Positive Technologies заплатит до 500 тысяч рублей за обход своих WAF

Positive Technologies приглашает независимых исследователей проверить на прочность свои файрволы уровня приложений. Интерес представляют не классические уязвимости в коде, а именно обходы средств защиты: как злоумышленник может проскочить мимо правил детектирования и добраться до веб-приложений за спиной WAF.

Программа охватывает два продукта — PT Application Firewall PRO и PT Application Firewall Cloud. За обнаружение нестандартных способов обойти фильтрацию, найти слабые места в логике обработки HTTP-запросов или атаковать управляющий слой предусмотрены выплаты до 500 тысяч рублей. Для аппаратной и облачной версий действуют разные сетки вознаграждений: за находки высокой степени опасности в PT AF PRO выплачивают от 150 до 300 тысяч рублей, а за критические — от 300 до 500 тысяч. В облачной программе высокий уровень оценивается в 50–200 тысяч рублей, критический — также до полумиллиона.

От исследователей ждут воспроизводимые сценарии с реальным практическим риском, а не теоретические выкладки или сырые отчёты автоматических сканеров. Итоговая сумма вознаграждения напрямую зависит от подтверждённого влияния находки на безопасность инфраструктуры.

Директор по продуктам AppSec и WAF Антон Жаболенко уточнил, что полученные результаты лягут в основу доработки правил и детекторов. Такой подход позволяет выявить те векторы атак, которые сложно смоделировать в лабораторных условиях без взгляда со стороны реального атакующего.

Российский рынок WAF и ставка на реальные обходы

Отечественные файрволы уровня приложений сегодня работают в высоконагруженных средах — от финансовых организаций до госсектора и онлайн-ритейла. Именно эти индустрии чаще всего сталкиваются с целевыми атаками, где злоумышленники специально ищут способы обмануть сигнатуры WAF, используя нестандартные кодировки, дробление запросов или атаки на логику самого фильтра. Программа Positive Technologies — редкий для российского рынка случай, когда вендор публично стимулирует поиск обходов именно защитного слоя. Это сигнал рынку: производитель готов проверять свой продукт в условиях, приближенных к реальной работе в контуре заказчика, и оперативно закрывать незаметные для внутренних аудитов бреши.

Что делать владельцам PT Application Firewall

Даже если компания не участвует в поиске уязвимостей, стоит следить за обновлениями правил и детекторов, которые выйдут по итогам программы. Полезно свериться с текущей конфигурацией WAF: убедиться, что включены все актуальные политики инспекции трафика, и проверить, не используются ли устаревшие исключения, ослабляющие фильтрацию. Результаты независимых исследований могут подсветить векторы, которые раньше не считались приоритетными, поэтому регулярный аудит настроек файрвола стоит проводить чаще.