قبل أن يصل منتج البرنامج الجديد إلى السوق ، يتم اختباره بحثًا عن نقاط الضعف. تجري كل شركة مسؤولة هذه الاختبارات ، من أجل حماية كل من عملائها وحمايتها من التهديدات السيبرانية.
في السنوات الأخيرة ، اعتمد المطورون بشكل متزايد على التعهيد الجماعي لإجراء تحقيقات أمنية. ولكن ما هو بالضبط الأمن الجماعي؟ كيف يعمل ، وكيف يقارن بطرق تقييم المخاطر الشائعة الأخرى؟
كيف يعمل نظام الأمن الجماعي
المنظمات من جميع الأحجام تستخدم تقليديا اختبار الاختراق لتأمين أنظمتهم. اختبار القلم هو في الأساس محاكاة للهجوم الإلكتروني الذي يهدف إلى كشف الثغرات الأمنية ، تمامًا مثل الهجوم الحقيقي. ولكن على عكس الهجوم الحقيقي ، يتم إصلاح هذه الثغرات بمجرد اكتشافها. هذا يعزز الملف الشخصي الأمني العام للمؤسسة المعنية. يبدو بسيطا.
ولكن هناك بعض المشكلات الصارخة في اختبار الاختراق. يتم إجراؤه عادةً سنويًا ، وهو ببساطة لا يكفي ، نظرًا لتحديث جميع البرامج بانتظام. ثانيًا ، نظرًا لأن سوق الأمن السيبراني مشبع نوعًا ما ، فإن شركات اختبار القلم أحيانًا "تجد" نقاط الضعف التي لا يوجد فيها أي شيء من أجل تبرير فرض رسوم على خدماتهم والتميز عنها منافستهم. ثم هناك مخاوف تتعلق بالميزانية - يمكن أن تكون هذه الخدمات مكلفة للغاية.
يعمل الأمان الجماعي على نموذج مختلف تمامًا. إنه يدور حول دعوة مجموعة من الأفراد لاختبار البرامج الخاصة بقضايا الأمان. تقدم الشركات التي تستخدم اختبار الأمان الجماعي دعوة لمجموعة من الأشخاص ، أو الجمهور على هذا النحو ، للتحقيق في منتجاتهم. يمكن القيام بذلك مباشرة ، أو من خلال منصة التعهيد الجماعي لجهة خارجية.
على الرغم من أنه يمكن لأي شخص الانضمام إلى هذه البرامج ، إلا أنها في المقام الأول المتسللين الأخلاقيين (قراصنة القبعة البيضاء) أو الباحثين ، كما يطلق عليهم داخل المجتمع ، الذين يشاركون فيها. وهم يشاركون لأن هناك عادة جائزة مالية لائقة لاكتشاف ثغرة أمنية. من الواضح أن الأمر متروك لكل شركة لتحديد المبالغ ، ولكن يمكن القول أن التعهيد الجماعي أرخص وأكثر فعالية على المدى الطويل من اختبار الاختراق التقليدي.
بالمقارنة مع اختبار القلم وأشكال أخرى من تقييم المخاطر ، فإن التعهيد الجماعي له العديد من المزايا المختلفة. كبداية ، بغض النظر عن مدى جودة شركة اختبار الاختراق التي توظفها ، فمن المرجح أن تكتشفها مجموعة كبيرة من الأشخاص الذين يبحثون باستمرار عن الثغرات الأمنية. ميزة أخرى واضحة للتعهيد الجماعي هي أن أي برنامج من هذا القبيل يمكن أن يكون مفتوح النهاية ، مما يعني أنه يمكن تشغيله باستمرار ، بحيث يمكن اكتشاف نقاط الضعف (وتصحيحها) على مدار السنة.
3 أنواع من برامج الأمن الجماعي
تتمحور معظم برامج الأمن الجماعي حول نفس المفهوم الأساسي للمكافأة المالية لأولئك الذين يكتشفون عيبًا أو ثغرة أمنية ، ولكن يمكن تصنيفهم في ثلاث فئات رئيسية.
1. مكافآت الحشرات
عمليا كل عملاق تقني - من Facebook ، عبر Apple ، إلى Google - لديه نشاط نشط برنامج bug bounty. طريقة عملها بسيطة للغاية: اكتشف خطأ ، وستحصل على مكافأة. تتراوح هذه المكافآت من بضع مئات من الدولارات إلى بضعة ملايين ، لذلك فلا عجب أن يحصل بعض المتسللين الأخلاقيين على دخل بدوام كامل لاكتشاف نقاط الضعف في البرامج.
2. برامج الإفصاح عن نقاط الضعف
تتشابه برامج الكشف عن نقاط الضعف إلى حد كبير مع مكافآت الأخطاء ، ولكن هناك اختلاف رئيسي واحد: هذه البرامج عامة. بعبارة أخرى ، عندما يكتشف مخترق أخلاقي عيبًا أمنيًا في منتج برمجي ، يتم الإعلان عن هذا الخلل حتى يعرف الجميع ماهيته. غالبًا ما تشارك شركات الأمن السيبراني في هذه: فهي تكتشف ثغرة ، وتكتب تقريرًا عنها ، وتقدم توصيات للمطور والمستخدم النهائي.
3. التعهيد الجماعي للبرامج الضارة
ماذا لو قمت بتنزيل ملف ولكنك غير متأكد من أمان تشغيله؟ كيف يمكنك تحقق مما إذا كانت برامج ضارة? إذا تمكنت من تنزيله في المقام الأول ، فإن مجموعة برامج مكافحة الفيروسات الخاصة بك فشلت في التعرف عليه على أنه ضار ، لذا ما يمكنك فعله هو التوجه إلى VirusTotal أو ماسح ضوئي مشابه عبر الإنترنت وتحميله هناك. تجمع هذه الأدوات العشرات من منتجات مكافحة الفيروسات للتحقق مما إذا كان الملف المعني ضارًا. هذا ، أيضًا ، هو شكل من أشكال الأمن الجماعي.
يجادل البعض بأن الجريمة الإلكترونية هي شكل من أشكال الأمن الجماعي ، إن لم يكن الشكل النهائي لها. من المؤكد أن هذه الحجة لها مزايا ، لأنه لا يوجد أحد أكثر تحفيزًا للعثور على ثغرة في نظام ما من جهة تهديد تتطلع إلى استغلالها لتحقيق مكاسب مالية وسمعة سيئة.
في نهاية المطاف ، فإن المجرمين هم الذين يجبرون دون قصد صناعة الأمن السيبراني على التكيف والابتكار والتحسين.
مستقبل الأمن الجماعي
وفقًا لشركة التحليلات رؤى السوق المستقبلية، سيستمر سوق الأمن العالمي الجماعي في النمو في السنوات القادمة. في الواقع ، تشير التقديرات إلى أنها ستصل إلى حوالي 243 مليون دولار بحلول عام 2032. هذا ليس فقط بسبب مبادرات القطاع الخاص ، ولكن أيضًا بسبب تبني الحكومات في جميع أنحاء العالم الأمن الجماعي - العديد من الوكالات الحكومية الأمريكية لديها مكافآت نشطة للأخطاء وبرامج للكشف عن نقاط الضعف ، لـ مثال.
يمكن أن تكون هذه التنبؤات مفيدة بالتأكيد إذا كنت تريد قياس الاتجاه الذي تتحرك فيه صناعة الأمن السيبراني ، ولكن لا يتطلب الأمر خبيرًا اقتصاديًا لمعرفة سبب اعتماد كيانات الشركات لمقاربة التعهيد الجماعي للأمن. بغض النظر عن الطريقة التي تنظر بها إلى المشكلة ، يتم التحقق من الأرقام. بالإضافة إلى ذلك ، ما هو الضرر المحتمل في وجود مجموعة من الأشخاص المسؤولين والجديرين بالثقة يراقبون أصولك بحثًا عن نقاط الضعف 365 يومًا في السنة؟
باختصار ، ما لم يتغير شيء ما بشكل كبير في الطريقة التي يتم بها اختراق البرمجيات من قبل الجهات الفاعلة في التهديد ، فمن المرجح أن نرى برامج أمنية جماعية تظهر يمينًا ويسارًا. هذه أخبار جيدة للمطورين والمتسللين والمستهلكين ، لكنها أخبار سيئة لمجرمي الإنترنت.
التعهيد الجماعي للأمن للحماية من الجرائم الإلكترونية
كان الأمن السيبراني موجودًا منذ أول جهاز كمبيوتر. لقد اتخذت أشكالًا عديدة على مر السنين ، لكن الهدف كان دائمًا هو نفسه: الحماية من الوصول غير المصرح به والسرقة. في عالم مثالي ، لن تكون هناك حاجة للأمن السيبراني. ولكن في العالم الحقيقي ، فإن حماية نفسك تحدث فرقاً كبيراً.
كل ما سبق ينطبق على كل من الشركات والأفراد. ولكن في حين أن الشخص العادي يمكن أن يظل آمنًا نسبيًا عبر الإنترنت طالما أنه يتبع بروتوكولات الأمان الأساسية ، فإن المنظمات تتطلب نهجًا شاملاً للتهديدات المحتملة. يجب أن يقوم مثل هذا النهج في المقام الأول على أمان الثقة الصفرية.