Positive Technologies заплатит 500 тысяч рублей за обход защиты своих WAF
Positive Technologies расширила программы поиска уязвимостей на платформе Standoff Bug Bounty и предложила независимым исследователям безопасности вознаграждение до 500 тысяч рублей за успешный обход защиты своих продуктов класса WAF (Web Application Firewall). PT Application Firewall PRO (PT AF PRO) и PT Application Firewall Cloud (PT AF Cloud) стали первыми российскими решениями этого класса, разработчики которых открыто предложили белым хакерам вознаграждение за обнаружение способов обхода механизмов защиты веб-приложений.
Ранее программы Bug Bounty были ориентированы преимущественно на поиск уязвимостей в программном коде и инфраструктуре продуктов. Теперь исследователи смогут проверить эффективность самих защитных механизмов. В частности, найти способы проведения атак, которые WAF не сможет обнаружить или заблокировать, обойти правила фильтрации трафика или детекторы вредоносных запросов. Такие сценарии представляют особый интерес, поскольку даже при отсутствии уязвимостей в самом продукте недостатки механизмов обнаружения могут позволить злоумышленникам проникнуть в защищаемые веб-приложения.
В рамках программ проверяются три ключевых компонента решений: фильтрующее ядро, отвечающее за обработку веб-трафика, правила и механизмы обнаружения атак, а также управляющий слой (control plane), через который осуществляется настройка и администрирование защиты. Исследователи могут тестировать различные способы обхода фильтрации, в том числе с использованием специально модифицированных HTTP-запросов, нестандартных форматов передачи данных и других техник, позволяющих скрыть вредоносную активность от WAF.
Размер выплат зависит от критичности обнаруженной проблемы и ее потенциального влияния на безопасность защищаемых ресурсов. В программе PT Application Firewall PRO вознаграждение за находки высокого уровня опасности составляет от 150 до 300 тысяч рублей, критического — от 300 до 500 тысяч рублей. Для PT AF Cloud предусмотрены выплаты от 50 до 200 тысяч рублей за уязвимости высокого уровня опасности и до 500 тысяч рублей за критические.
«Мы предлагаем исследователям проверить на прочность не только программный код наших решений, но и саму экспертизу, на которой строится защита веб-приложений. Для российского рынка WAF это новый подход к независимому тестированию. Мы исходим из того, что даже самые совершенные механизмы защиты могут иметь ограничения, поэтому готовы платить за обнаружение реальных способов их обхода. Каждую подтвержденную находку наши специалисты подробно разбирают, изучают использованную технику и на ее основе совершенствуют правила и детекторы. Это позволяет развивать защиту с учетом методов, которые потенциально могут использовать реальные злоумышленники», — отметил Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies.
Открытое тестирование становится частью постоянного развития продуктов Positive Technologies. Привлечение независимых исследователей позволяет проверять устойчивость WAF к новым сценариям атак и выявлять ограничения защитных механизмов до того, как они приведут к инцидентам у заказчиков. Полученные результаты используются для доработки продуктов и обновления экспертизы обнаружения киберугроз.
Принять участие в программах могут независимые исследователи информационной безопасности. Подробные условия, допустимые сценарии тестирования и размеры вознаграждений опубликованы на платформе Standoff Bug Bounty: PT Application Firewall PRO и PT AF Cloud.
