اولین سامانه کشف باگ و آسیبپذیری سامانههای IT راهاندازی شد
به گزارش کارگروه امنیت سایبربان؛ یکی از راهکارهای ارتقاء امنیت اطلاعات در کسبوکارهای اینترنتی، انجام تستهای امنیتی دورهای و کشف باگها و آسیبپذیریها، پیش از سوءاستفاده از آنها توسط نفوذگران است. در ایران از زمان پیدایش اینترنت و پس از آن با افزایش فرهنگ امنیت اطلاعات، تستهای امنیتی نیز رواج یافتهاند؛ اما همواره این موضوع با مشکل عدم کارایی تستها در قبال هزینههای پرداختی روبهرو بوده است. مشکل از آنجا پیدا میشود که پس از انعقاد قرارداد تست امنیتی، به هر صورت درصد زیاد یا همهی هزینه باید در قبال تست پرداخت شود؛ در حالی که ممکن است هیچگونه آسیبپذیری کشف نشود یا تست مناسبی صورت نگرفته باشد.
ریشهی این مشکل را در مسائل مختلفی میتوان جستجو کرد. تستهای امنیتی سنتی توسط یک تیم واحد با دانش محدود انجام میشود و بسیار محتمل است که بسیاری از باگها و نقاط ضعف از چشم این تیم مخفی بماند یا تیم وقت کافی برای تست اختصاص ندهد و حتی تیم ارزیابی امنیتی دارای سطح دانش کافی نباشد. سامانهی «کلاهسفید» با فهم این چالش و یافتن راهحلی برای آن، ایده برگزاری مسابقات ارزیابی امنیتی را مطرح کرده است که سامانه یا پورتال در معرض ارزیابی طیف وسیعی از متخصصین قرار داده میشود.
در سامانهی کلاهسفید، جهت ارزیابی محصول، پورتال یا سامانه، کافی است به عنوان یک کاربر سازمانی در سایت کلاهسفید به آدرس «www.kolahsefid.org» ثبتنام کرد؛ جزئیات مسابقه و مبالغ جوایز مشخص و مبلغی به عنوان جوایز مسابقه در سایت ودیعه گذاشت. در صورتی که باگی در سامانهی مربوطه کشف شود، پس از ارزیابی و تایید آن توسط داوران، مبلغ آن باگ از ودیعهی پرداختی کسر و به متخصص پرداخت خواهد شد. در صورتی که سامانه امن باشد، تنها مبلغ جزیی جهت برگزاری مسابقه در نظر گرفته میشود و ودیعهی پرداختی قابل عودت یا استفاده برای مسابقات دیگر است.
از سوی دیگر در صورتی که افراد در حوزه ارزیابی امنیتی و کشف باگ و آسیبپذیری متخصص باشند، میتوانند با مراجعه به سامانهی کلاهسفید و مشاهدهی مسابقات فعال، اقدام به کشف باگ و آسیبپذیری کرده و با گزارش آن، جایزهی مربوطه را دریافت کنند. سامانهی کلاهسفید دارای مجوز فعالیت رسمی از مرکز افتای ریاست جمهوری است و داوران سامانهی کلاهسفید، کارشناسان مرکز پژوهشی آپا دانشگاه صنعتی امیرکبیر (https://apa.aut.ac.ir) هستند.
