Et bug bounty-program er et offentlig løfte: Rapporter en sårbarhet etter disse reglene, så blir du behandlet rettferdig og får betalt. Programmer mislykkes når løftet gis før virksomheten er i stand til å holde det. Rapporter hoper seg opp uten svar, duplikater og resultater fra skannere begraver de gyldige funnene, og sikkerhetsforskerne går videre til programmer som svarer.
Vi kjenner programmer fra sikkerhetsforskerens side, fordi vi selv jakter i dem. Vi forbereder programmet ditt slik at det tiltrekker seg menneskene du vil ha: et omfang som er verdt tiden deres, regler som beskytter dem, belønninger som står i forhold til konsekvensen, og svar som kommer når de er lovet.
01Omfang
Hva vi tester
Modenhetsvurdering: kan de kjente problemene utbedres før sikkerhetsforskerne finner dem
Retningslinjer for programmet: regler for testing, unntak, vilkår for offentliggjøring, safe harbour
Definisjon av omfanget og gradvis utvidelse fra privat til offentlig
Belønningstabell knyttet til alvorlighetsgraden og til verdien av systemet
Valg av plattform, eller et program i egen drift der en plattform ikke er ønsket
Triage: gjenskaping, fjerning av duplikater, vurdering av alvorlighetsgrad, filtrering av automatiserte rapporter
Kommunikasjon med sikkerhetsforskere, også ved uenighet om alvorlighetsgrad og belønning
Overlevering til utviklingsteamet: saker med steg for å gjenskape og veiledning om utbedring
Måltall: svartid, tid til utbedring, forbruk på belønninger, kvaliteten på innsendingene
02Fremgangsmåte
Slik utføres arbeidet
01
Modenhet
Før noe kunngjøres, tester vi omfanget selv. Problemer som enhver sikkerhetsforsker ville funnet den første uken, utbedres først, slik at belønningene betales for det som er vanskelig å finne.
02
Utforming
Retningslinjer, omfang og belønningstabell utarbeides sammen med sikkerhets-, jus- og økonomiteamene dine. Teksten om safe harbour følger formuleringene som miljøet av sikkerhetsforskere anerkjenner.
03
Privat lansering
Programmet åpnes for en begrenset gruppe inviterte sikkerhetsforskere. Prosessene justeres mens mengden rapporter er håndterbar.
04
Drift
Vi triagerer hver rapport, gjenskaper den, vurderer den og sender bekreftede funn videre til ingeniørene dine. Sikkerhetsforskerne får svar innen fristen som står i retningslinjene.
05
Utvidelse
Omfanget og publikumet vokser når tallene viser at virksomheten henger med: Svartidene holdes, utbedringene leveres, budsjettet er under kontroll.
Poengsum og vektor for alvorlighetsgraden til hvert funn.
FIRST
06Spørsmål
Spørsmål om denne tjenesten
Hvilken plattform bør vi bruke?
Det avhenger av hvor sikkerhetsforskerne dine er, hvilke jurisdiksjoner og betalingsveier du trenger, og hvor mye av driften du vil at plattformen skal ta seg av. Ett av alternativene er vår egen plattform. Vi sammenligner den med de andre etter de samme kravene, sier dette rett ut og tar ingen provisjon fra noen annen plattform.
Jakter dere i programmene dere forvalter?
Nei. Å forvalte et program og tjene belønninger i det er en interessekonflikt. Spesialistene våre sender ikke rapporter til programmer som vi driver eller har forberedt.
Er vi klare for et offentlig program?
Hvis du ikke har hatt en penetrasjonstest, nei. Begynn med en test og et privat program. En offentlig lansering med et omfang som ikke er testet, betaler høye belønninger for funn som en vurdering til fast pris ville ha levert.
Hvordan håndterer dere rapporter som er generert av KI-verktøy?
Hver rapport gjenskapes før den godtas. En rapport som ikke kan gjenskapes, lukkes med en forklaring, uansett hvem eller hva som skrev den. Dette står i retningslinjene, og det virker avskrekkende på slike innsendinger fra første stund.
En offentlig kanal og en fungerende prosess for sårbarhetsrapporter utenfra: retningslinjer, security.txt, mottak, triage og koordinert offentliggjøring.