Vulnerability Reward Programs Bug-Bounty-Programme erfolgreich nutzen

Bug-Bounty-Programme verwandeln Hacker vom Feind zum Freund. Das bringt massive Vorteile für Unternehmen, die in einem sich ständig wandelnden Sicherheitsumfeld agieren. Gut durchdachte Programme zum Auffinden von Schwachstellen können Software-Anbietern helfen, den Netzwerkeffekt zu nutzen, um ihre Nutzer besser zu schützen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Dropbox Ireland

Die Hacker-Kultur geht nicht einfach so weg. Von den Bösen haben wir alle schon gehört und es gibt viele von ihnen. Auch die „White Hats“ – also die „guten Hacker“ – gibt es schon eine ganze Weile. Doch die Hacker-Kultur umfasst viel mehr als selbst ernannte Vollzeit-Hacker. Auf der ganzen Welt durchdringt sie die Programmierung. Warum sollte man sich dieses globale Netzwerk aus Menschen, denen es Spaß macht, Dinge kaputtzumachen und wieder zusammenzusetzen, also nicht als positive Kraft nutzen?

Und tatsächlich tun immer mehr Softwareunternehmen genau das, insbesondere im Enterprise-IT-Umfeld. Sie beteiligen Nutzer an der Qualitätskontrolle und bieten als Gegenleistung für diese Hilfe finanzielle Anreize, sogenannte „Bug Bountys“. Und das System funktioniert.

Bildergalerie

Immer mehr Firmen außerhalb der Tech-Industrie starten Bug-Bounty-Programme

Die Zahl der neu gestarteten Bug-Bounty-Programme hat sich laut Bugcrowd (pdf) in den letzten 12 Monaten verdreifacht. Heute werden fast die Hälfte der Programme (44 Prozent) von Unternehmen unterhalten, die mehr als 500 Mitarbeiter haben. 16 Prozent wurden von Konzernen mit über 5000 Mitarbeitern ins Leben gerufen. Laut HackerOne wurden 2016 41 Prozent der neuen Bug-Bounty-Programme von Nicht-Tech-Firmen gestartet, darunter Regierungen, Medienunternehmen, Banken und Handelsunternehmen.

Im Februar 2017 gab beispielsweise auch die Lufthansa nach der erfolgreichen Einführung des eingeschränkten Bug-Bounty-Programms für www.worldshop.eu ein neues Bug-Bounty-Programm bekannt. „Unsere Webpräsenzen sind interessant für Kriminelle im Netz. Datenklau und -handel sind ein lukratives Geschäft geworden. Unsere Kunden sollen sich dabei wohlfühlen, uns ihre sensiblen Daten anzuvertrauen. Die Sicherheit unserer Kundendaten hat seit jeher oberste Priorität. Wir haben bereits sehr hohe Standards, um Kundendaten zu schützen und möchten diese mithilfe des Bug-Bounty-Programms noch weiter verbessern. Das Thema Datensicherheit hat in der ganzen Lufthansa Group einen sehr hohen Stellenwert“, unterstreicht Andreas Dürkop, Vice President IT Security der Lufthansa Group.

Auch Intel und Microsoft gaben im ersten Quartal 2017 neue Bug-Bounty-Programme bekannt. Das Programm von Intel erfolgt ausschließlich auf Einladung und wird auf der HackerOne-Plattform durchgeführt. Microsoft führte dieses spezielle Programm nur drei Monate lang durch (bis Juni 2017) und bot seinen Nutzern einen Vorabzugriff auf neue Office- und Sicherheitsfunktionen, um diese auf Schwachstellen zu testen.

Laut einer Analyse des Hasso-Plattner-Instituts (HPI) wurden 2016 weltweit 5.577 Meldungen zu Software-Schwachstellen registriert. Dropbox selbst hat seit der Gründung des Programms 2014 fast 180.000 US-Dollar an Security Researcher gezahlt und erst kürzlich die Prämien des Programms verdreifacht. Selbst Spitzenentwickler können nicht jede einzelne Schwachstelle und jeden Angriffswinkel voraussehen. Genau an dieser Stelle kommen Bug-Bounty-Programme, auch als „Vulnerability Reward Programs“ (VRPs) bekannt, zum Tragen.

Viele große Unternehmen führen regelmäßig Tests und Überprüfungen ihrer Sicherheitsmaßnahmen durch. Dabei können Bug-Bounty-Programme als zusätzliche Maßnahme dienen, die mehr Menschen dazu ermutigt, ihre Systeme kontinuierlich zu testen. Da diese VRPs ergebnisbasiert vergütet werden, dienen sie Organisationen als effiziente Möglichkeit, Geld in Sicherheit zu investieren. Indem Hacker ihre Entdeckungen dokumentieren, ermöglichen sie es anderen, auf ihren Entdeckungen aufzubauen. Zudem können dadurch alle Anwender selbst eine begründete Entscheidung zu ihrer Sicherheit treffen.

Vor allem Endnutzer profitieren

Letztlich sind Bug-Bounty-Programme wichtig, weil sie dem Endnutzer zugutekommen. Nutzer profitieren davon, wenn Fehler schnell gefunden und behoben werden – noch bevor sie zu einem Sicherheitsproblem führen. Außerdem profitieren sie davon, wenn gut durchdachte VRPs bekannte Hürden für die bösen Jungs schaffen – Teile des IT-Stacks, die die zusätzliche Zeit und den Mehraufwand an Ressourcen, um Schwachstellen zu finden, einfach nicht wert sind. Bei Dropbox haben wir so manche Lektion gelernt, die über einzelne Bugs hinausgeht, haben einzigartige und interessante Bedrohungen, Angriffsvektoren und neue Forschungsergebnisse enthüllt und unsere Prioritäten aufgrund der Bug-Bounty-Berichte neu überdacht.

So fand beispielsweise ein Sicherheitsforscher eine Schwachstelle in einem Videoverarbeitungscode, der von den meisten Internetdiensten genutzt wird. Die Sicherheitsexperten bei Dropbox hatten für ein solches Problem vorausgeplant und konnten unseren Code sehr gut sichern, sodass die Schwachstelle sich kaum auf unsere Systeme auswirken konnte. Dennoch sind wir zu dem Schluss gekommen, dass die Nachforschung wertvoll war und uns etwas Neues gelehrt hat, und belohnten den Bericht durch das unternehmsweite Bug-Bounty-Programm mit über 2.700 USD. Eine Videodatei, die Dateiinhalte ausliest, ist ein ziemlich fortschrittlicher Vektor.

Bildergalerie

Geschäftliches Ansehen unter den Sicherheitsforschen ist wichtig

Vereinfacht gesagt: VRPs machen es böswilligen Hackern schwerer, Schwachstellen zu finden, die sie ausnutzen können. Durch die Behebung von Schwachstellen, die mithilfe eines VRP entdeckt wurden, wird es für Angreifer schwieriger und somit teurer, Zero-Day-Exploits zu finden, weil der Bestand an latenten Schwachstellen verringert wurde. Zusätzlich können durch Erfahrungen aus Bug-Bounty-Programmen Techniken zur Risikominderung verbessert sowie weitere damit zusammenhängende Schwachstellen und Fehlerquellen identifiziert werden. Zu guter Letzt sorgen VRPs häufig für geschäftliches Ansehen unter den Sicherheitsforschern. Insgesamt liefern VRPs ein attraktives Instrument, mit dem die Produktsicherheit erhöht und Kunden geschützt werden.

Einige Enterprise-Software-Anbieter führen keine VRPs durch und begründen dies damit, dass diese nicht die beste Rendite pro Fehler ermöglichen. Doch in einem Umfeld, das immer kompliziertere Bedrohungen aus einem globalen Netzwerk von Angreifern hervorbringt, sollte der positive Netzwerkeffekt eines gut durchdachten VRP nicht unbeachtet bleiben.

Unterm Strich ist das blinde Abwehren aller Hacker-Angriffe für jede Organisation eine unrealistische Vorgehensweise und gut durchdachte VRPs können Software-Anbietern helfen, den Netzwerkeffekt zu nutzen, um ihre Nutzer besser zu schützen. Keine Taktik reicht für sich genommen aus, um Angreifer abzuwehren, doch VRPs haben ihren Platz im Arsenal der Cybersicherheit redlich verdient und sollten als kritischer Faktor berücksichtigt werden, wenn man festlegt, welche Software zum Stack hinzugefügt werden soll und welche Software mehr Risiko als Mehrwert birgt.

Über den Autor: Marc Paczian ist Solution Architect für Deutschland, Schweiz und Österreich bei Dropbox. Dort ist er verantwortlich für die Positionierung von Dropbox in der DACH Region. Er agiert als Berater für verschiedene Fachbereiche und die IT-Abteilungen, um sie bei ihren Herausforderungen rund um persönliche Produktivität und den Digital Workplace zu unterstützen. Marc hat mehr als 20 Jahre Erfahrung in der IT, speziell rund um die Themen Kollaboration, Enterprise Information Management und Digital Workplace.

(ID:45071714)