Positive Technologies выплатит до 500 тыс. рублей за обход защиты своих WAF
Positive Technologies расширила программы поиска уязвимостей на платформе Standoff Bug Bounty. Независимым исследователям безопасности предлагается вознаграждение за успешный обход защиты продуктов класса WAF (Web Application Firewall) — PT Application Firewall PRO (PT AF PRO) и PT Application Firewall Cloud (PT AF Cloud). Это первые российские решения данного класса, разработчики которых открыто предложили вознаграждение за обнаружение способов обхода механизмов защиты веб-приложений. Об этом SecPost сообщили в компании.
Ранее программы Bug Bounty были ориентированы преимущественно на поиск уязвимостей в программном коде и инфраструктуре продуктов. Теперь исследователи смогут проверить эффективность самих защитных механизмов — найти способы проведения атак, которые WAF не сможет обнаружить или заблокировать, обойти правила фильтрации трафика или детекторы вредоносных запросов. Как отмечается в сообщении, такие сценарии представляют особый интерес, поскольку даже при отсутствии уязвимостей в самом продукте недостатки механизмов обнаружения могут позволить злоумышленникам проникнуть в защищаемые веб-приложения.
В рамках программ проверяются три ключевых компонента решений: фильтрующее ядро, отвечающее за обработку веб-трафика, правила и механизмы обнаружения атак, а также управляющий слой (control plane), через который осуществляется настройка и администрирование защиты. Исследователи могут тестировать различные способы обхода фильтрации, в том числе с использованием специально модифицированных HTTP-запросов, нестандартных форматов передачи данных и других техник, позволяющих скрыть вредоносную активность от WAF.
Размер выплат зависит от критичности обнаруженной проблемы и ее потенциального влияния на безопасность защищаемых ресурсов. В программе PT Application Firewall PRO вознаграждение за находки высокого уровня опасности составляет от 150 до 300 тыс. рублей, критического — от 300 до 500 тыс. рублей. Для PT AF Cloud предусмотрены выплаты от 50 до 200 тыс. рублей за уязвимости высокого уровня опасности и до 500 тыс. рублей за критические.
Принять участие в программах могут независимые исследователи информационной безопасности. Подробные условия, допустимые сценарии тестирования и размеры вознаграждений опубликованы на платформе Standoff Bug Bounty.
Читайте также
