bug bounty
Novērtēt atradumu

Kļūdu atlīdzības

Bug bounty – maksā par atrastajām kļūdām, ne par cerību, ka to nav

Bug bounty programmā ārējie pētnieki meklē ievainojamības atļautajā tvērumā un saņem atlīdzību pēc publicētajiem noteikumiem. Rezultātu nosaka arī organizācijas spēja pārbaudīt ziņojumus, novērst kļūdas un uzturēt skaidru saziņu.

Izpētīt smaguma pakāpes Programmas veidi
  • Atlīdzības pēc programmas noteikumiem
  • Smaguma pakāpes pēc CVSS
  • Bezmaksas ceļveži ar avotiem

Kas ir bug bounty

Pūļa spēks tavas drošības pārbaudei

Bug bounty ir ievainojamību atlīdzības programma: organizācija aicina ārējos pētniekus testēt atļautajā tvērumā un atlīdzina noteikumiem atbilstošus atradumus.

Ielaušanās testam ir saskaņots tvērums, laiks un nodevumi. Bug bounty programmu var uzturēt ilgstoši, piesaistot dažādus pētniekus. Atlīdzības maksā par noteikumiem atbilstošiem atradumiem, taču budžetā jāparedz arī platformas, ziņojumu pārbaudes un kļūdu novēršanas izmaksas. Dalībnieku skaits un pārklājums nav garantēts.

Programmai vajag skaidru tvērumu, atļautās metodes, atlīdzību noteikumus, dublikātu kārtību un drošu ziņošanas kanālu. Safe harbor nosaka organizācijas apņemšanos pret godprātīgu pētnieku; tas neatceļ likumu vai trešo pušu tiesības. Ziņojumus pārbauda un nosaka to prioritāti.

Bug bounty papildina ievainojamību pārvaldību. Pirms programmas sākšanas sakārto pamata drošību un vienojies, kurš pārbaudīs ziņojumus, sazināsies ar pētniekiem un novērsīs atradumus – soļi ir aprakstīti ceļvedī kā ieviest bug bounty programmu.

Kā tas darbojas

Kāpēc bug bounty strādā

Daži principi, kas atšķir pūļa pārbaudi no vienreizēja testa.

  • Atlīdzini noteikumiem atbilstošus atradumus

    Atlīdzības kritērijus publicē iepriekš. Atsevišķi plāno platformas, ziņojumu pārbaudes un labojumu izmaksas arī tad, ja derīgu atradumu ir maz.

  • Daudz acu, dažādas prasmes

    Dažādas pētnieku prasmes var palīdzēt pamanīt neparastas ievainojamības. Dalībnieku skaits un viņu izvēlētās pārbaudes atkarīgas no programmas pievilcības un tvēruma.

  • Nepārtraukta, ne vienreizēja

    Programmu var uzturēt starp plānotajiem testiem, taču tā negarantē, ka katra izmaiņa vai sistēma tiks pārbaudīta.

  • Skaidri noteikumi aizsargā abas puses

    Tvērums, saziņas kārtība un apņemšanās pret godprātīgiem pētniekiem mazina neskaidrības. Juridiskos noteikumus pielāgo organizācijai un piemērojamajiem tiesību aktiem.

  • Pārbaude no pētnieka skatpunkta

    Pētnieki pārbauda, kā ievainojamību var izmantot atļautajā tvērumā. Pamatots ziņojums palīdz saprast ietekmi un pārbaudīt labojumu.

Programmas veidi

No politikas līdz publiskai programmai

Bug bounty nav viens formāts. Šie ir galvenie posmi un jēdzieni, no kuriem izvēlēties.

  • VDP (atklāšanas politika)

    Politika, kas nosaka ziņošanas un atļautās testēšanas kārtību; atlīdzība nav obligāta.

    Piemērs: Lapa /security ar noteikumiem un kontaktu, kā arī mašīnlasāms /.well-known/security.txt (RFC 9116).

  • Privātā programma

    Tikai uzaicināti, pārbaudīti pētnieki; kontrolēts apjoms un slodze.

    Piemērs: Sāc ar pārvaldāmu pētnieku loku un paplašini to atbilstoši komandas spējām.

  • Publiskā programma

    Atvērta plašākam pētnieku lokam; dalības noteikumi, tvērums un ziņojumu apstrāde joprojām ir būtiski.

    Piemērs: Atvērta programma ar publisku atlīdzību tabulu un tvērumu.

  • Koordinēta atklāšana (CVD)

    Process, kā par kļūdu paziņo un to izlabo pirms publiskošanas.

    Piemērs: Publiskošanu saskaņo ar iesaistītajiem un piemērojamo tiesisko režīmu.

  • Tvērums (scope)

    Skaidrs saraksts, kuras sistēmas drīkst un kuras nedrīkst testēt.

    Piemērs: app.uznemums.lv tvērumā; maksājumu partneris ārpus tā.

  • Triāža

    Ienākošo ziņojumu pārbaude, dublikātu atsijāšana un smaguma novērtēšana.

    Piemērs: Reproducē kļūdu, piešķir CVSS un prioritāti, informē komandu.

  • Safe harbor

    Organizācijas apņemšanās attiecībā uz godprātīgu pētniecību noteiktā tvērumā.

    Piemērs: Noteikumi nevar garantēt imunitāti pret valsts vai trešo pušu prasījumiem.

  • Atlīdzību tabula

    Iepriekš noteiktas summas pēc ievainojamības smaguma.

    Piemērs: Zema / vidēja / augsta / kritiska pakāpe ar savu atlīdzības diapazonu.

Atraduma novērtēšana

Kā vērtēt atradumu?

Izvēlies tehniskā smaguma pakāpi un salīdzini tās nozīmi. Naudas atlīdzību nosaka programma, ņemot vērā tvērumu, ietekmi un savus noteikumus.

Interaktīvās cilnes nav pieejamas; visas smaguma pakāpes ir uzskaitītas zemāk.

  1. Zema

    CVSS: 0,1 – 3,9 · Programmai: Simboliska atlīdzība vai publiska atzinība

    Neliela ietekme vai grūti izmantojama kļūda. Bieži informatīva vai prasa maz ticamus apstākļus, taču joprojām ir vērts to izlabot.

    • Ierobežota informācijas izpaušana
    • Maznozīmīga konfigurācijas nepilnība ar pierādītu ietekmi

  2. Vidēja

    CVSS: 4,0 – 6,9 · Programmai: Vidējais diapazons; parasti plānveida labojums

    Reāla, bet ierobežota ietekme – parasti prasa lietotāja mijiedarbību vai konkrētus apstākļus, lai to izmantotu.

    • Atspoguļotais XSS
    • CSRF ar ietekmi
    • Nedroša tiešā objekta atsauce ar ierobežojumu

  3. Augsta

    CVSS: 7,0 – 8,9 · Programmai: Otrais diapazons; labojumam nosaka skaidru termiņu

    Nopietna ietekme uz datiem vai piekļuvi – uzbrucējs var iegūt jutīgu informāciju vai apiet būtiskas kontroles.

    • Uzglabātais XSS
    • Piekļuves kontroles apiešana
    • SQL injekcija ar datu piekļuvi

  4. Kritiska

    CVSS: 9,0 – 10,0 · Programmai: Augstākais diapazons; ziņojumu apstrādā ārpus kārtas

    Tieša, plaša ietekme – attālināta koda izpilde, konta pārņemšana vai piekļuve masveida datiem. Prioritāte numur viens.

    • Attālināta koda izpilde (RCE)
    • Autentifikācijas apiešana
    • Konta pārņemšana bez mijiedarbības

Šis rīks nav cenrādis. Kļūdas nosaukums viens pats nenosaka CVSS vērtējumu vai atlīdzību; piemēri jāvērtē konkrētajā sistēmā.

Pieteikt pārbaudi
CVSS0,1 – 3,9
Ko tas nozīmē programmaiSimboliska atlīdzība vai publiska atzinība

Neliela ietekme vai grūti izmantojama kļūda. Bieži informatīva vai prasa maz ticamus apstākļus, taču joprojām ir vērts to izlabot.

Piemēri
  • Ierobežota informācijas izpaušana
  • Maznozīmīga konfigurācijas nepilnība ar pierādītu ietekmi

Šis rīks nav cenrādis. Kļūdas nosaukums viens pats nenosaka CVSS vērtējumu vai atlīdzību; piemēri jāvērtē konkrētajā sistēmā.

Pieteikt pārbaudi

Kāpēc tas ir svarīgi

Kāpēc izvērtēt ievainojamības

Pētījumi rāda ievainojamību izmantošanu un incidentu izmaksas. Atlīdzību programmas budžetu plāno pēc sava tvēruma un ziņojumu apstrādes iespējām.

31 %
Pārkāpumu sākas ar ievainojamības izmantošanu – tagad izplatītākais sākotnējās piekļuves veids, un tieši to meklē bug bounty pētnieki.
Avots: Verizon DBIR, 2026
4,99 milj. $
Vidējās datu noplūdes izmaksas IBM 2026 pētījumā; tas nav salīdzinājums ar konkrētas programmas atlīdzībām.
Avots: IBM Cost of a Data Breach, 2026
247 dienas
Vidējais laiks, kamēr pārkāpumu atklāj un ierobežo – pēc piecu gadu krituma rādītājs atkal pieaug.
Avots: IBM Cost of a Data Breach 2026, 2026

Katram rādītājam pievienota atsauce uz oriģinālo avotu.

Uzņēmumiem

Koordinēta ievainojamību atklāšana ir daļa no NIS2

NIS2 un Latvijas likums paredz ievainojamību pārvaldību un koordinētas atklāšanas kārtību. Atlīdzību programma pati par sevi nav obligāta.

Subjekts kompetentās kiberincidentu novēršanas institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc informācijas saņemšanas veic ievainojamības novēršanai nepieciešamās darbības un par ievainojamības novēršanas gaitu informē kompetento kiberincidentu novēršanas institūciju.
Nacionālās kiberdrošības likuma 40. panta pirmā daļa · likumi.lv

Publicēta VDP palīdz sakārtot saziņu ar ziņotāju, bet politika vai bug bounty programma viena pati nepierāda likuma prasību izpildi.

Pieteikt konsultāciju Drošības auditi

  • Sāc ar VDP

    Nosaki ziņošanas kontaktu, atbildīgo un saņemto ziņojumu apstrādi. Publiskā politika palīdz pētniekam saprast šo procesu.

  • Ievainojamību apstrāde ir prasība

    NIS2 tvērumā organizācijai jāspēj saņemt, novērtēt un novērst ievainojamības – ne tikai savām, arī piegādes ķēdes.

  • Safe harbor piesaista pētniekus

    Skaidra organizācijas apņemšanās palīdz veidot uzticēšanos. Tā nevar atcelt likumā noteiktu atbildību vai trešo pušu tiesības.

  • Pāreja uz atlīdzībām, kad gatavs

    No VDP var pāriet uz privātu, tad publisku bug bounty programmu, kad procesi un komanda ir gatavi slodzei.

Ceļveži

Padziļini zināšanas

Praktiski ceļveži par to, kā ieviest programmu, ar ko atšķiras VDP un bug bounty un kā notiek atbildīga atklāšana.

Biežāk uzdotie jautājumi

Īsas, skaidras atbildes

Kas ir bug bounty?

Programma, kurā organizācija maksā ārējiem drošības pētniekiem atlīdzību par atbildīgi ziņotām, derīgām ievainojamībām. Tu maksā par rezultātu, nevis par pavadīto laiku.

Kāda atšķirība starp VDP un bug bounty?

VDP nosaka, kā saņemt un apstrādāt ievainojamību ziņojumus. Naudas atlīdzība tai nav obligāta. Bug bounty pievieno atlīdzību mehānismu; abos gadījumos nepieciešams skaidrs process un atbildīgā komanda.

Cik maksā bug bounty atlīdzība?

Universāla cenrāža nav. Atlīdzību nosaka programmas noteikumi, atraduma ietekme, sistēmas kritiskums un dublikātu kārtība. CVSS palīdz aprakstīt tehnisko smagumu, bet automātiski nenosaka cenu.

Vai bug bounty aizstāj ielaušanās testu?

Nē. Ielaušanās tests ir dziļa, strukturēta pārbaude ar noteiktu tvērumu un ziņojumu. Bug bounty ir nepārtraukta un plaša. Nobriedušā programmā tie viens otru papildina.

Vai maza organizācija var ieviest bug bounty?

Jā, bet sāc ar VDP, lai iemācītos apstrādāt ziņojumus, un pēc tam ar nelielu privātu programmu. Publiska programma bez sagatavotības rada ziņojumu plūdus.

Kas ir triāža?

Ienākošo ziņojumu pārbaude: kļūdas reproducēšana, dublikātu atsijāšana, smaguma (CVSS) piešķiršana un prioritātes noteikšana pirms nodošanas izstrādes komandai.

Kas ir safe harbor?

Organizācijas apņemšanās attiecībā uz pētnieku, kurš godprātīgi ievēro atļauto tvērumu un noteikumus. Tā nav vispārēja juridiska imunitāte un nevar saistīt valsts iestādes vai trešās puses.

Kas ir koordinēta ievainojamību atklāšana (CVD)?

Process, kurā par ievainojamību privāti paziņo organizācijai, dod saprātīgu laiku labojumam un tikai pēc tam to atklāj publiski – lai lietotāji netiktu pakļauti riskam.

Kas ir security.txt?

Mašīnlasāms fails /.well-known/security.txt, ko apraksta RFC 9116. Tajā norāda vismaz ziņošanas kontaktu (Contact) un faila derīguma termiņu (Expires); papildus var norādīt politikas adresi (Policy) un vēlamās valodas (Preferred-Languages). Tas ir vienkāršākais veids, kā pētnieks atrod, kur sūtīt atradumu.

Vai Latvijā ir legāli meklēt ievainojamības svešā sistēmā?

Testēt drīkst tikai ar atļauju – programmas vai politikas tvērumā un pēc tās noteikumiem. Neatļauta testēšana paliek prettiesiska arī ar labiem nodomiem. Ja ievainojamība konstatēta likuma subjekta sistēmā, Nacionālās kiberdrošības likuma 39. panta pirmā daļa uzliek pienākumu nekavējoties, bet ne vēlāk kā piecu darbdienu laikā iesniegt ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.

Ko darīt, ja organizācijai nav programmas vai VDP?

Ziņojumu iesniedz kompetentajai kiberincidentu novēršanas institūcijai; to var darīt arī anonīmi vai lūdzot neatklāt identitāti (39. panta sestā daļa). Organizācijas, uz kurām 90 dienu novēršanas termiņš neattiecas, var pēc savas iniciatīvas vienoties ar iesniedzēju par novēršanas termiņu (40. panta trešā daļa). Anonimitāte neatbrīvo no pienākuma neizpaust informāciju par ievainojamību.

Ar ko sākt uzņēmumam?

Sāc ar publisku VDP lapu un skaidru tvērumu, tad pievieno triāžu un nelielu privātu programmu. Palīdz partneris, kas jau pārvalda ievainojamību plūsmu.