MS, всі об'єкти нагородження онлайн-сервісів включені... Значне розширення сфери нагороджень за вразливості

Microsoft(MSFT) оголосила про значне розширення сфери застосування своєї програми винагород за вразливості. Відтепер усі без винятку виявлені у її онлайн-сервісах вразливості автоматично підпадають під програму винагород, а проблеми у відкритому програмному забезпеченні та сторонніх розробках також будуть оцінюватися без винятків.

Ключовим нововведенням є впровадження політики “за замовчуванням включено”. Згідно з нею, нові онлайн-сервіси Microsoft одразу стають об’єктами винагород за вразливості при їх випуску, а вже існуючі мільйони сервісів можуть бути підключені без додаткових процедур схвалення. Оскільки більше не потрібно поетапно визначати сферу продуктів, дослідники безпеки зможуть значно зменшити час, витрачений на визначення дійсності вразливостей.

Віце-президент з реагування на безпеку Microsoft(MSRC) Тома Гейлгуд підкреслив, що це розширення — не просто адміністративна зміна, а структурна реформа. Він зазначив: “Тепер усі сервіси автоматично включені до сфери застосування, що дозволяє дослідникам зосередитися на тих вразливостях, які мають реальний вплив на клієнтів, і швидше повідомляти про них.” Крім того, Microsoft планує активніше співпрацювати з дослідниками щодо проблем у сторонньому або відкритому коді для їх виправлення або підтримки.

Довгий час програма винагород за вразливості критикувалася за нечітке визначення сфери застосування або надмірні обмеження, що спричиняло плутанину серед дослідників і стримувало дослідження. У відповідь, директор з штучного інтелекту компанії Outpost24 Мартін Ятлюс зазначив: “Ця ініціатива охоплює всю уразливу поверхню підприємства і є важливим кроком уперед.” Він висловив підтримку і попередив: “Зловмисники не цікавляться походженням коду. Чи то фреймворки на кшталт React-to-Shell, чи власні продукти Microsoft — якщо вони можуть бути зламані, вони спробують.”

Індустрія прогнозує, що на початковому етапі це може призвести до збільшення виплат за винагородами Microsoft. Однак аналітики вважають, що з підвищенням загального рівня безпеки це з часом принесе високий економічний ефект. Завдяки повному охопленню вразливостей, що мають безпосередній вплив на користувачів і корпоративних клієнтів, Microsoft прагне підвищити довіру до своєї хмарної екосистеми безпеки.