Что изменилось в программе bug bounty

Positive Technologies расширила собственную программу поиска уязвимостей на платформе Standoff Bug Bounty. Раньше такие программы в основном касались поиска ошибок в коде и инфраструктуре продуктов — то есть классических уязвимостей. Теперь компания предлагает исследователям проверять эффективность самого механизма защиты: искать атаки, которые межсетевой экран уровня приложений (WAF) не замечает или не блокирует, и обходить правила фильтрации трафика и детекторы вредоносных запросов.

Какие продукты проверяют

Речь идёт о двух решениях линейки PT Application Firewall:

  • PT Application Firewall Pro (PT AF PRO) — версия для самостоятельного развёртывания в инфраструктуре заказчика;
  • PT Application Firewall Cloud (PT AF Cloud) — облачная версия сервиса.

По заявлению компании, это первые российские WAF, разработчики которых открыто предложили независимым исследователям вознаграждение именно за обход защиты, а не только за уязвимости в собственном коде продукта.

Размер вознаграждения

  • PT AF PRO: 150–300 тыс. руб. за находки высокого уровня опасности и 300–500 тыс. руб. — за критические;
  • PT AF Cloud: 50–200 тыс. руб. за уязвимости высокого уровня опасности и до 500 тыс. руб. — за критические.

Итоговая сумма выплаты зависит от критичности найденной проблемы и её потенциального влияния на защищаемые ресурсы заказчиков.

Что именно тестируют

Программа охватывает три ключевых компонента WAF:

  • фильтрующее ядро — механизм, который разбирает и анализирует входящий трафик;
  • правила и механизмы обнаружения атак — логику, определяющую, что считать подозрительным запросом;
  • управляющий слой (control plane) — часть системы, отвечающую за настройку и администрирование защиты.

Участникам разрешено использовать модифицированные HTTP-запросы, нестандартные форматы передачи данных и другие техники обхода фильтров. Каждую подтверждённую находку компания разбирает отдельно и на её основе дорабатывает правила и детекторы.

Почему это важно: как устроен рынок WAF

WAF — один из базовых элементов защиты веб-приложений: он анализирует HTTP-трафик и блокирует типовые атаки (SQL-инъекции, межсайтовый скриптинг и аналогичные). Проблема любого защитного механизма такого типа в том, что он работает по правилам и сигнатурам, а значит теоретически может быть обойдён нестандартным запросом, который формально не нарушает правило, но достигает цели атакующего. Публичная проверка такого обхода силами независимых исследователей — способ для вендора найти слабые места раньше, чем это сделают реальные злоумышленники, и при этом получить объективную оценку качества защиты от внешней стороны, а не только от собственной команды разработки.

Контекст на рынке bug bounty

Программы поиска уязвимостей за вознаграждение в России заметно выросли за последние годы — крупные ИБ- и ИТ-компании всё активнее выводят свои продукты на такие платформы, рассматривая это как дополнение к внутреннему аудиту безопасности. Расширение программы именно на тестирование самого защитного механизма, а не только кода, — более редкий и технически сложный формат: здесь исследователю нужно не найти баг, а продемонстрировать реальный сценарий обхода защиты в условиях, близких к боевым.

Позиция компании

Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies, пояснил, что компания предлагает исследователям проверить не только код решений, но и экспертизу, на которой строится защита, поскольку даже отработанные механизмы защиты могут иметь ограничения, которые проявляются только в реальных условиях эксплуатации.

Итог: Расширение bug bounty на обход самого защитного механизма, а не только поиск уязвимостей в коде, — заметный шаг для российского рынка ИБ: он повышает прозрачность продукта и позволяет вендору находить слабые места до того, как ими воспользуются реальные атакующие. Для заказчиков это дополнительный сигнал о зрелости процессов безопасности поставщика WAF-решений.

Читайте также:

Positive Technologies входит в список ИБ-вендоров, решения которых распространяет МОНТ — по продуктам линейки PT Application Firewall можно организовать пилот, демонстрацию или консультацию по внедрению.