Saját kezelésű privát bug bounty
Saját kezelésű privát bug bounty program.
Indítson meghívásos programot úgy, hogy a saját biztonsági csapata kezeli a jelentéseket és a kutatói kapcsolatokat. A Hackrate platformja szervezett munkafelületet adhat az egyeztetett keretek között; a validálás, a jutalmazási döntés és a javítási koordináció belső felelősség.
Meghívott kutatók. Saját operatív csapat.
A CSAPATHOZ ILLŐ MŰKÖDÉS
Mit jelent a saját kezelésű privát bug bounty?
A saját kezelésű, más néven nem menedzselt vagy unmanaged programban a vállalat látja el a napi működtetési feladatokat. A privát részvétel azt jelenti, hogy a tesztelésbe meghívott kutatókat von be. A két döntés együtt olyan modellhez vezet, amelyben a belső alkalmazásbiztonsági csapat közvetlenül dolgozhat egy meghatározott kutatói körrel.
A platform egy helyre szervezheti a bejelentéseket és a beszélgetéseket, de a technikai értékeléshez továbbra is szakértelem és idő szükséges. A csapatnak ellenőriznie kell a reprodukálhatóságot, az érintett jogosultságokat és a hatást, kezelnie kell a pontosításokat, és össze kell kötnie a jelentést a fejlesztési folyamattal. A meghívások száma nem helyettesíti ennek a kapacitásnak a megtervezését.
A bug bounty alapjaiKözvetlen szakmai döntések
A terméket ismerő belső szakemberek értékelik a jelentéseket. A hozzáférési feltételek, az üzleti kontextus és a kivételek így közvetlenül bekerülhetnek a döntési folyamatba.
Saját kutatói kapcsolatok
A csapat közvetlenül egyeztethet a meghívott kutatókkal. Ehhez következetes válaszadás, kijelölt kapcsolattartó és a szabadságok vagy más feladatok idejére is működő helyettesítés szükséges.
Tudatos részvételi kör
A vállalat a célrendszerhez és a tesztelési igényhez igazíthatja a meghívásokat. A fiókok, a hozzáférések és a titoktartási feltételek nem következnek automatikusan a privát címkéből.
Belső folyamathoz illesztett kezelés
A triázs, a jutalmazás és a javítás a már kialakított vállalati felelősségi rendhez kapcsolható. Az eredmény akkor használható, ha a döntések és az előrehaladás a jelentésnél is követhetők.
A SZABÁLYZATTÓL A JAVÍTÁSIG
A belső csapat vezeti a teljes folyamatot.
A hatókör, a részvétel és a döntési pontok előre rögzítendők. Az operatív feladatokat a választott működtetési modell szerint kell a megfelelő felelőshöz rendelni.
Szabályzat és felelősök
A vállalat elkészíti a hatókört, a jutalmazási és elfogadási szabályokat, kijelöli a triázs felelőseit és az eszkalációs kapcsolatokat. A platform és az esetleges külső támogatás határai előre rögzítendők.
Meghívás és felkészítés
A csapat összeállítja a kutatói kört, előkészíti a fiókokat és az engedélyezett vizsgálatot. Tisztázza a tesztadatokat, a tiltott tevékenységeket és a hozzáférések megszüntetését.
Saját validálás és egyeztetés
A belső szakemberek olvassák és ellenőrzik a jelentéseket, kérik a hiányzó bizonyítékot, vizsgálják a duplikációkat, és kommunikálják az értékelés eredményét a kutató felé.
Jutalmazás és javításkövetés
A vállalat jóváhagyja a jutalmat, kijelöli a javítás tulajdonosát, és szervezi az egyeztetett visszaellenőrzést. A lezárás és a közzététel feltételei a szabályzatot követik.
Két döntés. Négy kombináció.
Ki működteti a programot?
Ki vehet részt benne?
A menedzselt vagy saját kezelésű modell az operatív feladatokról szól. A privát vagy nyilvános jelző a kutatói részvételt határozza meg. Válassza ki mindkét dimenziót a csapata igényei alapján.
Menedzselt privát bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Meghívott kutatói körrel.
A program részleteiSaját kezelésű privát bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Meghívott kutatói körrel.
Jelenlegi programmodellMenedzselt nyilvános bug bounty program
A Hackrate végzi az egyeztetett validálást és kutatói koordinációt. Szélesebb részvétellel, a publikált szabályok szerint.
A program részleteiSaját kezelésű nyilvános bug bounty program
A vállalati csapat végzi a triázst és a kutatói kommunikációt. Szélesebb részvétellel, a publikált szabályok szerint.
A program részleteiFELKÉSZÜLTSÉG ÉS KAPACITÁS
Van kapacitása saját privát programot működtetni?
A részvételi kör és a támogatás megválasztása mellett a belső döntésekre, a javításra és a program fenntartására is szükség van.
A modell akkor illeszkedhet, ha
- Tapasztalt belső alkalmazásbiztonsági csapat kezeli már a sérülékenységeket.
- Közvetlen kapcsolatot szeretne fenntartani egy meghívott kutatói körrel.
- A jutalmazási és technikai döntésekhez működő belső folyamat és jogkör tartozik.
Indulás előtt legyen biztosított
- A triázsnak és a kutatói kommunikációnak kijelölt gazdája és helyettese is van.
- Biztosított a biztonságos reprodukció, a termékismeret és az engineering kapcsolat.
- A jutalmak jóváhagyása, a kifizetések és a hozzáférések kezelése megtervezett.
VILÁGOS MŰKÖDTETÉSI FELELŐSSÉGEK
A privát részvétel nem szünteti meg a működtetési feladatokat.
Egy meghívott kutatótól is érkezhet összetett, hiányos vagy vitatható jelentés. A saját kezeléshez hozzátartozik az elfogadási döntés megindokolása, a technikai kérdések tisztázása és a javítás állapotának következetes kommunikációja. A program felelőse nem feltétlenül ugyanaz, aki a terméket javítja; a köztük lévő átadásnak is működnie kell.
A Hackrate-tel előre tisztázandó, mit tartalmaz a platformhasználat, a technikai támogatás, a fizetési adminisztráció és az esetleges további szakértői segítség. A saját kezelésű modellben nem szabad automatikus menedzselt validálást feltételezni. Ha a belső csapat tartósan túlterheltté válik, a működtetés támogatása külön megállapodással felülvizsgálható.
TELJES KÖLTSÉGTERVEZÉS
A saját kezelésnek is van erőforrásigénye.
A jutalmak és a platform díja mellett számoljon a triázs, a kutatói kapcsolattartás, a reprodukció és a jutalomkezelés idejével. Egy ismert termékhibának a bizonyítása és a kommunikálása is leköthet specialistát, akkor is, ha végül nem jár érte új jutalom.
A meghívások és a hatókör méretét a csapat rendelkezésre állásához igazítsa. A saját kezelés nem jelent ingyenes platformot vagy korlátlan támogatást. Az ajánlatban külön szerepeljenek az igényelt szolgáltatások, az elszámolási feltételek és a vállalatnál maradó feladatok.
MINDEN MODELL KÖZÖS ALAPJA
A vizsgálati engedély
pontos határokhoz kötött.
A program szabályzata határozza meg a vizsgálható célrendszereket és tevékenységeket. A privát vagy nyilvános címke önmagában nem bővíti a tesztelési engedélyt.
Hatókör és módszerek
Domainek, alkalmazások, API-k, kizárt rendszerek, tiltott tevékenységek és harmadik felekre vonatkozó feltételek.
Adatok és hozzáférés
Tesztfiókok, engedélyezett adatok, érzékeny információk kezelése és a vizsgálat leállításának feltételei.
Elfogadás és jutalmazás
Elvárt bizonyíték, hatásértékelés, ismétlődő megállapítások, kizárt jelentéstípusok és jutalmazási szabályok.
Kommunikáció és közzététel
Pontosítás, kritikus jelzések, állapotfrissítések, visszaellenőrzés és az esetleges nyilvánosságra hozatal egyeztetése.
Ha elsősorban a már felfedezett hibák fogadását és kezelését szeretné megoldani, tekintse át a menedzselt VDP-t. Meghatározott vizsgálati időablakhoz és módszertanhoz pedig penetrációs teszt is tervezhető.
ÜGYFÉLTÖRTÉNETEK
Kutatói visszajelzés
valós termékeknél.
Az alábbi történetek a Hackrate biztonsági tesztelési együttműködéseit mutatják be. Az alkalmazott szolgáltatás és programmodell az adott ügyfél igényeihez igazodott.
Felkészített környezet, menedzselt program.
Ismerje meg a SEON megközelítését a kutatói vizsgálatok és a kezelhető megállapítások előkészítéséhez.
SEON esettanulmány (angol)
Penteszt után privát bug bounty.
A XUND API-jának kezdeti PTaaS vizsgálatát privát programból érkező kutatói visszajelzés követte.
XUND esettanulmány (angol)
Követhető közösségi tesztelés.
A Lensing a SOC 2 auditra készülve választotta a Hackrate közösségi vizsgálatát és a HackGATE megoldást.
Lensing esettanulmány (angol)GYAKORI KÉRDÉSEK
A programról
és a működtetésről.
Saját kezelésű privát bug bounty program: a részvétel, a napi feladatok és az indulás fontos kérdései.
Kutatóként elérhető programot keres? Az aktuális részvételi feltételeket a programkatalógusban (angol) ellenőrizheti.
Mit jelent a nem menedzselt privát bug bounty?
A részvétel meghívásos, a napi triázst, a kutatói kommunikációt és a működtetési döntéseket pedig a vállalat végzi. A saját kezelésű vagy unmanaged elnevezés ezt az operatív felelősséget jelöli.
A Hackrate ilyenkor is validál minden jelentést?
A saját kezelésű modellben a validálás a vállalati csapat feladata. A platformhasználathoz kapcsolódó támogatás vagy külön szakértői munka az egyeztetett megállapodástól függ, ezért ezt indulás előtt pontosítani kell.
A privát program csak belső munkatársaknak szól?
Nem. A privát programhoz kiválasztott külső etikus hackerek is meghívhatók. A részvételi feltételeket, a hozzáféréseket és az engedélyezett tesztelést a vállalat a program szabályaiban rögzíti.
Kell külön biztonsági csapat a működtetéshez?
A feladatokhoz technikai értékelési képesség, termékismeret, kommunikációs kapacitás és döntési jogkör szükséges. Ezeket több belső szereplő is elláthatja, de a felelősségeknek és a helyettesítésnek egyértelműnek kell lenniük.
Ki dönt a jutalmakról és a javítás prioritásáról?
A vállalat kijelölt felelősei a közzétett vagy a meghívottakkal megosztott programszabályok alapján döntenek. A platformon kezelt jelentés nem váltja ki a jutalom jóváhagyását vagy az engineering kapacitás biztosítását.
Később kérhető menedzselt támogatás?
A működési modell felülvizsgálható. A Hackrate-tel egyeztethető, hogy mely validálási, koordinációs és jelentési feladatokhoz van szükség támogatásra, és ezek milyen feltételekkel kerülnek az együttműködésbe.
Kezdhetünk kevés meghívott kutatóval?
Az induló kutatói kör és a hatókör korlátozható. A kis létszám mellett is szükség van értékelhető szabályzatra, visszajelzésre, biztonságos hozzáférésre és a releváns hibák javítására képes csapatra.
TERVEZZÜK MEG A KÖVETKEZŐ LÉPÉST
Saját döntésekhez fenntartható működés kell.
Tekintsük át a meghívott kutatói kört, a belső triázst és a platformigényeket. Egyeztessük a saját kezelésű privát program kereteit.
Saját program egyeztetéseA demókérő űrlap jelenleg angol nyelvű. Üzenetét magyarul is megírhatja.
