Positive Technologies заплатит 500 тысяч рублей за обход защиты своих WAF

• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• СУБД в эпоху ИИ
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

26 Октября 2026 15:07 26 Окт 2026 15:07 |

Positive Technologies объявила о расширении программы поиска уязвимостей на платформе Standoff Bug Bounty и предложила независимым исследователям безопасности вознаграждение до 500 тыс. рублей за успешный обход защиты своих продуктов класса WAF (Web Application Firewall). PT Application Firewall Pro (PT AF PRO) и PT Application Firewall Cloud (PT AF Cloud) стали первыми российскими решениями этого класса, разработчики которых открыто предложили белым хакерам вознаграждение за обнаружение способов обхода механизмов защиты веб-приложений.

Ранее программы Bug Bounty были ориентированы преимущественно на поиск уязвимостей в программном коде и инфраструктуре продуктов. Теперь исследователи смогут проверить эффективность самих защитных механизмов. В частности, найти способы проведения атак, которые WAF не сможет обнаружить или заблокировать, обойти правила фильтрации трафика или детекторы вредоносных запросов. Такие сценарии представляют особый интерес, поскольку даже при отсутствии уязвимостей в самом продукте недостатки механизмов обнаружения могут позволить злоумышленникам проникнуть в защищаемые веб-приложения.

В рамках программ проверяются три ключевых компонента решений: фильтрующее ядро, отвечающее за обработку веб-трафика, правила и механизмы обнаружения атак, а также управляющий слой (control plane), через который осуществляется настройка и администрирование защиты. Исследователи могут тестировать различные способы обхода фильтрации, в том числе с использованием специально модифицированных HTTP-запросов, нестандартных форматов передачи данных и других техник, позволяющих скрыть вредоносную активность от WAF.

Размер выплат зависит от критичности обнаруженной проблемы и ее потенциального влияния на безопасность защищаемых ресурсов. В программе PT Application Firewall PRO вознаграждение за находки высокого уровня опасности составляет от 150 до 300 тыс. руб., критического — от 300 до 500 тыс. руб. Для PT AF Cloud предусмотрены выплаты от 50 до 200 тыс. руб. за уязвимости высокого уровня опасности и до 500 тыс. руб. за критические.

«Мы предлагаем исследователям проверить на прочность не только программный код наших решений, но и саму экспертизу, на которой строится защита веб-приложений. Для российского рынка WAF это новый подход к независимому тестированию. Мы исходим из того, что даже самые совершенные механизмы защиты могут иметь ограничения, поэтому готовы платить за обнаружение реальных способов их обхода. Каждую подтвержденную находку наши специалисты подробно разбирают, изучают использованную технику и на ее основе совершенствуют правила и детекторы. Это позволяет развивать защиту с учетом методов, которые потенциально могут использовать реальные злоумышленники», — отметил Антон Жаболенко, директор по продуктам AppSec и WAF Positive Technologies.

Low/no-code-революция: новая архитектура цифровой независимости Конференция

Открытое тестирование становится частью постоянного развития продуктов Positive Technologies. Привлечение независимых исследователей позволяет проверять устойчивость WAF к новым сценариям атак и выявлять ограничения защитных механизмов до того, как они приведут к инцидентам у заказчиков. Полученные результаты используются для доработки продуктов и обновления экспертизы обнаружения киберугроз.

Принять участие в программах могут независимые исследователи информационной безопасности. Подробные условия, допустимые сценарии тестирования и размеры вознаграждений опубликованы на платформе Standoff Bug Bounty: PT Application Firewall Pro и PT AF Cloud.