Ngày 22/3/2018, Netflix khởi động chương trình "bug bounty" công khai, trả tiền cho hacker báo cáo lỗ hổng. Đây là việc họ làm 5 năm qua nhưng chỉ trong phạm vi hạn chế. Mở rộng ra công cộng意味著将有大量黑客广泛审查网站。
Cách làm này có vẻ hỗn loạn, nhưng nhiều người khẳng định: trả tiền cho người lạ hack website của bạn là một trong những cách hiệu quả nhất để bảo mật chống lại mối đe dọt tiềm ẩn. Câu hỏi: Bug bounty có thực sự hiệu quả hơn đội ngũ penetration testing nội bộ?
Penetration Testing hoạt động như thế nào?
Penetration testing là phần bình thường trong vòng đời phát triển, thường thực hiện trước khi phát hành sản phẩm. Đôi là nhóm người (thuê ngoài hoặc nội bộ) cố gắng "hack" phần mềm/hệ thống mà công ty muốn phát hành. Sau đó báo cáo tất cả lỗ hổng tìm được, cho developer sửa trước khi chúng thành vấn đề thực tế.
Trong quá trình pentest, nhóm thường tuân thủ quy trình cố định để phát hiện tất cả lỗ hổng có thể. Có thể dùng kỹ thuật hacker thường dùng để xâm nhập. Kết quả: danh sách toàn diện các khu vực quan trọng trong phần mềm mà hầu hết hacker có thể khơi dậy.
Điều gì làm Bug Bounty hấp dẫn?
Khi triển khai bug bounty, bạn cơ bản tuyên bố: sẵn sàng trả tiền cố định cho bất kỳ ai báo cáo lỗ hổng đáng kể. Để bounty thành công, cần quy tắc nền tảng để người tham gia biết hành vi nào không được chấp nhận.
Dù nghe ngược thường lý, bug bounty có ưu điểm so với pentest truyền thống:
- Người tham gia được trả tiền khi tìm thấy lỗ hổng, tạo động lực quét kỹ toàn bộ phần mềm. Pentest không có động lực này, vì thành viên được trả lương bất kể kỹ cỡ nào.
- Bounty thu hút hàng nghìn hacker giỏi, mang来极其多样的视角。Pentest team thường quy mô hạn chế, dù giỏi đến đâu góc nhìn cũng bị giới hạn。
- Nhiều người tham gia bounty là chuyên gia toàn thời gian, tham gia nhiều chương trình cùng lúc.
- Công ty có "bề mặt tấn công" lớn (phần mềm dễ bị xâm nhập) có thể phát hiện lỗi mà team nội bộ bỏ lỡ.
Tại sao Penetration Testing vẫn còn quan trọng?
Bug bounty tuy hay nhưng không nhất thiết phù hợp công ty không có cộng đồng lớn. Đó là lý do pentest vẫn phổ biến. Ví dụ: công ty phần mềm y tế có thể không thu hút nhiều người tham gia như studio game với hàng chục nghìn fan.
Pentest vẫn có ưu điểm có thể thuyết phục công ty bỏ qua bug bounty:
- Tối thiểu hóa rủi ro lỗ hổng bị phơi bày ra công khai trước khi kịp sửa. Dù bạn đặt quy tắc chống lại điều này trong bounty, mọi người vẫn hiểu lầm.
- Công ty pentest thuê ngoài có thể cung cấp chứng chỉ quan trọng đối với khách hàng.
- Chất lượng báo cáo thường cao hơn trong pentest.
- Hữu ích trong thị trường quy chặt (thanh toán, xử lý dữ liệu thẻ ngân hàng/ tín dụng).
Bạn có cảm thấy an tâm hơn dùng Netflix nhờ bug bounty? Hay công ty nên làm việc với team pentest? Hãy chia sẻ ý kiến trong bình luận!