Bug Bounty: จ่ายรางวัลให้คนช่วยหาช่องโหว่ก่อนคนร้าย
แทนที่จะหวังว่าไม่มีช่องโหว่ Bug Bounty เชิญนักวิจัยความปลอดภัยทั่วโลกมาช่วยหาช่องโหว่แลกรางวัล จ่ายเมื่อเจอของจริง เข้าใจว่ามันเหมาะกับใคร และต่างจากการจ้างทดสอบอย่างไร
Bug Bounty คือโปรแกรมที่องค์กรเชิญนักวิจัยความปลอดภัยจากทั่วโลก มาช่วยหาช่องโหว่ในระบบของตน โดยจ่ายรางวัลตามความร้ายแรงของช่องโหว่ที่พบและรายงานอย่างถูกต้อง ข้อดีคือได้สายตาจำนวนมากที่คิดต่างกัน ช่วยเจอช่องโหว่ที่ทีมภายในหรือการทดสอบครั้งเดียวมองข้าม และจ่ายเมื่อเจอของจริงเท่านั้น ต่างจากการจ้างทดสอบที่จ่ายตามเวลาไม่ว่าจะเจอหรือไม่
ไม่ใช่ของทุกองค์กร และต้องมีวุฒิภาวะพอ
Bug Bounty ให้คุณค่าก็ต่อเมื่อองค์กรพร้อมรับและแก้ช่องโหว่ที่ถูกรายงานได้จริง ถ้าไม่มีกระบวนการรับรายงาน จัดลำดับความสำคัญ และแก้ไข การเปิดโปรแกรมก็จะได้แต่รายงานกองไว้โดยไม่ได้แก้ นอกจากนี้ยังต้องกำหนดขอบเขตชัดว่าอะไรทดสอบได้ อะไรห้าม เพื่อไม่ให้กระทบระบบจริงหรือข้อมูลลูกค้า องค์กรที่ยังไม่มีพื้นฐานความปลอดภัย ควรเริ่มจากการทดสอบแบบมีขอบเขตก่อน
- จ่ายเมื่อเจอช่องโหว่จริง ได้สายตาหลากหลายจากทั่วโลก
- ต้องมีกระบวนการรับ จัดลำดับ และแก้รายงานที่เข้ามา
- กำหนดขอบเขตชัดว่าอะไรทดสอบได้ เพื่อไม่กระทบระบบจริง
Bug Bounty เป็นเครื่องมือที่ทรงพลังสำหรับองค์กรที่มีวุฒิภาวะด้านความปลอดภัยพอสมควรแล้ว เพราะมันเปลี่ยนการหาช่องโหว่จากงานของทีมเล็ก ๆ ให้เป็นความร่วมมือกับนักวิจัยจำนวนมาก แต่มันไม่ใช่ทางลัดสำหรับองค์กรที่ยังไม่มีพื้นฐาน การเข้าใจว่ามันเหมาะกับใครและเมื่อไร ช่วยให้ตัดสินใจได้ว่าถึงเวลาของมันหรือยัง
บริการที่เกี่ยวข้อง
รับพัฒนาระบบและซอฟต์แวร์เฉพาะทาง
ออกแบบและวางระบบตามความต้องการเฉพาะของธุรกิจคุณ ตั้งแต่ต้นจนใช้งานจริง
WhaleScope
ดูโครงสร้างตลาดของทุกหมวดธุรกิจไทย บน WhaleScope
รายชื่อบริษัท ผู้เล่นรายใหญ่ และอัตราคงอยู่ของแต่ละหมวด — จากข้อมูลจดทะเบียน 2 ล้านนิติบุคคล
อ่านต่อ
Patch Management: ทำไมการไม่อัปเดต คือประตูที่เปิดทิ้งไว้ให้คนร้าย
ช่องโหว่ส่วนใหญ่ที่ถูกใช้โจมตี เป็นช่องที่มีแพตช์แก้ออกมาแล้ว แต่ไม่ได้อัปเดต การจัดการแพตช์อย่างเป็นระบบ คือหนึ่งในการป้องกันที่ได้ผลที่สุดและมักถูกมองข้ามที่สุด
VPN คืออะไร: อุโมงค์เข้ารหัสที่ให้พนักงานเข้าถึงระบบบริษัทจากนอกออฟฟิศอย่างปลอดภัย
VPN คือการสร้างอุโมงค์เข้ารหัสระหว่างอุปกรณ์ของพนักงานกับระบบบริษัท ทำให้เข้าถึงข้อมูลและระบบภายในจากนอกออฟฟิศได้อย่างปลอดภัย แม้ใช้เน็ตสาธารณะ เข้าใจว่า VPN ช่วยอะไรและมีขีดจำกัดแค่ไหนสำหรับธุรกิจ
Log Management คืออะไร: เก็บและอ่านบันทึกของระบบ เพื่อรู้ว่าเกิดอะไรขึ้นเมื่อมีปัญหา
ทุกระบบสร้าง log หรือบันทึกว่ามีอะไรเกิดขึ้นตลอดเวลา ใครเข้ามา ทำอะไร ผิดพลาดตรงไหน แต่ log ที่กระจายและไม่มีใครเก็บ ก็ไร้ประโยชน์เมื่อเกิดปัญหา Log management คือการเก็บและจัดระเบียบ log ให้ค้นและอ่านได้ ซึ่งเป็นรากฐานของทั้งการแก้ปัญหาและการจับภัย
Privileged Access: บัญชีที่มีอำนาจสูง คือเป้าหมายอันดับหนึ่ง
บัญชีแอดมินและบัญชีที่มีสิทธิ์สูง ถ้าถูกยึด คนร้ายก็ทำได้แทบทุกอย่าง จึงเป็นเป้าหมายอันดับหนึ่ง เข้าใจว่าทำไมต้องดูแลบัญชีเหล่านี้เป็นพิเศษ และจัดการอย่างไร