Kā ieviest bug bounty programmu soli pa solim

Pirms sākuma

Pirms atvērt programmu, pārliecinies, ka pamata drošība ir sakārtota – citādi pētnieki atkārtoti ziņos par zināmām problēmām. Nosaki, kurš komandā atbild par ziņojumiem un cik ātri var reaģēt.

Soļi programmas palaišanai

1. Definē tvērumu. Skaidri uzskaiti, kuras sistēmas ir iekšā un kuras ārpus tvēruma.
2. Uzraksti atlīdzību tabulu. Nosaki diapazonus katrai smaguma pakāpei pēc CVSS.
3. Publicē safe harbor. Dod juridisku drošību godprātīgiem pētniekiem.
4. Sagatavo triāžu. Nosaki, kā reproducēsi, novērtēsi un prioritizēsi ziņojumus.
5. Sāc privāti. Uzaicini nedaudzus pētniekus un pārbaudi procesu ar reālu slodzi.
6. Mērogo. Paplašini pētnieku loku vai atver publiski, kad procesi iztur.

Triāža – programmas sirds

Katrs ziņojums jāreproducē, jāatsijā dublikāti, jāpiešķir smagums un jānodod izstrādes komandai ar skaidru prioritāti. Ātra un cieņpilna komunikācija ar pētniekiem tieši ietekmē to, cik labas kļūdas tu turpmāk saņemsi.

Biežākās kļūdas

• Neskaidrs tvērums – pētnieki testē nepareizās sistēmas.
• Lēna vai klusa triāža – labi pētnieki aiziet.
• Atlīdzības neatbilst ietekmei – motivācija krīt.
• Atradumi netiek izlaboti – programma zaudē jēgu.