إن البحث عن التسريبات ونقاط الضعف في منتجاتك ليس مثيرًا للاهتمام ومفيدًا فحسب ، ولكنه ضروري أيضًا. بل إنه من المفيد أكثر إشراك المتخصصين والمتحمسين الخارجيين في عمليات البحث هذه ، الذين ليس لديهم عيون ضبابية مثل الموظفين. لذلك ، أطلقنا في وقت ما في QIWI برنامج مكافأة الأخطاء - كتب الباحثون إلينا عن نقاط الضعف وحصلنا على مكافآت ، وأغلقنا هذه الثغرات.
تم إرسال الشفرة المتاحة للجمهور عدة مرات إلينا في شكل روابط لمستودعات تحتوي على معلومات حساسة. يمكن أن تكون أسباب التسريبات كما يلي:
كتب المطور مثالًا لرمز الاختبار لنفسه باستخدام تكوينات خدمة "إنتاج" - وليس بيئة اختبار ؛
البرامج النصية التي قام المسؤول بتحميلها للتشغيل الآلي وترحيل قاعدة البيانات - معلومات قد تكون حساسة ؛
نشر المتدرب الكود دون علمه في مستودعه العام ، معتقدًا أنه ليس محفوفًا بالمخاطر.
في الوقت نفسه ، يمكن أن تأتي مثل هذه التسريبات من المطورين العاملين في الشركة ومن أولئك الذين استقالوا بالفعل. على سبيل المثال ، كانت هناك حالات عندما لم يعد موظفًا يعمل في الشركة نشر رمزًا في مستودع مفتوح كان يأخذها إلى المنزل للعمل في وقت فراغه. قد يبدو - يبدو غير ضار ، ولكن داخل مثل هذا الرمز قد تكون هناك كلمات مرور من قاعدة بيانات أو تكوين شبكة أو نوع من منطق الأعمال - بشكل عام ، معلومات حساسة لشركة لا ينبغي أن تكون متاحة للجمهور.
كما تظهر الممارسة ، فإن معظم الشركات محمية بالفعل بشكل جيد من التهديدات الخارجية - وهذا تسرب داخلي يمكن أن يسبب أكبر ضرر. علاوة على ذلك ، يمكن أن يحدث مثل هذا التسرب بشكل ضار وعن طريق الصدفة - وهذا بالضبط ما قلناه أعلاه.
— : Firewall, SOC, IDS/IPS , — . , , — .
. , , .
QIWI Leak-Search — , Github .
— .
, : - , -, , . , — .
, . . -, , .
Leak-Search , , , . Fortune . , , , .
, . -: , , . , - , : , — .
, Leak-Search. “” ERP- — ? - “” IoT- — , ? “ ” — . .
QIWI Leak-Search
— . — , -, — , , . .
, , — , , , , , — .
, — . , - , — , .
. , , , .
Leak-Search , . :
— — smtp, Dockerfile, proxypass, Authorization;
— — com.qiwi.processing.common;
— — int.qiwi.com, 10.4.3.255;
— , — QIWISECRET_KEY, qiwiToken.
, , . - — , .
. , . Open Source: - . .
, , — «» .
StackOverflow — , , . . , , Github. , .
, , , - , , - Github — , . .
, ? , , . , , .
— killer feature . Leak-Search : , . -, . -, , , .
, , open source, , Github, . , Leak-Search “” .
, . Github — Leak-Search Gist. - Pastebin Gitlab, BitBucket. API.
, , — false positive, false negative. , .
“ ” . , , — , .
, Leak-Search . . Leak-Search , — .
, , Leak-Search , “”. — , , , -, .
, . , , . , — .
, , , , , IT, .
- , , — , .