Bug bounty programm on avalik lubadus: teatage turvanõrkusest nende reeglite järgi ja teid koheldakse õiglaselt ning teile makstakse. Programmid ebaõnnestuvad, kui lubadus antakse enne, kui organisatsioon suudab seda pidada. Raportid kuhjuvad vastuseta, duplikaadid ja skannerite väljund matavad kehtivad leiud enda alla ning uurijad liiguvad edasi programmidesse, mis vastavad.
Tunneme programme uurija vaatenurgast, sest otsime neis ise turvanõrkusi. Valmistame teie programmi ette nii, et see tõmbaks ligi inimesi, keda soovite: ulatus, mis on nende aega väärt, reeglid, mis neid kaitsevad, preemiad, mis vastavad mõjule, ja vastused, mis saabuvad lubatud ajal.
01Ulatus
Mida me testime
Valmisoleku hindamine: kas teadaolevad probleemid saab parandada enne, kui uurijad need leiavad
Programmi poliitika: testimise reeglid, välistused, avalikustamise tingimused, safe harbour
Ulatuse määratlemine ja järkjärguline laiendamine privaatsest programmist avalikuks
Preemiatabel, mis on seotud raskusastme ja vara väärtusega
Platvormi valik või ise hallatav programm, kui platvormi ei soovita
Suhtlus uurijatega, sealhulgas vaidlused raskusastme ja preemia üle
Üleandmine arendusmeeskonnale: ülesanded taasesitamise sammude ja parandusjuhistega
Mõõdikud: vastamisaeg, parandamise aeg, preemiakulu, raportite kvaliteet
02Lähenemisviis
Kuidas töö käib
01
Valmisolek
Enne kui midagi välja kuulutatakse, testime ulatust ise. Probleemid, mille iga uurija esimesel nädalal leiaks, parandatakse esimesena, et preemiaid makstaks selle eest, mida on raske leida.
02
Kavandamine
Poliitika, ulatus ja preemiatabel koostatakse koos teie turva-, õigus- ja finantsmeeskonnaga. Safe harbour’i tekst järgib sõnastust, mida uurijate kogukond tunnustab.
03
Privaatne käivitamine
Programm avatakse piiratud rühmale kutsutud uurijatele. Protsesse kohandatakse ajal, mil raporteid tuleb veel hallataval hulgal.
04
Haldamine
Vaatame iga raporti läbi, taasesitame selle, hindame selle raskusastet ja edastame kinnitatud leiud teie inseneridele. Uurijad saavad vastuse poliitikas nimetatud aja jooksul.
05
Laiendamine
Ulatus ja uurijate ring kasvavad, kui arvud näitavad, et organisatsioon tuleb toime: vastamisajad peavad, parandused jõuavad kohale, eelarve on kontrolli all.
See sõltub sellest, kus teie uurijad on, milliseid jurisdiktsioone ja makseviise vajate ning kui suure osa haldamisest soovite platvormile jätta. Üks võimalustest on meie oma platvorm. Võrdleme seda teistega samade nõuete alusel, ütleme seda otse välja ega võta üheltki teiselt platvormilt komisjonitasu.
Kas otsite turvanõrkusi programmides, mida haldate?
Ei. Programmi haldamine ja sellest preemiate teenimine on huvide konflikt. Meie spetsialistid ei saada raporteid programmidesse, mida me haldame või oleme ette valmistanud.
Kas oleme avalikuks programmiks valmis?
Kui teil ei ole läbistustesti tehtud, siis ei. Alustage testi ja privaatse programmiga. Avalik käivitamine testimata ulatusega maksab suuri preemiaid leidude eest, mille oleks andnud fikseeritud hinnaga hindamine.
Kuidas käsitlete AI-tööriistadega loodud raporteid?
Iga raport taasesitatakse enne, kui see vastu võetakse. Raport, mida ei saa taasesitada, suletakse selgitusega, olenemata sellest, kes või mis selle kirjutas. Poliitikas on see kirjas ja see heidutab selliseid raporteid juba eos.
Avalik kanal ja toimiv protsess väljastpoolt tulevate turvanõrkuste raportite jaoks: poliitika, security.txt, vastuvõtt, läbivaatamine ja koordineeritud avalikustamine.