Küsimused ja vastused

Jah, kui süsteemi omanik on selleks andnud kirjaliku loa. Ilma loata on samad tegevused enamikus jurisdiktsioonides kuritegu. Seepärast algab iga projekt kirjaliku loa ja ulatusega ning me kontrollime, et allkirjastajal on õigus allkirjastada.

Süsteemi omanik või isik, keda omanik on selleks volitanud: tavaliselt juhatuse liige või turvalisuse või tehnoloogia juht, kes tegutseb ettevõtte antud volituse alusel. Küsime kinnitust ettevõtte ametliku kanali kaudu.

Selle kohta, mida te ise haldate, on vaja teie luba; selle all oleva platvormi kohta kehtib pakkuja poliitika. Suured pakkujad avaldavad testimispoliitikad, mis lubavad testida teie enda ressursse ilma eelneva kooskõlastuseta, ja loetlevad, mis on keelatud. Kontrollime enne iga projekti kehtivat poliitikat.

Ainult tarnija kirjalikul nõusolekul. Teie leping tarnijaga ei anna teile õigust lubada rünnakut tema süsteemidele, kui see lepingus nii kirjas ei ole.

See sõltub ulatusest. Pakkumuses on kirjas testimispäevade arv ja kalendrikuupäevad; mõlemad lepitakse kokku enne lepingu allkirjastamist.

Testimise reeglid määravad, mis on lubatud: testimisaknad, päringute sagedus, välistatud tehnikad ja peatamistingimused. Teenusetõkestuse teste ei tehta kunagi, kui te seda kirjalikult ei taotle. Kui märkame ebastabiilsust, peatame töö ja helistame teie kontaktisikule.

Kontaktisikut, testkontosid, süsteemi kirjeldust ja võimaluse korral keskkonda, mis vastab tootmiskeskkonnale. Iga teenuse lehel on loetletud, mida see teenus vajab.

Teid teavitatakse 24 tunni jooksul pärast leiu kinnitamist, projekti alguses kokku lepitud turvalise kanali kaudu ja nii üksikasjalikult, et saate tegutseda. Me ei oota lõpparuannet.

Kokkuvõte juhtkonnale, ulatus ja meetod, iga leid koos tõendite, taasesitamise sammude, CVSS 4.0 vektori, CWE klassi ja parandusega, ründeteed ning prioriteedi järgi järjestatud parandusplaan.

Jah. Iga leiu üks kordustest 60 päeva jooksul pärast aruande üleandmist kuulub hinna sisse. Pärast seda saate uuendatud aruande ja kinnituskirja.

Kinnituskiri on kirjutatud just selleks: selles on kirjas, mida, millal, millise meetodiga ja millise tulemusega testiti, ilma tehniliste üksikasjadeta. Täielikku aruannet võite jagada oma äranägemise järgi.

Ei. Test näitab ulatusse kuuluvate süsteemide seisundit testimisakna ajal ja kokkulepitud sügavusel. See vähendab riski ja tõendab, mida kontrolliti; see ei saa tõendada, et turvanõrkusi ei ole. Süsteemid muutuvad iga uue versiooniga ja seepärast on olemas kordustest ja pidev testimine.

Iga leiuga kaasneb konkreetne parandus ja tulemuste arutelu on mõeldud teie inseneride küsimuste jaoks. Me ei muuda teie süsteeme ise: see, kes testib, ei peaks olema see, kes parandab.

Jah. Kontroll ei maksa midagi ja kui turvanõrkusi ei leita, on tasuta ka aruanne. Kui leiame turvanõrkusi, saate tasuta teada nende arvu ja raskusastme ning otsustate, kas aruanne osta. Selle hind sõltub leidude arvust ja raskusastmest ning see on teile teada enne, kui otsustate.

Mitte midagi. Te ei võlgne midagi ja leitu jääb konfidentsiaalseks: me ei anna seda kellelegi edasi ega avalda midagi. Kui näeme märke, et veebilehele on juba sisse murtud, teatame sellest teile kohe ja tasuta.

Hind sõltub ulatuse suurusest ja keerukusest, testimise sügavusest ja antud juurdepääsust. Pärast ulatuse kokkuleppimist saate fikseeritud hinna; see muutub ainult siis, kui muutub ulatus.

Jah. NDA allkirjastatakse enne, kui jagate meiega oma süsteemide kohta ühtki üksikasja.

Suhtleme ja kirjutame aruandeid inglise ja vene keeles. Päringu võib kirjutada selle veebilehe mis tahes keeles; vastus tuleb inglise või vene keeles. Soovi korral saate aruande kokkuvõtte juhtkonnale ka teises neist kahest keelest.

Tööandmed hävitatakse 30 päeva pärast projekti lõpetamist. Aruannet säilitatakse nii kaua, kui lepingus on kirjas, ja seejärel see kustutatakse.

Omanikud avaldavad programme ja määravad preemiad, kui nad on dokumentidega tõendanud, et süsteem kuulub neile. Uurijad teatavad turvanõrkustest platvormi kaudu. Vaatame iga raporti läbi ja maksame preemia välja. Meie komisjonitasu on 20% igast preemiast ja selle maksab omanik.

Läbistustest on lepingu alusel töötava meeskonna ajaliselt piiratud hindamine kokkulepitud ulatuses ning selle aruanne hõlmab kõike, mida testiti. Bug bounty programm on tähtajatu programm, milles sõltumatud uurijad saavad preemia kehtivate leidude eest. Esimene annab kindluse kindlal ajahetkel, teine võimaldab turvanõrkusi pidevalt avastada.

Kui teil ei ole läbistustesti tehtud, siis ei. Alustage testist ja privaatsest programmist. Kui avalik programm käivitatakse testimata ulatusega, makstakse suuri preemiaid leidude eest, mille oleks andnud ka fikseeritud hinnaga hindamine.

Ärge makske surve all ja ärge ähvardage. Kinnitage kättesaamist, küsige tehnilisi üksikasju ja kontrollige väidet. Me saame raporti üle kontrollida, hinnata selle raskusastet ja aidata teil vastata: saatke päring vormi kaudu ja mainige, et raport ootab vastust.