Hata Ödülü Kapsamlarını ve Kurallarını Okuma

Program kapsamı, hangi varlıkların güvenlik sınamasına tabi tutulmasına izin verildiğini kesin olarak tanımlar. Kapsam dahilinde olanlar genellikle belirli alan adlarını, alt alan adlarını, IP aralıklarını veya mobil uygulama paket adlarını listeler. Kapsam dışındaki herhangi bir şeyi sınamak — ilişkili olsa bile — yetkisizdir ve potansiyel olarak yasa dışıdır.

Joker karakterli kapsam (*.example.com), tüm alt alan adlarını içerir. Açık listeler belirli alan adlarını adlandırır (api.example.com, app.example.com). Bazı programlar, bir şirketin otonom sistem numarasındaki tüm IP adreslerini kapsayan ASN tabanlı kapsam kullanır; bu, mümkün olan en geniş yetkilendirmedir.

Yaygın kapsam dışı öğeler şunlardır: şirketin kullandığı üçüncü taraf hizmetleri (Salesforce, Zendesk), henüz güvenlik incelemesinden geçirilmemiş yakın zamanda satın alınmış şirketler, eski teknoloji kullanan belirli alt alan adları ve belirli güvenlik açığı türleri (hizmet engelleme, kaba kuvvet, gösterilebilir bir etki olmadan hız sınırlamasını aşma).

Güvenli liman, program kurallarına uyan iyi niyetli güvenlik araştırmacılarını hukuki işlemlerden korur. Güvenli liman hükümlerini dikkatle okuyun; bu hükümler genellikle sorumlu açıklama yapılmasını, güvenlik açığını göstermek için gerekenden fazla veriye erişilmemesini ve düzeltme yapılmadan önce kamuya açıklama yapılmamasını gerektirir.

Çoğu program şunları yasaklar: yüksek hızda otomatik tarama (DoS riski), gerçek kullanıcı verilerini depolayan canlı sistemlerde açık izin olmadan sınama yapma, çalışanları sosyal mühendislikle kandırma, fiziksel güvenlik sınaması ve kullanıcı hesaplarına izin olmadan erişme.

Hata ödül programları, ödülleri belirlemek için önem derecesi katmanlarını (kritik, yüksek, orta, düşük) kullanır. HackerOne ve Bugcrowd, hataları tutarlı biçimde sınıflandırmak için Güvenlik Açığı Derecelendirme Taksonomilerini (VRT) kullanır. Araştırma için zaman ayırmadan önce hedef programınızın güvenlik açıklarını nasıl puanladığını anlayın.

Sınamadan önce, şunlar dâhil tam politikayı okuyun: yinelenen bildirimler politikası (ilk bildiren kişi tanınır), güvenli liman koşulları, açıklama takvimi, iletişim beklentileri ve sağlanan sınama hesapları veya hazırlık ortamları gibi özel sınama yönergeleri.

Özel programlar yalnızca davetle katılıma açıktır — çoğu zaman rekabet daha az, anlamlı bulguların oranı daha yüksektir. Herkese açık programlar herkese açıktır — rekabet daha fazla, ancak hedefler daha çeşitlidir. Daha yüksek ödüllü özel programlara davet almak için herkese açık programlarda itibar oluşturun.

Koordineli Güvenlik Açığı Açıklaması (CVD), sağlayıcının herkese açık açıklamadan önce düzeltme yapması için genellikle 90 günlük bir süre belirler. Bu takvime uyun. Sağlayıcı yanıt vermiyorsa program platformuyla iletişime geçin. Erken yapılan herkese açık açıklama kullanıcılara ve programlarla ilişkilerinize zarar verir.

Kapsam belirsizse sınama yapmadan önce programın rapor gönderme soruları üzerinden soru sorun. "Tüm ana ürün işlevleri" yönetim panellerini kapsayabilir de kapsamayabilir de. Önceden açıklığa kavuşturmak boşa harcanan çabayı ve olası kapsam ihlallerini önler.

Becerilerinizle örtüşen programları seçin: web uygulaması sınama becerileri REST API programlarına, mobil deneyim uygulamaya özgü programlara, ağ uzmanlığı altyapı ödüllerine uygundur. Programın neleri ödüllendirdiğini, neleri düşük etkili sayarak reddettiğini anlamak için yakın zamanda açıklanan raporları okuyun.

Hata ödül programındaki güvenli liman maddesinin amacı nedir?

Hata ödülü kapsamını — kapsam dâhilindeki varlıkları, yasaklanan faaliyetleri, güvenli liman koşullarını, ödül yapılarını ve açıklama takvimlerini — anlamak, sınama başlamadan önce zorunludur. Programları dikkatle okumak kapsam ihlallerini, boşa harcanan çabayı ve hukuki riski önler.