قراءة نطاقات برامج مكافآت اكتشاف الثغرات وقواعدها

يحدد نطاق البرنامج الأصول المصرح باختبارها بدقة. ويتضمن النطاق عادةً نطاقات محددة أو نطاقات فرعية أو نطاقات IP أو أسماء حزم تطبيقات محمولة. ويُعد اختبار أي شيء خارج النطاق، حتى إن كان ذا صلة، غير مصرح به وقد يكون غير قانوني.

يشمل النطاق باستخدام البدل (*.example.com) جميع النطاقات الفرعية. وتحدد القوائم الصريحة نطاقات بعينها (api.example.com وapp.example.com). وتستخدم بعض البرامج نطاقًا قائمًا على ASN يغطي جميع عناوين IP في رقم النظام المستقل الخاص بالشركة، وهو أوسع تفويض ممكن.

تشمل العناصر الشائعة خارج النطاق: خدمات الجهات الخارجية التي تستخدمها الشركة (Salesforce وZendesk)، والشركات المستحوذ عليها حديثًا التي لم تُراجع أمنيًا بعد، ونطاقات فرعية محددة تستخدم تقنيات قديمة، وأنواعًا معينة من الثغرات (DoS والقوة الغاشمة وتحديد معدل الطلبات دون إثبات أثر ملموس).

يحمي الملاذ الآمن الباحثين الأمنيين الذين يتصرفون بحسن نية من الإجراءات القانونية عند التزامهم بقواعد البرنامج. اقرأ صياغة الملاذ الآمن بعناية؛ فهي تتطلب عادةً الإفصاح المسؤول، وتجنب الوصول إلى البيانات بما يتجاوز ما يثبت وجود الثغرة، وعدم الإفصاح العلني قبل الإصلاح.

تحظر معظم البرامج ما يلي: الفحص الآلي بمعدلات مرتفعة (خطر DoS)، والاختبار على أنظمة الإنتاج التي تخزن بيانات مستخدمين حقيقيين من دون إذن صريح، والهندسة الاجتماعية للموظفين، واختبار الأمان المادي، والوصول إلى حسابات المستخدمين من دون موافقة.

تستخدم برامج مكافآت اكتشاف الثغرات مستويات للخطورة (حرجة، عالية، متوسطة، منخفضة) لتحديد المكافآت. وتستخدم HackerOne وBugcrowd تصنيفات تقييم الثغرات (VRT) لتصنيف الثغرات بصورة متسقة. افهم كيفية تقييم البرنامج المستهدف للثغرات قبل استثمار وقتك في البحث.

قبل الاختبار، اقرأ السياسة كاملة، بما في ذلك: سياسة البلاغات المكررة (يحصل أول من يبلّغ على الأسبقية)، وبنود الملاذ الآمن، والجدول الزمني للإفصاح، وتوقعات التواصل، وأي إرشادات محددة للاختبار، مثل حسابات الاختبار أو بيئات الاختبار المرحلية المتاحة.

البرامج الخاصة متاحة بالدعوة فقط، وغالبًا ما تكون أقل تنافسية وتوفر نسبة إشارة إلى ضجيج أفضل. أما البرامج العامة فهي مفتوحة للجميع، وتتميز بمنافسة أكبر، لكنها توفر أهدافًا أكثر تنوعًا. ابنِ سمعتك من خلال البرامج العامة لتحصل على دعوات إلى برامج خاصة ذات مكافآت أعلى.

يحدد الإفصاح المنسق عن الثغرات (CVD) جدولًا زمنيًا، يبلغ عادةً 90 يومًا، أمام المورّد لإصلاح الثغرة قبل الإفصاح العلني عنها. التزم بهذا الجدول الزمني. إذا لم يستجب المورّد، فتواصل مع منصة البرنامج. فالإفصاح العلني المبكر يضر بالمستخدمين وبالعلاقات مع البرامج.

عندما يكون النطاق غامضًا، اطرح الأسئلة عبر نموذج إرسال البلاغات في البرنامج قبل الاختبار. فقد تشمل عبارة «جميع وظائف المنتج الأساسية» لوحات الإدارة أو لا تشملها. ويساعد التوضيح مسبقًا على تجنب الجهد الضائع والانتهاكات المحتملة للنطاق.

اختر البرامج المتوافقة مع مهاراتك: فمهارات اختبار تطبيقات الويب تناسب برامج REST API، والخبرة في تطبيقات الأجهزة المحمولة تناسب البرامج الخاصة بالتطبيقات، والخبرة في الشبكات تناسب برامج مكافآت البنية التحتية. اقرأ التقارير المنشورة حديثًا لتفهم ما يكافئه البرنامج وما يرفضه باعتباره منخفض الأثر.

ما الغرض من بند الملاذ الآمن في برنامج لمكافآت اكتشاف الثغرات؟

يُعد فهم نطاق برنامج مكافآت اكتشاف الثغرات، بما في ذلك الأصول المشمولة بالنطاق والأنشطة المحظورة وبنود الملاذ الآمن وهياكل المكافآت والجداول الزمنية للإفصاح، أمرًا أساسيًا قبل بدء الاختبار. وتساعد القراءة الدقيقة للبرامج على تجنب انتهاكات النطاق والجهد الضائع والمخاطر القانونية.