Wat is crowdsourced-beveiliging?

Voordat een nieuw softwareproduct op de markt komt, wordt het getest op kwetsbaarheden. Elk verantwoordelijk bedrijf voert deze tests uit om zowel zijn klanten als zichzelf te beschermen tegen cyberdreigingen.

De afgelopen jaren zijn ontwikkelaars steeds meer afhankelijk geworden van crowdsourcing om beveiligingstests uit te voeren. Maar wat is Crowdsourced Beveiliging precies? Hoe werkt het en waarin verschilt het van andere populaire risicobeoordelingsmethoden?

Hoe Crowdsourced-beveiliging werkt

Organisaties van elke omvang maken traditioneel gebruik van penetratietesten om hun systemen te beveiligen. Een Pentest is in wezen een gesimuleerde cyberaanval die beveiligingsfouten blootlegt, net als een echte aanval. Maar anders dan bij een echte aanval worden deze kwetsbaarheden, zodra ze worden gedetecteerd, verholpen. Dit versterkt het algehele beveiligingsprofiel van de betreffende organisatie. Klinkt eenvoudig, toch?

Maar er zijn enkele problemen met penetratietesten. Meestal gebeurt dit slechts jaarlijks, wat simpelweg niet voldoende is, omdat alle software regelmatig wordt bijgewerkt. Ten tweede, omdat de markt voor cyberbeveiliging behoorlijk verzadigd is, 'ontdekken' pentestbedrijven soms kwetsbaarheden die in werkelijkheid niet bestaan, om het in rekening brengen van hun diensten te rechtvaardigen en zich te onderscheiden van de concurrentie. Er zijn ook budgettaire zorgen: deze diensten kunnen behoorlijk duur zijn.

Crowdsourced Security werkt volgens een heel ander model. Het draait om het uitnodigen van een groep individuen om de software te testen op beveiligingsproblemen. Bedrijven die Crowdsourced Security gebruiken, nodigen een groep mensen of het grote publiek uit om hun producten te testen. Dit kan rechtstreeks worden gedaan of via een crowdsourcingplatform van derden.

Hoewel iedereen aan deze programma's kan deelnemen, zal de belangrijkste doelgroep bestaan ​​uit white hat-hackers of onderzoekers. Vaak staat er een aanzienlijke financiële beloning tegenover het ontdekken van een beveiligingsprobleem. Uiteraard is het bepalen van het bedrag een zaak van het individuele bedrijf, maar crowdsourcing is op de lange termijn goedkoper en effectiever dan traditionele penetratietesten.

Vergeleken met pentesting en andere vormen van risicobeoordeling heeft crowdsourcing verschillende voordelen. Ten eerste: ongeacht hoe goed u een penetratietestbedrijf inhuurt, is de kans groter dat een grote groep mensen die altijd op zoek zijn naar beveiligingsproblemen, deze ontdekt. Een ander voor de hand liggend voordeel van crowdsourcing is dat dergelijke programma's een open einde hebben, wat betekent dat het continu kan draaien, zodat kwetsbaarheden het hele jaar door kunnen worden opgespoord (en gepatcht).

3 soorten Crowdsourced Security-programma's

De meeste Crowdsourced Security-programma's richten zich op hetzelfde basisconcept van het financieel belonen van ontdekkers van kwetsbaarheden, maar ze kunnen in drie hoofdcategorieën worden gegroepeerd.

1. Ontvang bonussen wanneer er bugs worden ontdekt

Bijna elke technologiegigant – van Facebook tot Apple en Google – heeft een actief bugbountyprogramma. De manier waarop ze werken is vrij eenvoudig: zoek een bug en je krijgt een beloning. Deze beloningen variëren van een paar honderd tot een paar miljoen dollar, dus het is geen verrassing dat sommige white hat-hackers een voltijds inkomen verdienen met het ontdekken van softwarekwetsbaarheden.

2. Programma voor het vrijgeven van kwetsbaarheden

Programma's voor het vrijgeven van kwetsbaarheden lijken sterk op de bovengenoemde groep, maar met één belangrijk verschil: deze programma's zijn openbaar. Met andere woorden: wanneer een white hat-hacker een beveiligingsfout in een softwareproduct ontdekt, wordt die fout voor iedereen openbaar gemaakt. Cybersecuritybedrijven houden zich vaak bezig met deze activiteiten: ze ontdekken kwetsbaarheden, schrijven er rapporten over en doen aanbevelingen aan ontwikkelaars en eindgebruikers.

3. Crowdsourcing van malware

Wat gebeurt er als u een bestand downloadt, maar niet zeker weet of het veilig is om het uit te voeren? Hoe controleer je of het malware is? Uw antiviruspakket herkent het mogelijk niet als schadelijk, dus wat u kunt doen is naar VirusTotal of een vergelijkbare online virusscanner gaan en het bestand daar uploaden. Deze tools synthetiseren tientallen antivirusproducten om te controleren of het bestand in kwestie schadelijk is of niet. Ook dit is een vorm van Crowdsourced Security.

Sommige mensen geloven dat cybercriminaliteit een vorm van Crowdsourced Security is. Dit argument is logisch, omdat niemand meer gemotiveerd is om kwetsbaarheden in een systeem te vinden dan een bedreigingsacteur die het wil exploiteren voor geld en roem. Het zijn tenslotte criminelen die de cybersecurity-industrie onbedoeld dwingen zich aan te passen, te innoveren en te verbeteren.

De toekomst van crowdsourced-beveiliging

Volgens analysebureau Future Market Insights zal de mondiale veiligheidsmarkt de komende jaren blijven groeien. Volgens schattingen zal het in 2032 ongeveer 243 miljoen dollar waard zijn. Dit is niet alleen te danken aan initiatieven van de particuliere sector, maar ook omdat regeringen over de hele wereld Crowdsourced-veiligheidsmaatregelen hebben aangenomen.

Deze voorspellingen kunnen zeker nuttig zijn als je wilt peilen in welke richting de cyberbeveiligingsindustrie zich beweegt, maar er is geen econoom voor nodig om erachter te komen waarom bedrijfsorganisaties deze aanpak omarmen voor beveiligingsdoeleinden. Hoe je het ook bekijkt, cijfers zijn belangrijk. Trouwens, wat voor schade kan het hebben als een team van verantwoordelijke en betrouwbare mensen uw bedrijfsmiddelen 365 dagen per jaar controleert op kwetsbaarheden?

Kortom, tenzij er iets dramatisch verandert in de manier waarop software wordt gecompromitteerd door bedreigingsactoren, is de kans groter dat crowdsourced beveiligingsprogramma's aan beide kanten verschijnen. Dit is goed nieuws voor ontwikkelaars, white hat-hackers en consumenten, maar slecht nieuws voor cybercriminelen.