精鋭ハッカー部隊「レッドチーム」で堅牢性向上図るMS - 秘密の舞台裏に迫る

レッドチームとバグバウンティプログラムの違いは

昨今、ハッカーの参加を募り、さまざまな視点から脆弱性を探ってもらい、功績に応じて報奨金を支払う「バグバウンティプログラム」を活用する企業が増えた。Microsoftでも同様のプログラムを実施している。

社外ハッカーが多数参加するバグバウンティを実施しつつ、あえて社内にレッドチームを設置する意図とは何か。

バグバウンティでは、ブラックボックスによるテストが行われるが、社内組織であればソースコードを読むこと可能であり、その分有利と思われる。しかし、レッドチームは、ソースコードを読める点について大きな優位性を感じていない。

チームのメンバーであるAdam Zabrocki氏は、理由について「メンバーはアセンブリを流暢に読むことができる」と説明。「ソースコードで追いかけるよりも、リバースエンジニアリングを行い、アセンブリを追いかけた方が楽なことも多い（同氏）」と述べた。

（Security NEXT - 2018/10/12 ）ツイート