Ранее сегодня мы провели первую ежегодную премию Buggy Awards, которую вели наш генеральный директор и основатель Кейси Эллис, директор по работе с клиентами Эбби Маллиган и старший директор по работе с исследователями Кимберли Прайс. Целью этих наград было отметить лучших охотников за уязвимостями и компании, проводящие программы выплаты вознаграждений за найденные ошибки в 2015 году. Эти две группы людей имеют важнейшее значение для успеха нашей компании и способствуют развитию сферы выплаты вознаграждений за баги и раскрытия информации об уязвимостях.
Награды за лучшие программы
В номинациях для наших лучших публичных программ вознаграждений мы отметили две компании, которые действительно преданы сообществу исследователей Bugcrowd и управлению отличной программой вознаграждений.
Лучшая программа, лучшее время отклика
Первая награда была присуждена публичной программе выплаты вознаграждений за баги с самым быстрым временем отклика. Эта награда представляет клиента, который действительно держит руку на пульсе своей программы и общения с исследователями, отправляющими отчеты об ошибках.
Финалисты:
- Jet.com
- Simple
Поздравляем Fitbit с победой в премии Buggy Award 2016 в номинации «Лучшая программа, лучшее время отклика».
С момента запуска в сентябре они приняли 70 заявок со средним временем от триажа до принятия менее одного дня.
Лучшая программа по мнению исследователей
В ходе опроса членов нашего активного сообщества за 2015 год мы спросили, какая программа их любимая и «почему?». Среди названных причин были… хорошие и справедливые выплаты наград, понятное общение, интересные цели, открытая область тестирования (scope) и благоприятная политика раскрытия информации.
Финалисты:
- Western Union
- Indeed
Поздравляем Tesla Motors с победой в премии Buggy Award 2016 в номинации «Лучшая программа по мнению исследователей».
Для тех из вас, кто не знаком с программой Bug Bounty от Tesla, она стартовала в середине прошлого года и на сегодняшний день включает их веб-приложения и все устройства, включая автомобили. Их программа получила более 1200 отчетов и заняла второе место по сумме выплат в 2015 году. Вы можете ознакомиться с описанием их программы здесь.
Награды для лучших охотников за багами
В номинациях для наших лучших охотников за уязвимостями мы отметили трех человек на основе данных об отправленных уязвимостях.
Лучший охотник за багами, чемпион по ответственному раскрытию информации
Эта награда досталась исследователю с наибольшим количеством баллов Kudos в программах только с раскрытием информации (Disclosure Only). Эта награда важна, потому что такие программы, как ISC2 (некоммерческая компания, занимающаяся обучением и сертификацией в области безопасности), чрезвычайно преданны безопасности, но не предлагают денежных вознаграждений.
Как работают баллы Kudos? Каждый исследователь, отправляющий уязвимость через Bugcrowd, получает баллы Kudos, взвешенные по степени серьезности отправленного отчета: критическая уязвимость («P1») приносит 40 баллов, а уязвимость с низкой степенью серьезности — всего 5 баллов. Вы можете прочитать больше о степени серьезности проблем в таксономии рейтингов уязвимостей Bugcrowd. Это важно понимать, когда мы начнем говорить о достижениях наших финалистов в этой категории.
Финалисты:
- NG, исследователь, который сделал 35 действительных отчетов для программ только с вознаграждением в виде благодарностей (kudos) и имеет средний показатель принятия более 90%. Баллы Kudos, заработанные в программах только с раскрытием информации в 2015 году: 290
- Mico, занимающий 3-е место за все время в общем рейтинге Crowd, со средним приоритетом отправки 2,90 и, как и NG, со средним показателем принятия более 90%. Баллы Kudos, заработанные в программах только с раскрытием информации в 2015 году: 505
Поздравляем Vishnu_Vardhan_Reddy с победой в премии Buggy Award в номинации «Лучший охотник за багами, чемпион по ответственному раскрытию информации».
Vishnu_Vardhan_Reddy начал работать над программами только с раскрытием информации, чтобы создать историю производительности для получения приглашений на закрытые программы. Он достиг этой цели с помощью ряда отчетов по уязвимостям P1 и P2 в 2015 году. Он заработал 535 баллов в программах только с раскрытием информации в 2015 году, предоставив множество отчетов об уязвимостях высокой степени серьезности для программ Bugcrowd.
Лучший охотник за багами, наибольшее количество уникальных P1
Эти исследователи превзошли самих себя, наиболее стабильно отправляя баги высочайшего качества в 2015 году, предоставляя огромную аналитику, обратную связь и ценность для организаций. Слишком много часов было потрачено на критические уязвимости за последний год — всего от всего сообщества было отправлено 1 029 отчетов. Сегодня мы чествуем трех исследователей, которые нашли больше всего этих уязвимостей P1.
Финалисты:
- Bitquark, исследователь из Великобритании, также является тяжеловесом, когда речь идет о P1, и в настоящее время занимает 4-е место в сообществе. Bitquark помогает обеспечивать безопасность клиентов Bugcrowd с 2013 года. Уникальные отчеты P1, отправленные в 2015 году: 6
- Mongo, который присоединился к сообществу в июне 2015 года и уже занимает 2-е место в нем, с процентом принятия 99% и средним приоритетом 2,67. Он задал жару всего за 7 месяцев 2015 года и не собирается сбавлять обороты в 2016 году. Уникальные отчеты P1, отправленные в 2015 году: 12
Поздравляем Nahamsec с победой в премии Buggy Award в номинации «Лучший охотник за багами, наибольшее количество P1».
Nahamsec — исследователь из США и студент университета, который активен в сообществе с начала 2014 года и занимает 9-е место в общем рейтинге Crowd. В 2015 году он обнаружил 14 критических уязвимостей, помогая многочисленным клиентам Bugcrowd защищать свои веб-, мобильные и IoT-приложения.
Лучший охотник за багами, самый ценный хакер (MVH)
Эта награда вручается хакеру, продемонстрировавшему выдающиеся результаты в отправке уязвимостей высокой степени серьезности, большого объема багов, А ТАКЖЕ имеющему высокий показатель точности. Минимальные критерии для этой категории: процент принятия выше 95%, средний приоритет выше 3,0 и доля недействительных отчетов менее 10%.
Финалисты:
- Mongo также прошел в финал в этой категории: как упоминалось ранее, он присоединился к сообществу всего в июне 2015 года и теперь занимает 2-е место в общем зачете. В 2015 году у Mongo было 44 действительных отчета, только 7 недействительных и средний приоритет 2,45.
- Nijagaw, один из участников нашего европейского сообщества с 2013 года, который занимает 10-е место в общем рейтинге Crowd. В 2015 году у Nijagaw было 53 действительных отчета, только 6 недействительных и средний приоритет 2,9.
Поздравляем Harie_cool с победой в премии Buggy Award в номинации «Лучший охотник за багами, MVH».
Harie_cool в настоящее время занимает 6-е место в сообществе, живет в Индии, сотрудничает с Bugcrowd с 2014 года и отправил 90 действительных отчетов в 2015 году со средним приоритетом 2,8.
Хотя мы отметили лишь горстку людей, проделавших потрясающую работу в 2015 году, мы также хотели бы поблагодарить все сообщество в целом за потрясающий 2015 год и за то, что они превосходят ожидания в 2016 году. Год еще молодой, но мы уже увидели несколько удивительных исследований и с нетерпением ждем, что принесет остаток года, чтобы отпраздновать это на нашей Второй ежегодной премии Buggy Awards в следующем году.
