Membaca Cakupan dan Aturan Bug Bounty

Cakupan program menentukan dengan tepat aset mana yang diizinkan untuk diuji. Aset yang termasuk dalam cakupan biasanya mencantumkan domain, subdomain, rentang IP, atau nama paket aplikasi seluler tertentu. Menguji apa pun di luar cakupan—meskipun berkaitan—tidak diizinkan dan berpotensi melanggar hukum.

Cakupan wildcard (*.example.com) mencakup semua subdomain. Daftar eksplisit mencantumkan domain tertentu (api.example.com, app.example.com). Sebagian program menggunakan cakupan berbasis ASN yang mencakup semua IP dalam nomor sistem otonom suatu perusahaan—otorisasi terluas yang mungkin diberikan.

Hal-hal yang umum berada di luar cakupan: layanan pihak ketiga yang digunakan perusahaan (Salesforce, Zendesk), perusahaan yang baru diakuisisi dan belum ditinjau keamanannya, subdomain tertentu dengan teknologi lama, serta jenis kerentanan tertentu (penolakan layanan, serangan coba-coba berulang, dan pembatasan laju tanpa dampak yang dapat dibuktikan).

Perlindungan hukum melindungi peneliti keamanan yang bertindak dengan itikad baik dari tindakan hukum ketika mereka mematuhi aturan program. Baca bahasa perlindungan hukum dengan saksama—biasanya perlindungan ini mengharuskan pengungkapan yang bertanggung jawab, menghindari akses data yang melebihi kebutuhan untuk membuktikan kerentanan, serta tidak melakukan pengungkapan publik sebelum perbaikan tersedia.

Sebagian besar program melarang: pemindaian otomatis dengan laju tinggi (berisiko menyebabkan DoS), pengujian pada sistem produksi yang menyimpan data pengguna nyata tanpa izin eksplisit, rekayasa sosial terhadap karyawan, pengujian keamanan fisik, serta mengakses akun pengguna tanpa persetujuan.

Program bug bounty menggunakan tingkatan keparahan (kritis, tinggi, sedang, rendah) untuk menentukan imbalan. HackerOne dan Bugcrowd menggunakan Taksonomi Penilaian Kerentanan (VRT) untuk mengklasifikasikan bug secara konsisten. Pahami cara program target Anda menilai kerentanan sebelum menginvestasikan waktu untuk melakukan riset.

Sebelum melakukan pengujian, bacalah kebijakan lengkap yang mencakup: kebijakan duplikat (pelapor pertama mendapatkan kredit), ketentuan perlindungan hukum, jangka waktu pengungkapan, ekspektasi komunikasi, serta panduan pengujian khusus seperti akun pengujian atau lingkungan staging yang disediakan.

Program privat hanya dapat diikuti berdasarkan undangan—biasanya persaingannya lebih rendah dan rasio sinyal terhadap gangguannya lebih tinggi. Program publik terbuka untuk semua orang—persaingannya lebih tinggi, tetapi targetnya lebih beragam. Bangun reputasi melalui program publik agar menerima undangan ke program privat dengan imbalan yang lebih tinggi.

Pengungkapan Kerentanan Terkoordinasi (CVD) menetapkan jangka waktu—biasanya 90 hari—bagi penyedia untuk memperbaiki kerentanan sebelum pengungkapan publik. Patuhi jangka waktu tersebut. Jika penyedia tidak merespons, hubungi platform program. Pengungkapan publik yang terlalu dini merugikan pengguna dan hubungan dengan program.

Jika cakupan tidak jelas, ajukan pertanyaan melalui pertanyaan pengiriman program sebelum melakukan pengujian. "Semua fungsi utama produk" mungkin mencakup atau mungkin tidak mencakup panel admin. Meminta klarifikasi sebelumnya mencegah upaya yang sia-sia dan kemungkinan pelanggaran cakupan.

Pilih program yang sesuai dengan keahlian Anda: keahlian menguji aplikasi web sesuai dengan program REST API, pengalaman seluler sesuai dengan program khusus aplikasi, dan keahlian jaringan sesuai dengan bounty infrastruktur. Bacalah laporan yang baru-baru ini diungkapkan untuk memahami hal-hal yang diberi imbalan oleh program dan hal-hal yang ditolak sebagai berdampak rendah.

Apa tujuan klausul perlindungan hukum dalam program bug bounty?

Memahami cakupan bug bounty—aset yang termasuk dalam cakupan, aktivitas yang dilarang, ketentuan perlindungan hukum, struktur imbalan, dan jangka waktu pengungkapan—sangat penting sebelum pengujian dimulai. Membaca program dengan saksama mencegah pelanggaran cakupan, upaya yang sia-sia, dan risiko hukum.