Înainte ca un nou produs software să ajungă pe piață, acesta este testat pentru vulnerabilități. Fiecare companie responsabilă efectuează aceste teste, pentru a-și proteja atât clienții, cât și pe ea însăși de amenințările cibernetice.
În ultimii ani, dezvoltatorii s-au bazat din ce în ce mai mult pe crowdsourcing pentru a efectua investigații de securitate. Dar ce este exact securitatea crowdsourced? Cum funcționează și cum se compară cu alte metode comune de evaluare a riscurilor?
Cum funcționează securitatea crowdsourced
Organizațiile de toate dimensiunile au folosit în mod tradițional teste de penetrare pentru a-și asigura sistemele. Testarea stiloului este în esență un atac cibernetic simulat, menit să expună defectele de securitate, la fel cum ar face un atac real. Dar, spre deosebire de un atac real, odată descoperite, aceste vulnerabilități sunt remediate. Acest lucru sporește profilul general de securitate al organizației în cauză. Sună simplu.
Dar există câteva probleme flagrante cu testarea de penetrare. De obicei, este efectuat anual, ceea ce pur și simplu nu este suficient, având în vedere că tot software-ul este actualizat în mod regulat. În al doilea rând, pentru că piața de securitate cibernetică este destul de saturată, companiile de testare a stilourilor „găsesc” uneori vulnerabilități în care într-adevăr nu există pentru a justifica taxarea pentru serviciile lor și pentru a se evidenția competiția lor. Apoi, există și preocupări bugetare – aceste servicii pot fi destul de costisitoare.
Securitatea crowdsourced funcționează pe un model complet diferit. Se învârte în jurul invitației unui grup de persoane să testeze software-ul pentru probleme de securitate. Companiile care folosesc testarea de securitate crowdsourced invită un grup de oameni sau publicul ca atare să-și probeze produsele. Acest lucru se poate face direct sau printr-o platformă de crowdsourcing terță parte.
Deși oricine se poate alătura acestor programe, este în primul rând hackeri etici (hackeri cu pălărie albă) sau cercetători, așa cum sunt numiți în cadrul comunității, care participă la ele. Și participă pentru că, de obicei, există un premiu financiar decent pentru descoperirea unei defecțiuni de securitate. Evident, depinde de fiecare companie să stabilească sumele, dar se poate argumenta că crowdsourcing-ul este mai ieftin și mai eficient pe termen lung decât testarea tradițională de penetrare.
În comparație cu testarea stiloului și alte forme de evaluare a riscurilor, crowdsourcing-ul are multe avantaje diferite. Pentru început, oricât de bună este o firmă de teste de penetrare pe care o angajați, un grup mare de oameni care caută în mod constant vulnerabilități de securitate este mult mai probabil să le descopere. Un alt avantaj evident al crowdsourcing-ului este că orice astfel de program poate fi deschis, ceea ce înseamnă că poate rula continuu, astfel încât vulnerabilitățile pot fi descoperite (și remediate) pe tot parcursul anului.
3 tipuri de programe de securitate crowdsourced
Majoritatea programelor de securitate crowdsourced sunt centrate în jurul aceluiași concept de bază de a recompensa financiar pe cei care descoperă un defect sau o vulnerabilitate, dar pot fi grupate în trei categorii principale.
1. Bug Bounties
Practic, fiecare gigant tehnologic – de la Facebook, la Apple, la Google – are un activ program de recompensă pentru erori. Modul în care funcționează este destul de simplu: descoperiți o eroare și veți primi o recompensă. Aceste recompense variază de la câteva sute de dolari la câteva milioane, așa că nu este de mirare că unii hackeri etici câștigă venituri cu normă întreagă descoperind vulnerabilități software.
2. Programe de divulgare a vulnerabilităților
Programele de dezvăluire a vulnerabilităților sunt foarte asemănătoare cu recompensele de erori, dar există o diferență cheie: aceste programe sunt publice. Cu alte cuvinte, atunci când un hacker etic descoperă o defecțiune de securitate într-un produs software, acea defecțiune este mediatizată, astfel încât toată lumea să știe ce este. Firmele de securitate cibernetică participă adesea la acestea: identifică o vulnerabilitate, scriu un raport despre aceasta și oferă recomandări dezvoltatorului și utilizatorului final.
3. Malware Crowdsourcing
Ce se întâmplă dacă descărcați un fișier, dar nu sunteți sigur dacă este sigur de rulat? Cum faci verifica daca este malware? Dacă ați reușit să îl descărcați în primul rând, suita dvs. antivirus nu a reușit să o recunoască rău intenționat, așa că ceea ce puteți face este să mergeți la VirusTotal sau un scaner online similar și să îl încărcați Acolo. Aceste instrumente reunesc zeci de produse antivirus pentru a verifica dacă fișierul în cauză este dăunător. De asemenea, aceasta este o formă de securitate crowdsourced.
Unii susțin că criminalitatea cibernetică este o formă de securitate prin sursă multiplă, dacă nu chiar forma finală a acesteia. Acest argument are cu siguranță merit, deoarece nimeni nu este mai motivat să găsească o vulnerabilitate într-un sistem decât un actor de amenințare care caută să o exploateze pentru câștig monetar și notorietate.
La sfârșitul zilei, infractorii sunt cei care forțează din neatenție industria securității cibernetice să se adapteze, să inoveze și să se îmbunătățească.
Viitorul securității crowdsourced
Potrivit firmei de analiză Perspective ale pieței viitoare, piața globală de securitate crowdsourced va continua să crească în anii următori. De fapt, estimările spun că va avea o valoare de aproximativ 243 de milioane de dolari până în 2032. Acest lucru nu se datorează doar inițiativelor din sectorul privat, ci și datorită faptului că guvernele din întreaga lume au îmbrățișat securitate crowdsourced – mai multe agenții guvernamentale din SUA au programe active de recompensă a erorilor și dezvăluire a vulnerabilităților, pentru exemplu.
Aceste predicții pot fi cu siguranță utile dacă doriți să măsurați în ce direcție se mișcă industria securității cibernetice, dar nu este nevoie de un economist pentru a-și da seama de ce entitățile corporative adoptă o abordare de crowdsourcing a securității. Indiferent de modul în care priviți problema, numerele se verifică. În plus, care ar putea fi răul în a avea un grup de oameni responsabili și de încredere să vă monitorizeze activele pentru vulnerabilități 365 de zile pe an?
Pe scurt, cu excepția cazului în care ceva se schimbă în mod dramatic în modul în care software-ul este pătruns de actorii amenințărilor, este mai mult decât probabil să vedem programe de securitate crowdsourced să apară în stânga și în dreapta. Aceasta este o veste bună pentru dezvoltatori, hackeri cu pălărie albă și consumatori, dar vești proaste pentru infractorii cibernetici.
Crowdsourcing de securitate pentru a proteja împotriva criminalității cibernetice
Securitatea cibernetică există încă de la primul computer. A luat multe forme de-a lungul anilor, dar scopul a fost întotdeauna același: protejarea împotriva accesului neautorizat și a furtului. Într-o lume ideală, nu ar fi nevoie de securitate cibernetică. Dar în lumea reală, a te proteja face diferența.
Toate cele de mai sus se aplică atât companiilor, cât și persoanelor fizice. Dar, în timp ce o persoană obișnuită poate rămâne relativ în siguranță online atâta timp cât urmează protocoalele de securitate de bază, organizațiile necesită o abordare cuprinzătoare a potențialelor amenințări. O astfel de abordare ar trebui să se bazeze în primul rând pe securitatea cu încredere zero.
