«Для рынка WAF это новый подход к независимому тестированию»

Positive Technologies расширила программы поиска уязвимостей на платформе Standoff Bug Bounty и предложила независимым исследователям безопасности вознаграждение до 500 тысяч рублей за успешный обход защиты своих продуктов класса WAF (Web Application Firewall).

PT Application Firewall PRO (PT AF PRO) и PT Application Firewall Cloud (PT AF Cloud) стали первыми российскими решениями этого класса, разработчики которых открыто пообещали белым хакерам вознаграждение за обнаружение способов обхода механизмов защиты веб-приложений.

Ранее программы Bug Bounty были ориентированы преимущественно на поиск брешей в программном коде и инфраструктуре продуктов. Теперь ИБ-исследователи смогут проверить эффективность самих механизмов. В частности, найти методы проведения атак, которые WAF не сможет выявить или заблокировать, обойти правила фильтрации трафика или детекторы вредоносных запросов. Такие сценарии представляют особый интерес, поскольку даже при отсутствии уязвимостей в самом продукте недостатки механизмов обнаружения способны позволить злоумышленникам проникнуть в приложения.

В рамках программ проверяются три ключевых компонента решений: фильтрующее ядро, отвечающее за обработку веб-трафика, правила и механизмы детекции атак, а также управляющий слой (control plane), через который осуществляется настройка и администрирование защиты. Белые хакеры получат возможность протестировать различные способы обхода фильтрации, в том числе с использованием специально модифицированных HTTP-запросов, нестандартных форматов передачи данных и других техник, скрывающих вредоносную активность от WAF.

Размер выплат зависит от критичности выявленной проблемы и её потенциального влияния на безопасность ресурсов. В программе PT Application Firewall PRO вознаграждение за находки высокого уровня опасности составляет от 150 до 300 тысяч рублей, критического — от 300 до 500 тысяч рублей. Для PT AF Cloud предусмотрены выплаты от 50 до 200 тысяч рублей за уязвимости высокого уровня опасности и до 500 тысяч рублей за критические.

«Мы предлагаем исследователям проверить на прочность не только программный код наших решений, но и саму экспертизу, на которой строится защита веб-приложений. Для российского рынка WAF это новый подход к независимому тестированию. Мы исходим из того, что даже самые совершенные механизмы защиты могут иметь ограничения, поэтому готовы платить за обнаружение реальных способов их обхода. Каждую подтверждённую находку наши специалисты подробно разбирают, изучают использованную технику и на её основе совершенствуют правила и детекторы. Это позволяет развивать защиту с учётом методов, которые потенциально могут использовать реальные злоумышленники», — отметил Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies.

Открытое тестирование становится частью постоянного развития продуктов PT. Привлечение независимых исследователей помогает проверять устойчивость WAF к новым сценариям атак и выявлять ограничения механизмов до того, как они приведут к инцидентам у заказчиков. Полученные результаты используются для доработки продуктов и обновления экспертизы обнаружения киберугроз.

Принять участие в программах могут независимые ИБ-исследователи. Подробные условия, допустимые сценарии тестирования и размеры вознаграждений опубликованы на платформе Standoff Bug Bounty: PT Application Firewall PRO и PT AF Cloud.