باگ بانتی (Bug bounty) چیست؟+معرفی 0 تا 100 باگ بونتی+گرفتن پاداش🟢

در چند سال گذشته، شرکت‌های مختلف از جمله گوگل، مایکروسافت، فیس‌بوک، یاهو و سایرین شروع به ارائه جوایز قابل توجهی برای کمک به آنها در کشف آسیب‌پذیری‌ها در وب‌سایت یا نرم‌افزار خود کردند. در این مقاله، تمام اطلاعاتی را که به شما کمک می کند تا به عنوان Bug Bounty Hunter شروع کنید و ابزارهای لازم برای یادگیری چه چیزهایی هستند را خواهید آموخت. همچنین، برخی از مهارت‌ها، آموزش، و نکته های پیش‌نیاز را به ترتیب صحیح و نحوه کارکرد چیزها در دنیای باگ بانتی مورد بحث قرار خواهیم داد.

برنامه باگ بانتی چیست؟

پاداش‌های باگ از دهه 1850 تکامل یافته‌اند. 140 سال بعد با رشد اینترنت و تصمیم نت‌ اسکیپ برای پیاده‌سازی برنامه جایزه اشکال در سال 1995، که به توسعه‌دهندگانی که باگ‌های امنیتی را در مرورگر نت‌اسکیپ پیدا کرده و ارسال می‌کردند، پاداش‌های مالی ارائه می‌کردند، خود را نشان دادند. Navigator 2.0. این رویکرد در سال‌های بعد توسط موزیلا، گوگل و فیس‌بوک اتخاذ شد. قبل از اینکه در یک پیشنهاد شخص ثالث توسط کیسی الیس با تأسیس Bugcrowd در سال 2012 رسمی شود.

این برنامه ها ابتکارات امنیتی متمرکز بر نتایج هستند که هکرها را تشویق می کنند تا آسیب پذیری های امنیتی را کشف و گزارش کنند. آنها با ارائه پاداش های مالی بر اساس بحرانی بودن اشکالات ارائه شده، بازگشت سرمایه را ارائه می کنند و اقدامات عوامل مخرب را برای یافتن و رفع سریع مشکلات شبیه سازی می کنند. مانند پاول دوروف که سالهاست برای هک تلگرام جایزه تعیین کرده است!.

قبل از پرداختن به آن، باید توجه داشته باشیم که مانند مزرعه‌های سرور داخلی، پاداش‌های باگ اجرا شده داخلی وجود دارد، اما این پست بر روی برنامه‌های مدیریت‌شده تمرکز خواهد کرد، زیرا تقریباً به طور کلی مقرون‌به‌صرفه‌تر و قابل استفاده‌تر در نظر گرفته می‌شوند. اگر ارزش یک شرکت هوش مصنوعی به ارزش 86 میلیارد دلار و تمرکز بر ایمنی به عنوان یک نگرانی اصلی با شخص ثالثی برای برنامه باگ بانتی خود کار می کند – به غیر از غول های فناوری مانند مایکروسافت و گوگل، به علاوه مشتریان دولتی آگاه با ریسک بالا – آنگاه می توانید با خیال راحت. آن را بهترین عمل در نظر بگیرید.

باگ بانتی ممکن است در سرویس های ایرانی کمتر پیدا شود

مزایای برنامه های Bug Bounty چیست؟

برنامه‌های باگ بانتی مؤثر هستند زیرا:

هزینه هر آسیب پذیری را در مقایسه با سایر راه حل های امنیتی بسیار کاهش می دهد
با استفاده از طیف وسیعی از استعدادها، گروه متنوعی از هکرها را درگیر کنید
به شما این امکان را می دهد که با توجه به اصول رقابت از پایین به بالا در پلتفرم هایی که باعث بهبود مستمر و یادگیری همیشگی می شود، در بالای چشم انداز همیشه در حال تحول تهدیدات امنیتی بمانید.

ارائه یک راه مقرون به صرفه برای کشف آسیب‌پذیری‌ها و خطرات تریاژ که ممکن است تیم‌های امنیت داخلی از دست بدهند.
با تمایل به سرمایه گذاری در نتایج، به اعتبار جدی گرفتن امنیت در میان هکرها و جامعه امنیتی گسترده تر کمک کنید.
تضمین مستمری ارائه دهید که به شما امکان می دهد بالاترین استاندارد امنیت را برای دارایی های حیاتی حفظ کنید
با همسو کردن مستقیم هزینه‌ها با آسیب‌پذیری‌ها بر اساس تأثیر آن‌ها، دید بهتری نسبت به ROI امنیتی نسبت به رویکردهای سنتی ایجاد کنید.

چه کسی در برنامه های Bug Bounty شرکت می کند؟

مشارکت کنندگان در برنامه های جایزه، کارشناسان امنیتی هستند که دوست دارند راه های جدیدی برای استفاده و در نظر گرفتن ابزارها و فرآیندها یا هکرها پیدا کنند. مانند آقای هابز که در بالا ذکر شد، آنها مشتاق استفاده از مهارت های خود برای بهبود امنیت و خنثی کردن جرم هستند و در دنیای دیجیتال امروزی، مهارت های آنها به شدت مورد تقاضا است.

برخلاف تصویری که در رسانه ها نشان داده می شود، بیشتر هکرها انگیزه اخلاقی دارند و مهارت های خود را برای کمک به شرکت ها برای محافظت از خود به کار می گیرند تا فرصت های سودآورتر را در بازارهای سیاه و خاکستری دنبال کنند. Bugcrowd’s Inside the Mind of a Hacker نشان می دهد که 75 درصد هکرها عوامل غیرمالی را به عنوان انگیزه اصلی خود برای هک معرفی می کنند و 96 درصد معتقدند که آنها به شرکت ها کمک می کنند شکاف مهارت های امنیت سایبری خود را پر کنند، بنابراین آنها نیروی قابل توجهی برای خیر هستند.

هکرها در برنامه های باگ بانتی در بازار داروینی که از پایین به بالا، شایسته سالارانه و به روی جهان باز است، مشارکت می کنند. این تضمین می‌کند که صاحبان برنامه همیشه به جدیدترین مجموعه مهارت‌ها و تکنیک‌ها دسترسی دارند، در حالی که هکرها را تشویق می‌کند تا از آخرین روندها و پیشرفت‌ها مطلع شوند.

نکته:

شما همچنین می‌توانید برنامه‌های پاداش باگ خصوصی بخرید، جایی که فقط هکرهای دعوت شده می‌توانند در آن شرکت کنند. این به شما امکان می‌دهد برای محققانی از کشورها یا پیشینه‌های خاص انتخاب کنید، برخی از ارائه‌دهندگان حتی به شما اجازه می‌دهند شرکت‌کنندگان را به افرادی که دارای مجوز امنیتی هستند محدود کنید.

ارائه دهندگان مدیریت باگ بونتی چه خدماتی را ارائه می دهند؟

حتی پیچیده‌ترین شرکت‌های نرم‌افزاری و امنیتی با اشخاص ثالث همکاری می‌کنند تا برنامه‌های پاداش باگ خود را مدیریت کنند. مدیریت عملکرد به صورت داخلی به معنای ایجاد و نگهداری یک پلتفرم نرم افزاری و همچنین مدیریت و تریاژ حجم بالقوه زیادی از ارسال ها است. به این موارد نیاز به کارمند کردن پلتفرم با متخصصان امنیتی در بازاری که استعداد کمیاب است را اضافه کنید و مشخص می شود که چرا بسیاری از شرکت ها برنامه های مدیریت شده را انتخاب می کنند.

به طور کلی چندین سرویس وجود دارد که باید از یک شریک مدیریت شده به دنبال آنها باشید:

اعتبارسنجی و تریاژ: جداسازی سیگنال از نویز مهمترین بخش هر برنامه باگ بانتی است. پلتفرم‌ها با شناسایی سریع ارسال‌های نامعتبر یا تکراری، تریاژ بر اساس بحرانی بودن و اطمینان از رفع اشکالات و پرداخت سریع هکرها، ارزش افزوده دارند.

مدیریت سفارشی The Crowd: تطبیق هکرها با مشاغل بر اساس مجموعه مهارت، عملکرد، تجربه و سایر معیارها، این فرآیند را کارآمدتر می‌کند و به شما کمک می‌کند سریع‌تر به نتایج برسید. پلتفرم هایی که این کار را به خوبی انجام می دهند به هوش مصنوعی و الگوریتم های پیشرفته برای تطبیق هکرها با برنامه ها متکی هستند.

یک پلتفرم SaaS که برای موارد استفاده چندگانه ساخته شده است: امنیت جمع‌سپاری گسترده‌تر از پاداش‌های باگ است و بهترین ارائه‌دهندگان پلتفرم‌هایی را ارائه می‌دهند که با تست قلم به عنوان یک سرویس، مدیریت سطح حمله، افشای آسیب‌پذیری‌ها و راه‌حل‌های امنیتی مشابه ادغام می‌شوند.

تفاوت بین برنامه های Bug Bounty و تست نفوذ چیست؟

تست نفوذ ، یا تست قلم، سرویسی است که در آن آزمایش‌کنندگان خارجی از مهاجمان تقلید می‌کنند تا آسیب‌پذیری‌های امنیتی در دارایی‌های یک شرکت را شناسایی کنند. این آزمایش‌ها معمولاً محدود به زمان هستند و با روش‌های تعیین‌شده کار می‌کنند و گزارش نهایی را ارائه می‌کنند که می‌تواند انطباق را به نهادهای نظارتی نشان دهد. این آنها را از برنامه‌های باگ بونت جدا می‌کند، که آسیب‌پذیری‌ها را فقط بر اساس نبوغ هکر شناسایی می‌کنند و می‌توانند به طور مداوم کار کنند.

تست نفوذ به عنوان یک سرویس (PTaaS) یک پیشرفت برای مطابقت دادن این عمل با قابلیت های مدرن است. این کار نصب را ساده و تسریع می‌کند، یکپارچگی با SDLC و سایر سرویس‌های امنیتی جمع‌سپاری را فراهم می‌کند، و فرآیند گزارش‌دهی را سرعت می‌بخشد، همگی در عین حفظ نقاط قوت اصلی عملیات بر اساس متدولوژی‌های تعریف‌شده و ارائه گزارش شفاف.

تست های قلم (نفوذ) و PTaaS مناسب تر هستند اگر:

الزامات انطباق خاصی برای مطابقت با مقررات صنعتی مانند HIPAA یا PCI DSS داشته باشید و نیاز به آزمایش قلم با عملکرد گزارش رسمی دارید.
می‌خواهید برای اطمینان از پوشش بر اساس چک‌لیست/روش‌شناسی از پیش تعیین‌شده، رویکرد «پرداخت برای زمان» را در پیش بگیرید.
کنترل‌های داخلی داشته باشید که نیاز به آزمایش محدود زمانی محصولات یا عملکرد جدید قبل از ارسال دارند

اگر شما:

می‌خواهید رویکرد «پرداخت برای تأثیر» را برای ایجاد انگیزه برای کشف آسیب‌پذیری‌های با تأثیر بالا بدون چک‌لیست یا روش‌شناسی از پیش تعیین‌شده در پیش بگیرید.
به دنبال طیف گسترده‌ای از هکرها هستید تا مهارت‌ها و تجربیات خود را برای یافتن آسیب‌پذیری‌ها و رفع مشکلات جدید به کار ببرند.
خواهان پوشش 24 ساعته دارایی های خود باشید

همانطور که می بینید، اینها به جای خدمات رقابتی مکمل هستند. شرکت هایی که امنیت را جدی می گیرند، معمولا در هر دو سرویس سرمایه گذاری می کنند و آنها را در یک پلت فرم امنیتی جمع سپاری ادغام می کنند. برای جزئیات بیشتر در مورد تفاوت‌ها و مکمل‌های بین تست قلم و پاداش‌های اشکال، به وبلاگ Bugcrowd در این موضوع مراجعه کنید.

چه عواملی را باید قبل از شروع کار با برنامه باگ بانتی در نظر گرفت؟

شما برای نتایج هزینه می کنید. اما برخی از نتایج ارزشمندتر از نتایج دیگر هستند. با یک محدوده دارایی باریک شروع کنید و به ظرفیتی که این نیاز دارد نگاه کنید. هنگامی که نشانه خوبی از ROI دارید، آن را بر اساس منابع و اولویت های استراتژیک خود گسترش دهید.

عمومی یا خصوصی؟ این کمک می کند تا با یک برنامه جایزه خصوصی که مرتبط ترین هکرها را با وظیفه شما مطابقت دارد شروع کنید. وقتی از میزان آسیب‌پذیری‌های کشف‌شده و اصلاح آن‌ها راحت شدید، آن را برای عموم باز کنید تا از هوش جمعی The Crowd حداکثر استفاده را ببرید.

بر حسب تقاضا یا در حال انجام؟ پوشش مستمر بهترین راه برای شناسایی سریع و موثر خطرات امنیتی است.  اما هر محیط توسعه‌ای نمی‌تواند با ارسال‌ها هماهنگی داشته باشد و ممکن است بودجه‌های امنیتی برای پوشش این سطح از کار زیاد نباشد. باید با یک برنامه نقطه در زمان شروع کنید، سپس زمانی که با ROI راحت هستید و به روش های توسعه چابک مورد نیاز برای رفع سریع اطمینان دارید، آن را گسترش دهید.

کدام یکپارچگی ها را در اولویت قرار دهیم؟ Bounties با چالش‌های عملیاتی همراه است، و درست کردن سمت توسعه به معنای اطمینان از ادغام با back end است. یک برنامه پاداش باگ خوب باید در SDLC ادغام شود و با ابزارهای توسعه دهنده و مدیریت پروژه مانند JIRA، GitHub، Trello و Slack کار کند.

چگونه می توان یک Bug Bounty Brief ایجاد کرد؟

استعدادهای امنیتی عظیمی در The Crowd برای باگ بانتی وجود دارد. اما به اندازه توانایی شما برای مهار آن مفید است. درستی مختصر، انتظارات را برای هکرها تعیین می کند و مسیر موفقیت را مشخص می کند. ارائه یک خلاصه مختصر و بدون ابهام به شما نتایج را سریعتر و موثرتر می دهد و نیاز به تریاژ را کاهش می دهد.

باگ بانتی برای هکر ها و برنامه نویس هایی است که سالهاست در حال کسب مهارت هستند

خلاصه یا همان brief باید موارد زیر را بیان کند:

دامنه – به وضوح دارایی هایی را که در محدوده آزمایش قرار دارند، مشخص می کند و چیزی برای تفسیر باز نمی گذارد. دامنه‌های باریک برای مبتدیان بهتر است، اما نه آنقدر باریک که برای هکرها جذاب نباشد یا ارزش امنیتی اضافه نکند.

تمرکز – با برجسته کردن مناطقی که برای شما مهم هستند، زمینه را به محدوده اضافه می کند. این می تواند شامل انواع اشکال، عملکرد خاص، ویژگی های جدید یا ویژگی های ذهنی مشابه دارایی های شما باشد.

خارج از محدوده – با بیان مواردی که منتفی است، دامنه را بیشتر روشن می کند. رایج ترین مثال هاست هایی هستند که به خدمات شخص ثالث حل می شوند.

پاداش – پرداخت های مورد انتظار، این باید با قیمت های بازار مرتبط باشد تا اطمینان حاصل شود که استعدادهای مناسب را جذب می کنید.
افشای – آیا و چگونه، هکرها می توانند انتظار داشته باشند

برای دریافت اعتبار عمومی برای اشکالات یافت شده. ما افشای عمومی را برای ایجاد روابط قوی با هکرها و نشان دادن درک پویایی های امنیتی توصیه می کنیم، اما این تصمیم شماست.

TL;DR–Bug Bounty Programs

برنامه‌های باگ بانتی بر استفاده از مهارت‌های استعدادهای امنیتی جهان، معروف به The Crowd، تکیه دارند. آنها پوشش مستمر دارایی ها را ارائه می دهند و به سرعت آسیب پذیری های جدید را آشکار می کنند، در حالی که به خوبی با امنیت رسمی و مبتنی بر انطباق مانند تست قلم همراه هستند. ایجاد پاداش‌های باگ برای شما به معنای شناخت نقاط قوت برنامه و برنامه‌ریزی انگیزه‌های مختصر و مالی برای به حداکثر رساندن این نقاط قوت است. بهترین استفاده از برنامه به معنای دانستن نقاط قوت و نحوه جفت کردن آن با راه حل های دیگری مانند PTaaS و Attack Surface Management است.

چرا باید برنامه Bug Bounty را راه اندازی کنیم؟

برخی می‌پرسند چرا شرکت‌ها به جای استخدام متخصصان امنیتی، به برنامه‌های جایزه متوسل می‌شوند! خب جواب ساده است! برخی از آنها تیم امنیتی خود را دارند. اما وقتی در مورد شرکت های بزرگ مانند فیس بوک، گوگل و غیره صحبت می کنیم، آنها به طور مداوم نرم افزارها، دامنه ها و محصولات زیادی را راه اندازی و توسعه می دهند.

با این مقدار هدف، آزمایش همه این اهداف برای تیم امنیتی مهم نیست که چقدر بزرگ باشد. بنابراین برنامه‌های جایزه می‌توانند روشی کارآمد برای شرکت‌ها برای آزمایش مداوم همه دارایی‌های دیجیتال خود باشند. بعلاوه، برنامه‌های پاداش باگ، محققان امنیتی را تشویق می‌کنند تا با قدردانی/موفقیت، برای این شرکت‌ها از نظر اخلاقی کار کنند. به همین دلیل برای شرکت های بزرگ منطقی تر است که از برنامه های پاداش باگ استفاده کنند.

با این حال، برای شرکت‌های با بودجه کوچک که از برنامه پاداش باگ استفاده می‌کنند، ممکن است بهترین گزینه نباشد، زیرا ممکن است آسیب‌پذیری‌های زیادی را دریافت کنند که با استفاده از منابع محدود خود نتوانند از عهده آن برآیند.

برنامه Bug Bounty می تواند عمومی یا خصوصی باشد:

برنامه های خصوصی

اینها برنامه هایی هستند که برای عموم منتشر نمی شوند. این بدان معناست که هکرها تنها زمانی می توانند این برنامه ها را ببینند که دعوت نامه خاصی برای هک آنها دریافت کنند.

برنامه های عمومی

هنگامی که برنامه ها عمومی می شوند، خود را برای گزارش ارسالی از کل جامعه هکرها باز می کنند. این به این معنی است که به همه هکرها در HackerOne حق هک برنامه شما داده شده است. شرکت های دیگری مانند گوگل و فیس بوک هستند که برنامه های خود را مدیریت می کنند. بنابراین اگر فکر می‌کنید مشکل امنیتی پیدا کرده‌اید، مستقیماً بدون شخص ثالث با آنها تماس بگیرید.

چگونه به یک شکارچی باگ بونتی تبدیل شویم؟

شکارچیان باگ بانتی افرادی هستند که نکات امنیتی سایبری را می شناسند و به خوبی در یافتن عیوب و آسیب پذیری ها مهارت دارند. پلتفرم‌های باگ بانتی مختلفی وجود دارند که در صورت یافتن آسیب‌پذیری در برنامه‌ها و نرم‌افزارها، به آنها پرداخت می‌کنند. قطعاً قبل از یافتن باگ در هر پلتفرمی، باید نحوه کار برنامه های وب و درک معماری این برنامه ها را بدانید. درک کامل برخی از اصول شبکه، پایگاه داده SQL و اجزای وب مانند HTML، CSS، PHP، و جاوا اسکریپت فرصت تجزیه و تحلیل برخی از آسیب‌پذیری‌ها را افزایش می‌دهد. اما شما نباید در همه آنها متخصص باشید.

همچنین، راحت بودن با حداقل یکی از این زبان‌های اسکریپت‌نویسی: پایتون، bash یا go، ارزش زیادی به ایجاد ابزارهای خود می‌افزاید که به شما در رسیدن به هدف خاصی کمک می‌کند که ابزارهای دیگر برای شما انجام نمی‌دهند.

مهارت های مورد نیاز برای تبدیل شدن به یک شکارچی باگ بانتی

برخی از حوزه‌های کلیدی که باید روی آن تمرکز کرد، ۱۰ تاپ معروف OWASP است که (طبق آخرین به‌روزرسانی در سال ۲۰۲۱):

کنترل دسترسی خراب
خرابی های رمزنگاری
تزریق
طراحی ناامن
پیکربندی اشتباه امنیتی
اجزای آسیب پذیر و قدیمی

خرابی های شناسایی و احراز هویت
نقص نرم افزار و یکپارچگی داده ها
خرابی های ثبت و مانیتورینگ امنیتی
جعل درخواست سمت سرور