كيف تستفيد من اكتشاف الثغرات الامنية في مواقع الويب

تتطلع المواقع الإلكترونية الكبيرة مثل فيسبوك وجوجل وامازون وغيرها دائمًا إلى سد الثغرات الأمنية التي يمكن أن تسمح للقراصنة باختراق موقع الويب. إذا كنت تستمتع باختبار مواقع الويب ، تتيح لك بعض برامج الويب مثل Facebook Bug Bounty من الإبلاغ عن عيوب الترميز التي يجب تصحيحها.وعلى ذلك يمكنك الحصول على مكافئة مالية كبيرة مقابل اجتهادك في اكتشاف الثغرات الامنية الخطيرة والابلاغ عنها.

منصات مكافأة اكتشاف الثغرات

يقول الباحث الأمني ​​في فيسبوك: “إذا كنت مهتمًا بالمشاركة في الأمن كمجال ، فإن برامج مكافأة الأخطاء هي طريقة رائعة كمسألة عملية لإثبات إتقانك للمواد”.نظرًا لأن الويب يشتمل على تقنيات جديدة ، تظهر فئات جديدة من الثغرات الأمنية حتمًا ،وعلى ذالك تجمع بعض البرامج جميع القراصنة او الاشخاص المتقنين في منصة واحدة للإستفادة من خبراتهم في اكتشاف الثغرات الجديدة لمواقع الويب المختلفة.ومن اشهر هذه المنصات:

• Facebook Bug Bounty: لكثرة التهديدات الامنية التي تواجهها فيسبوك،قررت الشركة ان تدعم المتصيدين والخبراء والاستفادة منهم من خلال اكتشاف الثغرات الامنية الخطيرة وبالتالي مكافئتهم عن مجهودهم في اكتشاف هذه الثغرات.
• Bugcrowd:هي عبارة عن منصة امان جماعية تأسست في عام 2011 وفي عام 2019 كانت واحدة من أكبر شركات الكشف عن الأخطاء البرمجية على الإنترنت.تمنح مكافآت تتراوح بين 100 دولار إلى 10000 دولار حسب الخطأ.
• Hackerone:عبارة عن شبكة اساسية للكشف عن الثغرات الامنية لمواقع الويب والبرامج الاخرى بنظام الدفع بالمكافآت،عن طريق ربط الشركات البرمجية بمختبري الاختراق وخبراء الأمن السيبراني .دفعت شبكة هكر وان 100 مليون دولار كمكافآت اعتباراً من 2020.
• Synack:هي شركة تكنولوجيا أمريكية تجمع القراصنة البيضاء للمساعدة في الحفاظ على أمان عملائها من الشركات والهيئات الحكومية والمواقع الكبرى المهتمون بحماية مواقعهم .توفر المنصة العديد من برامج الاختبار الخاصة بالثغرات الامنية ،بالاضافة الى نماذج ودورات تعليمية لاكتشاف اخطاء الويب.تعد Synack أكثر منصات اختبار الاختراق الجماعي ثقة.

الكشف عن الثغرات الامنية

اكتشاف الثغرات الامنية لمواقع الويب والابلاغ عنها هي ممارسة قانونية .تتيح لباحثي الأمن وفرق أمن تكنولوجيا المعلومات والمطورين الداخليين والمطورين الخارجيين وغيرهم ممن يعملون مع الأنظمة الاخرى البحث عن الثغرات الأمنية  والابلاغ عنها مباشرة للأطراف المسؤولة لتصحيحها،قبل أن يتمكن القراصنة السيئون من العثور عليها واستغلالها . إن تحديد مثل هذه العيوب مهم جدًا،لذلك تكافئ هذه الشركات الباحثين على اكتشاف هذه العيوب .

خطوات اكتشاف الثغرة الامنية

1. يكتشف الباحث ثغرة أمنية ويحدد تأثيرها المحتمل.
2. يقوم الباحث بعد ذلك بتوثيق موقع الثغرة الأمنية عبر أجزاء من التعليمات البرمجية أو لقطات الشاشة .
3. يقوم الباحث بتطوير تقرير استشاري عن الثغرات الأمنية يوضح بالتفصيل الثغرة الأمنية ويتضمن الأدلة الداعمة والجدول الزمني للإفصاح الكامل.ويقدم هذا التقرير بشكل آمن للموقع.
4. عادةً ما يمنح الباحث الموقع فترة معقولة للتحقيق في الثغرة الأمنية وتصحيحها وفقًا للجدول الزمني للإفصاح الكامل الاستشاري.
5. بمجرد أن يتم التصحيح ينشر الباحث تحليلاً كاملاً للثغرات الأمنية للاستفادة، بما في ذلك شرح مفصل للثغرة الأمنية وتأثيرها والحل.
6. انتظار الدعم والمكافئة من الموقع بعد التأكد من وجود الثغرة وتصحيحها.ويعتمد المبلغ المالي الذي يمنح للباحث،على مدى خطورة الثغرة الأمنية المكتشفة، ويمكن أن يتراوح بين أقل من 140 دولار الى اكثر من مليون دولار.

كيف تستفيد من الابلاغ عن هذه الثغرات ؟