Pour améliorer la sécurité de son service de cloud computing Azure, Microsoft lance un nouveau laboratoire et augmente les récompenses de primes de bogues.
Lors de la conférence sur la sécurité Black Hat USA de cette année, la société a dévoilé son nouveau laboratoire Azure Security, composé d’un ensemble d’hôtes cloud dédiés que les professionnels de la sécurité invités par le géant du logiciel pourront utiliser pour tester les vulnérabilités et les exploits d’Azure.
Afin d'empêcher les tentatives de piratage et les tests de perturber les opérations quotidiennes d'Azure, le laboratoire est isolé du framework Azure principal. De plus, la propre équipe de sécurité interne de Microsoft sera disponible pour travailler avec les chercheurs sur leurs découvertes.
Dans une annonce, la société a expliqué les avantages d'isoler son nouveau laboratoire d'Azure:
«L'isolement d'Azure Security Lab nous permet de proposer quelque chose de nouveau: les chercheurs peuvent non seulement rechercher les vulnérabilités dans Azure, ils peuvent également tenter de les exploiter. Ceux qui ont accès au laboratoire de sécurité Azure peuvent tenter les défis fondés sur des scénarios avec des récompenses maximales de 300 000 USD. ”
Sommaire
Bug bounty
En plus de lancer Azure Security Lab, Microsoft modifie également le fonctionnement du programme de prime aux bogues Azure traditionnel.
Au cours des 12 derniers mois, la société a octroyé plus de 4,4 millions de dollars de récompenses pour les primes de bogues et à partir d’aujourd’hui, les chercheurs en sécurité pourront gagner jusqu'à 40 000 dollars pour plusieurs rapports de vulnérabilité Azure.
Ceux qui recherchent des gains encore plus importants ne doivent pas chercher plus loin que les programmes Prime pour contournement des mesures d'atténuation Microsoft et Bounty for Defense, où les chercheurs peuvent gagner jusqu'à 100 000 USD pour des rapports de contournement des mesures d'atténuation et d'autres vulnérabilités graves.
Microsoft a également défini les principes de Safe Harbor à l’intention des chercheurs en sécurité qui peuvent ainsi identifier et signaler les vulnérabilités et autres problèmes de sécurité sans craindre de répercussions juridiques.
Via ZDNet
