Domande e risposte

Sì, se il proprietario del sistema lo ha autorizzato per iscritto. Senza autorizzazione le stesse azioni sono un reato nella maggior parte delle giurisdizioni. Per questo ogni incarico inizia con una lettera di autorizzazione e un perimetro, e per questo verifichiamo che il firmatario abbia il potere di firmare.

Il proprietario del sistema o una persona a cui il proprietario ha conferito il potere di farlo: di solito un amministratore, oppure un responsabile della sicurezza o della tecnologia che agisce in base a un potere conferito dalla società. Chiediamo una conferma tramite un canale ufficiale della società.

La tua, per ciò che gestisci tu, e la politica del fornitore per la piattaforma sottostante. I grandi fornitori pubblicano politiche di test che consentono di testare le tue risorse senza approvazione preventiva ed elencano ciò che è vietato. Controlliamo la politica in vigore prima di ogni incarico.

Solo con il consenso scritto del fornitore. Il tuo contratto con un fornitore non ti dà il diritto di autorizzare un attacco ai suoi sistemi, a meno che non lo preveda espressamente.

Dipende dal perimetro. La proposta indica il numero di giorni di test e le date di calendario; entrambi sono concordati prima della firma del contratto.

Le regole di ingaggio definiscono che cosa è consentito: finestre di test, frequenza delle richieste, tecniche escluse e condizioni di arresto. I test di denial of service (DoS) non vengono mai eseguiti, a meno che tu non li richieda per iscritto. Se osserviamo instabilità, ci fermiamo e chiamiamo il tuo referente.

Un referente, account di test, una descrizione del sistema e, idealmente, un ambiente che corrisponde alla produzione. La pagina di ogni servizio elenca ciò che serve a quel servizio.

Ti informiamo entro 24 ore dalla conferma, tramite il canale sicuro concordato all’inizio, con dettagli sufficienti per agire. Non aspettiamo il report finale.

Una sintesi per la direzione, il perimetro e il metodo, ogni rilievo con prove, passaggi per la riproduzione, vettore CVSS 4.0, classe CWE e correzione, i percorsi di attacco e un piano di correzione ordinato per priorità.

Sì. Un retest di ogni rilievo è incluso entro 60 giorni dalla consegna del report. Dopo il retest ricevi un report aggiornato e una lettera di attestazione.

La lettera di attestazione è scritta a questo scopo: indica che cosa è stato testato, quando, con quale metodo e con quale esito, senza dettagli tecnici. Il report completo è tuo e puoi condividerlo come ritieni opportuno.

No. Un test mostra lo stato dei sistemi nel perimetro durante la finestra di test, alla profondità concordata. Riduce il rischio e dimostra che cosa è stato controllato; non può dimostrare che non esista alcuna vulnerabilità. I sistemi cambiano a ogni rilascio: per questo esistono il retest e i test continui.

Ogni rilievo è accompagnato da una correzione specifica, e la chiamata di debriefing serve per le domande dei tuoi ingegneri. Non modifichiamo noi i tuoi sistemi: chi testa non dovrebbe essere chi corregge.

Sì. La verifica non costa nulla, e nemmeno il report se non emergono vulnerabilità. Se troviamo vulnerabilità, scopri gratuitamente il loro numero e la loro gravità e decidi se acquistare il report. Il suo prezzo dipende dal numero e dalla gravità dei rilievi ed è indicato prima che tu decida.

Nulla. Non devi nulla, e ciò che abbiamo trovato resta riservato: non lo trasmettiamo a nessuno e non pubblichiamo nulla. I segni che il sito è già stato violato ti vengono comunicati subito e gratuitamente.

In base alle dimensioni e alla complessità del perimetro, alla profondità dei test e all’accesso fornito. Dopo la definizione del perimetro ricevi un prezzo fisso; cambia solo se cambia il perimetro.

Sì. L’NDA viene firmato prima che tu condivida qualsiasi dettaglio sui tuoi sistemi.

Comunichiamo per iscritto e scriviamo i report in inglese e in russo. Una richiesta può essere scritta in qualsiasi lingua di questo sito; la risposta arriva in inglese o in russo. Su richiesta è disponibile una sintesi per la direzione del report nell’altra lingua.

I dati di lavoro vengono distrutti 30 giorni dopo la chiusura dell’incarico. Il report viene conservato per il periodo previsto dal contratto e poi cancellato.

I proprietari pubblicano i programmi e indicano le ricompense, dopo aver dimostrato con documenti che il sistema è loro. I ricercatori segnalano le vulnerabilità tramite la piattaforma. Esaminiamo ogni segnalazione e paghiamo la ricompensa. La nostra commissione: 20% di ogni ricompensa, a carico del proprietario.

Un penetration test è una valutazione a tempo limitato, svolta da un team incaricato su un perimetro concordato, con un report che copre tutto ciò che è stato testato. Un bug bounty è un programma senza scadenza in cui ricercatori indipendenti vengono ricompensati per i rilievi validi. Il primo offre una verifica in un momento preciso, il secondo una scoperta continua.

Se non hai mai fatto un penetration test, no. Inizia con un test e un programma privato. Un lancio pubblico su un perimetro non testato paga ricompense alte per rilievi che una valutazione a prezzo fisso avrebbe individuato.

Non pagare sotto pressione e non minacciare. Conferma la ricezione, chiedi i dettagli tecnici e verifica quanto affermato. Possiamo verificare la segnalazione, valutarne la gravità e aiutarti a rispondere: invia una richiesta tramite il modulo e indica che c’è una segnalazione in attesa.