Компания РЕД СОФТ объявляет о завешении первого этапа программы багбаунти для СУБД РЕД База Данных. На протяжении года независимые исследователи на платформе Standoff Bug Bounty искали уязвимости в коде СУБД, чтобы разработчики смогли оценить и улучшить защищенности системы.
РЕД База Данных стала первой российской СУБД, которая системно подошла к внешней проверке безопасности кода. Такой подход позволяет объективно оценить уровень защищенности продукта и последовательно повысить его надежность. Инвестиции в независимый аудит показывают готовность РЕД СОФТ совершенствовать решение и отвечать на запросы заказчиков, которым критически важна безопасность данных.
Программа багбаунти на платформе Standoff Bug Bounty будет продолжена: прием отчетов об уязвимоостях остается открытым. Снижение потока новых отчетов станет главным индикатором зрелости продукта и высокой степени его защищенности.
Статистика и промежуточные результаты программы
Сбор и анализ отчетов проводился в течение длительного периода: 11 месяцев тестирование проходило в приватном режиме, а затем в течение 1 месяца – в публичном. За это время багхантеры прислали 144 отчета об уязвимостях (17 приватных и 127 публичных), из них: 75 - было принято к исправлению, 42 - отклонены (не подтвердились или вне скоупа) и 27 - дубликаты.
|
Принятые уязвимости по уровням |
|
|
Критический (Critical) |
5
|
|
Высокий (High) |
40
|
|
Средний (Medium) |
15
|
|
Низкий (Low)
|
15 |
Общий фонд выплат исследователям безопасности составил 3 010 000 рублей. Абсолютным лидером программы стал багхантер под псевдонимом Bearsec, чье совокупное вознаграждение достигло 1 330 000 рублей.
«Развитие доверенной ИТ-среды требует нестандартных подходов и выхода за рамки классического аудита. Привлечение сообщества этичных хакеров помогло оценить архитектуру системы под совершенно иным углом. Инвестиции в поиск скрытых дефектов окупаются многократно, предотвращая реальные инциденты на критически важных объектах.» — отметил Роман Симаков, заместитель директора дивизиона системного ПО, РЕД СОФТ.
РЕД База Данных разрабатывается с учетом современных требований регуляторов, включая Приказы ФСТЭК России № 64 и № 76, которые обязывают разработчиков не только внедрять средства защиты, но и регулярно подтверждать безопасность кода. РЕД База Данных уже обладает мощным набором инструментов для отражения внешних и внутренних угроз: в ядро системы встроены прозрачное шифрование данных по ГОСТ-алгоритмам (при участии КриптоПро), многофакторная аутентификация, защита от SQL-инъекций за счет разделения запросов и параметров, а также инструменты контроля целостности и очистка оперативной памяти после сессий. Продукт сертифицирован ФСТЭК России по 4 классу защиты и 4 уровню доверия. Программа Bug Bounty стала естественным продолжением этой работы.
«Анализ материалов от багхантеров показал высочайшую квалификацию участников программы. Исследователи применяли сложные, многоступенчатые векторы атак, комбинируя различные техники эксплуатации уязвимостей. Закрытие подобных логических брешей на этапе тестирования делает систему управления базами данных максимально устойчивой к целевым взломам. Обмен опытом с независимыми специалистами дает возможность постоянно актуализировать внутренние стандарты безопасной разработки», — прокомментировал Олег Шапошников, эксперт по информационной безопасности, РЕД СОФТ.
Обнаруженные в ходе багбаунти уязвимости активно устраняются как в ядре РЕД Базы Данных, так и в Firebird. Полученные данные помогают разработчикам усилить механизмы отражения кибератак и проактивной защиты СУБД, обеспечивая эталонный уровень безопасности информационных систем.
Приглашаем исследователей присоединиться в программе на платформе Standoff Bug Bounty: ваш вклад поможет нам повысить надежность решения и безопасность данных. Подробности и условия участия – по ссылке.
