Uma empresa está expandindo seu programa de superfície de ameaças e permitindo que indivíduos testem a segurança do aplicativo da empresa voltado para a internet. A empresa compensará os pesquisadores com base nas vulnerabilidades descobertas. Qual das seguintes opções melhor descreve o programa que a empresa está configurando?

Um programa de bug bounty (recompensa por bugs) é um acordo onde indivíduos podem descobrir e relatar vulnerabilidades em um sistema ou software de uma organização em troca de reconhecimento e/ou compensação financeira. Isso se encaixa perfeitamente na descrição de permitir que indivíduos testem a segurança do aplicativo voltado para a internet e compensá-los por vulnerabilidades descobertas. Inteligência de código aberto (OSINT) é a coleta de informações de fontes publicamente disponíveis, não o teste de segurança de aplicativos. Uma equipe vermelha (red team) simula ataques de adversários reais para testar as defesas de uma organização, mas geralmente é composta por profissionais contratados ou internos, não indivíduos externos em um programa de recompensa. Testes de penetração são avaliações de segurança autorizadas para encontrar vulnerabilidades, mas são tipicamente mais focados e limitados em escopo do que um programa contínuo de bug bounty.