ハッカーは、2020年よりも2021年に21％多くの脆弱性を報告しました

バグバウンティハブHackerOneは、フリーランスのバウンティハンターハッカーのユーザーベースがなんと報告したと発表しました66、000+検証済みの脆弱性2021、20昨年の合計よりも％増加。正確には、昨年が不確実性とCOVIDによって引き起こされた混乱の実際の年だったときに、今年このような急増を引き起こす可能性があるのは何ですか？

検証されたバグの数の増加に加えて、HackerOneのレポートでは、重大なバグ(CVSSスケールを使用して評価)に対して支払われた報奨金の中央値が13％、およびby30「重大度が高い」と評価されたバグの％。これは重大度より1ステップ低くなります。

見る： パスワード違反：ポップカルチャーとパスワードが混ざらない理由(無料のPDF)(TechRepublic)

バグ検出の増加と支払いの増加に対応して、HackerOneが「ハッカー-」と呼ぶ数パワードセキュリティプログラム」はによって成長しました％ の 2021、最大の成長は、航空/航空宇宙、医療技術、および政府産業です。 HackerOneはまた、金融サービス業界でのハッカーベースのセキュリティの使用は、によって増加し続けていることを指摘しました。 ％(4番目に大きい)は、「コアテクノロジー産業以外では、[financial services]が前進する傾向があるために予想される」と述べています。 -思考と機敏なセキュリティソリューション。」

どのようなバグが見つかりましたか？

発見されているバグの種類を知ることは、セキュリティを構築する上で重要な部分です。セキュリティの世界で流行しているようなものに対応するために準備された問題。

HackerOneの調査によると、クロスサイトスクリプティングの脆弱性はから最も発見されたままです。 から2021、7前年比での増加率。情報開示が増加しました58％YoY、3位から2位への上昇をトリガーします。それは、3番目にスライドした不適切なアクセス制御を置き換えました。

しかし、今年最も危険な脅威はビジネスロジックエラーであり、これは67％YoYでトップに入る105人で初めてHackerOneはそのレポートを公開してきました。

ビジネスロジックエラーは、攻撃者がサイトの正当な機能を悪用してサイトの所有者に損害を与える方法です。この例には、請求されないほど早く購入をキャンセルするが、購入に関連するロイヤルティポイントを獲得するなどが含まれます。または、サイトが価格設定ロジックを処理する方法を悪用することにより、eコマースカート内のオブジェクトに低価格を注入します。これらのエラーは、システムを破壊する方法ではなく、正当であるが貧弱なサイト設計を悪用する方法です。

バグはもっとありますか、それともレポートはもっとありますか？

このレポートの中心的な質問は、バグの数かどうかです。ソフトウェアが実際に増加している場合、またはバグバウンティプログラムの人気が高まっているために既存のバグがより頻繁に発見されている場合は、追加の洞察なしに明確に答えることはできません。私はHackerOneに意見を求めましたが、まだ返答がありません。この記事は更新されます。

その洞察がなくても、特にバグがどのように発見されているかに関するHackerOneの数値を考慮すると、結論を出すことは可能です。たとえば、バグバウンティプログラムはによってのみ上昇しました％今年、報告42、805バグ