Сегодня в одном ИБ-чатике подняли вопрос о монетизации мероприятий (ИБэшных). Сразу предложили делать ставки👁‍🗨
И тут я предположил, что естественным путем развития монетизации на bugbounty-площадках может стать букмекерское направление😏

Ну, а почему бы и нет? План такой:
1) Появляется новый проект/расширяется скоуп-программы.
2) Участники (не хакеры и не заказчики) делают ставки на то, что хакер X найдет уязвимость типа Y за время Z. Для разных типов уязвимостей можно сделать повышающие/понижающие коэффициенты.
3) После подтверждения баг-репорта подводятся итоги и все получают $$ Угадавшие со ставкой - банк за вычетом комиссий, хакер X тоже какую-нибудь надбавку к выплате получает, ну и площадка себе процентик🤑
Неплохая стимуляция к поиску уязвимостей и удовлетворение азарта наблюдающих. Много нюансов, но вполне реализуемо (в недалеком будущем).

p.s. Если кто из площадок возьмется за реализацию, то надеюсь на небольшой процент за идею😁

В компании Nucleus задались вопросом, насколько действительно трендовыми являются уязвимости, занесенные в каталог CISA Known Exploited Vulnerabilities, а также на сколько точным было предположение о появлении эксплоита для таких уязвимостей.
Недолго думая, ребята сваяли CISA Known Exploited Vulnerabilities Enrichment Dashboard, который представляет собой дашборд (да табличка просто), в котором данные об уязвимостях из каталога CISA, обогащены данными об оценке EPSS и данными от поставщика TI - компании GreyNoise.

В общем-то, никакой магии и открытий Америки - сделать такой дашборд можно самому при желании🤓
Но раз уж сделали, то почему бы и не воспользоваться. Хотя, не вижу особой ценности в этом для приоритезации устранения уязвимостей в организации, т.к. сам не особо воспринимаю оценку EPSS как полноценный критерий в цепочке принятия решения о необходимости устранения конкретной уязвимости🤷‍♀️

Ну, как бы да🤷‍♀️

Hive Systems второй год подряд публикуют интересное исследование "The Data Breach Perception Problem", где приводят аналитику по инцидентам ИБ за 2021 год, сравнивая статистику от представителей индустрии ИБ, научно-исследовательских статей, новостей в СМИ и поисковых трендов и запросов.
Цель благородная - понять на сколько можно верить различным исследованиям и на что опираться при оценке рисков.

В качестве аналитики от представителя индустрии ИБ выбран отчет Verizon DBIR (категории инцидентов оттуда же), статистика по научным статьям - с ресурса scite.ai, источники СМИ - New York Times и The Guardian, а статистика по поисковым трендам и запросам - от Google.

Из примечательного:
🔶 В исследовательских работах преобладала тема инцидентов, связанных с DoS. При этом можно отметить, что работы с разбором инцидентов категории System Intrusion (malware, ransomware, stolen credentials) цитировались чаще всего.
🔶 СМИ в большинстве своем писали об инцидентах Social Engineering (то, что ближе к народу), System Intrusion и Privilege Misuse (то, что ближе к бизнесу).
Хотя, NY Times немного выделился и много писал также и про DoS-атаки.
🔶 В поисковых трендах можно отметить также повышенные показатели запросов про украденные активы - но это не удивительно, ведь люди часто ищут "что делать, если потерял iphone"😭
🔶 А вот про веб-уязвимости пишут в основном только представители индустрии ИБ и изредка в исследовательских работах. Я, честно говоря, думал, что в научных и околонаучных работах будет больше аналитики по вебу.