Voiko verkkosivustollesi murtautua? Tarkastamme sen maksutta.
Jos emme löydä ongelmia, saat myös raportin maksutta. Maksat raportista vain, jos löydämme ongelmia, ja sen hinta riippuu siitä, kuinka monta niitä on ja kuinka vakavia ne ovat. Testaamme verkkosivustoja, sovelluksia, infrastruktuuria, tekoälyjärjestelmiä ja älysopimuksia samalla tavalla kuin todellinen hyökkääjä.
Verkkosivustosi tarkastus ei maksa mitään. Jos emme löydä haavoittuvuuksia, myös raportti on maksuton. Raportista maksetaan vain, jos löydämme haavoittuvuuksia, ja sen hinta riippuu niiden määrästä ja vakavuudesta.
01
Lähetät osoitteen
Vahvistat samalla, että verkkosivusto on sinun. Ennen tarkastusta omistaja allekirjoittaa luvan, jossa on verkkosivuston osoite ja päivämäärät.
02
Tarkastamme verkkosivuston
Tarkastamme sen ulkopuolelta, niin kuin hyökkääjä sen näkee, 1–5 työpäivän kuluessa luvan allekirjoittamisesta. Emme tee tuhoavia toimenpiteitä emmekä kuormita palvelinta.
03
Saat tuloksen
Jos ongelmia ei ole: maksuton raportti. Jos ongelmia löytyy: niiden määrä, niiden vakavuus ja raportin hinta. Raportti toimitetaan heti maksun jälkeen; uusintatestaus korjausten jälkeen on maksuton.
Hyökkäävä tietoturva on palvelu vain silloin, kun siihen on lupa. Nämä säännöt koskevat poikkeuksetta jokaista toimeksiantoa ja jokaista bug bounty -raporttia.
01
Ensin kirjallinen lupa
Testaus alkaa, kun kohteen omistaja on allekirjoittanut luvan ja testauksen laajuuden. Varmistamme, että allekirjoittajalla on oikeus allekirjoittaa.
02
Laajuus on raja
Testaamme vain luetellut kohteet emmekä mitään muuta. Kolmansien osapuolten järjestelmiä testataan vain niiden ylläpitäjän suostumuksella.
03
Vain viralliset ohjelmat
Bug bounty -työssä toimimme ainoastaan virallisissa ohjelmissa vakiintuneilla alustoilla ja noudatamme jokaisen ohjelman käytäntöä kirjaimellisesti.
04
Todisteet ennen mielipiteitä
Havainto raportoidaan, kun se on toistettu. Siihen liitetään todiste, vaikutus, CVSS 4.0 -vektori ja korjausohjeet.
05
Pienin mahdollinen jalanjälki
Osoitamme vaikutuksen vähiten tunkeilevalla toimenpiteellä, emme koske tuotantodataan ja keskeytämme työn, kun keskeytysehto täyttyy.
06
Luottamuksellisuus oletuksena
Havainnot kuuluvat asiakkaalle. Mitään ei paljasteta eikä julkaista ilman kirjallista suostumusta.
03Palvelut
Mitä testaamme
Yksittäisestä verkkosovelluksesta kattavaan hyökkäyssimulaatioon. Jokaisella palvelulla on määritelty menetelmä, määritelty lopputulos ja kiinteä hinta, joka sovitaan ennen työn alkua.
REST-, GraphQL-, gRPC- ja WebSocket-rajapintojen testaus: puutteelliset käyttöoikeustarkistukset, tietojen paljastuminen ja liiketoimintaprosessien väärinkäyttö.
iOS- ja Android-sovellusten testaus yhdessä niiden taustajärjestelmän kanssa: tietojen tallennus, tiedonsiirto, vuorovaikutus alustan kanssa ja suojaus peukalointia vastaan.
AWS-, Azure-, Google Cloud- ja Kubernetes-ympäristöjen arviointi: identiteetit, verkon altistuminen, tietovarastot ja polut ensimmäisestä jalansijasta täyteen hallintaan.
Verkkojen ja Active Directoryn ulkoinen ja sisäinen penetraatiotestaus: näkyvillä olevasta palvelusta tai yksittäisestä työasemasta toimialueen hallintaan.
Hallitut tietojenkalastelu-, puhelin- ja viestikampanjat, jotka mittaavat, miten ihmiset ja prosessit reagoivat, ja joiden tulokset raportoidaan ryhmittäin eikä koskaan nimeltä.
Julkinen kanava ja toimiva prosessi ulkopuolelta tuleville haavoittuvuusraporteille: käytäntö, security.txt, vastaanotto, käsittely ja koordinoitu julkistaminen.
Penetraatiotestaus, jonka laajuus ja dokumentointi kelpaavat näytöksi PCI DSS:n, SOC 2:n, ISO/IEC 27001:n, DORAn ja NIS2:n vaatimuksiin.
Ohjelmat ja varmennus
04Toimeksiannon kulku
Pyynnöstä varmistettuun korjaukseen
Näin maksullinen toimeksianto etenee. Jokainen vaihe päättyy asiakirjaan, joka jää sinulle.
01
Pyyntö
Kuvailet järjestelmät ja tavoitteen. Asiakaspäällikkö vastaa 1 työpäivän kuluessa.
Pyynnön viite
02
Laajuuden määrittely
Sovimme kohteista, rajauksista, testausikkunoista, käyttäjätileistä ja yhteyshenkilöistä. Saat tarjouksen, jossa on menetelmä ja kiinteä hinta.
Tarjous
03
Lupa
Salassapitosopimus (NDA), sopimus ja kirjallinen testauslupa allekirjoitetaan. Hosting- ja pilvipalveluntarjoajiesi testauskäytännöt tarkistetaan.
Kirjallinen testauslupa, testauksen säännöt
04
Testaus
Käsin tehtävää testausta työkalujen tukemana. Vakavuudeltaan kriittisistä ja korkeista havainnoista ilmoitetaan 24 tunnin kuluessa vahvistamisesta, eikä niitä jätetä odottamaan loppuraporttia.
Kiireelliset ilmoitukset havainnoista
05
Raportti ja tulosten läpikäynti
Johdon yhteenveto, tekniset yksityiskohdat teknisille tiimeille ja läpikäyntipuhelu molempien kanssa.
Raportti
06
Uusintatestaus
Kun korjaukset on otettu käyttöön, testaamme jokaisen havainnon uudelleen 60 päivän kuluessa raportin toimittamisesta ja annamme testaustodistuksen.
Suunnittelemme, käynnistämme ja ylläpidämme bug bounty -ohjelmasi tai haavoittuvuuksien ilmoitusohjelmasi: käytäntö, laajuus, raporttien käsittely ja viestintä tutkijoiden kanssa.
Sopii
Yritykset, jotka avautuvat ulkopuolisille tutkijoille.
Hinnoittelu
Käyttöönottomaksu ja kuukausittainen hallintamaksu.
07Bug bounty
Alusta, jolla haavoittuvuuksista maksetaan virallisesti
Omistajat julkaisevat ohjelmia ja ilmoittavat palkkion. Tutkijat raportoivat haavoittuvuudet meidän kauttamme, ja me maksamme heille. Varmennamme omistajan, tutkimme jokaisen raportin ja vastaamme rahoista.
Ohjelma julkaistaan vasta, kun sen omistaja on osoittanut asiakirjoilla, että järjestelmä on hänen.
Omistaja määrittää palkkiot. Tutkija saa koko palkkion.
Provisiomme on 20 % jokaisesta palkkiosta, ja sen maksaa omistaja.
Jokainen raportti tutkitaan, toistetaan ja pisteytetään CVSS 4.0 -asteikolla.
Raportti pysyy tutkijan, omistajan ja meidän välisenä.
08Standardit
Menetelmät, jotka voit tarkistaa
Työskentelemme julkisten standardien mukaan, kerromme niiden version ja yhdistämme havainnot niihin. Standardin noudattaminen ei ole sama asia kuin sertifiointi sen mukaan: sertifikaatti mainitaan tällä sivustolla vain yhdessä linkin kanssa, josta sen voi tarkistaa.
On. Itse tarkastus ei maksa mitään, eikä myöskään raportti, jos haavoittuvuuksia ei löydy. Jos löydämme haavoittuvuuksia, saat maksutta tiedon niiden määrästä ja vakavuudesta ja päätät, ostatko raportin; sen hinta riippuu havaintojen määrästä ja vakavuudesta.
Onko penetraatiotestaus laillista?
On, kun järjestelmän omistaja on antanut siihen kirjallisen luvan. Ilman lupaa samat toimet ovat rikos useimmissa oikeusjärjestelmissä. Siksi jokainen toimeksianto alkaa kirjallisesta testausluvasta ja laajuuden määrittelystä, ja siksi varmistamme, että allekirjoittajalla on valtuudet allekirjoittaa.
Mitä eroa on penetraatiotestillä ja bug bountylla?
Penetraatiotesti on sopimuksella tilatun tiimin aikarajattu arviointi sovitussa laajuudessa, ja sen raportti kattaa kaiken testatun. Bug bounty on toistaiseksi jatkuva ohjelma, jossa riippumattomat tutkijat saavat palkkion pätevistä havainnoista. Ensimmäinen antaa varmuuden tietyllä hetkellä, jälkimmäinen paljastaa haavoittuvuuksia jatkuvasti. Kypsät organisaatiot käyttävät molempia.
Häiritseekö testaus tuotantoa?
Testauksen säännöt määrittävät, mikä on sallittua: testausikkunat, pyyntöjen määrä aikayksikössä, poissuljetut tekniikat ja keskeytysehdot. Palvelunestotestausta ei koskaan tehdä, ellet pyydä sitä kirjallisesti. Jos havaitsemme epävakautta, keskeytämme testauksen ja soitamme yhteyshenkilöllesi.
Miten hinta määräytyy?
Laajuuden koon ja monimutkaisuuden, testauksen syvyyden ja annettujen käyttöoikeuksien perusteella. Laajuuden määrittelyn jälkeen saat kiinteän hinnan; se muuttuu vain, jos laajuus muuttuu.
Mitä tiedoillemme tapahtuu?
Keräämme vain sen vähimmäismäärän todisteita, joka tarvitaan havainnon osoittamiseen. Työaineisto säilytetään salattuna ja hävitetään 30 päivän kuluttua toimeksiannon päättymisestä. Raportit toimitetaan etukäteen sovitun suojatun kanavan kautta.
Allekirjoitatteko salassapitosopimuksen (NDA)?
Kyllä. Salassapitosopimus allekirjoitetaan, ennen kuin kerrot meille mitään yksityiskohtia järjestelmistäsi.