Admin.azADMIN.AZ / BLOQ
VDP və Bug Bounty: şirkət üçün düzgün başlanğıc
İcazəli əhatə, təhlükəsiz əlaqə kanalı və aydın cavab qaydaları ilə proqramınızı planlaşdırın.
Proqramdan əvvəl sərhədləri yazın
Təhlükəsizlik araşdırmaçısı şirkətin hansı sistemlərini yoxlaya biləcəyini əvvəlcədən bilməlidir. Domen adlarını, tətbiqləri və istisnaları dəqiq sadalayın. Üçüncü tərəfin servisini istifadə etməyiniz onun üzərində sınaq icazəsi vermir. “Bütün sistemlərimiz” kimi ümumi ifadə əməli risk yaradır.
VDP və mükafatlı proqram
VDP zəifliklərin məsuliyyətli şəkildə bildirilməsi üçün qayda və əlaqə kanalı yaradır. Bug bounty proqramında pul mükafatı nəzərdə tutula bilər; məbləğ, uyğunluq və qiymətləndirmə şərtləri ayrıca aydınlaşdırılmalıdır. Mükafatsız proqramı ödəniş vədi kimi təqdim etməyin. Admin.az-da proqram hazırlayarkən mətn, scope və gözləntilər arasında uyğunluğu yoxlayın.
Minimum sübut, maksimum aydınlıq
Tədqiqatçıdan problemi təsdiqləmək üçün zəruri olan ən az sınağı istəyin. Xidmətin dayandırılması, şəxsi məlumatların çıxarılması və davamlı giriş yaradılması proqramın adi tələbi olmamalıdır. Həssas məlumat görünərsə sınağın dayandırılması və məxfi bildiriş kanalı əvvəlcədən göstərilsin.
ABŞ Ədliyyə Nazirliyinin VDP-si minimum zəruri yoxlama, məlumat məxfiliyi və koordinasiyalı açıqlama prinsiplərinə konkret nümunədir. Bu mənbə Admin.az proqramına avtomatik hüquqi icazə vermir; hər şirkətin öz səlahiyyətli scope-u və təsdiqlənmiş qaydaları olmalıdır.
Cavab verəcək komandanı müəyyənləşdirin
Hesabatı kimin oxuyacağını, əlavə məlumatı kimin istəyəcəyini və şirkət daxilində düzəlişi kimin izləyəcəyini müəyyən edin. SLA müddətlərini komandanın real imkanlarına uyğun seçin. Proqram səhifəsi texniki iş axınınızla eyni gözləntini yaratmalıdır. Açıqlama qərarını da əvvəlcədən yazılı qaydaya bağlayın; susmaq avtomatik açıqlama icazəsi sayılmamalıdır.