バグバウンティの対象範囲とルールの読み方

プログラムのスコープは、テストが許可されている資産を正確に定義します。通常、対象範囲には特定のドメイン、サブドメイン、IP範囲、モバイルアプリのパッケージ名などが記載されます。対象範囲外のものをテストすることは、関連性がある場合でも、許可されておらず違法となる可能性があります。

ワイルドカードスコープ（*.example.com）には、すべてのサブドメインが含まれます。明示的なリストでは、特定のドメイン（api.example.com、app.example.com）を指定します。プログラムによっては、企業の自律システム番号に含まれるすべてのIPを対象とするASNベースのスコープを使用します。これは可能な限り広い認可範囲です。

一般的な対象範囲外の項目には、企業が利用する第三者サービス（Salesforce、Zendesk）、最近買収され、まだセキュリティレビューを受けていない企業、レガシー技術を使用する特定のサブドメイン、特定の脆弱性の種類（DoS、ブルートフォース、実証可能な影響を伴わないレート制限）があります。

セーフハーバーは、プログラムの規則を守る善意のセキュリティ研究者を法的措置から保護します。セーフハーバーの文言を注意深く読んでください。通常は、責任ある開示、脆弱性を実証するために必要な範囲を超えたデータへのアクセスの回避、修正前の公開開示を行わないことが求められます。

ほとんどのプログラムでは、次の行為が禁止されています。高頻度での自動スキャン（DoSのリスク）、明示的な許可なく実際のユーザーデータを保存する本番システムでのテスト、従業員へのソーシャルエンジニアリング、物理セキュリティテスト、同意のないユーザーアカウントへのアクセスです。

バグバウンティプログラムでは、重大度の段階（critical、high、medium、low）を使って報酬を決定します。HackerOneとBugcrowdでは、脆弱性評価タクソノミー（VRT）を使ってバグを一貫して分類しています。調査に時間をかける前に、対象プログラムが脆弱性をどのように評価するかを理解しておきましょう。

テストを始める前に、次の内容を含むポリシー全体を読んでください。重複報告のポリシー（最初に報告した人が功績を得る）、セーフハーバー条項、開示までの期間、コミュニケーションに関する期待事項、テストアカウントや提供されたステージング環境など、具体的なテストガイダンスです。

非公開プログラムは招待制であり、競争が比較的少なく、有用な情報の割合が高いことが多いです。公開プログラムは誰でも参加できるため、競争は激しくなりますが、対象もより多様です。公開プログラムで実績を築くと、より高額な報酬を得られる非公開プログラムへの招待を受けやすくなります。

協調的脆弱性開示（CVD）では、一般公開する前にベンダーが修正するための期間として、通常90日間の期限を設定します。この期限を尊重してください。ベンダーから応答がない場合は、プログラムのプラットフォームに連絡しましょう。時期尚早な一般公開は、ユーザーやプログラムとの関係に悪影響を及ぼします。

対象範囲が曖昧な場合は、テストする前にプログラムの提出時の質問機能から確認してください。「主要製品のすべての機能」に管理パネルが含まれるかどうかは、明確でない場合があります。事前に確認しておけば、無駄な作業や対象範囲違反の可能性を防げます。

自分のスキルに合ったプログラムを選びましょう。WebアプリケーションのテストスキルはREST APIのプログラムに、モバイルの経験はアプリ専用のプログラムに、ネットワークの専門知識はインフラストラクチャのバウンティに対応します。最近公開された報告を読んで、そのプログラムが報酬の対象にする内容と、影響が小さいとして却下する内容を理解してください。

テストを始める前に、バグバウンティの対象範囲（対象資産、禁止されている活動、セーフハーバー条項、報酬体系、開示までの期間）を理解することが不可欠です。プログラムを注意深く読むことで、対象範囲違反、無駄な作業、法的リスクを防げます。