Menedzselt sérülékenység-bejelentési program
Sérülékenység-bejelentés, amely célba ér.
Adjon egyértelmű és biztonságos utat a jóhiszemű kutatóknak. A Hackrate menedzselt VDP szolgáltatása a szabályzat kialakításától a jelentések ellenőrzésén át a kommunikációig támogatja a sérülékenységek felelős kezelését.
Világos szabályok · Strukturált jelentés · Koordinált hibakezelés
A kutató és a vállalat közötti kapcsolat.
Vulnerability Disclosure Policy és Program
Legyen ismert, hogyan jelezhető egy sérülékenység.
A sérülékenység-bejelentési szabályzat meghatározza, hová és milyen feltételekkel lehet egy felfedezett biztonsági hibát jelenteni. A működő bejelentési program ehhez folyamatot, felelősöket és kommunikációt is rendel.
Érthető szabályzat
A kutató megtudja, mely rendszerek érintettek, milyen információt vár a vállalat és milyen magatartási szabályok vonatkoznak a bejelentésre.
Megtalálható csatorna
A vállalat honlapján elérhető űrlap célzott utat ad a biztonsági jelentéseknek. A bejelentéshez szükséges technikai részletek strukturáltan adhatók meg.
Kijelölt kezelés
A beérkező információt ellenőrizni, értékelni és a megfelelő belső felelőshöz kell juttatni. A menedzselt VDP ezt a folyamatot támogatja.
Miért fontos a rendezett folyamat?
A technikai hiba mellé ne kerüljön kommunikációs bizonytalanság.
A kutató nem feltétlenül ismeri a vállalat belső működését. Egy általános ügyfélszolgálati címről a biztonsági jelentés több továbbításon keresztül juthat el a megfelelő csapathoz. Eközben a reprodukciós feltételek vagy a szükséges pontosítások is elveszhetnek.
A VDP segít egyértelművé tenni a kapcsolattartást és az elvárt információkat. A vállalat oldalán pedig előre meghatározható, ki értékeli a jelentést, ki felel a javításért és ki dönt az esetleges nyilvánosságra hozatalról.
A Hackrate a jelentések validálásával és a kutatói kommunikáció támogatásával segít abban, hogy az ellenőrzött megállapítások használható formában kerüljenek a felelős csapathoz.
A VDP határai
A bejelentési csatornához egyértelmű engedélyezési szabályok tartoznak.
A Hackrate menedzselt VDP szolgáltatásában a szabályzat a vállalat honlapján jelenik meg; a közzététel önmagában nem jelent felhívást aktív biztonsági tesztelésre.
A tesztelés megengedett feltételeit és korlátait mindig kifejezetten kell rögzíteni. A kutató csak a szabályzatban és az esetleges külön engedélyben meghatározott keretekre támaszkodhat.
Ha a vállalat aktívan szeretne kutatókat bevonni a rendszerek vizsgálatába, erre a bug bounty program vagy az egyeztetett penetrációs teszt adhat megfelelő keretet.
A VDP szabályzat tartalma
Hat témakör, amelyet indulás előtt tisztázni kell.
A szabályzatnak a szervezet rendszereihez és működéséhez kell igazodnia. A technikai részleteket és a jóhiszemű bejelentők feltételeit a vállalat illetékes csapatainak bevonásával alakítjuk ki.
Érintett rendszerek
Az alkalmazások, domainek, szolgáltatások és kizárások egyértelmű felsorolása. A harmadik fél által üzemeltetett rendszerekre külön figyelmet kell fordítani.
Csatorna és elvárt adatok
Hogyan küldhető be a jelentés, milyen technikai leírás, reprodukció és bizonyíték szükséges, illetve hogyan lehet további információt egyeztetni.
Biztonságos keretek
Az adatkezeléssel, a működés megóvásával és a tiltott tevékenységekkel kapcsolatos elvárások. A jóhiszemű bejelentők feltételeinek világos megfogalmazása.
Kommunikációs elvárások
A beérkezés visszajelzésének, a pontosításnak és az állapotközlésnek a menete. A vállalt feltételeknek a tényleges működéshez kell igazodniuk.
Belső felelősségek
A jelentések értékelése, a súlyos esetek eszkalációja és a javítási feladatok átadása. Fontos, hogy a döntési pontoknak legyen gazdája.
Koordinált nyilvánosság
A sérülékenységről szóló nyilvános tájékoztatás feltételei és egyeztetése. A közzétételt a technikai kezeléshez és a résztvevők felelősségéhez kell igazítani.
A menedzselt VDP folyamata
A közzétett szabályzattól a kezelt jelentésig.
A bejelentési program értéke a napi működésben jelenik meg. Az induláskor a bejelentő felületet és az információ belső útját is kialakítjuk.
Szabályzat kialakítása
Áttekintjük az érintett rendszereket, a bejelentési feltételeket és a vállalat elvárásait. Egyeztetjük a felelősöket és a kezelési rendet.
Űrlap közzététele
A VDP a vállalat honlapján jelenik meg. A Hackrate jelentési űrlapja beágyazható, hogy a kutatók célzott csatornán küldhessék el a részleteket.
Jelentés fogadása
A bejelentő strukturáltan leírja a sérülékenységet, az érintett funkciót és a reprodukció feltételeit.
Validálás
A Hackrate ellenőrzi a beérkező jelentést, és szükség esetén további információt kér a kutatótól a megállapítás tisztázásához.
Vállalati hibakezelés
Az ellenőrzött megállapítás a megfelelő belső csapathoz kerül. A vállalat értékeli a prioritást és elvégzi a szükséges javítást vagy kockázatkezelést.
Kommunikáció és lezárás
Támogatjuk a kutatóval folytatott egyeztetést. Az esetleges nyilvános tájékoztatás külön, az elfogadott feltételek szerint koordinálható.
Átlátható együttműködés
Ki mit tesz a bejelentés után?
A bejelentő
Átadja a technikai részleteket, megadja a reprodukció feltételeit és válaszol a pontosító kérdésekre. Betartja a szabályzatban szereplő feltételeket.
A Hackrate
Validálja a jelentést, segít tisztázni a megállapítás tartalmát és támogatja a kutatói kommunikációt. Az ellenőrzött információt használható formában adja tovább.
A vállalat
Dönt az üzleti kockázatról, kijelöli a javítás felelősét, és elvégzi a szükséges technikai vagy szervezeti intézkedéseket.
A megfelelő modell kiválasztása
Penetrációs teszt, bug bounty vagy VDP?
A három megoldás más kérdésre ad választ. Egy vállalatnál egymás mellett is működhetnek: a tervezett vizsgálat, a kutatók bevonása és a felelős bejelentések fogadása kiegészíti egymást.
| Szempont | Hagyományos pentest | Bug bounty program | Menedzselt VDP |
|---|---|---|---|
| Elsődleges cél | Meghatározott rendszerek célzott, időben körülhatárolt vizsgálata. | Etikus hackerek bevonása az engedélyezett rendszerek vizsgálatába. | Világos és biztonságos folyamat a felfedezett hibák bejelentésére. |
| Résztvevők | A Hackrate kijelölt belső szakértői. | Meghívott kutatók vagy a program szabályai szerinti közösség. | A hibát észlelő bejelentők és a jelentéseket kezelő csapat. |
| Működés | Előre egyeztetett tesztelési időablak és átadandó anyagok. | A programhoz igazított időtartam, hatókör és jutalmazási szabályok. | Közzétett szabályzat és folyamatosan elérhető bejelentési csatorna. |
| Mikor érdemes választani? | Új rendszer, jelentős változtatás vagy konkrét biztonsági kérdés vizsgálatakor. | Ha több kutatói nézőpontot és a termék fejlődését követő visszajelzést szeretne. | Ha rendezett módon szeretné fogadni és kezelni a külső bejelentéseket. |
| Részletek | Penetrációs tesztelés → | Bug bounty → | Sérülékenység-bejelentés → |
További szakmai háttér
Tanulságok a sérülékenység-bejelentés gyakorlatából.
A Hackrate VDP-ről készített kutatása és e-könyve azt vizsgálja, miért akadhatnak el a bejelentési folyamatok, milyen kockázatokat okozhat a rendezetlen kezelés, és milyen működési kérdéseket érdemes tisztázni.
A kiadvány a belső felelősségek és a bejelentőkkel való együttműködés megtervezéséhez is ad szempontokat. Az e-könyv és az összefoglaló angol nyelven érhető el.
A VDP e-könyv megismerése →Koordinált közzététel és CVE
Amikor a jelentés nyilvános sérülékenységi rekordhoz vezet.
Bizonyos, megfelelően validált és jogosult sérülékenységek esetén CVE-azonosító és nyilvános CVE Record előkészítése is releváns lehet. Ezt a technikai kezelés és a közzététel egyeztetésével összhangban kell megtervezni.
A Hackrate CVE Numbering Authority szolgáltatásában a jogosultságot, a hatókört és az esetleges más CNA érintettségét külön ellenőrzi. A CVE-hozzárendelés a VDP-jelentéseknél nem automatikus. CVE és koordinált közzététel →
Gyakori kérdések
A sérülékenység-bejelentés gyakorlata.
Mit jelent a VDP rövidítés?
A Vulnerability Disclosure Policy sérülékenység-bejelentési szabályzatot jelent. A Vulnerability Disclosure Program a hozzá kapcsolódó működést is magában foglalja: a csatornát, a felelősöket, a jelentések értékelését és a kommunikációt.
Hol jelenik meg a szabályzat és az űrlap?
A VDP a vállalat saját honlapján jelenik meg. A Hackrate bejelentési űrlapja oda beágyazható, így a kutató a megfelelő csatornát közvetlenül a vállalat oldalán találhatja meg.
A VDP engedélyezi a rendszerek aktív tesztelését?
A menedzselt VDP közzététele önmagában nem felhívás aktív tesztelésre. A megengedett tevékenységeket és a szükséges engedélyt a kifejezett szabályok határozzák meg.
Ki ellenőrzi a beérkező bejelentéseket?
A Hackrate csapata validálja a jelentéseket, és szükség esetén egyezteti a hiányzó technikai információkat a bejelentővel, mielőtt a megállapítás a vállalat csapatához kerül.
Jár pénzjutalom minden VDP-bejelentésért?
A VDP elsődleges célja a bejelentések rendezett fogadása és kezelése. Jutalmat csak a kifejezetten meghatározott programfeltételek alapján lehet várni. A jutalmazásra épülő aktív kutatói programról a bug bounty oldalon olvashat.
Mit érdemes beleírni egy sérülékenységi jelentésbe?
Az érintett rendszer és funkció, a reprodukció feltételei, a lépések, a szükséges bizonyíték és a lehetséges hatás mind segíti az értékelést. Az érzékeny adatokat a közzétett bejelentési szabályok szerint kell kezelni.
Hogyan készülhet fel a belső csapat?
Legyen kijelölt biztonsági kapcsolattartó, technikai felelős, eszkalációs rend és javítási folyamat. Az indulás előtt érdemes egyeztetni a visszajelzés, a prioritás és a nyilvános kommunikáció döntési pontjait is.
Minden validált jelentés kap CVE-azonosítót?
Nem. A CVE-jogosultságot és az illetékes CNA-t külön kell vizsgálni. A VDP működtetése és a CVE-koordináció összekapcsolható, de eltérő feltételekkel rendelkező folyamatok.
Készen áll a következő lépésre?
Emelje új szintre vállalata biztonsági tesztelését.
Beszéljük át a vizsgálandó rendszereket, az üzleti kockázatokat és a csapata működését. Közösen megtervezzük az együttműködés megfelelő formáját és kereteit.
Beszéljünk a céljairól A demókérő űrlap jelenleg angol nyelvű. Kérdését magyarul is megírhatja.