1.367 US-Dollar pro anerkannter Schwachstelle GitHub beleuchtet Bug-Bounty-Programm 2017

Kurz nach dem vierten Jahrestag des „Security Bug Bounty“-Programms hat GitHub ein paar interessante Zahlen und Statistiken veröffentlicht. Ob bei der Beteiligung von Forschern, Programminitiativen oder ausbezahlten Prämien – überall waren Zuwächse zu verzeichnen.

Firma zum Thema

Confluent Germany GmbH

In einem Blog-Eintrag blickt Greg Ose, Senior Manager im Bereich Security Engineering bei GitHub, detailliert auf das Bug-Bounty-Programm 2017 zurück. Insgesamt wurden 840 Beiträge eingereicht, von denen 121 bereinigt und entlohnt wurden. Im Vorjahr waren noch 48 von 795 Einreichungen für gültig erklärt worden, die Quote anerkannter Fehlerberichte von sechs auf knapp 15 Prozent angestiegen.

Die durchschnittliche Belohnung pro verifiziertem Fehlerbericht belief sich im Jahr 2017 auf durchschnittlich 1.376 US-Dollar. Die Gesamtausschüttungen stiegen laut Ose signifikant von 95.300 US-Dollar im Jahr 2016 auf 166.495 Dollar im Folgejahr. Dies sei insbesondere auf die gestiegene Zahl gültiger Einreichungen zurückzuführen.

Bei den internen Prozessen hätten derweil Verbesserungen wie ChatOps, GitHub-basierte Workflows oder auch der Ausbau des HackerOne API-Clients für mehr Effizienz gesorgt, berichtet Ose weiter: „Unsere durchschnittliche Antwortzeit im Jahr 2017 betrug 10 Stunden, gültige Probleme wurden den Entwicklern im Durchschnitt innerhalb von zwei Tagen zur Verfügung gestellt und Belohnungen wurden im Durchschnitt innerhalb von 17 Tagen ausgestellt.“

2018 wolle man die internen Prozesse weiter verfeinern. „Wir sind immer auf der Suche nach Wegen, um sicherzustellen, dass unsere Forscher eine schnelle und zufriedenstellende Antwort auf ihre Einreichungen erhalten.“

(ID:45192699)