Bug Bounty Nedir?

Bug Bounty Nedir? Bug Bounty şirketlerin bilgi teknolojileri (BT) altyapısında kullandıkları uygulamalarda bulunabilecek güvenlik zafiyetlerinin tespit edilmesi için düzenledikleri ödül programlarına verilen isimdir. Dilimizde “Ödül Avcılığı” şeklinde de kullanılmaktadır.

Bug Bounty ismi nereden geliyor?

Bilinen ilk ödül avcılığı programı 1983 yılında Versatile Real-Time Executive işletim sisteminde olası zaafiyetlerin bulunması için başlatıldı. Ödül programı kapsamında, bir zaafiyet bulan ve bildiren herkes karşılığında böceğe (bug) benzetilen Volkswagen Beetle kazanacaktı. Ödül programının sonucunu bilmiyoruz.

“Bug Bounty” ismini 1995 yılında Netscape‘da mühendis olarak çalışan Jarrett Ridlinghafer icat etti. Netscape ilk ödül programını da 10 Ekim 1995 yılında Netscape Navigator 2.0 Beta sürümündeki zaafiyetlerin bulunması için düzenledi.

Neden bir ödül programına ihtiyaç var?

Dijitalleşmenin son hızla devam ettiği bir dönemde, şirketlerin çoğu bir teknoloji şirketine dönüşüyor. İşi gerçekte teknoloji üretmek olan şirketlerin haricinde (IBM, Cisco, HP, Microsoft, SAP,….), işlerini teknoloji olmadan yapamayan şirketlerin sayısı hızla artıyor. Özellikle Finans, E-Ticaret, Enerji, Sağlık gibi sektörlerde faaliyet gösteren şirketler de birer teknoloji şirketine dönüşüyor.

Teknoloji doğasında hata barındırmaktadır. Çünkü onu da bizim gibi insanlar üretmektedir. Özellikle yazılım geliştirme sürecinde güvenliğin ön planda tutulmaması, yeterli güvenlik testlerinin yapılmaması gibi bir çok nedenle üretilen uygulamalarda ciddi güvenlik açıkları bulunabilmektedir. Bu tür güvenlik açıkları canlı ortamlarda siber korsanlar tarafından tespit edildiğinde iş işten geçmiş olmaktadır.

Topluluğun gücü!

İşte bu nedenle kurumlar kritik bilgi teknolojileri altyapılarındaki zafiyetleri siber korsanlardan önce tespit etmek ve düzeltmek için bu ödül programlarını düzenlemektedir. Konusunda uzman yüzlerce farklı siber güvenlik uzmanı yetkinliklerinden yararlanmak kim istemez?

Bahsettiğimiz kurumların kadrolarında onlarca siber güvenlik uzmanı çalışıyor olabilir. Hemen akla neden bu uzmanların kullanılmadığı gelebilir. Kurum içinde çalışan uzmanların günlük iş yoğunluğu var olan altyapının düzgün işletilmesi, kullanıcı talepleri, yeni teknolojilerin devreye alınması gibi bir çok emek yoğun işle doludur. Ayrıca sürekli operasyonda çalışanların kendi işleri ile ilgili körlük yaşadıklarını da unutmamak gerekir. Her zaman farklı bir pencereden, farklı bakış açısı ile bakabilecek üçüncü, dördüncü gözlere her zaman ihtiyaç vardır. Hele konu siber güvenlik ise!

Pazar yerleri

Şirketlerin bu ödül programlarını kolayca duyurabilmesi, yönetebilmesi ve doğru siber güvenlik uzmanına zamanında ulaşabilmeleri için ödül avcılığı programları için pazar yeri platformları kullanılmaya başlanmıştır. Bu platformların kullanımı ülkemizde yeni olsa da Amerika ve Avrupa da uzun yıllardır oldukça yoğun kullanılmaktadır.

Bugün dünya çapında en fazla bilinen pazar yerleri; hackerone ve  bugcrowd olarak bilinmektedir.

2020 yılında ülkemizde de bu konuda bir girişim hayata geçti. Bugbounter ismi ile faaliyete başlayan girişimin kurucuları ülkemizde siber güvenlik denince ilk akla gelen Sevgili Murat Lostar ve Arif Gürdenli liderliğinde kurulan platformda bugün beş farklı ülkeden üçyüzelli den fazla siber güvenlik uzmanı bulunmaktadır. En kısa sürede sadece ülkemizde değil tüm dünya genelinde yüzlerce şirkete hizmet vereceğine inandığım bu girişimi destekliyorum. Benim de araştırmacı olarak bulunduğum bu programdan faydalanmak isteyen şirketler bu kayıt linkini kullanarak platforma üye olabilirler.

Platformun Faydaları

Şirketler için büyük bir iş yükünü ortadan kaldıran, nitelikli ve farklı yetkinlikte siber güvenlik uzmanlarının sisteme dahil edilmesi, bulunan zaafiyetlerinin doğrulanması, raporlanması ve sonrasında giderilen zaafiyetlerin tekrar kontrol edilmesi gibi bir çok uğraşı kendi içerisinde kolay yönetilebilir bir hizmet olarak sunulan platformların kullanılmasının kıymetli olduğunu düşünüyorum.

Siber güvenlik uzmanları için de bu platformlar önemli bir gelir kaynağı. Bir taraftan gelir elde ederken bir taraftan da uzmanlıklarını geliştirebilecek farklı sektörlerden farklı teknolojik altyapıların zaafiyetlerini keşfetmek oldukça keyifli olsa gerek. İşin manevi yönünü şöyle görüyorum; büyük bir yangın çıkmasını önlediğinizi düşünün o yangın çıksa belki ciddi bir can ve mal kaybı yaşanacakken sizin sayenizde bu yangının çıkması engelleniyor. Uygulamalardaki kritik zaafiyetlerde buna benziyor. Bu zaafiyet kötü niyetli bir siber korsanın eline geçtiğinde o kuruma vereceği zararın boytunu bilemezsiniz.

Son olarak, teknoloji doğasının zafiyetlerle dolu olduğunu unutmayalım. Geliştirdiğimiz bir uygulama için, daha kodlama aşamasında detaylı güvenlik kontrollerinin ve testlerinin yapıldığından emin olmalıyız. Her şeyi tas tamam olarak yapsanız dahi canlı kullanıma çıkmadan siz siz olun üçüncü bir gözün incelemesini sağlayın…

Güvende kalın…

Bektaş Özkan