Menedzselt nyilvános bug bounty
Menedzselt nyilvános bug bounty program.
Nyisson a szélesebb etikus hacker közösség felé úgy, hogy a Hackrate támogatja a jelentések validálását és a kutatói kommunikációt. A vállalat világos tesztelési szabályokkal, jutalmazási kerettel és javítási kapacitással ad működő hátteret a nyilvános részvételnek.
Szélesebb részvétel. Szakértői jelentéskezelés.
A CSAPATHOZ ILLŐ MŰKÖDÉS
Mit jelent a menedzselt nyilvános bug bounty?
A nyilvános bug bounty program szabályai szélesebb kutatói kör számára megismerhetők, a részvételt pedig a meghirdetett feltételek határozzák meg. A menedzselt működésben a Hackrate ellenőrzi az egyeztetett csatornán érkező jelentéseket, tisztázza a technikai kérdéseket, és koordinálja a kutatóval folytatott párbeszédet. Az ellenőrzött megállapítások így a vállalati felelősökhöz kerülhetnek.
Ez a kombináció akkor lehet hasznos, ha a vállalat változatos kutatói megközelítéseket szeretne bevonni, de a napi jelentéskezeléshez támogatást keres. A szélesebb elérhetőség nem jelent korlátlan engedélyt: kizárólag a meghirdetett célrendszerek és módszerek vizsgálhatók. A részvétel mennyisége és a bejelentések üteme változó lehet, ezért a programnak technikai és szervezeti oldalon is működő keretekre van szüksége.
A bug bounty alapjaiTovábbi kutatói nézőpontok
A program szélesebb közösség számára válhat elérhetővé. A különböző tapasztalatok segíthetik a szokatlan felhasználási módok és támadási útvonalak feltárását, meghatározott tesztlefedettség ígérete nélkül.
Szakértői értékelés a beérkező jelentéseknél
A Hackrate az egyeztetett szolgáltatás szerint vizsgálja a relevanciát, a bizonyítékot, a reprodukciót és a duplikációkat. A vállalati csapat a technikai háttérrel együtt kaphatja meg a megállapításokat.
Következetes kutatói kapcsolat
A nyilvános programban fontos az érthető döntés és a megfelelő állapotjelzés. A koordinált egyeztetés a pontosítástól a javítási kérdésekig összeköti a kutatót és a kijelölt vállalati szereplőket.
Felülvizsgálható programkeretek
A hatókör, a jutalmazás és a kezelési szabályok a tapasztalatok alapján módosíthatók. A változások kommunikációját és a már megkezdett kutatásra gyakorolt hatását előre rendezni kell.
A SZABÁLYZATTÓL A JAVÍTÁSIG
A felkészített indulástól a folyamatos működésig.
A hatókör, a részvétel és a döntési pontok előre rögzítendők. Az operatív feladatokat a választott működtetési modell szerint kell a megfelelő felelőshöz rendelni.
Indulási felkészültség
Áttekintik a hatókört, a korábban ismert hibákat, a jutalmazási keretet és a javítási kapacitást. A vállalat kijelöli a döntési pontokat, a Hackrate-tel pedig rögzítik az operatív támogatást.
Szabályzat és nyilvános indulás
Közzéteszik a részvételi feltételeket, a tesztelési korlátokat és a jelentési elvárásokat. A program nem ad engedélyt a hatókörön kívüli vagy tiltott tevékenységekre.
Jelentésvalidálás és koordináció
A Hackrate megvizsgálja a bejelentéseket, kéri a szükséges pontosítást, és segíti a kutatói egyeztetést. A vállalat a saját rendszerismeretével támogatja a hatás értékelését.
Javítás és programfelülvizsgálat
A vállalat kezeli a jutalmazást és a javítási döntéseket az egyeztetett folyamat szerint. A tapasztalatok alapján áttekintik a hatókört, a visszatérő hibákat és a működtetési terhelést.
Két döntés. Négy kombináció.
Ki működteti a programot?
Ki vehet részt benne?
A menedzselt vagy saját kezelésű modell az operatív feladatokról szól. A privát vagy nyilvános jelző a kutatói részvételt határozza meg. Válassza ki mindkét dimenziót a csapata igényei alapján.
Menedzselt privát bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Meghívott kutatói körrel.
A program részleteiSaját kezelésű privát bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Meghívott kutatói körrel.
A program részleteiMenedzselt nyilvános bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Szélesebb részvétellel, a publikált szabályok szerint.
Jelenlegi programmodellSaját kezelésű nyilvános bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Szélesebb részvétellel, a publikált szabályok szerint.
A program részleteiFELKÉSZÜLTSÉG ÉS KAPACITÁS
Felkészült a szélesebb részvételre?
A részvételi kör és a támogatás megválasztása mellett a belső döntésekre, a javításra és a program fenntartására is szükség van.
A modell akkor illeszkedhet, ha
- Érett termékhez keres folyamatos, változatos kutatói visszajelzést.
- A program nyilvánossá tételéhez validálási és koordinációs támogatást szeretne.
- A vállalat képes következetesen dönteni a validált megállapításokról és a jutalmakról.
Indulás előtt legyen biztosított
- A nyilvános szabályzat világosan meghatározza a hatókört és a tiltott tevékenységeket.
- A jutalmazás, az adatkezelés és az ismétlődő jelentések kezelése előre tervezett.
- A belső csapat a változó bejelentési terhelés mellett is tudja priorizálni és javítani a hibákat.
VILÁGOS MŰKÖDTETÉSI FELELŐSSÉGEK
A nyilvános program is pontos hozzáférési és döntési szabályokra épül.
A nyilvános elérhetőség a részvétel módját jelenti, nem a vállalati adatok vagy a teljes infrastruktúra korlátlan megnyitását. Rögzíteni kell a vizsgálható felületeket, a tesztfiókok használatát, az érzékeny adatok kezelését és a kutatás leállításának feltételeit. A személyazonosítás követelményei programspecifikusak; nem szabad minden nyilvános kutatóról automatikusan KYC-ellenőrzést állítani.
A Hackrate által végzett validálás mellett is szükség van a vállalati terméktulajdonosra, mérnöki kapcsolatra és döntéshozóra. A kritikus információt a kijelölt belső csapathoz kell továbbítani, miközben a további értékelés folytatódik. A kutatási jutalom, a javítás és a nyilvános közzététel külön döntési folyamatot igényelhet.
TELJES KÖLTSÉGTERVEZÉS
Készüljön a változó részvételre is.
A költségterv foglalja magában a platformot és a menedzselt működtetést, a kutatói jutalmak fedezetét és a belső javítás erőforrásait. A nyilvános részvételhez tartozó jelentésmennyiség nem vezethető le pusztán a kutatók számából vagy a program címkéjéből.
A jutalmazási sávok, az elfogadható hibatípusok és a duplikációs szabályok segítenek következetes döntéseket hozni. Az induláskor egyeztetett hatókört és támogatást a tényleges tapasztalatok alapján érdemes felülvizsgálni, a változásokat pedig világosan kommunikálni.
MINDEN MODELL KÖZÖS ALAPJA
A vizsgálati engedély
pontos határokhoz kötött.
A program szabályzata határozza meg a vizsgálható célrendszereket és tevékenységeket. A privát vagy nyilvános címke önmagában nem bővíti a tesztelési engedélyt.
Hatókör és módszerek
Domainek, alkalmazások, API-k, kizárt rendszerek, tiltott tevékenységek és harmadik felekre vonatkozó feltételek.
Adatok és hozzáférés
Tesztfiókok, engedélyezett adatok, érzékeny információk kezelése és a vizsgálat leállításának feltételei.
Elfogadás és jutalmazás
Elvárt bizonyíték, hatásértékelés, ismétlődő megállapítások, kizárt jelentéstípusok és jutalmazási szabályok.
Kommunikáció és közzététel
Pontosítás, kritikus jelzések, állapotfrissítések, visszaellenőrzés és az esetleges nyilvánosságra hozatal egyeztetése.
Ha elsősorban a már felfedezett hibák fogadását és kezelését szeretné megoldani, tekintse át a menedzselt VDP-t. Meghatározott vizsgálati időablakhoz és módszertanhoz pedig penetrációs teszt is tervezhető.
ÜGYFÉLTÖRTÉNETEK
Kutatói visszajelzés
valós termékeknél.
Az alábbi történetek a Hackrate biztonsági tesztelési együttműködéseit mutatják be. Az alkalmazott szolgáltatás és programmodell az adott ügyfél igényeihez igazodott.
Felkészített környezet, menedzselt program.
Ismerje meg a SEON megközelítését a kutatói vizsgálatok és a kezelhető megállapítások előkészítéséhez.
SEON esettanulmány (angol)
Penteszt után privát bug bounty.
A XUND API-jának kezdeti PTaaS vizsgálatát privát programból érkező kutatói visszajelzés követte.
XUND esettanulmány (angol)
Követhető közösségi tesztelés.
A Lensing a SOC 2 auditra készülve választotta a Hackrate közösségi vizsgálatát és a HackGATE megoldást.
Lensing esettanulmány (angol)GYAKORI KÉRDÉSEK
A programról
és a működtetésről.
Menedzselt nyilvános bug bounty program: a részvétel, a napi feladatok és az indulás fontos kérdései.
Kutatóként elérhető programot keres? Az aktuális részvételi feltételeket a programkatalógusban (angol) ellenőrizheti.
Menedzselhető egy nyilvános bug bounty program is?
Igen. A nyilvános részvétel és a menedzselt működtetés külön dimenziók. A szélesebb kutatói közösség számára elérhető program jelentéseinek ellenőrzését és koordinációját a Hackrate végezheti a megállapodás szerint.
Bárki korlátlanul tesztelheti a vállalat rendszereit?
Nem. A programhoz a közzétett részvételi szabályok tartoznak, és az engedély csak a felsorolt célrendszerekre és tevékenységekre vonatkozik. A tiltott módszerek, a harmadik felek és az érzékeny adatok kezelésének feltételei külön rögzítendők.
A Hackrate kezeli a duplikált és hiányos jelentéseket?
A menedzselt szolgáltatásban az egyeztetett ellenőrzési és kommunikációs folyamat része lehet a duplikáció vizsgálata és a hiányzó bizonyíték bekérése. A pontos támogatási körnek és az elfogadási szabályoknak indulás előtt egyértelműnek kell lenniük.
Minden nyilvános kutató személyazonossága ellenőrzött?
A személyazonosítás és a részvétel feltételeit programonként kell meghatározni. A nyilvános program elnevezéséből nem következik, hogy minden kutató KYC-ellenőrzésen esett át. A szükséges követelményekről külön egyeztessen a Hackrate-tel.
Kezdhetünk előbb privát programmal?
Igen. A privát indulás során kialakítható a működési folyamat és megismerhetők a célrendszerhez érkező visszajelzések. A nyilvánossá tétel előtt újra értékelni kell a szabályokat, a költségkeretet és a belső reagálási képességet.
A menedzselt működés leveszi a javítást is a csapatunkról?
A rendszer javítása és a változások bevezetése a vállalat feladata. A Hackrate a megállapodás szerinti validálást, kommunikációt és technikai átadást támogatja. A visszaellenőrzés és a közzététel koordinációjának kereteit külön kell rögzíteni.
Garantálható a jelentések száma vagy a teljes lefedettség?
A kutatói részvétel és a felfedezések alakulása nem garantálható előre. A bug bounty más jellegű tevékenység, mint egy kijelölt módszertanú és időablakú penteszt. A két megközelítés egymás mellett is használható.
TERVEZZÜK MEG A KÖVETKEZŐ LÉPÉST
Szélesebb kutatói körhöz működő folyamatot.
Tekintsük át a nyilvános indulás feltételeit, a jelentések kezelését és a javítási kapacitást. Tervezzük meg a menedzselt program következő lépését.
Nyilvános program tervezéseA demókérő űrlap jelenleg angol nyelvű. Üzenetét magyarul is megírhatja.
