РЕД СОФТ устранила 75 уязвимостей благодаря «белым хакерам»

Компания РЕД СОФТ подвела итоги первого этапа программы поиска уязвимостей на площадке Standoff Bug Bounty. Она исправила 75 уязвимостей и выплатила независимым исследователям безопасности более 3 млн рублей. Максимальная сумма вознаграждения, полученная одним безопасником в рамках программы, составила 1,33 млн рублей.

Программа РЕД СОФТ стартовала на Standoff Bug Bounty в приватном формате. Первые 11 месяцев в тестировании участвовали только приглашенные исследователи, затем компания открыла программу для всех желающих. Проверить защищённость продукта «СУБД РЕД База данных» и получить деньги за обнаруженные уязвимости может любой зарегистрированный резидент платформы.

За это время исследователи отправили 144 отчета о найденных недостатках безопасности. Среди 75 обнаруженных уязвимостей, принятых к исправлению, пять имело критический уровень опасности. Ещё 40 — высокий, 30 — средний и низкий уровни опасности. Всего багхантерам выплатили 3 010 000 рублей.

«Развитие доверенной ИТ-среды требует нестандартных подходов и выхода за рамки классического аудита. Привлечение сообщества этичных хакеров помогло оценить архитектуру системы под совершенно иным углом. Инвестиции в поиск скрытых дефектов окупаются многократно, предотвращая реальные инциденты на критически важных объектах», — отметил Роман Симаков, заместитель директора дивизиона системного ПО РЕД СОФТ.

РЕД База Данных — российская система управления БД, сертифицированная ФСТЭК России по четвёртому классу защиты и четвёртому уровню доверия. В продукте предусмотрены шифрование данных, многофакторная аутентификация и контроль целостности. Для дополнительной проверки безопасности компания привлекла независимых исследователей на Standoff Bug Bounty. В ходе тестирования они применяли сложные, многоступенчатые векторы атак, комбинируя различные техники эксплуатации уязвимостей. Полученные отчёты помогают разработчикам находить и исправлять ошибки в коде, а обнаруженные баги активно устраняются как в ядре РЕД Базы Данных, так и в Firebird.

«Багбаунти можно встроить в процесс разработки безопасного ПО (РБПО), чтобы проверка защищённости не ограничивалась разовым аудитом. Продукт развивается, в нём появляются новые функции, меняется код, а вместе с этим могут возникать новые уязвимости. Независимые исследователи помогают находить такие баги превентивно, а модель вознаграждений за подтвержденные находки позволяет эффективно расходовать бюджет на безопасность. При этом тестирование сложного ПО, например, систем управления базами данных, требует специальных знаний и опыта. На Standoff Bug Bounty есть исследователи с такой экспертизой, готовые разбираться в этих продуктах и анализировать их код», — прокомментировал новость Роман Приходько, руководитель Standoff Bug Bounty.

Программа РЕД СОФТ на Standoff Bug Bounty продолжает работать в публичном формате. Исследователи могут присоединиться к тестированию и получить вознаграждение за подтвержденные уязвимости. Условия участия и разрешённая область тестирования доступны на странице программы.