Ressourcen · 41
Koordinierte Offenlegung von Schwachstellen: Empfangen, Beheben und Informieren
Erstellen Sie einen sicheren Weg für externe Meldungen, bewerten Sie die Auswirkungen, koordinieren Sie betroffene Parteien und veröffentlichen Sie nützliche Leitlinien.
Aktualisiert · 3 min
Wozu dieser Leitfaden beiträgt
- Melden möglich und sicher machen
- Geben Sie jedem Bericht einen Besitzer
- Koordinieren Sie eine überprüfbare Lösung
- Geben Sie Benutzern umsetzbare Anleitungen
Kurzcheck
- Kann ein Bericht ohne Kundenkonto versendet werden?
- Sind Umfang und erlaubte Tests klar?
- Wer antwortet, wenn der Hauptansprechpartner abwesend ist?
- Welche Produkte und Lieferanten haben den Fehler?
- Welche zwischenzeitliche Abhilfe ist sinnvoll?
- Erkennt das Advisory tatsächlich betroffene Versionen?
Schritt-für-Schritt-Anleitung
- 1
Veröffentlichen Sie eine klare Richtlinie
Geben Sie den Umfang, die zu vermeidenden Tests, den Kontaktkanal, nützliche Berichtsdetails und den Antwortprozess an. Lassen Sie die Richtlinie für Ihren Kontext überprüfen.
Liefergegenstand: veröffentlichte Richtlinie und überwachter Kanal.
- 2
Beweise anerkennen und schützen
Bestätigen Sie den Empfang, weisen Sie eine Kennung zu, beschränken Sie die Verbreitung sensibler Daten und fordern Sie nur Beweise an, die zur Reproduktion des Problems erforderlich sind.
Liefergegenstand: datierter Bericht mit Eigentümer.
- 3
Umfang bewerten und erweitern
Reproduzieren, ohne Systeme zu beschädigen. Untersuchen Sie die Ausnutzbarkeit, Assets, Versionen, Daten und Komponenten, die mit anderen Produkten oder Lieferanten geteilt werden.
Liefergegenstand: Folgenabschätzung und Stakeholder-Karte.
- 4
Sanierung koordinieren
Halten Sie einen regelmäßigen Dialog mit dem Reporter und den Betreuern. Vereinbaren Sie Validierungsmeilensteine und passen Sie die Kommunikation an, wenn sich Risiko oder Verbreitung ändern.
Lieferinhalt: gemeinsame Zeitleiste, Fix- und Regressionstests.
- 5
Veröffentlichen und durchziehen
Erklären Sie betroffene Versionen, Korrekturen oder Abhilfemaßnahmen, Benutzeraktionen und Unsicherheiten. Überprüfen Sie die Bereitstellung und aktualisieren Sie die Empfehlung, wenn sich die Fakten ändern.
Liefergegenstand: versionierter Beratungs- und Verteilungsnachweis.
Fiktives Arbeitsbeispiel
Beispielhafte Situation
Ein Forscher meldet einen Fehler bei der Zugriffskontrolle in einer alten API-Version. Das Team erkennt dies, reproduziert den Fall in einer autorisierten Umgebung und stellt fest, dass eine gemeinsame Komponente zwei Produkte betrifft.
Entscheidung und erwartete Beweise
Der Plan verbindet Betreuer, Versionen, Fixtests und eine vorläufige Schadensbegrenzung. Die abschließende Empfehlung gibt den Benutzern eine klare Handlung vor und weist den Forscher als vereinbart darauf hin.
Managementindikatoren
| Indikator | Was es misst | Erste Aktion |
|---|---|---|
| Empfang nachverfolgt | Meldungen mit Eigentümer und Erstreaktionsdatum | Stille Kanäle reparieren |
| Geltungsbereich festgelegt | Betroffene Produkte, Versionen und Abhängigkeiten bestätigt | Erweitern Sie die Suche vor der endgültigen Beratung |
| Fix überprüft | Ursprüngliche und verwandte Fälle werden in veröffentlichten Versionen wiedergegeben | Eine anfällige Variante nicht schließen |
| Benutzer informiert | Anleitung erreicht betroffene Zielgruppen | Erforderliche Kanäle und Übersetzungen aktualisieren |
Häufige Fallstricke
- Einen Termin unabhängig vom Risiko versprechen
- Anforderung übermäßiger personenbezogener Daten vom Reporter
- Bestätigung als Abhilfe behandeln
- Veröffentlichung detaillierter Ausnutzungsnachweise vor nutzbarer Schadensbegrenzung
- Von Partnern eingebettete Versionen werden vergessen
Häufig gestellte Fragen
Ist eine Offenlegungsrichtlinie eine Bug-Bounty?
Nein. Eine Richtlinie erklärt, wie man meldet und koordiniert. Belohnungen erfordern separate Regeln und Ressourcen.
Muss die Kommunikation immer auf einen Fix warten?
Nein. Der Zeitpunkt hängt vom Risiko, den einstweiligen Maßnahmen und den betroffenen Parteien ab. Notieren Sie die Entscheidung und überprüfen Sie sie noch einmal.
Wann sollte ein Koordinator helfen?
Ein Koordinator kann helfen, wenn mehrere Anbieter betroffen sind, ein Ansprechpartner nicht reagiert oder ein gemeinsamer Zeitplan schwierig ist.
Offizielle Referenzen
Die Referenzen unterstützen die Methode. Passen Sie die Prüfungen an Ihren Kontext an; sie stellen keine Zertifizierung dar. Originalreferenztitel und Quelldokumente können in einer anderen Sprache verfasst sein.
