounty Program? หรือบริษัทควรทำงานกับทีม Penetration Testing แทบบ้าง? บอกเราในความคิดเห็น!
