Чтение областей действия и правил программ поиска уязвимостей

Область действия программы точно определяет, какие активы разрешено тестировать. Обычно в неё входят конкретные домены, поддомены, диапазоны IP или имена пакетов мобильных приложений. Тестирование чего-либо за пределами области действия — даже связанного с программой — не разрешено и потенциально незаконно.

Область действия с подстановочным знаком (*.example.com) включает все поддомены. Явные списки содержат конкретные домены (api.example.com, app.example.com). Некоторые программы используют область действия на основе ASN, охватывающую все IP в номере автономной системы компании, — это наиболее широкая возможная авторизация.

К распространённым объектам за пределами области действия относятся сторонние службы, которыми пользуется компания (Salesforce, Zendesk), недавно приобретённые компании, ещё не прошедшие проверку безопасности, отдельные поддомены с устаревшими технологиями и определённые типы уязвимостей (DoS, перебор паролей, ограничение частоты запросов без доказуемого воздействия).

Положения о безопасной гавани защищают добросовестных исследователей безопасности от судебного преследования, если они соблюдают правила программы. Внимательно изучите формулировки безопасной гавани: обычно они требуют ответственного раскрытия, отказа от доступа к данным сверх необходимого для демонстрации уязвимости и отсутствия публичного раскрытия до её устранения.

Большинство программ запрещают: автоматическое сканирование с высокой частотой запросов (риск DoS), тестирование рабочих систем, в которых хранятся реальные данные пользователей, без явного разрешения, социальную инженерию в отношении сотрудников, проверку физической безопасности и доступ к учетным записям пользователей без их согласия.

Программы вознаграждения за поиск ошибок используют уровни критичности (критический, высокий, средний, низкий) для определения вознаграждений. HackerOne и Bugcrowd используют таксономии оценки уязвимостей (VRT), чтобы единообразно классифицировать ошибки. До того как тратить время на исследование, разберитесь, как выбранная Вами программа оценивает уязвимости.

До начала тестирования прочитайте все правила, включая: правила для повторных отчетов (приоритет получает первый автор), условия правовой защиты, сроки раскрытия информации, ожидания относительно общения и любые особые указания по тестированию, например предоставленные тестовые учетные записи или тестовые среды.

Частные программы доступны только по приглашениям — в них часто меньше конкуренции и выше отношение полезных сигналов к шуму. Публичные программы открыты для всех — конкуренция выше, но цели разнообразнее. Создавайте репутацию в публичных программах, чтобы получать приглашения в частные программы с более высокими вознаграждениями.

Скоординированное раскрытие уязвимостей (CVD) устанавливает срок — обычно 90 дней, — в течение которого поставщик должен устранить уязвимость до ее публичного раскрытия. Соблюдайте этот срок. Если поставщик не отвечает, обратитесь к платформе программы. Преждевременное публичное раскрытие вредит пользователям и отношениям с программами.

Если область проверки сформулирована неоднозначно, задайте вопросы через форму отправки программы до начала тестирования. Формулировка «вся основная функциональность продукта» может включать административные панели, а может и не включать их. Предварительное уточнение поможет избежать напрасных усилий и возможных нарушений границ области проверки.

Выбирайте программы в соответствии со своими навыками: навыки тестирования веб-приложений подходят для программ с интерфейсами REST, опыт работы с мобильными приложениями — для специализированных мобильных программ, а знания сетей — для вознаграждений за уязвимости в инфраструктуре. Читайте недавно опубликованные отчеты, чтобы понять, за что программа выплачивает вознаграждения, а что отклоняет как малоопасное.

Какова цель оговорки о правовой защите в программе вознаграждения за поиск ошибок?

До начала тестирования необходимо понимать границы программы вознаграждения за поиск ошибок — активы, входящие в область проверки, запрещенные действия, условия правовой защиты, структуру вознаграждений и сроки раскрытия информации. Внимательное изучение правил помогает избежать нарушений границ области проверки, напрасных усилий и юридических рисков.