Ein Bug-Bounty-Programm ist ein öffentliches Versprechen: Melden Sie eine Schwachstelle nach diesen Regeln, und Sie werden fair behandelt und bezahlt. Programme scheitern, wenn das Versprechen gegeben wird, bevor die Organisation es halten kann. Meldungen bleiben unbeantwortet liegen, Duplikate und Scanner-Ausgaben verschütten die gültigen Befunde, und die Sicherheitsforscher wechseln zu Programmen, die antworten.
Wir kennen Programme aus Sicht der Sicherheitsforscher, weil wir selbst in ihnen nach Schwachstellen suchen. Wir bereiten Ihr Programm so vor, dass es die Menschen anzieht, die Sie gewinnen wollen: ein Prüfumfang, der ihre Zeit wert ist, Regeln, die sie schützen, Prämien, die der Auswirkung entsprechen, und Antworten, die zur zugesagten Zeit kommen.
01Umfang
Was wir testen
Prüfung der Bereitschaft: ob sich die bekannten Probleme beheben lassen, bevor Sicherheitsforscher sie finden
Richtlinie des Programms: Testregeln, Ausschlüsse, Bedingungen der Offenlegung, Safe Harbor
Festlegung des Prüfumfangs und schrittweise Erweiterung von privat zu öffentlich
Prämientabelle, gekoppelt an den Schweregrad und an den Wert des Systems
Wahl der Plattform oder ein selbst betriebenes Programm, wo keine Plattform gewünscht ist
Triage: Reproduktion, Erkennung von Duplikaten, Bewertung des Schweregrads, Filtern automatisierter Meldungen
Kommunikation mit Sicherheitsforschern, einschließlich Streitfällen um Schweregrad und Prämie
Übergabe an die Entwicklung: Tickets mit Schritten zur Reproduktion und Hinweisen zur Behebung
Kennzahlen: Reaktionszeit, Zeit bis zur Behebung, Ausgaben für Prämien, Qualität der Meldungen
02Vorgehen
Wie die Arbeit abläuft
01
Bereitschaft
Bevor etwas angekündigt wird, testen wir den Prüfumfang selbst. Probleme, die jeder Sicherheitsforscher in der ersten Woche finden würde, werden zuerst behoben, damit Prämien für das gezahlt werden, was schwer zu finden ist.
02
Konzeption
Richtlinie, Prüfumfang und Prämientabelle werden mit Ihren Teams für Sicherheit, Recht und Finanzen entworfen. Der Text der Safe-Harbor-Klausel folgt den Formulierungen, die die Forschungsgemeinschaft anerkennt.
03
Privater Start
Das Programm öffnet sich für eine begrenzte Gruppe eingeladener Sicherheitsforscher. Die Prozesse werden bei einer überschaubaren Zahl von Meldungen justiert.
04
Betrieb
Wir prüfen jede Meldung, reproduzieren und bewerten sie und geben bestätigte Befunde an Ihr technisches Team weiter. Sicherheitsforscher erhalten eine Antwort innerhalb der Frist, die in der Richtlinie steht.
05
Erweiterung
Prüfumfang und Teilnehmerkreis wachsen, wenn die Zahlen zeigen, dass die Organisation mithält: Reaktionszeiten eingehalten, Behebungen geliefert, Budget unter Kontrolle.
Schweregrad jedes Befunds als Punktwert und Vektor.
FIRST
06Fragen
Fragen zu dieser Leistung
Welche Plattform sollten wir nutzen?
Das hängt davon ab, wo Ihre Sicherheitsforscher sind, welche Rechtsordnungen und Zahlungswege Sie brauchen und wie viel vom Betrieb die Plattform übernehmen soll. Eine der Optionen ist unsere eigene Plattform. Wir vergleichen sie mit den anderen nach denselben Anforderungen, sagen das offen und nehmen von keiner anderen Plattform eine Provision.
Suchen Sie selbst nach Schwachstellen in den Programmen, die Sie betreuen?
Nein. Ein Programm zu betreuen und daraus Prämien zu verdienen, ist ein Interessenkonflikt. Unsere Spezialisten reichen keine Meldungen bei Programmen ein, die wir betreiben oder vorbereitet haben.
Sind wir bereit für ein öffentliches Programm?
Wenn Sie noch keinen Penetrationstest hatten, nein. Beginnen Sie mit einem Test und einem privaten Programm. Ein öffentlicher Start auf einem ungetesteten Prüfumfang zahlt hohe Prämien für Befunde, die eine Prüfung zum Festpreis geliefert hätte.
Wie gehen Sie mit Meldungen um, die von KI-Werkzeugen erzeugt wurden?
Jede Meldung wird reproduziert, bevor sie angenommen wird. Eine Meldung, die sich nicht reproduzieren lässt, wird mit einer Begründung geschlossen, egal wer oder was sie geschrieben hat. Die Richtlinie sagt das, und das schreckt solche Einsendungen von vornherein ab.
Ein öffentlicher Kanal und ein funktionierender Prozess für Meldungen über Schwachstellen von außen: Richtlinie, security.txt, Eingang, Triage und koordinierte Offenlegung.