Positive Technologies заплатит до 500 тыс. рублей за обход защиты своих WAF

Positive Technologies платит до 500 тысяч рублей за обход защиты своих WAF

Positive Technologies расширила программу поиска уязвимостей Standoff Bug Bounty. Исследователям безопасности предложили вознаграждение до 500 тысяч рублей за обход защиты продуктов класса Web Application Firewall (WAF). PT Application Firewall Pro (PT AF PRO) и PT Application Firewall Cloud (PT AF Cloud) стали первыми российскими WAF-решениями с такой программой. Исследователи смогут проверять эффективность защитных механизмов, а не только программный код.

PT Application Firewall Pro и PT Application Firewall Cloud проверяют три компонента

Программа Bug Bounty теперь ориентирована на поиск способов проведения атак, которые WAF не сможет обнаружить или заблокировать. Исследователи могут обойти правила фильтрации трафика или детекторы вредоносных запросов. Это важно, поскольку недостатки механизмов обнаружения могут позволить злоумышленникам проникнуть в защищаемые веб-приложения даже при отсутствии уязвимостей в самом продукте. В рамках программ проверяются фильтрующее ядро, обрабатывающее веб-трафик, правила и механизмы обнаружения атак, а также управляющий слой для настройки защиты. Исследователи могут тестировать различные способы обхода фильтрации, включая модифицированные HTTP-запросы и нестандартные форматы передачи данных.

Вознаграждения зависят от критичности уязвимости

Размер выплат зависит от критичности обнаруженной проблемы и ее потенциального влияния на безопасность. В программе PT Application Firewall PRO за находки высокого уровня опасности заплатят от 150 до 300 тысяч рублей. За критические находки — от 300 до 500 тысяч рублей. Для PT AF Cloud предусмотрены выплаты от 50 до 200 тысяч рублей за уязвимости высокого уровня опасности. За критические уязвимости в PT AF Cloud выплатят до 500 тысяч рублей.

Исследователи проверяют экспертизу и совершенствуют защиту

Positive Technologies предлагает исследователям проверить на прочность не только программный код, но и экспертизу, на которой строится защита. Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies, отметил, что это новый подход к независимому тестированию для российского рынка WAF. Компания готова платить за обнаружение реальных способов обхода защиты. Каждую подтвержденную находку специалисты разбирают, изучают технику и совершенствуют правила и детекторы. Это позволяет развивать защиту с учетом методов потенциальных злоумышленников.

Участвовать в программе могут независимые исследователи

Открытое тестирование становится частью постоянного развития продуктов Positive Technologies. Привлечение независимых исследователей позволяет проверять устойчивость WAF к новым сценариям атак и выявлять ограничения защитных механизмов. Полученные результаты используются для доработки продуктов и обновления экспертизы обнаружения киберугроз. Принять участие в программах могут независимые исследователи информационной безопасности. Подробные условия, допустимые сценарии тестирования и размеры вознаграждений опубликованы на платформе Standoff Bug Bounty.