DediStart hizmetleri için sorumlu açıklama.

Genel Bakış

Hiçbir üretim sistemi mükemmel değildir ve deneyimli araştırmacıların güvenlik incelemesi sorumlu bir şekilde yürütüldüğünde değerli olabilir. Bir DediStart ürünü, hizmetini veya web sitesini etkileyen bir güvenlik açığı tespit ettiğinize inanıyorsanız, aşağıda yayımlanan kanal aracılığıyla bildirin.

Program, kamuya açık rekabet değil, sorumlu açıklamaya odaklanmıştır. Nitelikli raporlar, dahili doğrulama, önem derecesi incelemesi ve yineleme kontrolünden sonra takdirî bir ödül için değerlendirilebilir.

Güvenli raporlama beklentileri

• Keşiften sonra makul ölçüde mümkün olan en kısa sürede sorunu bildirin ve ekibin bulguyu yeniden oluşturmasına yetecek kadar ayrıntı sağlayın.
• Sorunu kamuoyuna veya üçüncü bir tarafa açıklamadan önce soruşturma ve düzeltme için makul bir süre tanıyın.
• Test veya raporlama sırasında personeli veya üçüncü tarafları manipüle etmek için kimliğe bürünme, sosyal mühendislik, phishing veya diğer aldatıcı iletişim yöntemlerini kullanmayın.
• Yalnızca kendinizin oluşturduğu hesapları kullanın; diğer kullanıcılara ait verilere erişmeyin, değiştirmeyin veya yok etmeyin.
• Kullanılabilirliği bozan, başkaları için hizmeti düşüren veya gereksiz operasyonel risk yaratan test yöntemlerinden kaçının.
• Sorun incelenirken raporu gizli tutun. Raporla birlikte sağlanan kişisel bilgiler, açıklama yasalar tarafından gerektirilmediği sürece rıza olmadan paylaşılmayacaktır.
• Bu beklentileri ve bu politikadaki diğer koşulları yerine getirirseniz, Redcluster LTD raporun kendisiyle ilgili yasal işlem başlatmayı düşünmemektedir.

Uygunluk

Aşağıdakilerin tümü doğru olduğunda bir rapor bu program kapsamında inceleme için değerlendirilebilir:

1. Sorunu ilk raporlayan kişi sizsiniz.
2. Bu politikada açıklanan güvenli raporlama beklentilerini takip ediyorsunuz.
3. Redcluster LTD'nin soruşturmak ve yanıt vermek için makul bir fırsata sahip olmasından önce sorunu kamuoyuna açıklamıyorsunuz.
4. Çalışan bir kavram kanıtı veya yeniden üretilebilir adımlarla birlikte etkinin net bir açıklamasını sağlıyorsunuz.
5. Yalnızca kendi hesaplarınızı kullanıyorsunuz ve size ait olmayan verilere erişmeye çalışmıyorsunuz.
6. Redcluster LTD'nin programa katılmasını engelleyecek yaptırım kısıtlamalarına tabi bir ülkede bulunmuyorsunuz.

Kapsam dışı bulgular

Aşağıdaki kategoriler genellikle kapsam dışındadır ve anlamlı, istismar edilebilir güvenlik etkisi göstermediklerinde bireysel yanıt almayabilirler.

Sosyal ve fiziksel saldırılar

• Personeli veya üçüncü tarafları manipüle etmeye yönelik sosyal mühendislik, phishing, kimliğe bürünme veya diğer girişimler.
• Şirket mülklerine, altyapısına veya veri merkezi tesislerine karşı herhangi bir fiziksel girişim.

Erişilebilirlik ve kötüye kullanım testleri

• Hizmet reddi faaliyeti, kaba kuvvet saldırısı, yük testi veya hizmet kullanılabilirliğini düşürebilecek herhangi bir test.
• Yalnızca otomatik araçlar veya geniş tarama ile oluşturulan ve hizmete özgü gösterilmiş etkisi olmayan raporlar.
• Pratik istismar yolu olmadan bildirilen eksik hız sınırları.

Düşük sinyalli web bulguları

• CSRF, öz-XSS, yalnızca tıklama hırsızlığı sorunları, hata sayfalarında içerik sahteciliği, homograf saldırıları, açık yönlendirmeler, zayıf CAPTCHA gözlemleri ve önbellek ile ilgili sorunlar.

Başlıklar, yapılandırma ve yalnızca ifşa raporları

• Gösterilmiş etkisi olmayan eksik çerez bayrakları, eksik güvenlik başlıkları, eksik noreferrer veya noopener, DKIM/SPF/DMARC gözlemleri, sürüm ifşası, dizin listesi, SSL gözlemleri, OPTIONS etkin veya sunucu IP ifşası.

Hesap ve yerel cihaz kenar durumları

• Kimlik doğrulama oturumu zaman aşımları, 2FA TOTP yeniden kullanımı, şifre politikası endişeleri, e-posta değişikliği doğrulama detayları, 2FA aktivasyon akışı gözlemleri veya kullanıcının kendi cihazına erişim gerektiren sorunlar.
• Pratik bir uygulama zayıflığı yerine kaba kuvvet davranışına bağlı kullanıcı sayım iddiaları.

Üçüncü taraf yazılımı ve harici sistemler

• Üçüncü taraf yazılımlardaki hatalar, WordPress güvenlik açıkları, tarayıcı güvenlik açıkları veya doğrudan DediStart uygulama yüzeyi dışındaki ödeme işlemcisi parametre kurcalaması.

Rapora neler dahil edilmeli

Yararlı bir rapor genellikle şunları içerir:

• Etkilenen ana bilgisayar adı, URL, hizmet veya kullanıcı akışı.
• Gerekli hesap durumu, zamanlama veya ortam detayları dahil net yeniden üretim adımları.
• Gözlemlenen etki ve sorundan kaynaklandığına inandığınız güvenlik sonucu.
• Ekibin aşırı test tekrarlamadan raporu doğrulamasına yardımcı olan kavram kanıtı, ekran görüntüleri, istek örnekleri veya günlükler.
• Takip açıklaması gerekmesi durumunda iletişim tercihleriniz.

Raporlama kanalı

İlk bulguları aşağıdaki kötüye kullanım ve güvenlik kanalına gönderin. Sorun inceleme için kabul edilirse takip iletişimi bu konu üzerinden devam edebilir.