Bug Bounty: cómo funciona el mundo del Hacking Ético y la cacería de vulnerabilidades

Explicamos en qué consisten los programas de bug bounty, compartimos algunos datos sobre la cacería de vulnerabilidades, además de recomendaciones y recursos para quienes están dando sus primeros pasos.
Dentro de un entorno corporativo, la realización de pruebas de penetración es una práctica que se utiliza desde hace mucho tiempo para auditar la seguridad de las aplicaciones y de la red. Si bien este tipo de actividades generalmente se realizan desde el marco de un empleo en relación de dependencia o de consultoría y mediante la firma de un contrato, desde hace algunos años, y cada vez con más frecuencia, es común que las compañías publiquen programas de recompensa, más conocidos como Bug Bounty, a través de plataformas como HackerOne o BugCrowd, entre otras.
A través de estas plataformas las empresas interesadas en auditar sus servicios logran conectar con hackers éticos de cualquier lugar del planeta dispuestos a poner a prueba la seguridad de sus servicios. Cualquiera puede inscribirse y participar de estos programas de Bug Bounty, ya sea como un hobby o como una actividad lucrativa. Las empresas cuando abren sus programas detallan el alcance del mismo y fijan distintos premios para quienes encuentren fallos, generalmente de según la gravedad de los mismos.
El pago promedio para vulnerabilidades críticas en 2018 fue de USD 3,384 con un incremento interanual del 48%. En este escenario, HackerOne desembolsó en el año 2018 un total de USD 19 millones a sus miembros por el pago de recompensas. Si bien además del factor económico hay una motivación por aprender y por los desafíos en sí, según datos de una encuesta realizada por HackerOne en 2018, los hackers éticos que se dedican mayormente a participar de programas de bug bounty logran obtener hasta 2.7 veces más dinero que el salario que percibe un ingeniero de software que se dedica a tiempo completo. De hecho, a principio de 2019 un joven argentino de 19 años se convirtió en la primera persona en ganar más de un millón de dólares a través de HackerOne.
Respecto a la cantidad de usuarios en esta plataforma, en 2019 habían registrados más de 300,000 hackers, cifra que representa un aumento del 100% con respecto al año anterior.
Como referencia de las sumas de dinero que llegan a pagarse en algunos, Google anunció un programa de Bug Bounty para sus teléfonos Pixel que ofrece hasta 1.5 millones de dólares para quienes encuentren vulnerabilidades críticas. De todas formas, si estás recién comenzando con esta actividad, no esperes que tus ganancias se acerquen a esas cifras en un corto plazo.

Ventajas de los programas de Bug Bounty

Los programas de bug bounty permiten a cualquier persona, con o sin conocimientos técnicos previos, aumentar su nivel de experiencia en hacking ético. A su vez, permite a profesionales de otros campos obtener una perspectiva diferente sobre los problemas que pueden afectar a las aplicaciones, desde un marco práctico.
Se trata de una muy buena herramienta de aprendizaje y, en líneas generales, ha sido de gran ayuda en cuanto a la generación de una mayor conciencia sobre la importancia del desarrollo de aplicaciones seguras. También inspiró el ingreso de mucha gente al campo de la seguridad informática y ayuda a incrementar la seguridad en general, ya que miles de fallos de seguridad se han solucionado a través de estas actividades.

Consejos para quienes están comenzando con los programas de bug bounty

  • Empezar de a poco: Si no tienes experiencia previa, quizás sea una muy buena idea comenzar con un solo tipo de vulnerabilidad, por ejemplo, XSS, y luego comenzar a incorporar nuevas habilidades. Encontrar primero una vulnerabilidad que realmente te divierta e interese es importante.
  • No pensar solo en el dinero: Lo más probable es que en un principio no sea posible ganar dinero. Si solo tienes esto en mente, puede que pases por alto ciertos detalles importantes y que no te tomes el tiempo necesario para hacer las cosas de la mejor forma. Lo ideal es poder dedicar tiempo suficiente para aprender y que disfrutes la actividad.
  • Hacer reportes claros: Si has descubierto una vulnerabilidad, es importante que sepas reportarla de forma eficiente. Algo en lo que las personas de ambos lados coinciden (bug hunters y empresas) es acerca de la importancia de la elaboración de informes claros que indiquen paso por paso cómo se puede reproducir la vulnerabilidad y que expliquen el uso que un atacante podría darle a la misma, ya que esta información influye en que los hallazgos sean tenidos en cuenta.
  • Tomarse el tiempo de ir a fondo: Si has descubierto una vulnerabilidad, es recomendable que dediques el tiempo necesario para intentar ver todos los caminos que la misma abre para un atacante. Por ejemplo, si la vulnerabilidad fue introducida por un equipo de desarrollo de una determinada empresa, es posible que se repita en otros sitios. Investigar todas las posibilidades aumenta las chances de que seamos exitosos a la hora de convencer a la empresa de que lo que encontramos es serio.
  • Tomar la ruta menos usada: Si recién estás comenzando en el mundo del bug bounty es poco probable que encontremos vulnerabilidades en aplicaciones de empresas muy grandes, que seguramente ya han pasado por varias etapas de pentesting y que ya han sido sometidas a la auditoría de muchos otros cazadores de bugs. Es recomendable evitar frustraciones y empezar por donde otros quizás no hayan mirado todavía.
  • Estudia y practica: La única forma de progresar en el mundo del Bug Bounty es dedicando tiempo. Es necesario practicar, leer reportes que hayan elaborado otras personas y estudiar las distintas metodologías. Por suerte, hay mucha gente en la comunidad que está dispuesta a compartir lo que sabe y eso es algo que definitivamente deberías aprovechar. Según unos de los reportes de HackerOne, el 81% de los cazadores que participan de estos programas dijo haber aprendido por cuenta propia a través de Internet, mientras que apenas el 6% dijo haber realizado un curso formal.
Realizar bug bounties puede ser una experiencia de aprendizaje muy importante. Ver vulnerabilidades en aplicaciones reales nos dará una idea de cuáles son los errores comunes que los desarrolladores de software cometen. De a poco te obligará a aprender de nuevas tecnologías con las que quizás nunca habías tenido que lidiar antes, expandiendo tu base de conocimiento. Si eres un Pentester, te dará una nueva perspectiva que será útil a tu trabajo.

Sitios y recursos recomendados para aprender sobre hacking ético

Sitios para aprender hacking ético
  • Hacker 101: plataforma de HackerOne que ofrece recursos educativos 100% gratuitos.
  • Hacksplaining: un proyecto que ofrece entrenamientos de seguridad dirigido a desarrolladores.
  • Hack This Site!: una iniciativa que ofrece un campo de entrenamiento para que usuarios puedan probar y explorar sus habilidades.
Libros recomendados
Además, compartimos algunos enlaces a otros artículos publicados en WeLiveSecurity en los que encontrarás recursos útiles y de interés.

Comentarios

Publicar un comentario

Entradas populares de este blog

Presuntos narcotraficantes liberados por un ransomware

Imagen
Los fiscales estadounidenses se vieron obligados a dejar caer 11 casos de narcotráfico contra seis presuntos delincuentes, después de que se perdieron archivos de casos cruciales en una infección de ransomware en un departamento de policía de Florida. Es al menos séptimo incidente conocido de este tipo: investigaciones policiales se ven afectadas por una infección de ransomware que elimina la evidencia de las fuerzas del orden. La evidencia en los 11 casos no se pudo recuperar después de un ataque de ransomware que golpeó al departamento de policía de Stuart en abril de 2019. Si bien la policía de Stuart recuperó algunos datos de las copias de seguridad, algunos archivos no se pudieron recuperar. Los archivos perdidos incluyeron evidencia en fotos y videos , dijo el sargento detective Mike Gerwan del Departamento de Policía de Stuart a WPTV en una entrevista la semana pasada. Gerwan dijo que los casos retirados incluyen cargos por posesión de metanfetamina, posesión de
Leer más

Metasploit y Windows 10: Creando un payload indetectable (Evadiendo software antivirus)

Imagen
Anteriormente escribimos un artículo donde mostramos la manera de acceder a un sistema operativo Windows 10 usando metasploit de manera local o remotamente, puedes leer el artículo aquí:  Accediendo remotamente a Windows 10 con Metasploit . Hoy les vamos a mostrar cómo ofuscar el código malicioso para que sea indetectable a los antivirus. Los entusiastas de seguridad siempre buscan exploits de día cero que pueden eludir con éxito las características de seguridad de sistemas cómo Windows 10. Se han llevado a cabo numerosas investigaciones para crear malware indetectable y proyectos completos de GitHub dedicados a automatizar la creación de payloads indetectables como WinPayloads , Veil v3 y TheFatRat . Todo lo que se explicará en esta guía se hace con fines explícitamente educativos y bajo un laboratorio propiedad de Security Hack Labs , los usos que se le puedan dar a este tutorial depende del usuario y es absolutamente responsabilidad del él los daños que
Leer más

Diferencias entre mapa de calor, mapa de riesgos y matriz de riesgos

Imagen
4.5 / 5 ( 6 votos ) El mapa de riesgos, el mapa de calor y la matriz de riesgos son herramientas útiles en Risk Management. Si bien, en ocasiones los profesionales en Risk Management confunden estos conceptos y lo tratan como si fueran una única herramienta. En este artículo vamos a aclarar las principales diferencias y similitudes entre mapa de calor y matriz de riesgos, así como con mapa de riesgos. ¿Qué son los mapas de riesgos? Un mapa de riesgos es una tabla de 2×2, normalmente una tabla cruzada, que se organiza en columnas. En la primera se colocan los posibles eventos que pueden aportar incertidumbre al objetivo de la empresa u organización. Y, en las siguientes columnas, se colocarán las probabilidades, consecuencias o variables que puedan explicar dichos eventos. Por lo tanto, esta tabla viene a considerarse un mapa de riesgos.
Leer más