Apakah Keselamatan Sumber Orang Ramai?

Sebelum produk perisian baharu dikeluarkan ke pasaran, ia diuji untuk kelemahan. Setiap syarikat yang bertanggungjawab melakukan ujian ini untuk melindungi kedua-dua pelanggannya dan dirinya sendiri daripada ancaman siber.

Dalam beberapa tahun kebelakangan ini, pembangun semakin bergantung pada sumber ramai untuk menjalankan ujian keselamatan. Tetapi apakah sebenarnya Keselamatan Crowdsourced? Bagaimanakah ia berfungsi dan bagaimana ia berbeza daripada kaedah penilaian risiko popular yang lain?

Cara Crowdsourced Security berfungsi

Organisasi dari semua saiz secara tradisinya menggunakan ujian penembusan untuk menjamin sistem mereka. Pentest pada asasnya ialah serangan siber simulasi yang mendedahkan kelemahan keselamatan, sama seperti serangan sebenar. Tetapi tidak seperti dalam serangan sebenar, apabila dikesan, kelemahan ini ditampal. Ini mengukuhkan profil keselamatan keseluruhan organisasi berkenaan. Kedengaran mudah, bukan?

Tetapi terdapat beberapa masalah dengan ujian penembusan. Ia biasanya hanya dilakukan setiap tahun, yang tidak mencukupi, kerana semua perisian dikemas kini dengan kerap. Kedua, kerana pasaran keselamatan siber agak tepu, syarikat yang sedang menguji kadangkala "menemui" kelemahan yang sebenarnya tidak wujud untuk mewajarkan mengenakan bayaran untuk perkhidmatan mereka dan menonjol daripada pesaing. Terdapat juga kebimbangan belanjawan - perkhidmatan ini boleh menjadi agak mahal.

Crowdsourced Security beroperasi pada model yang sama sekali berbeza. Ia berkisar tentang menjemput sekumpulan individu untuk menguji perisian untuk isu keselamatan. Syarikat yang menggunakan Crowdsourced Security memberikan jemputan kepada sekumpulan orang atau orang awam untuk menguji produk mereka. Ini boleh dilakukan secara langsung atau melalui platform sumber ramai pihak ketiga.

Walaupun sesiapa sahaja boleh menyertai program ini, penonton sasaran utama adalah penggodam atau penyelidik topi putih. Selalunya terdapat ganjaran kewangan yang besar untuk menemui kelemahan keselamatan. Jelas sekali, penentuan jumlah terpulang kepada syarikat individu, tetapi penyumberan ramai adalah lebih murah dan lebih berkesan dalam jangka panjang berbanding ujian penembusan tradisional.

Berbanding dengan pentesting dan bentuk penilaian risiko lain, crowdsourcing mempunyai pelbagai kelebihan. Pertama, tidak kira betapa baiknya syarikat ujian penembusan yang anda ambil, sekumpulan besar orang yang sentiasa mencari kelemahan keselamatan akan lebih berkemungkinan menemuinya. Satu lagi kelebihan yang jelas daripada sumber ramai ialah mana-mana program sedemikian bersifat terbuka, bermakna ia boleh dijalankan secara berterusan, jadi kelemahan boleh dikesan (dan ditampal). ) sepanjang tahun.

3 jenis program Crowdsourced Security

Kebanyakan program Crowdsourced Security memfokuskan pada konsep asas yang sama bagi peneroka kelemahan yang memberi ganjaran kewangan, tetapi ia boleh dikumpulkan ke dalam tiga kategori utama.

1. Terima bonus apabila pepijat ditemui

Hampir setiap gergasi teknologi - dari Facebook ke Apple ke Google - mempunyai program hadiah pepijat yang aktif. Cara mereka bekerja agak mudah: Cari pepijat dan anda akan mendapat ganjaran. Ganjaran ini terdiri daripada beberapa ratus hingga beberapa juta dolar, jadi tidak hairanlah bahawa sesetengah penggodam topi putih memperoleh pendapatan sepenuh masa daripada menemui kelemahan perisian.

2. Program pendedahan kerentanan

Program pendedahan kerentanan sangat serupa dengan kumpulan di atas, tetapi dengan satu perbezaan utama: Program ini adalah awam. Dalam erti kata lain, apabila penggodam topi putih menemui kecacatan keselamatan dalam produk perisian, kecacatan itu akan didedahkan kepada umum untuk diketahui oleh semua orang. Syarikat keselamatan siber sering terlibat dalam aktiviti ini: Mereka menemui kelemahan, menulis laporan tentangnya dan membuat pengesyoran kepada pembangun dan pengguna akhir.

3. Malware Crowdsourcing

Apakah yang berlaku jika anda memuat turun fail tetapi tidak pasti sama ada ia selamat untuk dijalankan? Bagaimanakah anda menyemak sama ada ia adalah perisian hasad? Suite antivirus anda mungkin tidak mengenalinya sebagai berniat jahat, jadi apa yang anda boleh lakukan ialah pergi ke VirusTotal atau pengimbas virus dalam talian yang serupa dan muat naik fail di sana. Alat ini mensintesis berpuluh-puluh produk antivirus untuk memeriksa sama ada fail yang dimaksudkan berbahaya atau tidak. Ini juga merupakan satu bentuk Keselamatan Crowdsourced.

Sesetengah orang percaya bahawa jenayah siber ialah satu bentuk Keselamatan Bersumberkan Orang Ramai. Hujah ini masuk akal, kerana tiada siapa yang lebih bermotivasi untuk mencari kelemahan dalam sistem daripada pelakon ancaman yang ingin mengeksploitasinya untuk wang dan kemasyhuran. Lagipun, penjenayah adalah orang yang secara tidak sengaja memaksa industri keselamatan siber untuk menyesuaikan diri, berinovasi dan menambah baik.

Masa Depan Keselamatan Sumber Orang Ramai

Menurut firma analisis Future Market Insights, pasaran keselamatan global akan terus berkembang pada tahun-tahun akan datang. Malah, anggaran mengatakan ia akan bernilai sekitar $243 juta menjelang 2032. Ini bukan sahaja hasil daripada inisiatif sektor swasta tetapi juga kerana kerajaan di seluruh dunia telah menerima pakai langkah keselamatan Crowdsourced.

Ramalan ini sememangnya berguna jika anda ingin mengukur ke arah mana industri keselamatan siber dituju, tetapi pakar ekonomi tidak perlu memikirkan sebab organisasi perusahaan menggunakan pendekatan ini. crowdsourcing untuk tujuan keselamatan. Tidak kira bagaimana anda melihatnya, nombor penting. Selain itu, apakah kemudaratan yang boleh berlaku apabila mempunyai pasukan orang yang bertanggungjawab dan boleh dipercayai memantau kelemahan aset anda selama 365 hari setahun?

Ringkasnya, melainkan sesuatu berubah secara mendadak dalam cara perisian dikompromi oleh aktor ancaman, kami lebih berkemungkinan melihat program keselamatan sumber ramai muncul di kedua-dua 2 pihak. Ini adalah berita baik untuk pembangun, penggodam topi putih dan pengguna, tetapi berita buruk untuk penjenayah siber.