Saját kezelésű nyilvános bug bounty
Saját kezelésű nyilvános bug bounty program.
Nyisson a szélesebb kutatói közösség felé saját operatív csapattal. A nem menedzselt nyilvános programban a vállalat szervezi a bejelentések értékelését, a kommunikációt, a jutalmazási döntéseket és a javítás követését a Hackrate-tel egyeztetett platformhasználat mellett.
Nyilvános részvétel. Belső operatív felelősség.
A CSAPATHOZ ILLŐ MŰKÖDÉS
Mit jelent a saját kezelésű nyilvános bug bounty?
A saját kezelésű nyilvános program a szélesebb kutatói részvételt belső működtetéssel kapcsolja össze. A vállalat meghirdeti a program szabályait, fogadja a jelentéseket, és saját szakembereivel értékeli a technikai tartalmat. Az unmanaged megnevezés nem korlátok nélküli tesztelést vagy ingyenes szolgáltatást jelent, hanem azt, hogy az operatív felelősség a vállalati csapatnál marad.
Ez a modell különösen erős belső alkalmazásbiztonsági és kommunikációs folyamatot igényel. A bejelentések eltérő részletességgel és ütemben érkezhetnek, és lehetnek közöttük ismétlődő, hatókörön kívüli vagy további vizsgálatot igénylő megállapítások. A platform segíthet az információ összefogásában, a következetes döntéseket és a kutatói kapcsolat fenntartását azonban a csapatnak kell biztosítania.
A bug bounty alapjaiSaját működtetési szabályok
A vállalat a saját termék- és kockázati ismeretére építi a triázst. A szabályok, az elfogadás és a kivételek közvetlenül a belső felelősségi rendhez kapcsolhatók.
Nyilvánosan megismerhető program
A szélesebb kutatói közösség a meghirdetett feltételek alapján tájékozódhat és vehet részt. A hatókör világossága és a program információinak naprakészen tartása a működés alapja.
Közvetlen visszajelzés a kutatóknak
A belső csapat a terméket ismerve válaszolhat a kérdésekre és indokolhatja a döntéseket. Ehhez folyamatosan elérhető felelős és előre kialakított kommunikációs rutin kell.
Összekapcsolt engineering folyamat
A validált megállapítások a vállalat saját hibakezelésébe kerülhetnek. A kutatói jelentés, a technikai döntés és a javítási állapot közötti kapcsolatot tudatosan fenn kell tartani.
A SZABÁLYZATTÓL A JAVÍTÁSIG
A nyilvános csatorna mögött saját csapat dolgozik.
A hatókör, a részvétel és a döntési pontok előre rögzítendők. Az operatív feladatokat a választott működtetési modell szerint kell a megfelelő felelőshöz rendelni.
Kapacitás és döntési rend
A vállalat felméri a triázsra, a kommunikációra, a reprodukcióra és a jutalmazásra rendelkezésre álló kapacitást. Felelőst és helyettesítést rendel a feladatokhoz, majd egyezteti a platform feltételeit.
Világos nyilvános szabályzat
Közzéteszi az engedélyezett célrendszereket, a kizárásokat, a jelentési elvárásokat és a jutalmazást. Megtervezi a tesztfiókok használatát, a kritikus jelzések útját és a változások kommunikációját.
Belső triázs és kutatói kapcsolat
A saját csapat fogadja és ellenőrzi a bejelentéseket, kezeli a duplikációkat, további bizonyítékot kér, és a szabályok alapján kommunikálja az eredményt. Az értékeléshez biztonságos reprodukciós lehetőség kell.
Javítás, visszaellenőrzés, tanulságok
Az engineering csapat kezeli a jóváhagyott munkát. A program felelősei szervezik a jutalmazást, az egyeztetett retestet és a közzétételt, majd felülvizsgálják a terhelést és a működési kereteket.
Két döntés. Négy kombináció.
Ki működteti a programot?
Ki vehet részt benne?
A menedzselt vagy saját kezelésű modell az operatív feladatokról szól. A privát vagy nyilvános jelző a kutatói részvételt határozza meg. Válassza ki mindkét dimenziót a csapata igényei alapján.
Menedzselt privát bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Meghívott kutatói körrel.
A program részleteiSaját kezelésű privát bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Meghívott kutatói körrel.
A program részleteiMenedzselt nyilvános bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Szélesebb részvétellel, a publikált szabályok szerint.
A program részleteiSaját kezelésű nyilvános bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Szélesebb részvétellel, a publikált szabályok szerint.
Jelenlegi programmodellFELKÉSZÜLTSÉG ÉS KAPACITÁS
A nyitottság mellé elegendő saját kapacitás kell.
A részvételi kör és a támogatás megválasztása mellett a belső döntésekre, a javításra és a program fenntartására is szükség van.
A modell akkor illeszkedhet, ha
- A belső csapat tapasztalt a beérkező sérülékenységi jelentések értékelésében.
- A kutatói kommunikáció és a jutalmazási döntés fenntartható napi feladatként működik.
- A termékhez a nyilvános programból érkező visszajelzések kezelésére is van engineering kapcsolat.
Indulás előtt legyen biztosított
- Változó jelentésmennyiség mellett is működik a priorizálás és a helyettesítés.
- Rendezett a program hatóköre, az adatkezelés, a duplikáció és a közzététel kezelése.
- A jutalmazási keret, a platformhasználat és a belső munka finanszírozása elkülönítetten tervezett.
VILÁGOS MŰKÖDTETÉSI FELELŐSSÉGEK
A gyors indulásnál fontosabb a fenntartható napi működés.
A nyilvános szabályzatból a kutatóknak meg kell érteniük, milyen vizsgálat engedélyezett, milyen bizonyítékot vár a vállalat, és hogyan zajlik az értékelés. A jelentés elfogadása, a jutalomról hozott döntés és a hiba kijavítása külön lépések. A belső csapatnak a hiányos és az ismétlődő bejelentésekre is következetesen reagálnia kell, miközben a fontos technikai információ eljut a megfelelő tulajdonoshoz.
Az unmanaged működés nem tartalmaz automatikusan Hackrate által végzett triázst vagy kutatói koordinációt. A platformfunkciókat, az adminisztrációt és az esetleges külső segítséget az együttműködésben kell rögzíteni. Ha a csapat nem tud fenntarthatóan működni a nyilvános terhelés mellett, mérlegelhető a menedzselt támogatás vagy a részvételi kör módosítása.
TELJES KÖLTSÉGTERVEZÉS
A teljes működtetési költséggel számoljon.
A nyilvános saját kezelésű program költsége nem áll meg a jutalmaknál. A technikai triázs, a pontosítás, a vitás helyzetek kezelése és a javítási koordináció is erőforrást igényel. Az ismétlődő jelentések akkor is terhelhetik a csapatot, ha nem keletkezik új jutalmazható találat.
A platform díját, a jutalmazási keretet és a belső szakértői időt külön tervezze meg. A hatókör bővítését a tényleges kezelési és javítási kapacitáshoz igazítsa. A publikált jutalmazási feltételeket és azok változtatását a kutatók számára világos módon kell kezelni.
MINDEN MODELL KÖZÖS ALAPJA
A vizsgálati engedély
pontos határokhoz kötött.
A program szabályzata határozza meg a vizsgálható célrendszereket és tevékenységeket. A privát vagy nyilvános címke önmagában nem bővíti a tesztelési engedélyt.
Hatókör és módszerek
Domainek, alkalmazások, API-k, kizárt rendszerek, tiltott tevékenységek és harmadik felekre vonatkozó feltételek.
Adatok és hozzáférés
Tesztfiókok, engedélyezett adatok, érzékeny információk kezelése és a vizsgálat leállításának feltételei.
Elfogadás és jutalmazás
Elvárt bizonyíték, hatásértékelés, ismétlődő megállapítások, kizárt jelentéstípusok és jutalmazási szabályok.
Kommunikáció és közzététel
Pontosítás, kritikus jelzések, állapotfrissítések, visszaellenőrzés és az esetleges nyilvánosságra hozatal egyeztetése.
Ha elsősorban a már felfedezett hibák fogadását és kezelését szeretné megoldani, tekintse át a menedzselt VDP-t. Meghatározott vizsgálati időablakhoz és módszertanhoz pedig penetrációs teszt is tervezhető.
ÜGYFÉLTÖRTÉNETEK
Kutatói visszajelzés
valós termékeknél.
Az alábbi történetek a Hackrate biztonsági tesztelési együttműködéseit mutatják be. Az alkalmazott szolgáltatás és programmodell az adott ügyfél igényeihez igazodott.
Felkészített környezet, menedzselt program.
Ismerje meg a SEON megközelítését a kutatói vizsgálatok és a kezelhető megállapítások előkészítéséhez.
SEON esettanulmány (angol)
Penteszt után privát bug bounty.
A XUND API-jának kezdeti PTaaS vizsgálatát privát programból érkező kutatói visszajelzés követte.
XUND esettanulmány (angol)
Követhető közösségi tesztelés.
A Lensing a SOC 2 auditra készülve választotta a Hackrate közösségi vizsgálatát és a HackGATE megoldást.
Lensing esettanulmány (angol)GYAKORI KÉRDÉSEK
A programról
és a működtetésről.
Saját kezelésű nyilvános bug bounty program: a részvétel, a napi feladatok és az indulás fontos kérdései.
Kutatóként elérhető programot keres? Az aktuális részvételi feltételeket a programkatalógusban (angol) ellenőrizheti.
A nyilvános program szükségszerűen menedzselt?
Nem. A részvételi kör és a működtetés külön döntés. Nyilvános programot a vállalat saját csapata is működtethet, ha rendelkezik a validáláshoz, a kommunikációhoz és a döntésekhez szükséges képességgel és kapacitással.
Ki kezeli a beérkező jelentéseket?
A saját kezelésű modellben a vállalat kijelölt csapata fogadja és validálja a jelentéseket, kéri a pontosítást, kommunikál a kutatókkal, és összekapcsolja a megállapításokat a javítási folyamattal.
Mit biztosít ebben a modellben a Hackrate?
A platformhasználat és az esetleges további támogatás tartalmát az egyeztetett megállapodás rögzíti. A technikai validálást, a kutatói koordinációt vagy a fizetési adminisztrációt nem szabad automatikusan a csomag részének tekinteni.
A nyilvános indulás teljes kutatói hozzáférést jelent?
Csak a programban kifejezetten engedélyezett rendszerek és tevékenységek vizsgálhatók. A regisztráció, a szükséges fiókok, a tesztadatok és az esetleges további feltételek a program szabályaiban határozhatók meg.
Hogyan kezeljük a nagyobb jelentésmennyiséget?
Előre kijelölt triázsfelelősre, helyettesítésre, dokumentált elfogadási és duplikációs szabályokra, valamint működő engineering kapcsolatra van szükség. A bejelentések mennyisége nem garantálható, ezért a kapacitást rendszeresen felül kell vizsgálni.
Olcsóbb a saját kezelésű nyilvános program?
Az összköltség a platformtól, a jutalmazástól és a belső munkától függ. A menedzselt díj elmaradása önmagában nem bizonyít alacsonyabb teljes költséget. A saját specialisták idejét és a kommunikáció terhelését is számításba kell venni.
Válthatunk később másik modellre?
A részvétel és az operatív támogatás is felülvizsgálható. A módosítás előtt rendezni kell az aktív jelentéseket, a kutatói elvárásokat, a jutalmazási szabályokat és a hozzáféréseket, majd világosan kommunikálni az új feltételeket.
TERVEZZÜK MEG A KÖVETKEZŐ LÉPÉST
Nyilvános programhoz felkészített belső csapatot.
Beszéljük át a saját triázs kapacitását, a program hatókörét és a platform feltételeit. Alakítsuk a működési modellt a vállalata valós igényeihez.
Működési modell egyeztetéseA demókérő űrlap jelenleg angol nyelvű. Üzenetét magyarul is megírhatja.
