เจาะประเด็น
SECURITY
นักล่าบั๊กไม่ได้สุ่มหาไปทั่ว เขาเลือกเป้าหมายยังไงก่อนลงมือ
เบื้องหลังคนที่ขุดช่องโหว่บน GitHub ไม่ได้เริ่มจากความบังเอิญ แต่เริ่มจากวิธีคิดว่าจะเลือกเล่นกับฟีเจอร์ไหน
ทีมข่าว เอไอไทย.com
⏱ อ่าน 4 นาที
การเป็นนักล่าบั๊กเก่งๆ ไม่ได้วัดกันที่ยิงมั่วแล้วบังเอิญเจอ แต่วัดกันที่การเลือกว่าจะไม่ไปยุ่งกับอะไรต่างหาก
ตอนที่ GitHub Bug Bounty เปิดตัวบทสัมภาษณ์นักวิจัยความปลอดภัยคนหนึ่งในชื่อ @vaib25vicky เพื่อพูดคุยเรื่องวิธีทำงาน เทคนิค และประสบการณ์ในการเจาะระบบบนแพลตฟอร์ม GitHub สิ่งที่โผล่ขึ้นมาเป็นประเด็นน่าสนใจไม่ใช่แค่ "เขาเก่งแค่ไหน" แต่เป็นคำถามที่คนนอกวงการมักมองข้าม นั่นคือ เขาเลือกฟีเจอร์ที่จะเข้าไปขุดหาช่องโหว่ยังไง
โพสต์นี้เป็นส่วนหนึ่งของการรณรงค์ในเดือนแห่งการตระหนักรู้ด้านความปลอดภัยไซเบอร์ (Cybersecurity Awareness Month) ที่ GitHub ใช้เป็นจังหวะดึงเรื่องราวของนักวิจัยในโปรแกรม Bug Bounty ออกมาเล่าให้คนทั่วไปฟัง ว่ากว่าจะเจอช่องโหว่สักอัน มันผ่านกระบวนการคิดอะไรมาบ้าง
คนส่วนใหญ่ที่ไม่ได้อยู่ในสายความปลอดภัยมักเข้าใจว่า Bug Bounty คือการที่นักวิจัยนั่งสุ่มคลิกไปเรื่อยๆ แล้วบังเอิญเจอบั๊กโผล่มาให้รางวัล แต่ความจริงมันตรงกันข้ามเลย นี่คือการทำงานที่มีระเบียบวิธีชัดเจน และหัวใจสำคัญที่สุดอยู่ที่ขั้นตอน "เลือกก่อนว่าจะไม่แตะอะไร" เพราะเวลาที่มีจำกัดและฟีเจอร์บนแพลตฟอร์มขนาดใหญ่อย่าง GitHub มีเป็นพันๆ อย่าง การกระโดดเข้าไปหาทุกจุดเท่ากับเสียเวลาเปล่าทั้งหมด
การที่ GitHub เอาบทสัมภาษณ์นี้มาเผยแพร่ผ่านบล็อกของตัวเองก็มีนัยอยู่เหมือนกัน มันคือการส่งสัญญาณว่าพวกเขาอยากได้นักวิจัยแบบไหน อยากได้คนที่คิดเป็นระบบ ไม่ใช่คนที่ยิงสแกนเนอร์ไปทั่วแล้วหวังว่าจะมีอะไรโผล่มาให้รางวัล
ถ้าถามผม สิ่งที่ข่าวนี้บอกจริงๆ ไม่ใช่เรื่องเทคนิคเจาะระบบ แต่เป็นเรื่องของ "วินัยในการเลือก" ซึ่งเป็นทักษะที่คนทำงานสายเทคทุกแขนงควรมี ไม่ว่าจะเป็นสาย dev สาย data หรือแม้แต่สายผลิตภัณฑ์ การรู้ว่าจะไม่ไปยุ่งกับอะไร สำคัญพอๆ กับรู้ว่าจะทำอะไร
และในวันที่บริษัทเทคยักษ์ใหญ่แข่งกันเปิดโปรแกรม Bug Bounty เพื่อดึงนักวิจัยเก่งๆ เข้าทีม วิธีคิดแบบนี้แหละที่จะแยกคนที่ได้รางวัลจริงออกจากคนที่ยิงสแกนเนอร์ไปทั่วแล้วนั่งรอ
บทเรียนจากนักล่าบั๊กคนนี้ไม่ใช่เรื่องเทคนิคเจาะระบบ แต่คือการเลือกอย่างมีกลยุทธ์ว่าจะลงแรงตรงไหน ซึ่งเป็นทักษะที่คนเทคทุกสายเอาไปใช้ได้หมด
ที่มา: GitHub Blog — อ่านต้นฉบับ
ความคิดเห็น 6
กำลังโหลดความคิดเห็น...