버그 바운티 범위와 규칙 읽기

프로그램 범위는 테스트가 허용되는 자산을 정확히 정의합니다. 범위 내 항목에는 일반적으로 특정 도메인, 하위 도메인, IP 범위 또는 모바일 앱 패키지 이름이 나열됩니다. 범위 밖의 항목을 테스트하는 행위는 관련성이 있더라도 허가되지 않았으며 법적으로 문제가 될 수 있습니다.

와일드카드 범위(*.example.com)는 모든 하위 도메인을 포함합니다. 명시적 목록에는 특정 도메인(api.example.com, app.example.com)이 지정됩니다. 일부 프로그램은 회사의 자율 시스템 번호에 속한 모든 IP를 포함하는 ASN 기반 범위를 사용하며, 이는 가능한 가장 광범위한 허가입니다.

일반적인 범위 밖 항목은 회사가 사용하는 타사 서비스(Salesforce, Zendesk), 아직 보안 검토가 완료되지 않은 최근 인수 기업, 오래된 기술을 사용하는 특정 하위 도메인, 특정 취약점 유형(서비스 거부, 무차별 대입, 입증 가능한 영향이 없는 요청 속도 제한)입니다.

법적 보호 조항은 보안 연구자가 프로그램 규칙을 준수할 때 선의의 보안 연구 활동을 이유로 법적 조치를 받지 않도록 보호합니다. 법적 보호 조항의 내용을 주의 깊게 읽으십시오. 일반적으로 책임 있는 공개, 취약점을 입증하는 데 필요한 범위를 넘어선 데이터 접근 금지, 수정 전 공개 금지가 요구됩니다.

대부분의 프로그램은 다음을 금지합니다. 높은 속도의 자동화된 스캔(DoS 위험), 명시적인 허가 없이 실제 사용자 데이터를 저장하는 운영 시스템에 대한 테스트, 직원 대상 사회공학, 물리적 보안 테스트, 동의 없이 사용자 계정에 접근하는 행위입니다.

버그 보상 프로그램은 심각도 등급(치명적, 높음, 중간, 낮음)을 사용해 보상을 결정합니다. HackerOne과 Bugcrowd는 버그를 일관되게 분류하기 위해 취약점 평가 분류 체계(VRT)를 사용합니다. 조사 시간을 투입하기 전에 대상 프로그램이 취약점의 점수를 어떻게 매기는지 이해하십시오.

테스트하기 전에 전체 정책을 읽으십시오. 여기에는 중복 정책(최초 보고자가 공로를 인정받음), 면책 조항 조건, 공개 일정, 커뮤니케이션에 대한 기대 사항, 그리고 제공되는 테스트 계정이나 스테이징 환경과 같은 구체적인 테스트 지침이 포함됩니다.

비공개 프로그램은 초대받은 사람만 참여할 수 있어 경쟁이 덜하고 유의미한 결과의 비율이 더 높은 경우가 많습니다. 공개 프로그램은 누구나 참여할 수 있어 경쟁은 더 치열하지만 대상이 더 다양합니다. 공개 프로그램에서 평판을 쌓으면 더 높은 보상을 제공하는 비공개 프로그램의 초대를 받을 수 있습니다.

조정된 취약점 공개(CVD)는 공급업체가 공개하기 전에 취약점을 수정할 수 있도록 일반적으로 90일의 기간을 정합니다. 이 일정을 준수하십시오. 공급업체가 응답하지 않으면 프로그램 플랫폼에 문의하십시오. 성급한 공개는 사용자와 프로그램과의 관계에 피해를 줍니다.

범위가 모호할 때는 테스트하기 전에 프로그램의 제출 질문을 통해 문의하십시오. "제품의 모든 주요 기능"에 관리자 패널이 포함되는지는 분명하지 않을 수 있습니다. 미리 명확히 확인하면 불필요한 작업과 잠재적인 범위 위반을 방지할 수 있습니다.

자신의 기술에 맞는 프로그램을 선택하십시오. 웹 애플리케이션 테스트 기술은 REST API 프로그램에, 모바일 경험은 앱별 프로그램에, 네트워크 전문성은 인프라 보상 프로그램에 적합합니다. 최근 공개된 보고서를 읽고 해당 프로그램이 어떤 내용을 보상하며 어떤 내용을 영향도가 낮다고 판단해 거부하는지 이해하십시오.

버그 보상 프로그램에서 면책 조항의 목적은 무엇입니까?

테스트를 시작하기 전에 버그 보상 프로그램의 범위, 즉 범위에 포함된 자산, 금지된 활동, 면책 조항 조건, 보상 구조, 공개 일정을 이해하는 것이 필수적입니다. 프로그램을 주의 깊게 읽으면 범위 위반, 불필요한 작업, 법적 위험을 방지할 수 있습니다.