Jautājumi un atbildes

Jā, ja sistēmas īpašnieks to ir rakstiski atļāvis. Bez atļaujas tās pašas darbības vairumā jurisdikciju ir noziedzīgs nodarījums. Tāpēc katrs projekts sākas ar atļaujas vēstuli un tvērumu, un mēs pārliecināmies, ka parakstītājam ir tiesības parakstīt.

Sistēmas īpašnieks vai persona, ko īpašnieks ir pilnvarojis: parasti direktors vai drošības vai tehnoloģiju vadītājs, kas rīkojas ar uzņēmuma piešķirtu pilnvarojumu. Apstiprinājumu lūdzam pa uzņēmuma oficiālu kanālu.

Jūsu – par to, ko pārvaldāt jūs, un pakalpojumu sniedzēja politika – par platformu, uz kuras tas darbojas. Lielie pakalpojumu sniedzēji publicē testēšanas politikas, kas atļauj testēt jūsu pašu resursus bez iepriekšējas saskaņošanas, un uzskaita, kas ir aizliegts. Pirms katra projekta pārbaudām pašreizējo politiku.

Tikai ar piegādātāja rakstisku piekrišanu. Jūsu līgums ar piegādātāju nedod jums tiesības atļaut uzbrukumu tā sistēmām, ja vien tas līgumā nav tieši noteikts.

Tas ir atkarīgs no tvēruma. Piedāvājumā ir norādīts testēšanas dienu skaits un kalendāra datumi; abus saskaņojam pirms līguma parakstīšanas.

To, kas ir atļauts, nosaka testēšanas noteikumi: testēšanas logi, pieprasījumu biežums, izslēgtie paņēmieni un apturēšanas nosacījumi. Pakalpojuma atteices (DoS) testus neveicam, ja vien jūs tos rakstiski nepieprasāt. Ja novērojam nestabilitāti, apstājamies un zvanām jūsu kontaktpersonai.

Kontaktpersona, testa konti, sistēmas apraksts un, ja iespējams, vide, kas atbilst produkcijas videi. Katra pakalpojuma lapā ir norādīts, kas vajadzīgs šim pakalpojumam.

Jūs informējam 24 stundu laikā pēc apstiprināšanas pa sākumā saskaņoto drošo kanālu un sniedzam pietiekami daudz detaļu, lai jūs varētu rīkoties. Noslēguma ziņojumu negaidām.

Vadības kopsavilkums, tvērums un metode, katrs konstatējums ar pierādījumiem, reproducēšanas soļiem, CVSS 4.0 vektoru, CWE klasi un labojumu, uzbrukuma ceļi un novēršanas plāns, sakārtots pēc prioritātes.

Jā. Iekļauta ir viena katra konstatējuma atkārtota pārbaude 60 dienu laikā pēc ziņojuma nodošanas. Pēc tās saņemat atjauninātu ziņojumu un apliecinājuma vēstuli.

Apliecinājuma vēstule ir rakstīta tieši šim nolūkam: tajā norādīts, kas, kad un ar kādu metodi testēts un kāds ir rezultāts, bez tehniskām detaļām. Pilno ziņojumu varat kopīgot pēc saviem ieskatiem.

Nē. Tests parāda tvērumā iekļauto sistēmu stāvokli testēšanas logā saskaņotajā dziļumā. Tas samazina risku un pierāda, kas ir pārbaudīts; tas nevar pierādīt, ka ievainojamību nav. Sistēmas mainās ar katru jauno versiju, tāpēc pastāv atkārtota pārbaude un nepārtraukta testēšana.

Katram konstatējumam ir pievienots konkrēts labojums, un noslēguma pārrunas ir paredzētas jūsu inženieru jautājumiem. Paši jūsu sistēmas nemainām: tam, kas testē, nevajadzētu būt tam, kas labo.

Jā. Pārbaude neko nemaksā, un arī ziņojums ir bez maksas, ja ievainojamības netiek atrastas. Ja atrodam ievainojamības, to skaitu un bīstamību uzzināt bez maksas un izlemjat, vai iegādāties ziņojumu. Tā cena ir atkarīga no konstatējumu skaita un bīstamības, un to paziņojam, pirms jūs pieņemat lēmumu.

Nekas. Jūs neko neesat parādā, un tas, ko atradām, paliek konfidenciāls: nevienam to nenododam un neko nepublicējam. Par pazīmēm, ka tīmekļvietnē jau ir ielauzušies, jums ziņojam nekavējoties un bez maksas.

Pēc tvēruma lieluma un sarežģītības, testēšanas dziļuma un nodrošinātās piekļuves. Pēc tvēruma saskaņošanas saņemat fiksētu cenu; tā mainās tikai tad, ja mainās tvērums.

Jā. NDA parakstām, pirms jūs sniedzat jebkādas detaļas par savām sistēmām.

Sarakstāmies un ziņojumus rakstām angļu un krievu valodā. Pieteikumu var uzrakstīt jebkurā šīs vietnes valodā; atbildam angļu vai krievu valodā. Ziņojuma vadības kopsavilkums otrā no šīm valodām ir pieejams pēc pieprasījuma.

Darba datus iznīcinām 30 dienas pēc projekta slēgšanas. Ziņojumu glabājam tik ilgi, cik noteikts līgumā, un pēc tam dzēšam.

Īpašnieki publicē programmas un nosaka atlīdzības pēc tam, kad ar dokumentiem ir pierādījuši, ka sistēma pieder viņiem. Pētnieki ziņo par ievainojamībām ar platformas starpniecību. Mēs izskatām katru ziņojumu un izmaksājam atlīdzību. Mūsu komisijas maksa ir 20% no katras atlīdzības, un to maksā īpašnieks.

Ielaušanās tests ir laikā ierobežots novērtējums, ko nolīgta komanda veic saskaņotā tvērumā, un tā ziņojums aptver visu, kas testēts. Bug bounty ir beztermiņa programma, kurā neatkarīgi pētnieki saņem atlīdzību par derīgiem konstatējumiem. Pirmais sniedz pārliecību par stāvokli noteiktā brīdī, otrais – nepārtrauktu ievainojamību meklēšanu.

Ja jums vēl nav bijis ielaušanās testa, nē. Sāciet ar testu un privātu programmu. Publiska programma netestētā tvērumā maksā lielas atlīdzības par konstatējumiem, ko būtu sniedzis novērtējums par fiksētu cenu.

Nemaksājiet spiediena ietekmē un nedraudiet. Apstipriniet saņemšanu, palūdziet tehniskās detaļas un pārbaudiet apgalvojumu. Mēs varam pārbaudīt ziņojumu, novērtēt tā bīstamību un palīdzēt jums atbildēt: nosūtiet pieteikumu ar veidlapu un norādiet, ka jums ir neizskatīts ziņojums.