Пентест и программу bug bounty часто представляют как соперников. Это не так. Первое — плановая проверка, второе — постоянное открытое приглашение. Выбор начинается с вопроса, на который вы хотите получить ответ.
Что даёт пентест
У пентеста заранее заданы охват, сроки и методика. Небольшая команда проходит ваше приложение или сеть в согласованном порядке и сдаёт отчёт: каждая находка с доказательством, влиянием и способом исправления.
Вы получаете глубину внутри охвата и документ, который можно показать аудитору или регулятору. Чего вы не получаете, так это времени: пентест — это фотография. Релиза, который вышел через две недели, на ней нет.
Что даёт bug bounty
Bug bounty работает круглый год. На одну цель смотрят многие исследователи с разными навыками, а платите вы только за подтверждённые находки. Необычные ошибки, до которых не дошёл бы ни один чек-лист, обычно приходят отсюда.
Цена этой широты — работа на вашей стороне. Отчёты нужно воспроизводить, оценивать и на них нужно отвечать, а исправления должны выходить в релиз. Программа, которая отвечает медленно, первой теряет лучших исследователей.
Рядом
| Пентест | Bug bounty | |
|---|---|---|
| Длительность | Две-четыре недели | Постоянно |
| За что вы платите | За время команды | За подтверждённые находки |
| Охват | Глубокий, в согласованных границах | Широкий, по выбору исследователей |
| Результат | Отчёт и повторная проверка | Поток отчётов |
| Когда подходит | Новый продукт, релиз, аудит | Зрелый продукт, который часто меняется |
Что первым
Если продукт ни разу не проверяли, начните с пентеста. Иначе вы будете платить вознаграждения за самые простые находки, те, что пентест перечислил бы в первые дни.
Когда находки исправлены, откройте закрытую программу для небольшой приглашённой группы. Переходите к открытой, когда триаж и исправления идут без задержек.
Три признака готовности
- Критическая находка исправляется за дни, а не за кварталы.
- За входящие отчёты отвечает один конкретный человек.
- Охват и правила записаны и опубликованы.
Нулевой шаг бесплатен: опубликуйте политику раскрытия уязвимостей. Она говорит исследователю, куда писать, и обещает не преследовать за добросовестную работу. Без неё сообщения о ваших системах приходят поздно или не приходят вовсе.
Как они работают вместе
Большинство зрелых команд используют оба инструмента. Пентест закрывает то, что должно быть проверено к дате: релиз, платёжный процесс, аудит. Bug bounty закрывает всё, что происходит между этими датами.
На BugOne триаж делает наша команда, поэтому до вас доходят только подтверждённые находки. Если продукт ещё не проверяли, начните с пентеста.
