Verantwoorde openbaarmaking voor DediStart-services.

Overzicht

Geen enkel productiesysteem is perfect, en beveiligingsbeoordeling door ervaren onderzoekers helpt ons problemen te vinden voordat ze iemand schaden.

Het programma is gericht op verantwoorde openbaarmaking, niet op publieke competitie. Kwalificerende unieke rapporten kunnen worden beoordeeld voor een discretionaire beloning.

Verwachtingen voor veilige rapportage

• Meld het probleem zo snel als redelijkerwijs mogelijk na ontdekking en geef voldoende detail om het te reproduceren.
• Geef een redelijke hoeveelheid tijd voor onderzoek en herstel voordat u openbaar maakt.
• Gebruik geen imitatie, social engineering, phishing of andere misleidende contactmethoden.
• Gebruik alleen accounts die u zelf hebt aangemaakt en verkrijg geen toegang tot, wijzig of vernietig geen gegevens die u niet bezit.
• Vermijd testmethoden die de beschikbaarheid verstoren, de service voor anderen verslechteren of systemen beschadigen.
• Houd het rapport vertrouwelijk terwijl het probleem wordt beoordeeld. Persoonlijke informatie wordt vertrouwelijk behandeld.
• Als u deze verwachtingen en de andere condities in dit beleid volgt, zal Redcluster LTD geen juridische stappen ondernemen tegen uw beveiligingsonderzoek.

Geschiktheid

Een rapport kan worden overwogen voor beoordeling onder dit programma wanneer aan alle volgende voorwaarden is voldaan:

1. U bent de eerste melder van het probleem.
2. U volgt de verwachtingen voor veilige rapportage die in dit beleid worden beschreven.
3. U maakt het probleem niet openbaar voordat Redcluster LTD een redelijke hoeveelheid tijd heeft gehad om het te beoordelen en te verhelpen.
4. U geeft een duidelijke uitleg van de impact samen met reproduceerbare stappen of een proof of concept.
5. U gebruikt alleen uw eigen accounts en probeert geen toegang te krijgen tot gegevens die u niet bezit.
6. U bevindt zich niet in, of bent anderszins onderworpen aan, sanctierestricties die deelname aan het programma zouden beperken.

Bevindingen buiten bereik

De onderstaande categorieën vallen over het algemeen buiten bereik en ontvangen mogelijk geen individuele respons.

Sociale en fysieke aanvallen

• Social engineering, phishing, imitatie of andere pogingen om personeel te manipuleren.
• Elke fysieke poging tegen bedrijfseigendommen, infrastructuur of datacentrumfaciliteiten.

Beschikbaarheid en misbruiktests

• Denial-of-service-activiteiten, brute forcing, stresstests of tests die de servicebeschikbaarheid beïnvloeden.
• Rapporten die alleen door geautomatiseerde tools of brede scanning zijn gegenereerd zonder een aantoonbaar exploitpad.
• Ontbrekende tarieflimieten gerapporteerd zonder een praktisch exploitpad.

Webvondsten met laag signaal

• CSRF, self-XSS, alleen-clickjacking-problemen, content spoofing op foutpagina's, homografenaanvallen.

Headers, configuratie en alleen-blootstellingsrapporten

• Ontbrekende cookie-vlaggen, ontbrekende beveiligingsheaders zonder aantoonbare impact, ontbrekende noreferrer of noopener, DKIM/SPF/DMARC-observaties, versieblootstelling, directorylijsting, SSL-observaties.

Account- en lokaaltoestelsituaties

• Time-outs voor authenticatiesessies, 2FA TOTP-hergebruik, zorgen over wachtwoordbeleid, e-mailenumeratie.
• Gebruikersenumeratieclams die afhangen van brute-force-gedrag in plaats van een praktisch exploitpad.

Software van derden en externe systemen

• Bugs in software van derden, WordPress-kwetsbaarheden, browserkwetsbaarheden.

Wat u in een rapport moet opnemen

Een nuttig rapport bevat meestal:

• De betreffende hostnaam, URL, service of gebruikersstroom.
• Duidelijke reproductiestappen, inclusief vereiste accountstatus, timing of omgeving.
• De waargenomen impact en de beveiligingsconsequentie die u gelooft dat uit het probleem volgt.
• Een proof of concept, screenshots, verzoekmonsters of logs die het team helpen het probleem te valideren.
• Uw voorkeurcontactgegevens voor het geval verdere verduidelijking nodig is.

Rapportagekanaal

Stuur eerste bevindingen naar het hieronder vermelde misbruik- en beveiligingskanaal.