Zaprojektowanie, uruchomienie i prowadzenie Twojego programu bug bounty: polityka, zakres, tabela nagród, triage (wstępna ocena zgłoszeń) i komunikacja z badaczami.
Program bug bounty to publiczna obietnica: kto zgłosi podatność zgodnie z tymi zasadami, zostanie uczciwie potraktowany i otrzyma zapłatę. Programy upadają, gdy obietnica pada, zanim organizacja jest w stanie jej dotrzymać. Zgłoszenia piętrzą się bez odpowiedzi, duplikaty i wyniki skanerów zasypują rzeczywiste znaleziska, a badacze przechodzą do programów, które odpowiadają.
Znamy programy od strony badacza, bo sami w nich szukamy podatności. Twój program przygotowujemy tak, by przyciągał ludzi, na których Ci zależy: zakres wart ich czasu, zasady, które ich chronią, nagrody adekwatne do wpływu i odpowiedzi, które przychodzą w obiecanym terminie.
01Zakres
Co testujemy
Ocena gotowości: czy znane problemy da się usunąć, zanim znajdą je badacze
Polityka programu: zasady testowania, wyłączenia, warunki ujawniania, klauzula safe harbor
Określenie zakresu i stopniowe rozszerzanie programu z prywatnego na publiczny
Tabela nagród powiązana z istotnością i wartością zasobu
Wybór platformy albo program prowadzony samodzielnie, jeśli platforma nie jest pożądana
Komunikacja z badaczami, w tym spory o istotność i nagrodę
Przekazanie do zespołu inżynierów: tickety z krokami odtworzenia i wskazówkami dotyczącymi naprawy
Wskaźniki: czas odpowiedzi, czas naprawy, wydatki na nagrody, jakość zgłoszeń
02Podejście
Jak przebiega praca
01
Gotowość
Zanim cokolwiek ogłosimy, sami testujemy zakres. Problemy, które każdy badacz znalazłby w pierwszym tygodniu, są usuwane w pierwszej kolejności, tak aby nagrody były wypłacane za to, co trudno znaleźć.
02
Projekt
Politykę, zakres i tabelę nagród opracowujemy z Twoimi zespołami bezpieczeństwa, prawnym i finansowym. Treść klauzuli safe harbor opiera się na brzmieniu uznawanym przez społeczność badaczy.
03
Uruchomienie prywatne
Program zostaje otwarty dla ograniczonej grupy zaproszonych badaczy. Procesy dopracowujemy przy liczbie zgłoszeń, nad którą da się zapanować.
04
Prowadzenie
Każde zgłoszenie wstępnie oceniamy, odtwarzamy, ustalamy jego istotność i przekazujemy potwierdzone znaleziska Twoim inżynierom. Badacze otrzymują odpowiedź w terminie określonym w polityce.
05
Rozszerzanie
Zakres i krąg badaczy rosną, gdy liczby pokazują, że organizacja nadąża: terminy odpowiedzi są dotrzymywane, poprawki wdrażane, a budżet pozostaje pod kontrolą.
To zależy od tego, gdzie są Twoi badacze, jakich jurysdykcji i kanałów płatności potrzebujesz oraz jaką część prowadzenia programu ma przejąć platforma. Jedną z opcji jest nasza własna platforma. Porównujemy ją z innymi według tych samych wymagań, mówimy o tym otwarcie i nie pobieramy prowizji od żadnej innej platformy.
Czy szukacie podatności w programach, którymi zarządzacie?
Nie. Zarządzanie programem i zarabianie na jego nagrodach to konflikt interesów. Nasi specjaliści nie wysyłają zgłoszeń do programów, które prowadzimy lub przygotowaliśmy.
Czy nasza organizacja jest gotowa na program publiczny?
Jeśli nie masz za sobą testu penetracyjnego, to nie. Zacznij od testu i programu prywatnego. Publiczne uruchomienie na nieprzetestowanym zakresie oznacza wysokie nagrody za znaleziska, które dostarczyłaby ocena bezpieczeństwa za stałą cenę.
Co robicie ze zgłoszeniami wygenerowanymi przez narzędzia AI?
Każde zgłoszenie odtwarzamy, zanim je przyjmiemy. Zgłoszenie, którego nie da się odtworzyć, zamykamy z wyjaśnieniem, niezależnie od tego, kto lub co je napisało. Polityka mówi o tym wprost, co od początku zniechęca do wysyłania takich zgłoszeń.