Les bug bounty sont monnaie courante chez les fournisseurs IT et Microsoft ne fait pas exception à la règle. La firme de Redmond en propose plusieurs (Azure, Bing, Dynamics 365...) et vient d'en annoncer un dernier. Cette fois, il concerne son outil de protection contre les menaces, Defender. « L'objectif du programme Defender Bounty est de découvrir des vulnérabilités importantes qui ont un impact direct et démontrable sur la sécurité de nos clients », a expliqué l'éditeur. En fonction du type de failles trouvées et de leur niveau de gravité, différentes primes peuvent être attribuées.
Ainsi, pour une faille de type RCE (exécution de code à distance) de niveau critique, la prime atteindra 20 000 $ contre 500 $ pour du spoofing à faible impact. « Des primes plus élevées sont possibles, à la seule discrétion de Microsoft, en fonction de la gravité et de l'impact de la vulnérabilité et de la qualité de la soumission. », indique toutefois l'éditeur. « Les soumissions éligibles se verront attribuer la récompense la plus élevée ». Microsoft a donné des exemple de vulnérabilités rentrant dans le scope de ce bug bounty : cross?site?scripting (XSS), falsification des requêtes intersites (CSRF), serveur (SSRF), injection et exécution de code côté serveur, mauvaise configuration de sécurité importante, utilisation de composants présentant des vulnérabilités connues...
Des règles à respecter pour participer
Microsoft indique que ce programme de bug bounty aura d'abord une portée limitée, se concentrant sur Defender for Endpoint APIs, et s'étendra progressivement à d'autres produits par la suite.
Pour être éligible à ce programme de chasse aux bugs, le fournisseur demande aux participants de respecter certaines règles, comme ne pas accéder à des données qui ne leur appartiennent pas totalement, sortir du cadre du PoC en exécutant des commandes inappropriées, effectuer des tests par déni de service, et/ou automatisés générant des quantités importantes de trafic, effectuer des tentatives de phishing ou par ingénierie sociale à l'encontre d'autres utilisateurs...