Vai jūsu tīmekļvietnē var ielauzties? Pārbaudām to bez maksas.
Ja problēmas neatrodam, arī ziņojumu saņemat bez maksas. Par ziņojumu maksājat tikai tad, ja atrodam problēmas, un tā cena ir atkarīga no tā, cik to ir un cik tās ir nopietnas. Testējam tīmekļvietnes, lietotnes, infrastruktūru, MI sistēmas un viedos līgumus tā, kā to darītu īsts uzbrucējs.
Jūsu tīmekļvietnes pārbaude neko nemaksā. Ja ievainojamības neatrodam, arī ziņojums ir bez maksas. Par ziņojumu jāmaksā tikai tad, ja atrodam ievainojamības, un tā cena ir atkarīga no to skaita un bīstamības.
01
Jūs nosūtāt adresi
Un apliecināt, ka tīmekļvietne pieder jums. Pirms pārbaudes īpašnieks paraksta atļauju, kurā ir norādīta adrese un datumi.
02
Mēs pārbaudām tīmekļvietni
No ārpuses, kā to redz uzbrucējs, 1–5 darbdienu laikā pēc atļaujas parakstīšanas. Bez destruktīvām darbībām un neradot slodzi serverim.
03
Jūs saņemat rezultātu
Problēmu nav: ziņojums bez maksas. Problēmas atrastas: to skaits, bīstamība un ziņojuma cena. Ziņojumu saņemat uzreiz pēc apmaksas; atkārtota pārbaude pēc labojumiem ir bez maksas.
Ofensīvā drošība ir pakalpojums tikai tad, ja tā ir atļauta. Šie noteikumi attiecas uz katru projektu un katru bug bounty ziņojumu bez izņēmumiem.
01
Vispirms rakstiska atļauja
Testēšana sākas pēc tam, kad resursu īpašnieks ir parakstījis atļauju un tvērumu. Pārliecināmies, ka parakstītājam ir tiesības parakstīt.
02
Tvērums ir robeža
Skaram tikai to, kas ir uzskaitīts, un neko citu. Trešo personu sistēmas testējam tikai ar to operatora piekrišanu.
03
Tikai oficiālas programmas
Bug bounty jomā strādājam tikai oficiālās programmās atzītās platformās un precīzi ievērojam katras programmas politiku.
04
Pierādījumi, nevis viedokļi
Par konstatējumu ziņojam tad, kad tas ir reproducēts. Tam ir pievienoti pierādījumi, ietekmes apraksts, CVSS 4.0 vektors un novēršanas soļi.
05
Minimāla iejaukšanās
Ietekmi pierādām ar vismazāk traucējošo darbību, neskaram produkcijas vides datus un apstājamies, tiklīdz iestājas apturēšanas nosacījums.
06
Konfidencialitāte pēc noklusējuma
Konstatējumi pieder klientam. Bez rakstiskas piekrišanas neko neatklājam un nepublicējam.
03Pakalpojumi
Ko mēs testējam
No vienas tīmekļa lietotnes līdz pilnai uzbrucēja simulācijai. Katram pakalpojumam ir noteikta metode, noteikts rezultāts, ko nododam, un cena, ko fiksējam pirms darba sākuma.
AWS, Azure, Google Cloud un Kubernetes vides novērtējums: identitātes, tīkla atvērtība, datu krātuves un ceļi no pirmā atbalsta punkta līdz pilnai kontrolei.
Kontrolētas pikšķerēšanas, tālruņa zvanu un ziņojumapmaiņas kampaņas, kas mēra, kā reaģē cilvēki un procesi, ar rezultātiem pa grupām un nekad pēc vārdiem.
LLM lietotņu, aģentu un MCP integrāciju testēšana no uzbrucēja pozīcijas: uzvednes injekcijas, datu noplūde, rīku ļaunprātīga izmantošana un iziešana ārpus paredzētā uzdevuma.
Jūsu bug bounty programmas izstrāde, palaišana un uzturēšana: politika, tvērums, atlīdzību tabula, ziņojumu sākotnējā izvērtēšana un saziņa ar pētniekiem.
Publisks kanāls un strādājošs process ārēju ziņojumu par ievainojamībām pieņemšanai: politika, security.txt, saņemšana, sākotnējā izvērtēšana un koordinēta atklāšana.
Ielaušanās testēšana ar tādu tvērumu un dokumentāciju, lai tā kalpotu kā pierādījums PCI DSS, SOC 2, ISO/IEC 27001, DORA un NIS2 prasībām.
Programmas un kontrole
04Darba gaita
No pieteikuma līdz pārbaudītam labojumam
Tā notiek maksas projekts. Katrs solis noslēdzas ar dokumentu, kas paliek jums.
01
Pieteikums
Jūs aprakstāt sistēmas un mērķi. Klientu vadītājs atbild 1 darbdienas laikā.
Pieteikuma atsauces numurs
02
Tvēruma saskaņošana
Vienojamies par resursiem, izņēmumiem, testēšanas logiem, kontiem un kontaktpersonām. Jūs saņemat piedāvājumu ar metodoloģiju un fiksētu cenu.
Piedāvājums
03
Atļauja
Parakstām NDA, līgumu un atļaujas vēstuli. Pārbaudām jūsu mitināšanas pakalpojumu un mākoņpakalpojumu sniedzēju testēšanas politikas.
Atļaujas vēstule, testēšanas noteikumi
04
Testēšana
Manuāla testēšana ar rīku atbalstu. Par kritiskas un augstas bīstamības konstatējumiem ziņojam 24 stundu laikā pēc apstiprināšanas, negaidot noslēguma ziņojumu.
Steidzami paziņojumi par konstatējumiem
05
Ziņojums un noslēguma pārrunas
Vadības kopsavilkums, tehniskas detaļas inženieriem un kopīgs zvans, kurā rezultātus izskaidrojam gan vadībai, gan inženieriem.
Ziņojums
06
Atkārtota pārbaude
Kad labojumi ir ieviesti, katru konstatējumu pārbaudām atkārtoti 60 dienu laikā pēc ziņojuma nodošanas un izsniedzam apliecinājuma vēstuli.
Bez maksas. Par ziņojumu jāmaksā tikai tad, ja tiek atrastas ievainojamības; tā cena ir atkarīga no to skaita un bīstamības.
Novērtējums ar fiksētu tvērumu
Noteiktu resursu kopumu testējam vienreiz, ar ziņojumu un atkārtotu pārbaudi.
Piemērots
Jaunas versijas, auditi, due diligence, atbilstības termiņi.
Cena
Fiksēta cena par saskaņoto tvērumu.
Nepārtraukta testēšana
Pastāvīga komanda testē katru būtisku izmaiņu un pēc grafika atkārtoti pārbauda perimetru.
Piemērots
Produkti, kuru jaunas versijas iznāk katru nedēļu.
Cena
Ikmēneša maksa par saskaņotu testēšanas apjomu.
Maksa par rezultātu
Mūsu komandas privāta, laikā ierobežota ievainojamību meklēšana. Jūs maksājat par apstiprinātām ievainojamībām saskaņā ar iepriekš saskaņotu atlīdzību tabulu.
Piemērots
Nobriedušas sistēmas, kas jau ir testētas.
Cena
Atlīdzība par katru apstiprinātu konstatējumu budžeta robežās.
Programmas pārvaldība
Izstrādājam, palaižam un vadām jūsu bug bounty vai ievainojamību atklāšanas programmu: politika, tvērums, sākotnējā izvērtēšana un saziņa ar pētniekiem.
Piemērots
Uzņēmumi, kas atveras ārējiem pētniekiem.
Cena
Ieviešanas maksa un ikmēneša pārvaldības maksa.
07Bug bounty
Platforma, kurā par ievainojamībām maksā oficiāli
Īpašnieki publicē programmas un norāda atlīdzību. Pētnieki ziņo par ievainojamībām ar mūsu starpniecību, un atlīdzību viņiem izmaksājam mēs. Verificējam īpašnieku, izskatām katru ziņojumu un atbildam par naudu.
Programmu publicējam tikai pēc tam, kad tās īpašnieks ar dokumentiem ir pierādījis, ka sistēma pieder viņam.
Atlīdzības nosaka īpašnieks. Pētnieks saņem visu atlīdzību.
Mūsu komisijas maksa ir 20% no katras atlīdzības, un to maksā īpašnieks.
Katru ziņojumu izskatām, reproducējam un novērtējam CVSS 4.0 skalā.
Ziņojums paliek starp pētnieku, īpašnieku un mums.
08Standarti
Metodes, ko varat pārbaudīt
Strādājam pēc publiskiem standartiem, norādām to versiju un sasaistām konstatējumus ar tiem. Standarta ievērošana nenozīmē sertifikāciju pēc tā: sertifikāciju šajā vietnē norādām tikai kopā ar saiti, kur to var pārbaudīt.
Jā. Pati pārbaude neko nemaksā, un arī ziņojums ir bez maksas, ja ievainojamības netiek atrastas. Ja atrodam ievainojamības, to skaitu un bīstamību uzzināt bez maksas un izlemjat, vai iegādāties ziņojumu; tā cena ir atkarīga no konstatējumu skaita un bīstamības.
Vai ielaušanās testēšana ir likumīga?
Jā, ja sistēmas īpašnieks to ir rakstiski atļāvis. Bez atļaujas tās pašas darbības vairumā jurisdikciju ir noziedzīgs nodarījums. Tāpēc katrs projekts sākas ar atļaujas vēstuli un tvērumu, un mēs pārliecināmies, ka parakstītājam ir tiesības parakstīt.
Ar ko ielaušanās tests atšķiras no bug bounty?
Ielaušanās tests ir laikā ierobežots novērtējums, ko nolīgta komanda veic saskaņotā tvērumā, un tā ziņojums aptver visu, kas testēts. Bug bounty ir beztermiņa programma, kurā neatkarīgi pētnieki saņem atlīdzību par derīgiem konstatējumiem. Pirmais sniedz pārliecību par stāvokli noteiktā brīdī, otrais – nepārtrauktu ievainojamību meklēšanu. Nobriedušas organizācijas izmanto abus.
Vai testēšana traucēs produkcijas vides darbību?
To, kas ir atļauts, nosaka testēšanas noteikumi: testēšanas logi, pieprasījumu biežums, izslēgtie paņēmieni un apturēšanas nosacījumi. Pakalpojuma atteices (DoS) testus neveicam, ja vien jūs tos rakstiski nepieprasāt. Ja novērojam nestabilitāti, apstājamies un zvanām jūsu kontaktpersonai.
Kā tiek noteikta cena?
Pēc tvēruma lieluma un sarežģītības, testēšanas dziļuma un nodrošinātās piekļuves. Pēc tvēruma saskaņošanas saņemat fiksētu cenu; tā mainās tikai tad, ja mainās tvērums.
Kas notiek ar mūsu datiem?
Vācam tikai tik daudz pierādījumu, cik nepieciešams konstatējuma pierādīšanai. Darba datus glabājam šifrētus un iznīcinām 30 dienas pēc projekta slēgšanas. Ziņojumus nododam pa iepriekš saskaņotu drošu kanālu.
Vai parakstāt NDA?
Jā. NDA parakstām, pirms jūs sniedzat jebkādas detaļas par savām sistēmām.