بلوبانک در مسیر ارتقای امنیت؛ ۱۹ گزارش معتبر در دومین رویداد باگ‌بانتی

دومین رویداد باگ‌بانتی بلوبانک با مشارکت ۸۰ پژوهشگر امنیت سایبری در ۲۵ تیم برگزار شد. در این رویداد، ۱۹ گزارش از میان یافته‌های امنیتی شرکت‌کنندگان واجد دریافت پاداش شناخته شد و مجموع جوایز به یک میلیارد و ۷۱۰ میلیون تومان رسید.

به گزارش عصر ایران، گسترش بانکداری دیجیتال، امنیت را به یکی از مهم‌ترین مؤلفه‌های اعتماد کاربران به خدمات مالی تبدیل کرده است. در چنین فضایی، حفاظت از اطلاعات و دارایی‌های مشتریان تنها به اقدامات تیم‌های داخلی محدود نمی‌شود و ارزیابی محصولات از سوی پژوهشگران مستقل امنیت سایبری نیز می‌تواند بخشی از فرایند شناسایی و اصلاح آسیب‌پذیری‌ها باشد.

دومین رویداد باگ‌بانتی بلوبانک سامان با همین رویکرد برگزار شد؛ رویدادی که در آن، پژوهشگران امنیت سایبری فرصت یافتند اپلیکیشن و بخش‌هایی از خدمات این بانک دیجیتال را بررسی کنند و یافته‌های خود را در قالب گزارش‌های امنیتی ارائه دهند.

بر اساس آمار اعلام‌شده در مراسم اختتامیه، در بخش حضوری باگ‌بانتی، ۷۲ پژوهشگر در قالب ۲۵ تیم طی دو روز به بررسی اپلیکیشن و وب‌سرویس‌های بلو پرداختند. از مجموع ۱۳۲ گزارش دریافتی، ۱۹ گزارش معتبر شناخته شد که برای آن‌ها پاداش در نظر گرفته شده است. مجموع پاداش‌ها با احتساب مبالغ تشویقی تیم‌ها، یک میلیارد و ۷۱۰ میلیون تومان اعلام شد.

امنیت؛ از طراحی محصول تا آزمون پژوهشگران مستقل

رضا حیدری، مدیرعامل بلو، در مراسم اختتامیه با تاکید بر ارتباط مستقیم امنیت و اعتماد کاربران گفت حفاظت از دارایی‌های مشتریان باید در تمام مراحل طراحی، توسعه و بهره‌برداری از محصول دنبال شود؛ نه اینکه پس از تکمیل محصول، به‌عنوان یک اقدام تکمیلی به آن اضافه شود.

او با اشاره به اهمیت پول در زندگی روزمره مردم، از پس‌اندازهای شخصی تا سرمایه کسب‌وکارها و آینده خانواده‌ها، مسئولیت ارائه‌دهندگان خدمات مالی را فراتر از توسعه یک اپلیکیشن دانست.

به گفته حیدری، بلو توانسته است اعتماد ۲۸ میلیون نفر را جلب کند؛ عددی که از نگاه او، مسئولیت بیشتری برای مجموعه ایجاد می‌کند. مدیرعامل بلو معتقد است تجربه امن و روان مشتری هنگام دریافت خدماتی مانند انتقال وجه یا دریافت حقوق، حاصل مجموعه‌ای از اقدامات فنی است که بخش مهمی از آن‌ها در استفاده روزمره کاربران دیده نمی‌شود.

حیدری در توضیح نقش پژوهشگران امنیتی، به تفاوت نگاه توسعه‌دهندگان محصول و متخصصانی اشاره کرد که وظیفه بررسی آسیب‌پذیری‌ها را برعهده دارند. توسعه‌دهندگان معمولاً مسیرهای پیش‌بینی‌شده استفاده از یک سامانه را طراحی می‌کنند، اما پژوهشگران امنیتی تلاش می‌کنند مسیرهای دیگری را پیدا کنند که ممکن است در فرایند طراحی و توسعه مورد توجه قرار نگرفته باشند.

این تفاوت نگاه، یکی از دلایل برگزاری برنامه‌های باگ‌بانتی است؛ برنامه‌هایی که در آن‌ها سازمان‌ها به متخصصان بیرونی اجازه می‌دهند در چارچوب قواعد مشخص، محصولات را بررسی کنند و آسیب‌پذیری‌های احتمالی را به‌صورت مسئولانه گزارش دهند.

مدیرعامل بلو همچنین تاکید کرد دریافت گزارش امنیتی به معنای پایان کار نیست. یافته‌ها باید بررسی شوند، میزان اهمیت آن‌ها مشخص شود و در صورت نیاز، اقدامات اصلاحی انجام گیرد. از این منظر، ارزش یک رویداد باگ‌بانتی تنها به تعداد گزارش‌ها یا میزان جوایز محدود نمی‌شود، بلکه به نحوه استفاده از نتایج در بهبود امنیت محصول نیز وابسته است.

از رقابت آنلاین ۱۴۶۵ نفره تا بررسی تخصصی اپلیکیشن

دومین رویداد بلو در دو بخش برگزار شد. بخش نخست به رقابت آنلاین CTF اختصاص داشت؛ قالبی شناخته‌شده در آموزش و ارزیابی مهارت‌های امنیت سایبری که در آن شرکت‌کنندگان باید مجموعه‌ای از چالش‌های فنی را در زمان مشخص حل کنند و پاسخ یا اصطلاحاً «فلگ» هر چالش را به دست آورند.

پریماه محمدپور، مدیر ارشد حسابرسی بلوبانک سامان، اعلام کرد در این مرحله ۱۴۶۵ نفر در قالب ۶۷۸ تیم برای حل ۳۲ چالش رقابت کردند. به گفته او، این بخش علاوه بر سنجش توانایی فنی شرکت‌کنندگان، مسیری برای شناسایی متخصصان و دعوت از آن‌ها به مرحله اصلی باگ‌بانتی بود.

در مرحله بعد، ۸۰ پژوهشگر امنیت سایبری برای حضور در برنامه باگ‌بانتی دعوت شدند. این افراد از میان برگزیدگان رقابت CTF، شرکت‌کنندگان مؤثر دوره قبلی و متخصصان شناخته‌شده جامعه امنیت سایبری انتخاب شده بودند.

در این مرحله، شرکت‌کنندگان در قالب ۲۵ تیم، اپلیکیشن بلو و بخش‌های مرتبط با آن را بررسی کردند. بر اساس توضیحات ارائه‌شده در مراسم، از مجموع ۱۳۲ گزارش ثبت‌شده در بخش حضوری، ۱۹ گزارش واجد شرایط دریافت پاداش شناخته شد و سه تیم نیز به‌دلیل ارائه گزارش‌های برجسته مورد تقدیر قرار گرفتند.

محمدپور با اشاره به تغییر ساختار برگزاری نسبت به دوره نخست گفت رویداد سال گذشته به شکل عمومی برگزار شده بود، اما در دوره جدید، انتخاب شرکت‌کنندگان و نحوه دسترسی به مرحله اصلی با رویکردی تخصصی‌تر انجام شد.

این تغییر ساختار، امکان تمرکز بیشتر بر توانایی‌های فنی شرکت‌کنندگان منتخب و بررسی هدفمندتر محصولات را فراهم می‌کند؛ هرچند ارزیابی نهایی میزان اثربخشی این رویکرد، به نتایج اصلاحات امنیتی و استمرار برنامه در دوره‌های بعد نیز وابسته خواهد بود.

پاداش آسیب‌پذیری‌ها چگونه تعیین شد؟

یکی از بخش‌های مهم رویداد امسال، ساختار پاداش‌دهی به گزارش‌های امنیتی بود. بر اساس ارقام اعلام‌شده در مراسم، سقف پاداش برای آسیب‌پذیری‌های متوسط تا ۵۰ میلیون تومان، برای آسیب‌پذیری‌های با شدت بالا تا ۱۵۰ میلیون تومان و برای آسیب‌پذیری‌های بحرانی تا ۴۰۰ میلیون تومان تعیین شده بود.

برای آسیب‌پذیری‌های سطح حیاتی نیز پاداشی بیش از ۴۰۰ میلیون تومان پیش‌بینی شده بود که مبلغ نهایی آن به میزان اثرگذاری آسیب‌پذیری و ارزیابی تیم داوری بستگی داشت.

در بخش آنلاین CTF نیز جوایز سه تیم نخست به‌صورت طلا در نظر گرفته شد. تیم اول ۱۳۳۷ میلی‌گرم، تیم دوم ۷۷۰ میلی‌گرم و تیم سوم ۴۴۰ میلی‌گرم طلا دریافت کردند. مجموع این جوایز به ۲۵۴۷ میلی‌گرم طلا رسید.

محمدپور اعلام کرد ساختار جوایز نسبت به دوره گذشته تغییر کرده است. انتخاب طلا برای جوایز بخش CTF نیز با ارجاع به مفاهیم آشنا در جامعه امنیت سایبری انجام شده بود؛ از جمله عدد ۱۳۳۷ که به اصطلاح Leet اشاره دارد و اعداد دو جایزه دیگر که با مجوزهای دسترسی در سیستم‌عامل لینوکس مرتبط‌اند.

با این حال، اهمیت اقتصادی چنین جوایزی تنها به مبلغ پرداختی به پژوهشگران محدود نمی‌شود. در برنامه‌های باگ‌بانتی، پاداش متناسب با اهمیت آسیب‌پذیری می‌تواند انگیزه متخصصان برای بررسی دقیق‌تر سامانه‌ها و گزارش مسئولانه یافته‌ها را تقویت کند. در مقابل، برای سازمان برگزارکننده نیز این برنامه فرصتی برای شناسایی نقاط ضعف پیش از آنکه به مسئله‌ای جدی در ارائه خدمات تبدیل شوند، فراهم می‌کند.

گسترش باگ‌بانتی به APIها؛ برنامه بعدی بلو

جمال غضنفری، معاون ارشد فنی بلوبانک، در این مراسم از برنامه این مجموعه برای گسترش دامنه باگ‌بانتی به بخش‌های بیشتری از زیرساخت خدمات خبر داد. به گفته او، تمرکز اصلی دوره امسال بر اپلیکیشن بلو بوده است، اما در برنامه‌های آینده، بررسی APIهای عمومی و غیرعمومی و دیگر اجزای در دسترس پلتفرم نیز دنبال خواهد شد.

APIها رابط‌هایی هستند که ارتباط میان نرم‌افزارها و سرویس‌های مختلف را امکان‌پذیر می‌کنند. در معماری بانکداری دیجیتال، این رابط‌ها می‌توانند بخش مهمی از تبادل داده و ارائه خدمات را برعهده داشته باشند؛ به همین دلیل، بررسی امنیت آن‌ها در کنار اپلیکیشن و وب‌سرویس‌ها اهمیت دارد.

غضنفری با اشاره به گسترش معماری‌های نرم‌افزاری، استفاده از میکروسرویس‌ها، هوش مصنوعی و خودکارسازی گفت تحول فناوری، در کنار افزایش چابکی و بهبود تجربه کاربران، پیچیدگی‌های امنیتی تازه‌ای نیز ایجاد می‌کند. از این رو، آزمون مستمر محصولات باید بخشی از فرایند توسعه و نگهداری خدمات باشد.

او همچنین توضیح داد گسترش دامنه بررسی‌های امنیتی که در برنامه‌های قبلی مطرح شده بود، به‌دلیل شرایط کشور و اتفاقات سال گذشته با محدودیت‌هایی مواجه شد. با این حال، توسعه برنامه باگ‌بانتی به بخش‌های بیشتر پلتفرم همچنان در دستور کار بلو قرار دارد.

گسترش دامنه آزمون‌ها، در صورت اجرای دقیق و همراه با تعریف روشن محدوده مجاز فعالیت پژوهشگران، می‌تواند تصویر جامع‌تری از وضعیت امنیتی یک پلتفرم فراهم کند؛ به‌ویژه در خدماتی که اجزای متعدد نرم‌افزاری از طریق رابط‌های برنامه‌نویسی با یکدیگر ارتباط دارند.

هوش مصنوعی در بلو؛ تمرکز بر عملیات داخلی

در بخش دیگری از این مراسم، درباره کاربرد هوش مصنوعی در بلو نیز توضیحاتی ارائه شد. به گفته ملااحمدی، مدیز ارشد امنیت بلوبانک، برنامه‌های این مجموعه در این حوزه در مرحله توسعه و آزمون قرار دارند و بخش عمده آن‌ها با هدف بهبود عملیات داخلی دنبال می‌شود.

ملااحمدی همچنین گفت بلو برای این کاربردها از زیرساخت‌های داخلی خود استفاده می‌کند و قرار نیست داده‌ها برای پردازش این موارد در اختیار طرف‌های ثالث قرار گیرد.

این رویکرد، در کنار مزایای احتمالی عملیاتی، موضوع حفاظت از داده‌ها را نیز به یکی از محورهای مهم توسعه فناوری در خدمات مالی تبدیل می‌کند. البته ارزیابی دقیق سطح حفاظت از اطلاعات، به جزئیات فنی، شیوه‌های دسترسی، سیاست‌های نگهداری داده و سازوکارهای نظارتی هر سامانه وابسته است.

امنیت به‌عنوان فرایندی مستمر

یکی از نکات مورد تاکید مدیران بلو در اختتامیه، ضرورت ایجاد فضایی بود که در آن شناسایی و گزارش آسیب‌پذیری به‌جای مقاومت سازمانی، به فرصتی برای اصلاح تبدیل شود.

حیدری با اشاره به دشواری‌های کار پژوهشگران امنیتی، گزارش‌های نهایی را حاصل ساعت‌ها آزمون‌وخطا، بررسی مسیرهای مختلف و تلاش برای یافتن نقاط ضعف دانست. او تاکید کرد بلو می‌خواهد فرهنگی را توسعه دهد که در آن، اعلام وجود آسیب‌پذیری موجب نگرانی از اصل گزارش‌دهی نشود و یافته‌های امنیتی به‌عنوان فرصتی برای بهبود محصول مورد استفاده قرار گیرند.

از سوی دیگر، برنامه اعلام‌شده برای گسترش باگ‌بانتی به APIها و سایر اجزای پلتفرم نشان می‌دهد دامنه این همکاری قرار است از بررسی متمرکز اپلیکیشن فراتر برود.

در نهایت، معیار اصلی موفقیت چنین برنامه‌ای تنها برگزاری یک رقابت، تعداد شرکت‌کنندگان یا مجموع پاداش‌ها نیست. استمرار آزمون‌های امنیتی، رسیدگی به گزارش‌های معتبر، اصلاح آسیب‌پذیری‌ها و کاهش ریسک‌های احتمالی برای کاربران است که می‌تواند به این برنامه‌ها ارزش عملیاتی بدهد.

برای کاربران بانکداری دیجیتال، نتیجه این فرایند در قالب تجربه‌ای امن‌تر و قابل‌اتکاتر معنا پیدا می‌کند؛ تجربه‌ای که پشت آن، علاوه بر فعالیت تیم‌های توسعه و امنیت، همکاری مستمر با متخصصانی قرار دارد که وظیفه دارند سامانه‌ها را از زاویه‌ای متفاوت بررسی کنند.

عربستان: برنامه‌های جام ملت‌های آسیا ۲۰۲۷ تغییر نمی‌کند

تماشاخانه

زینب ابوطالبی کجاست ؟ واقعا «جمع کرده از ایران رفته» یا در ایران است ؟ چرا عکس و فیلم نمی‌دهد!

سد سجاد رود ؛ تخریب جنگل و آوارگی مردم / کوچ اجباری و خانه و زمین‌هایی که غرق می‌شوند

فیلم های دیگر