Оффлайн
Apollon
Заблокирован
- Регистрация
- 07.09.17
- Сообщения
- 5.309
- Реакции
- 1.010
- Репутация
- 1.625
You must be registered for see images attach
Организациям более выгодно напрямую нанимать исследователей в области безопасности, чем запускать программы вознаграждение за найденные уязвимости. К такому выводу пришли специалисты Массачусетского технологического института (MIT) по итогам проведенного исследования.
Исследователи изучили программу вознаграждений Facebook, а также более 60 программ, запущенных на платформе HackerOne для Twitter, Coinbase, Square и других компаний.
Как выяснилось, вопреки бытующему мнению, программы вознаграждения, в которых участвует большое количество исследователей, не приносят организациям большой пользы. Как правило, только малая часть экспертов предоставляет большое количество качественных отчетов об уязвимости. Именно к ним уходит значительная часть призового фонда.
Согласно исследованию, семь наиболее «продуктивных» участников программы Facebook зарабатывали всего $34 255 в год при обнаружении в среднем 0,87 ошибок в месяц, а в случае с программами на HackerOne лидеры зарабатывали только $16 544 при выявлении 1,17 ошибок в месяц в среднем.
Безусловно, бывают исключения. К примеру, компания Zerodium, специализирующаяся на купле-продаже эксплоитов на различных платформах, недавно увеличила сумму награды за эксплоиты для багов в iOS до $2 млн. Тем не менее для многих исследователей в области безопасности программы вознаграждения являются, скорее, дополнением к зарплате, чем основным источником заработка.