Progettazione, avvio e gestione del tuo programma di bug bounty: politica, perimetro, tabella delle ricompense, triage e comunicazione con i ricercatori.
Programmi e verifiche
Un programma di bug bounty è una promessa pubblica: segnala una vulnerabilità secondo queste regole e riceverai un trattamento equo e un pagamento. I programmi falliscono quando la promessa viene fatta prima che l’organizzazione sia in grado di mantenerla. Le segnalazioni si accumulano senza risposta, i duplicati e l’output degli scanner seppelliscono i rilievi validi, e i ricercatori passano ai programmi che rispondono.
Conosciamo i programmi dal lato del ricercatore, perché anche noi vi cerchiamo vulnerabilità. Prepariamo il tuo in modo che attiri le persone che vuoi: un perimetro che valga il loro tempo, regole che le proteggano, ricompense commisurate all’impatto e risposte che arrivano quando promesso.
01Perimetro
02Approccio
Prima di annunciare qualsiasi cosa testiamo noi stessi il perimetro. I problemi che qualsiasi ricercatore troverebbe nella prima settimana vengono corretti per primi, così le ricompense vengono pagate per ciò che è difficile da trovare.
Politica, perimetro e tabella delle ricompense vengono redatti con i tuoi team di sicurezza, legale e finanza. Il testo del safe harbor segue la formulazione riconosciuta dalla comunità dei ricercatori.
Il programma si apre a un gruppo ristretto di ricercatori invitati. I processi vengono messi a punto con un volume di segnalazioni gestibile.
Eseguiamo il triage di ogni segnalazione, la riproduciamo, ne valutiamo la gravità e passiamo i rilievi confermati al tuo team tecnico. I ricercatori ricevono una risposta entro il tempo indicato nella politica.
Perimetro e pubblico crescono quando i numeri mostrano che l’organizzazione tiene il passo: tempi di risposta rispettati, correzioni consegnate, budget sotto controllo.
03
04
05Standard
Come un’organizzazione riceve le segnalazioni e pubblica i bollettini di sicurezza.
ISO/IEC
Come una vulnerabilità segnalata viene analizzata e risolta internamente.
ISO/IEC
Formulazione di riferimento del safe harbor per la ricerca in buona fede.
disclose.io
Formato del file security.txt.
IETF
Punteggio e vettore di gravità di ogni rilievo.
FIRST
06Domande
Dipende da dove si trovano i tuoi ricercatori, da quali giurisdizioni e canali di pagamento ti servono e da quanta parte della gestione vuoi affidare alla piattaforma. Una delle opzioni è la nostra piattaforma. La confrontiamo con le altre in base agli stessi requisiti, lo diciamo apertamente e non riceviamo commissioni da nessun’altra piattaforma.
No. Gestire un programma e guadagnare ricompense dallo stesso programma è un conflitto di interessi. I nostri specialisti non inviano segnalazioni ai programmi che gestiamo o che abbiamo preparato.
Se non hai mai fatto un penetration test, no. Inizia con un test e un programma privato. Un avvio pubblico su un perimetro non testato paga ricompense elevate per rilievi che una valutazione a prezzo fisso avrebbe fornito.
Ogni segnalazione viene riprodotta prima di essere accettata. Una segnalazione che non si riesce a riprodurre viene chiusa con una spiegazione, chiunque o qualunque cosa l’abbia scritta. La politica lo dichiara, e questo scoraggia in partenza questo tipo di segnalazioni.
08Richiesta
Codice di riferimento
Conserva il codice: lo indichiamo in tutte le comunicazioni successive con te.
Nella prima risposta non chiediamo mai pagamenti, password o accesso remoto.