Bug bounty -ohjelma on julkinen lupaus: raportoi haavoittuvuus näiden sääntöjen mukaan, niin sinua kohdellaan reilusti ja sinulle maksetaan. Ohjelmat epäonnistuvat, kun lupaus annetaan, ennen kuin organisaatio pystyy pitämään sen. Raportit kasautuvat vastaamattomina, duplikaatit ja skannerien tulosteet hautaavat pätevät havainnot alleen, ja tutkijat siirtyvät ohjelmiin, joissa vastataan.
Tunnemme ohjelmat tutkijan näkökulmasta, koska etsimme niistä haavoittuvuuksia itsekin. Valmistelemme ohjelmasi niin, että se houkuttelee haluamiasi ihmisiä: laajuus, joka on heidän aikansa arvoinen, säännöt, jotka suojaavat heitä, palkkiot, jotka vastaavat vaikutusta, ja vastaukset, jotka tulevat luvatussa ajassa.
01Laajuus
Mitä testaamme
Valmiuden arviointi: voidaanko tunnetut ongelmat korjata, ennen kuin tutkijat löytävät ne
Ohjelman käytäntö: testauksen säännöt, rajaukset, julkistamisen ehdot, safe harbour
Laajuuden määrittely ja vaiheittainen laajentaminen yksityisestä ohjelmasta julkiseen
Palkkiotaulukko, joka on sidottu vakavuuteen ja kohteen arvoon
Alustan valinta tai oma ohjelma, jos alustaa ei haluta
Ennen kuin mitään julkistetaan, testaamme laajuuden itse. Ongelmat, jotka kuka tahansa tutkija löytäisi ensimmäisellä viikolla, korjataan ensin, jotta palkkioita maksetaan siitä, mitä on vaikea löytää.
02
Suunnittelu
Käytäntö, laajuus ja palkkiotaulukko laaditaan yhdessä tietoturva-, lakiasiain- ja taloustiimiesi kanssa. Safe harbour -lauseke noudattaa tutkijayhteisön tunnustamaa sanamuotoa.
03
Yksityinen käynnistys
Ohjelma avataan rajatulle joukolle kutsuttuja tutkijoita. Prosesseja säädetään, kun raporttien määrä on vielä hallittavissa.
04
Toiminta
Käsittelemme jokaisen raportin: toistamme sen, luokittelemme sen ja välitämme vahvistetut havainnot kehittäjillesi. Tutkijat saavat vastauksen käytännössä ilmoitetussa ajassa.
05
Laajentaminen
Laajuus ja osallistujajoukko kasvavat, kun luvut osoittavat organisaation pysyvän tahdissa: vastausajat pitävät, korjaukset valmistuvat, budjetti on hallinnassa.
Se riippuu siitä, missä tutkijasi ovat, mitä oikeusjärjestyksiä ja maksureittejä tarvitset ja kuinka suuren osan ohjelman hoidosta haluat alustan kantavan. Yksi vaihtoehdoista on oma alustamme. Vertaamme sitä muihin samoin vaatimuksin, kerromme tämän suoraan emmekä ota provisiota miltään muulta alustalta.
Etsittekö haavoittuvuuksia ohjelmista, joita hallinnoitte?
Emme. Ohjelman hallinnointi ja palkkioiden ansaitseminen samasta ohjelmasta ovat eturistiriita. Asiantuntijamme eivät lähetä raportteja ohjelmiin, joita hoidamme tai joita olemme valmistelleet.
Olemmeko valmiita julkiseen ohjelmaan?
Jos penetraatiotestiä ei ole tehty, ette ole. Aloita testillä ja yksityisellä ohjelmalla. Jos julkinen ohjelma käynnistetään testaamattomalle laajuudelle, se maksaa suuria palkkioita havainnoista, jotka kiinteähintainen arviointi olisi tuottanut.
Miten käsittelette tekoälytyökaluilla tuotettuja raportteja?
Jokainen raportti toistetaan, ennen kuin se hyväksytään. Raportti, jota ei voida toistaa, suljetaan perusteluineen riippumatta siitä, kuka tai mikä sen kirjoitti. Käytäntö kertoo tämän, mikä jo sinänsä vähentää tällaisten raporttien lähettämistä.
Julkinen kanava ja toimiva prosessi ulkopuolelta tuleville haavoittuvuusraporteille: käytäntö, security.txt, vastaanotto, käsittely ja koordinoitu julkistaminen.