Klausimai ir atsakymai

Taip, jei sistemos savininkas tam davė rašytinį leidimą. Be leidimo tie patys veiksmai daugumoje jurisdikcijų yra nusikalstama veika. Todėl kiekvienas projektas prasideda rašytiniu leidimu ir apimtimi, o mes patikriname, ar pasirašantis asmuo turi teisę pasirašyti.

Sistemos savininkas arba jo įgaliotas asmuo: paprastai direktorius arba saugumo ar technologijų vadovas, veikiantis pagal įmonės suteiktą įgaliojimą. Patvirtinimo prašome oficialiu įmonės kanalu.

Jūsų – tam, ką valdote patys, o po jomis esančiai platformai taikoma paslaugų teikėjo politika. Didieji paslaugų teikėjai skelbia testavimo politikas, kurios leidžia testuoti jūsų pačių išteklius be išankstinio pritarimo, ir išvardija, kas draudžiama. Prieš kiekvieną projektą patikriname galiojančią politiką.

Tik su rašytiniu tiekėjo sutikimu. Jūsų sutartis su tiekėju nesuteikia jums teisės leisti atakuoti jo sistemas, nebent tai joje nurodyta.

Tai priklauso nuo apimties. Pasiūlyme nurodomas testavimo dienų skaičius ir kalendorinės datos; abu suderinami prieš pasirašant sutartį.

Kas leidžiama, apibrėžia testavimo taisyklės: testavimo langai, užklausų dažnis, neleidžiamos technikos ir sustabdymo sąlygos. Paslaugos trikdymo (DoS) testų niekada neatliekame, nebent to paprašote raštu. Pastebėję nestabilumą, sustojame ir skambiname jūsų kontaktiniam asmeniui.

Kontaktinio asmens, testinių paskyrų, sistemos aprašymo ir, geriausia, aplinkos, atitinkančios gamybinę. Kiekvienos paslaugos puslapyje išvardyta, ko reikia tai paslaugai.

Pradžioje suderintu saugiu kanalu jus informuojame per 24 valandas nuo patvirtinimo ir pateikiame pakankamai detalių, kad galėtumėte imtis veiksmų. Galutinės ataskaitos nelaukiame.

Santrauką vadovams, apimtį ir metodą, kiekvieną radinį su įrodymais, atkūrimo žingsniais, CVSS 4.0 vektoriumi, CWE klase ir pataisymu, atakos kelius ir šalinimo planą, surikiuotą pagal prioritetą.

Taip. Įskaičiuotas vienas pakartotinis kiekvieno radinio testavimas per 60 dienų nuo ataskaitos pateikimo. Po jo gaunate atnaujintą ataskaitą ir patvirtinimo raštą.

Patvirtinimo raštas parašytas būtent tam: jame nurodyta, kas testuota, kada, kokiu metodu ir koks rezultatas, be techninių detalių. Visa ataskaita priklauso jums, ir ja galite dalytis savo nuožiūra.

Ne. Testas parodo į apimtį patenkančių sistemų būklę testavimo lango metu, suderintu gyliu. Jis sumažina riziką ir įrodo, kas buvo patikrinta; jis negali įrodyti, kad pažeidžiamumų nėra. Sistemos keičiasi su kiekviena nauja versija, todėl ir yra pakartotinis bei nuolatinis testavimas.

Kiekvienam radiniui pateikiamas konkretus pataisymas, o rezultatų aptarimo pokalbis skirtas jūsų inžinierių klausimams. Patys jūsų sistemų nekeičiame: tas, kas testuoja, neturėtų būti tas, kas taiso.

Taip. Patikra nieko nekainuoja, kaip ir ataskaita, jei pažeidžiamumų nerandame. Jei randame pažeidžiamumų, jų skaičių ir pavojingumą sužinote nemokamai ir sprendžiate, ar pirkti ataskaitą. Jos kaina priklauso nuo radinių skaičiaus ir pavojingumo ir nurodoma prieš jums priimant sprendimą.

Nieko. Nieko mums nesate skolingi, o tai, ką radome, lieka konfidencialu: niekam to neperduodame ir nieko neskelbiame. Apie požymius, kad į svetainę jau įsilaužta, pranešame jums nedelsdami ir nemokamai.

Pagal apimties dydį ir sudėtingumą, testavimo gylį ir suteiktą prieigą. Nustatę apimtį, pateikiame fiksuotą kainą; ji keičiasi tik pasikeitus apimčiai.

Taip. NDA pasirašome prieš jums pateikiant bet kokias detales apie savo sistemas.

Susirašinėjame ir ataskaitas rašome anglų ir rusų kalbomis. Užklausą galima parašyti bet kuria šios svetainės kalba; atsakome anglų arba rusų kalba. Paprašius galima gauti ataskaitos santrauką vadovams antrąja kalba.

Darbinius duomenis sunaikiname praėjus 30 dienų nuo projekto užbaigimo. Ataskaita saugoma tiek, kiek numatyta sutartyje, tada ištrinama.

Savininkai, dokumentais patvirtinę, kad sistema yra jų, skelbia programas ir nurodo atlygius. Tyrėjai praneša apie pažeidžiamumus per platformą. Išnagrinėjame kiekvieną pranešimą ir išmokame atlygį. Mūsų komisinis mokestis – 20 % kiekvieno atlygio, jį moka savininkas.

Įsilaužimų testas – tai laiko ribotas vertinimas, kurį pagal suderintą apimtį atlieka samdoma komanda; ataskaitoje aprašoma viskas, kas testuota. „Bug bounty“ – tai neterminuota programa, kurioje nepriklausomi tyrėjai gauna atlygį už pagrįstus radinius. Pirmasis suteikia saugumo užtikrinimą tam tikru momentu, antroji leidžia nuolat aptikti pažeidžiamumus.

Jei įsilaužimų testo dar nebuvo, ne. Pradėkite nuo testo ir privačios programos. Viešai paleista programa netestuotai apimčiai moka didelius atlygius už radinius, kuriuos būtų pateikęs fiksuotos kainos vertinimas.

Nemokėkite spaudžiami ir negrasinkite. Patvirtinkite pranešimo gavimą, paprašykite techninių detalių ir patikrinkite teiginį. Galime patikrinti pranešimą, įvertinti jo pavojingumą ir padėti jums atsakyti: pateikite užklausą per formą ir nurodykite, kad pranešimas laukia atsakymo.