Co to jest bezpieczeństwo crowdsourcingowe?

Zanim nowe oprogramowanie zostanie wypuszczone na rynek, jest ono testowane pod kątem luk w zabezpieczeniach. Każda odpowiedzialna firma przeprowadza te testy, aby chronić zarówno swoich klientów, jak i siebie przed zagrożeniami cybernetycznymi.

W ostatnich latach programiści w coraz większym stopniu polegają na crowdsourcingu przy przeprowadzaniu testów bezpieczeństwa. Ale czym właściwie jest bezpieczeństwo crowdsourcingowe? Jak to działa i czym różni się od innych popularnych metod oceny ryzyka?

Jak działa bezpieczeństwo crowdsourcingowe

Organizacje każdej wielkości tradycyjnie stosują testy penetracyjne w celu zabezpieczenia swoich systemów. Pentest to zasadniczo symulowany cyberatak, który ujawnia luki w zabezpieczeniach, podobnie jak prawdziwy atak. Jednak w przeciwieństwie do prawdziwego ataku, po wykryciu luki te są łatane. Wzmacnia to ogólny profil bezpieczeństwa danej organizacji. Brzmi prosto, prawda?

Istnieją jednak pewne problemy z testami penetracyjnymi. Zwykle robi się to tylko raz w roku, co po prostu nie wystarczy, ponieważ całe oprogramowanie jest regularnie aktualizowane. Po drugie, ponieważ rynek cyberbezpieczeństwa jest dość nasycony, firmy pentestujące czasami „odnajdują” luki w zabezpieczeniach, które w rzeczywistości nie istnieją, aby uzasadnić pobieranie opłat za swoje usługi i wyróżnić się na tle konkurencji. Istnieją również obawy budżetowe – usługi te mogą być dość drogie.

Crowdsourced Security działa na zupełnie innym modelu. Polega ona na zaproszeniu grupy osób do przetestowania oprogramowania pod kątem bezpieczeństwa. Firmy korzystające z Crowdsourced Security zapraszają grupę osób lub ogół społeczeństwa do testowania swoich produktów. Można tego dokonać bezpośrednio lub za pośrednictwem zewnętrznej platformy crowdsourcingowej.

Chociaż każdy może wziąć udział w tych programach, główną grupą docelową będą hakerzy i badacze w białych kapeluszach. Za odkrycie luki w zabezpieczeniach często grozi znaczna nagroda finansowa. Oczywiście określenie kwoty zależy od konkretnej firmy, jednak crowdsourcing jest tańszy i skuteczniejszy w dłuższej perspektywie niż tradycyjne testy penetracyjne.

W porównaniu z pentestingiem i innymi formami oceny ryzyka, crowdsourcing ma wiele zalet. Po pierwsze, niezależnie od tego, jak dobrą firmę zajmującą się przeprowadzaniem testów penetracyjnych wynabierzesz, duża grupa osób zawsze poszukujących luk w zabezpieczeniach będzie z większym prawdopodobieństwem je odkryje. Kolejną oczywistą zaletą crowdsourcingu jest to, że każdy taki program ma charakter otwarty, co oznacza, że ​​może działać w sposób ciągły, dzięki czemu luki mogą być wykrywane (i łatane) przez cały rok.

3 rodzaje programów bezpieczeństwa typu Crowdsourced

Większość programów Crowdsourced Security skupia się na tej samej podstawowej koncepcji, czyli opłacalnych finansowo wykrywaczach luk w zabezpieczeniach, ale można je podzielić na trzy główne kategorie.

1. Otrzymuj bonusy po wykryciu błędów

Prawie każdy gigant technologiczny – od Facebooka, przez Apple, po Google – ma aktywny program nagród za błędy. Sposób ich działania jest dość prosty: wykryj błąd, a otrzymasz nagrodę. Nagrody te wahają się od kilkuset do kilku milionów dolarów, nic więc dziwnego, że niektórzy hakerzy w białych kapeluszach czerpią stały dochód z odkrywania luk w oprogramowaniu.

2. Program ujawniania podatności

Programy ujawniania luk w zabezpieczeniach są bardzo podobne do powyższej grupy, ale z jedną kluczową różnicą: programy te są publiczne. Innymi słowy, gdy haker w białym kapeluszu odkryje lukę w zabezpieczeniach oprogramowania, luka ta zostanie upubliczniona i będzie znana wszystkim. Firmy zajmujące się cyberbezpieczeństwem często angażują się w następujące działania: odkrywają luki w zabezpieczeniach, piszą o nich raporty i wydają rekomendacje programistom i użytkownikom końcowym.

3. Crowdsourcing złośliwego oprogramowania

Co się stanie, jeśli pobierzesz plik, ale nie masz pewności, czy można go bezpiecznie uruchomić? Jak sprawdzić, czy jest to złośliwe oprogramowanie? Twój pakiet antywirusowy może nie rozpoznać go jako złośliwego, możesz więc udać się do VirusTotal lub podobnego skanera antywirusowego online i przesłać tam plik. Narzędzia te syntetyzują dziesiątki produktów antywirusowych w celu sprawdzenia, czy dany plik jest szkodliwy, czy nie. Jest to również forma bezpieczeństwa crowdsourcingowego.

Niektórzy uważają, że cyberprzestępczość jest formą bezpieczeństwa crowdsourcingowego. Argument ten ma sens, ponieważ nikt nie jest bardziej zmotywowany do znalezienia luk w systemie niż podmiot zagrażający, który chce go wykorzystać dla pieniędzy i sławy. W końcu to przestępcy nieumyślnie zmuszają branżę cyberbezpieczeństwa do dostosowywania się, wprowadzania innowacji i doskonalenia.

Przyszłość bezpieczeństwa opartego na crowdsourcingu

Według firmy analitycznej Future Market Insights w nadchodzących latach światowy rynek zabezpieczeń będzie nadal rósł. Szacuje się, że do 2032 r. jego wartość będzie wynosić około 243 mln dolarów. Dzieje się tak nie tylko dzięki inicjatywom sektora prywatnego, ale także dlatego, że rządy na całym świecie przyjęły środki bezpieczeństwa oparte na crowdsourcingu.

Przewidywania te z pewnością mogą być przydatne, jeśli chcesz ocenić, w jakim kierunku zmierza branża cyberbezpieczeństwa, ale nie trzeba ekonomisty, aby dowiedzieć się, dlaczego organizacje korporacyjne przyjmują takie podejście. Nieważne, jak na to spojrzeć, liczby mają znaczenie. Poza tym, jaka szkoda może wynikać z posiadania zespołu odpowiedzialnych i godnych zaufania osób monitorujących Twoje zasoby pod kątem luk w zabezpieczeniach przez 365 dni w roku?

Krótko mówiąc, jeśli nie zmieni się radykalnie sposób, w jaki hakerzy atakują oprogramowanie, istnieje większe prawdopodobieństwo, że po obu stronach pojawią się programy zabezpieczające wykorzystujące crowdsourcing. To dobra wiadomość dla programistów, hakerów w białych kapeluszach i konsumentów, ale zła wiadomość dla cyberprzestępców.