Программа bug bounty — это публичное обещание: сообщите об уязвимости по этим правилам, и с вами поступят честно и заплатят. Программы проваливаются, когда обещание дано раньше, чем организация способна его выполнять. Сообщения копятся без ответа, дубликаты и вывод сканеров хоронят под собой ценные находки, а исследователи уходят туда, где им отвечают.
Мы знаем программы со стороны исследователя, потому что сами в них работаем. Вашу программу мы готовим так, чтобы она привлекала нужных людей: объём, на который стоит тратить время, правила, которые защищают исследователя, вознаграждения, соответствующие последствиям, и ответы, приходящие в обещанный срок.
01Объём
Что мы проверяем
Оценка готовности: успеете ли вы исправить известные проблемы до исследователей
Политика программы: правила тестирования, исключения, условия раскрытия, safe harbour
Определение объёма и поэтапное расширение от закрытой программы к публичной
Таблица вознаграждений, привязанная к критичности и ценности актива
Выбор площадки или самостоятельная программа, если площадка нежелательна
Триаж: воспроизведение, устранение дубликатов, оценка критичности, отсев автоматически сгенерированных сообщений
Общение с исследователями, включая споры о критичности и вознаграждении
Передача в разработку: задачи с шагами воспроизведения и рекомендациями
Метрики: время ответа, время исправления, расходы на вознаграждения, качество сообщений
02Подход
Как выполняется работа
01
Готовность
Прежде чем что-либо объявлять, мы сами тестируем объём. То, что любой исследователь нашёл бы в первую неделю, исправляется заранее, чтобы вознаграждения платились за труднонаходимое.
02
Проектирование
Политика, объём и таблица вознаграждений готовятся вместе с вашими службами безопасности, юристами и финансами. Текст safe harbour следует формулировкам, признанным сообществом исследователей.
03
Закрытый запуск
Программа открывается для ограниченной группы приглашённых исследователей. Процессы отлаживаются при управляемом потоке сообщений.
04
Ведение
Мы рассматриваем каждое сообщение, воспроизводим его, оцениваем и передаём подтверждённые находки вашим инженерам. Исследователи получают ответ в срок, указанный в политике.
05
Расширение
Объём и аудитория растут, когда цифры показывают, что организация справляется: сроки ответа выдерживаются, исправления выходят, бюджет под контролем.
Это зависит от того, где находятся нужные вам исследователи, какие юрисдикции и способы выплат вам нужны и какую часть работы вы хотите отдать площадке. Один из вариантов — наша собственная площадка. Мы сравниваем её с остальными по тем же требованиям, прямо говорим об этом и не получаем комиссий ни от одной другой площадки.
Вы ищете уязвимости в программах, которыми управляете?
Нет. Управлять программой и получать от неё вознаграждения — конфликт интересов. Наши специалисты не направляют сообщения в программы, которые мы ведём или готовили.
Мы готовы к публичной программе?
Если у вас не было пентеста — нет. Начните с теста и закрытой программы. Публичный запуск на непроверенном объёме означает высокие вознаграждения за находки, которые дал бы проект с фиксированной стоимостью.
Как вы поступаете с сообщениями, сгенерированными AI-инструментами?
Каждое сообщение воспроизводится до того, как будет принято. Сообщение, которое не удаётся воспроизвести, закрывается с объяснением, кто бы или что бы его ни написало. Это указано в политике и само по себе сокращает число таких сообщений.