Le Bug Bounty Program vise à résoudre les problèmes de sécurité les plus graves, mais il peut cacher des pièges: comment en tirer le meilleur parti?
Un Bug Bounty Program est une initiative lancée par une entreprise pour engager des hackers éthiques dans la recherche de bogues de vulnérabilités et d'exploits. Son principal avantage est d'étendre la recherche de problèmes à une masse hétérogène de professionnels, motivés par des récompenses qui les incitent à toujours donner le meilleur d'eux-mêmes.
Cependant, de par sa nature même, un Bug Bounty Program exige de l'expertise et du dévouement pour être organisé au mieux, à tel point que les petites entreprises préfèrent recourir à des méthodes plus traditionnelles pour leur sécurité. Dans cet article, nous montrons comment, avec l'aide d'un partenaire de confiance, le Bug Bounty Program peut s'avérer être un outil efficace et efficient pour toute entreprise.
Fonte: Gogetsecure
Chez UNGUESS, dès le début, nous nous sommes demandé comment une entreprise pouvait développer un Bug Bounty Program de qualité capable d'attirer certains des meilleurs hackers éthiques, bien qu'elle ne dispose pas d'installations et d’une disponibilité comparable à celles de géants tels que Google, Meta ou Microsoft. Pour ce faire, nous avons commencé par étudier les points critiques d'un Bug Bounty Program.
Contrairement à ce qui est perçu dans l'imaginaire collectif, un Bug Bounty Program n'est pas un appel aux armes général via un message sur le site web de l'entreprise ou sur les réseaux sociaux. Au contraire, il s'agit d' une activité très complexe, tant en termes de lancement que de gestion. Et si cela s'applique aux entreprises déjà familiarisées avec le monde de la sécurité informatique, cela s'applique aussi à celles qui ne sont pas encore familiarisées avec le sujet. Parce qu'organiser un Bug Bounty Program exige de connaître les préceptes de la sécurité informatique d'entreprise, mais aussi les bases éthiques et techniques en jeu dans le bug hunting.
Sans oublier que vous devez savoir où chercher et comment choisir les meilleurs hackers éthiques, comment mettre en place votre plan de récompense et bien plus encore. Il s'agit d'une tâche énorme, qui prend du temps et des ressources et qui, si elle n'est pas effectuée correctement, peut se solder par un boomerang retentissant. Peut-être parce que vous n'obtenez pas les résultats escomptés, ou parce que la chasse folle et désespérée aux professionnels mène à partager des informations sensibles avec des acteurs inconnus. Et même si les phases de lancement du Bug Bounty Program sont organisées au mieux, l'exécution risque de se transformer en demi-catastrophe.
Nous faisons référence au cas où l'empressement à organiser un Bug Bounty Program à grande échelle mène à une masse importante de hackers éthiques se déplaçant de manière incontrôlée à travers le réseau de l'entreprise. Cela se produit lorsque le Bug Bounty Program manque de coordination et de gestion continue des ressources en jeu. Dans ce cas, le résultat peut entraîner de nombreux problèmes.
Par exemple, la saturation du réseau, lorsque de multiples tentatives d'exploitation ne sont pas détectées en raison d'une réglementation peu claire ou d'un mauvais profilage des professionnels impliqués dans le projet. En conséquence, les équipes de sécurité interne, qui sont chargées de la gestion du réseau, sont débordées de signalements difficiles à filtrer et à vérifier au bon moment.
Les résultats peuvent être catastrophiques, car parmi les activités relevant du Bug Bounty Program peuvent se cacher des activités réellement malveillantes, menées par de véritables cybercriminels, qui pourraient ainsi profiter de la confusion du moment, face à des systèmes de surveillance inadéquats. C'est ainsi que l'on court le risque réel de Bug Bounty Programs qui se transforment en expériences dramatiques qui ne débouchent pas sur des résultats tangibles et qui, au contraire, peuvent être une source de problèmes majeurs d'efficacité et de continuité de l'activité pour l'entreprise.
Le problème de la confiance se pose aussi. Un Bug Bounty Program mal géré peut aboutir à ce que des milliers de hackers éthiques travaillent sur le réseau, parmi lesquels se cachent parfois des personnes aux intentions mal définies. Il s'agit d'un moyen terme entre hacker grey hat et black hat, ou simplement d'un individu qui prétend être un pirate informatique éthique mais qui sous-traite son travail à d'autres acteurs.
À ce stade, l'entreprise perd le contrôle du programme et l'expérience du Bug Bounty Program s'avère si négative qu'elle décourage une activité désormais indispensable.
Fonte: Gogetsecure.
Chez UNGUESS, nous avons trouvé une solution à tous ces problèmes, ainsi qu'à d'autres, en créant UNGUESS Cybersécurité, une plateforme de hackers éthiquees en crowdsourcing, sous notre coordination.Une véritable communauté de professionnels sélectionnés par notre équipe selon des critères très stricts en termes de compétence technique et d'intégrité.
Le hacker éthique, avec notre plateforme, cesse d'être un obscur individu à qui l'on confie le réseau d'une entreprise en croisant les doigts, pour devenir une ressource de confiance, connue et prête à se mettre au service de la sécurité d'une entreprise.
Dans un tel environnement, où une sélection stricte est effectuée à l'entrée des participants, une communauté fiable de plus de 500 hackers éthiques de confiance par des entreprises de toutes tailles, de la petite entreprise à la multinationale.
Celui qui choisit notre plateforme n'a plus à se soucier de la gestion du Bug Bounty Program tout court, mais seulement à donner les conseils nécessaires pour atteindre les objectifs de sécurité fixés. Tout le reste est géré par la plateforme à chaque étape du programme :
La plateforme UNGUESS Cybersécurité est un outil utile non seulement pour les entreprises, mais aussi pour les hackers éthiques eux-mêmes, qui nous choisissent pour éviter les tracas bureaucratiques et organisationnels et pour pouvoir se recentrer sur l'analyse proprement dite. C'est un concept qui séduit les meilleurs hackers éthiques au détriment du succès de notre plateforme.
La plateforme UNGUESS Cybersécurité représente également un point de contact précieux entre deux mondes, le hacking éthique et le monde des affaires, qui jusqu'à présent avaient du mal à interagir, car il n'y avait pas de figure pour agir en tant que garant pour les deux parties. Aujourd'hui, cette figure existe et porte le nom d'UNGUESS Cybersécurité.
Il existe d'importantes différences entre les Tests Utilisateurs et les Tests de Convivialité : méthodes, cibles et phases du cycle de vie d'un...
Ferpection, une entreprise française active dans la recherche utilisateur depuis 2014, rejoindra l'orbite d'UNGUESS à partir du premier semestre...
Bug hunting, pentest, accessibility et device compatibility testing illustrent parmi tant d’autres l’efficacité du crowdsourcing
Les détaillants sont conscients de l'enjeu de l'eCommerce UX, mais ne savent souvent pas où et comment l'améliorer. Voici les réponses