Lendo Escopos e Regras de Bug Bounties

O escopo do programa define exatamente quais ativos estão autorizados para teste. O que está dentro do escopo normalmente lista domínios, subdomínios, intervalos de IP ou nomes de pacotes de aplicativos móveis específicos. Testar qualquer coisa fora do escopo, mesmo que seja relacionada, não é autorizado e pode ser ilegal.

O escopo com curinga (*.example.com) inclui todos os subdomínios. Listas explícitas especificam domínios específicos (api.example.com, app.example.com). Alguns programas usam um escopo baseado em ASN que abrange todos os IP do sistema autônomo de uma empresa, a autorização mais ampla possível.

Itens comuns fora do escopo: serviços de terceiros usados pela empresa (Salesforce, Zendesk), empresas adquiridas recentemente que ainda não passaram por análise de segurança, subdomínios específicos com tecnologia legada e determinados tipos de vulnerabilidade (DoS, força bruta, limitação de taxa sem impacto demonstrável).

O porto seguro protege pesquisadores de segurança que agem de boa-fé contra ações judiciais quando eles cumprem as regras do programa. Leia atentamente a linguagem do porto seguro: normalmente ela exige divulgação responsável, evita o acesso a dados além do necessário para demonstrar a vulnerabilidade e proíbe a divulgação pública antes da correção.

A maioria dos programas proíbe: varreduras automatizadas em alta velocidade (risco de negação de serviço), testes em sistemas de produção que armazenam dados reais de usuários sem permissão explícita, engenharia social com funcionários, testes de segurança física e acesso a contas de usuários sem consentimento.

Os programas de recompensa por vulnerabilidades usam níveis de gravidade (crítico, alto, médio e baixo) para determinar as recompensas. HackerOne e Bugcrowd usam Taxonomias de classificação de vulnerabilidades (VRT) para classificar falhas de maneira consistente. Entenda como o programa-alvo classifica as vulnerabilidades antes de investir tempo em pesquisa.

Antes de testar, leia a política completa, incluindo: a política de duplicatas (o primeiro relator recebe o crédito), os termos de proteção legal, o cronograma de divulgação, as expectativas de comunicação e quaisquer orientações específicas de teste fornecidas, como contas de teste ou ambientes de homologação.

Os programas privados são somente para convidados — geralmente têm menos concorrência e uma relação sinal-ruído mais alta. Os programas públicos são abertos a todos — oferecem mais concorrência, mas também alvos mais diversificados. Construa sua reputação em programas públicos para receber convites para programas privados com recompensas maiores.

A Divulgação coordenada de vulnerabilidades (CVD) estabelece um prazo — normalmente de 90 dias — para que o fornecedor faça a correção antes da divulgação pública. Respeite esse prazo. Se o fornecedor não responder, entre em contato com a plataforma do programa. A divulgação pública prematura prejudica os usuários e os relacionamentos com os programas.

Quando o escopo for ambíguo, faça perguntas por meio do formulário de envio do programa antes de testar. A expressão "toda a funcionalidade principal do produto" pode incluir ou não os painéis administrativos. Esclarecer isso antecipadamente evita esforço desperdiçado e possíveis violações do escopo.

Escolha programas alinhados às suas habilidades: habilidades de teste de aplicações web correspondem a programas de APIs REST, experiência com dispositivos móveis a programas específicos para aplicativos e conhecimento de redes a recompensas por vulnerabilidades de infraestrutura. Leia relatórios divulgados recentemente para entender o que o programa recompensa e o que descarta como tendo baixo impacto.

Entender o escopo de um programa de recompensa por vulnerabilidades — ativos incluídos no escopo, atividades proibidas, termos de proteção legal, estruturas de recompensa e prazos de divulgação — é essencial antes do início dos testes. Ler os programas com atenção evita violações do escopo, esforço desperdiçado e riscos jurídicos.