Kas ir bug bounty un kā tas darbojas

Kas ir bug bounty

Bug bounty ir kļūdu atlīdzības programma: organizācija aicina ārējos drošības pētniekus testēt saskaņotas sistēmas pēc noteiktiem noteikumiem. Atlīdzību par ziņojumu nosaka tvērums, dublikātu un citi programmas kritēriji. Programma var būt pastāvīga vai ierobežota laikā; pētnieku iesaiste un pārklājums nav garantēti.

Būtiskā atšķirība ir maksāšanas modelī. Ielaušanās testā tu pērc noteiktu skaitu ekspertu dienu neatkarīgi no rezultāta. Bug bounty programmā tu maksā par rezultātu – derīgu, reproducējamu ievainojamību. Tas nozīmē arī, ka izmaksas ir mainīgas un tās nevar precīzi ieplānot budžetā gadu uz priekšu.

Kā programma darbojas soli pa solim

1. Tvērums. Organizācija nosaka, kuras sistēmas, domēni un lietotnes drīkst testēt, kuras ir skaidri ārpus tvēruma un kādas testēšanas metodes ir aizliegtas.
2. Noteikumi un safe harbor. Tiek publicēta apņemšanās neuzsākt tiesvedību pret pētnieku, kurš testē tvērumā un godprātīgi ievēro politiku.
3. Atlīdzību tabula. Katrai smaguma pakāpei tiek noteikts atlīdzības diapazons, lai pētnieks jau iepriekš saprastu, ko ir vērts meklēt.
4. Ziņošana. Pētnieks iesniedz reproducējamu ziņojumu ar aprakstu, darbību secību un ietekmes novērtējumu.
5. Triāža. Ziņojumu reproducē, atsijā dublikātus un ārpus tvēruma esošos atradumus un piešķir smaguma pakāpi.
6. Labošana un izmaksa. Kļūdu izlabo, pētniekam izmaksā atlīdzību pēc tabulas un veic atkārtotu pārbaudi.
7. Atklāšana. Ja puses vienojas, ievainojamību pēc labojuma publisko koordinēti, nevis pēkšņi.

Ko satur derīgs ziņojums

Latvijā ziņojuma formāts nav jāizdomā no nulles. Nacionālās kiberdrošības likuma 39. panta otrā daļa uzskaita, kas jāiekļauj ievainojamības atklāšanas ziņojumā, un šis saraksts gandrīz precīzi sakrīt ar to, ko no laba bug bounty ziņojuma sagaida triāžas komanda.

1. ievainojamības konstatēšanas datums un laiks (ja iespējams);
2. ziņas par informācijas sistēmu vai elektronisko sakaru tīklu, kurā ievainojamība konstatēta;
3. ievainojamības apraksts;
4. ievainojamības konstatēšanai izmantotās metodoloģijas vai veikto darbību secības apraksts;
5. ziņojuma iesniedzēja kontaktinformācija;
6. citas ziņas, ko iesniedzējs uzskata par nepieciešamām ievainojamības identificēšanai un novēršanai.

Praksē visvairāk vērtības dod ceturtais punkts – precīza darbību secība. Ziņojums, ko triāžas komanda nespēj atkārtot, netiek noraidīts ļaunprātības dēļ, bet vienkārši tāpēc, ka to nevar pārbaudīt. Programmas noteikumos ir vērts prasīt tieši šos sešus elementus, jo tie jau ir normatīvi formulēti.

Smaguma pakāpes un atlīdzību tabula

Atlīdzība tiek piesaistīta smaguma pakāpei, un smaguma pakāpi visbiežāk nosaka pēc CVSS. FIRST publicētā CVSS v3.1 specifikācija definē piecas kvalitatīvās pakāpes ar konkrētiem vērtējuma diapazoniem. Tas ir vienīgais atlīdzību tabulas elements, kas tiešām ir standartizēts.

Smaguma pakāpes pēc CVSS v3.1 un ko tās nozīmē programmai

Pakāpe	CVSS bāzes vērtējums	Tipiska ietekme	Ko tas nozīmē programmai
Kritiska	9,0–10,0	Pilna sistēmas vai datu kompromitēšana bez autentifikācijas	Augstākais atlīdzības diapazons; ziņojumu apstrādā ārpus kārtas
Augsta	7,0–8,9	Piekļuve svešiem datiem vai kontiem, tiesību paaugstināšana	Otrais diapazons; labojumam nosaka skaidru termiņu
Vidēja	4,0–6,9	Ierobežota datu atklāšana vai apiets kontroles mehānisms	Vidējais diapazons; parasti plānveida labojums
Zema	0,1–3,9	Neliela informācijas atklāšana bez tiešas izmantojamības	Simboliska atlīdzība vai publiska atzinība
Nav	0,0	Nav drošības ietekmes	Atlīdzību nemaksā; ziņojumu slēdz ar paskaidrojumu

Konkrētas summas nav standartizētas, un neviens publisks avots tās Latvijas tirgum nedefinē. Tās nosaka programmas īpašnieks, vadoties pēc ievainojamības reālās ietekmes uz biznesu, sistēmas kritiskuma un tā, ko par līdzvērtīgu atradumu maksā citas programmas. Pārāk zemas summas nepiesaista pētniekus; pārāk augstas rada ziņojumu apjomu, ko triāža neiztur.

Safe harbor: ko tas sola un ko nē

Safe harbor ir programmas īpašnieka publisks solījums neuzsākt tiesvedību pret pētnieku, kurš testē tvērumā un ievēro noteikumus. Tas ir līgumisks solījums, nevis likuma norma, un tāpēc tas nevar atcelt atbildību par darbībām, kas iziet ārpus atļautā.

ASV federālajām civilajām izpildvaras iestādēm adresētais CISA rīkojums BOD 20-01 prasa politikā ietvert apņemšanos par godprātīgu pētniecību un atļaut anonīmu ziņošanu. To var izmantot kā politikas paraugu, taču Latvijā dokuments nav saistošs un tā formulējumi jāpielāgo vietējam regulējumam un organizācijas pilnvarām.

Latvijā nāk klāt vēl viens slānis. Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi, informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija, un par tās neizpaušanu atbild gan ziņojuma iesniedzējs, gan attiecīgais subjekts (39. panta piektā daļa).

Ko par ievainojamību atklāšanu nosaka Latvijas likums

Nacionālās kiberdrošības likuma VI nodaļa regulē koordinētu ievainojamību atklāšanu un novēršanu. Tā attiecas arī uz fiziskām personām, kas šajā procesā piedalās (3. panta pirmās daļas 4. punkts), proti, uz pašiem pētniekiem, ne tikai uz organizācijām.

Ja persona subjekta informācijas sistēmā vai elektronisko sakaru tīklā konstatē ievainojamību, tā nekavējoties, bet ne vēlāk kā piecu darbdienu laikā iesniedz ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.– Nacionālās kiberdrošības likuma 39. panta pirmā daļa

Novēršanas pusē 40. panta pirmā daļa nosaka, ka subjekts ievainojamību novērš institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc informācijas saņemšanas. Objektīvu iemeslu dēļ termiņu var pagarināt, bet ne vairāk kā līdz 180 dienām no ziņojuma iesniegšanas brīža.

• Ziņojuma iesniedzējs drīkst iesniegt ziņojumu anonīmi vai lūgt neatklāt savu identitāti, un institūcijai tā jānodrošina, ja iesniedzējs ievēro likuma prasības un pirmšķietami nav konstatējamas noziedzīga nodarījuma pazīmes (39. panta sestā daļa).
• Anonīma iesniegšana neatbrīvo iesniedzēju no pienākuma neizpaust informāciju par ievainojamību (39. panta sestā daļa).
• Personas, uz kurām 90 dienu pienākums neattiecas, var pēc savas iniciatīvas vienoties ar iesniedzēju par novēršanas termiņu (40. panta trešā daļa) – tieši to dara programmas noteikumi.
• Pēc kādas puses lūguma institūcija sniedz atbalstu iesniedzēja un subjekta saziņā un veic novēršanas pēckontroli (40. panta ceturtā daļa).

Bug bounty vai ielaušanās tests

Ielaušanās tests ir strukturēta, laikā ierobežota pārbaude ar saskaņotu tvērumu, metodiku un ziņojumu. Tas dod dziļumu, atkārtojamību un dokumentu, ko var parādīt auditoram vai klientam. Bug bounty dod plašumu un nepārtrauktību, bet negarantē pārklājumu: neviens nesola, ka kāds pārbaudīs tieši to moduli, kas tev rūp.

Praksē tie viens otru papildina. Ielaušanās tests pārbauda kritiskās sistēmas pēc plāna; programma tur ārējo spiedienu starp testiem un pamana to, kas mainījies pēc pēdējā laidiena. ENISA 2025. gada draudu ainavas pārskatā ievainojamību izmantošana veido 21,3 % no novērotajiem sākotnējās piekļuves gadījumiem, tāpēc nepārtraukta ārējā uzmanība nav lieka.

Kad programma ir gatava

Gatavība nav tehnisks, bet organizatorisks jautājums: cik ātri komanda spēj pārbaudīt ziņojumu un novērst kļūdu. Pirms atvēršanas ir vērts pārbaudīt dažas lietas; detalizēts palaišanas plāns ir ceļvedī kā ieviest bug bounty programmu.

• Ir zināms aktīvu saraksts un skaidrs, kas ietilpst tvērumā un kas ne.
• Ir cilvēks, kurš atbild par ienākošajiem ziņojumiem, un aizvietotājs viņa prombūtnē.
• Ir process, kā ziņojums nonāk izstrādes komandas darbu sarakstā ar prioritāti.
• Ir apņemšanās par atbildes termiņu, ko komanda tiešām spēj ievērot.
• Ir budžets, kas iztur negaidīti labu mēnesi.