DoD anuncia o lançamento de um novo programa de recompensas por insects

Hoje, o Departamento de Defesa (Departamento de Defesa) anunciou que o Leader Virtual and Synthetic Intelligence Place of work (CDAO), a Diretoria de Serviços Digitais e o Centro de Crimes Cibernéticos do Departamento de Defesa (DC3) estão lançando o programa de recompensas de insects “Hack US”.

O programa oferecerá recompensas financeiras para hackers éticos e pesquisadores de segurança que possam identificar vulnerabilidades críticas e de alta gravidade no escopo do DoD programa de divulgação de vulnerabilidades.

Para incentivar os pesquisadores a participar, o DoD oferecerá um overall de US$ 110.000 para divulgações de vulnerabilidades. Os pagamentos variam entre US$ 1.000 para relatórios de gravidade crítica, US$ 500 para relatórios de alta gravidade e US$ 3.000 para aqueles em categorias especiais adicionais.

A decisão do DoD de lançar uma recompensa por insects não ocorre apenas quando o DoD e o HackerOne concluíram um piloto de 12 meses como parte do Programa de Divulgação de Vulnerabilidade da Base Commercial de Defesa (DIB-VDP), mas também à medida que mais organizações reconhecem que a superfície de ataque se expandiu a ponto de as equipes de segurança simplesmente não conseguirem acompanhar.

Por que as recompensas de insects estão ganhando força

Uma das principais forças motrizes por trás do crescente interesse em recompensas de insects é o alto número de vulnerabilidades presentes em ambientes corporativos modernos.

Pesquisar sugere que a organização média tem aproximadamente 31.066 vulnerabilidades de segurança em sua superfície de ataque, um número que uma pequena equipe de segurança interna não pode mitigar sozinha, mesmo que tenha acesso às ferramentas mais recentes de gerenciamento de vulnerabilidades ou de gerenciamento de superfície de ataque.

Dado o alto número de vulnerabilidades, não é surpresa que 44% das organizações relatório que eles não confiam em sua capacidade de lidar com os riscos introduzidos pela lacuna de resistência a ataques.

As recompensas de insects fornecem uma resposta a esse desafio, fornecendo às equipes de segurança acesso ao suporte de um exército de pesquisadores de segurança que podem ajudar a fornecer suporte identificando vulnerabilidades e recomendando correções.

“É preciso um exército de adversários para superar um exército de aliados, e muitas organizações estão explorando a comunidade de milhões de hackers de boa fé em todo o mundo que são qualificados, prontos e dispostos a ajudar”, disse Casey Ellis, fundador e CTO da Bugcrowd.

“O pessoal do DoD DC3 vem executando um programa de divulgação de vulnerabilidades há muitos anos com grande diligência e sucesso, então vê-los “atualizar” isso para um programa pago de recompensas por insects faz muito sentido”, disse Ellis.

É claro que o DoD não está sozinho ao adotar a segurança cibernética de crowdsourcing, com organizações como Microsoft, Google, Maçã, Meta e Samsung todos experimentando seus próprios programas de recompensa de insects de vulnerabilidade para garantir a segurança de seus sistemas e produtos finais.

O movimento de recompensas de insects

Segundo pesquisadores, o mercado world de recompensas por insects está em crescimento, avaliado em US$ 223,1 milhões em 2020, e deve chegar a US$ 5.465,5 milhões até 2027.

Somente nos últimos 12 meses, o mercado de recompensas de insects teve uma atividade de investimento significativa, com organizações de recompensas de insects como HackerOne supostamente arrecadando US $ 49 milhões em financiamentocom sede na Bélgica Intigriti arrecadou US$ 23 milhões como parte de um série B rodada e a plataforma de recompensas de insects Web3 Immunefi levantando US$ 5,5 milhões em financiamento de sementes.

Ao mesmo pace, outros provedores também lançaram novas iniciativas de pesquisa de multidões, como 1Senhaque anunciou o lançamento de US$ 1 milhão recompensa de malicious program que em abril pagou US$ 103.000 aos pesquisadores.

Essas soluções estão capturando o interesse dos investidores. “Programas eficazes de recompensas por insects limitam o impacto de sérias vulnerabilidades de segurança que poderiam facilmente ter deixado a base de clientes de uma organização em risco”, disse Ray Kelly, membro da Grupo de integridade de device da Synopsys.

“Os pagamentos para relatórios de insects podem, às vezes, exceder a soma de seis dígitos, o que pode parecer muito. No entanto, o custo para uma organização remediar e se recuperar de uma vulnerabilidade de dia 0 pode totalizar milhões de dólares em perda de receita”, disse Kelly.

Do outro lado da cerca, até gangues cibernéticas notórias como a LockBit estão experimentando recompensas de insects, pedindo a pesquisadores e hackers que enviem PII sobre indivíduos de alto perfil e explorações da internet em troca de remuneração de até US$ 1 milhão.

O mercado de recompensas por insects: principais avid gamers e principais diferenciais

Nesta fase do crescimento do mercado, um dos principais fornecedores é o HackerOne, que não apenas está construindo um relacionamento próximo com o DoD, mas também arrecadou US$ 160 milhões em financiamento overall até o momento, e mantém uma comunidade de mais de 1.000.000 de hackers éticos que resolveram mais de 294.000 insects até o momento.

O HackerOne fornece uma plataforma de recompensas de insects que as organizações podem usar para criar um inventário de ativos de nuvem, internet e API, que outros pesquisadores podem testar para ver se há alguma vulnerabilidade.

Um dos principais concorrentes do HackerOne no mercado é a Bugcrowd, pioneira do setor, que já arrecadou US$ 80 milhões em financiamentoe oferece uma plataforma que pode identificar automaticamente vulnerabilidades na superfície de ataque de uma organização.

Depois de detectar vulnerabilidades, a plataforma pode conectar empresas a pesquisadores e engenheiros de segurança para investigar e relatar suas descobertas sobre a vulnerabilidade diretamente nos fluxos de trabalho de segurança e devops existentes.

Outros fornecedores no mercado incluem o provedor europeu de recompensas de insects Intigriti, que oferece uma plataforma de mais de 50.000 pesquisadores e já pagou mais de US$ 5 milhões em recompensas até o momento.

Nesse estágio, o primary diferencial entre esses provedores não é apenas o tamanho do grupo de pesquisadores aos quais eles oferecem acesso, mas os meios pelos quais eles conectam as empresas aos pesquisadores certos para proteger seus ambientes.