Программа вознаграждений за найденные уязвимости
Программа, в которой организация вознаграждает исследователей, находящих уязвимости в рамках установленных правил и области охвата и ответственно сообщающих о них.
- 01
Почему это важно
Разные точки зрения многих исследователей могут выявить уязвимости, которые могла бы пропустить одна тестовая команда, причём оплата производится только за реальные находки. Однако программе нужна команда, способная быстро оценивать и исправлять входящие отчёты. Запуск программы до базового тестирования безопасности означает высокую цену за лёгкие находки.
- 02
Пример
Приложение сначала закрывает свои базовые уязвимости с помощью теста на проникновение, затем запускает программу, охватывающую только основной сайт. Исследователь сообщает, что коды купонов можно использовать многократно, и получает вознаграждение; уязвимость устраняется за два дня.
- 03
Частая ошибка
Открытие программы без письменных правил и области охвата. Нечёткие правила приводят и к тому, что исследователи проводят тесты, нарушающие работу сервиса, и к спорам о вознаграждениях.
- 04
Связанные термины
Связанные услуги и руководства
Обсудим ваш проект.
Расскажите о задаче — объём определим вместе.