रिसोर्स · 41
कोऑर्डिनेटेड वल्नरबिलिटी डिस्क्लोजर: पाएं, ठीक करें और बताएं
बाहरी रिपोर्ट के लिए एक सुरक्षित रूट बनाएं, असर का आकलन करें, प्रभावित पार्टियों को कोऑर्डिनेट करें और उपयोगी गाइडेंस पब्लिश करें।
अपडेटेड · 6 min
यह गाइड क्या पाने में मदद करती है
- रिपोर्टिंग को संभव और सुरक्षित बनाएं
- हर रिपोर्ट को एक ओनर दें
- एक वेरिफ़ाई किए जा सकने वाले फिक्स को कोऑर्डिनेट करें
- यूज़र्स को एक्शनेबल गाइडेंस दें
जल्दी से चेक करें
- क्या कस्टमर अकाउंट के बिना रिपोर्ट भेजी जा सकती है?
- क्या स्कोप और परमिशन वाले टेस्ट साफ़ हैं?
- अगर मेन कॉन्टैक्ट मौजूद नहीं है तो कौन जवाब देगा?
- कौन से प्रोडक्ट और सप्लायर में यह कमी है?
- कौन सी अंतरिम राहत काम की है?
- क्या एडवाइज़री असल में प्रभावित वर्शन की पहचान करती है?
स्टेप-बाय-स्टेप तरीका
- 1
एक साफ़ पॉलिसी पब्लिश करें
स्कोप, बचने वाले टेस्ट, कॉन्टैक्ट चैनल, काम की रिपोर्ट डिटेल और जवाब देने का प्रोसेस बताएं। अपने कॉन्टेक्स्ट के लिए पॉलिसी का रिव्यू करवाएं।
डिलीवरेबल: पब्लिश पॉलिसी और मॉनिटर किया गया चैनल।
- 2
सबूत को मानें और सुरक्षित रखें
रसीद कन्फ़र्म करें, एक आइडेंटिफ़ायर असाइन करें, सेंसिटिव डिटेल के सर्कुलेशन को लिमिट करें और सिर्फ़ समस्या को दोबारा बनाने के लिए ज़रूरी सबूत मांगें।
डिलीवरेबल: ओनर के साथ डेट वाली रिपोर्ट।
- 3
स्कोप का असेसमेंट करें और उसे बढ़ाएं
सिस्टम को नुकसान पहुंचाए बिना दोबारा बनाएं। दूसरे प्रोडक्ट या सप्लायर के साथ शेयर किए गए एक्सप्लॉइटेबिलिटी, एसेट, वर्शन, डेटा और कंपोनेंट की जांच करें।
डिलीवरेबल: इम्पैक्ट असेसमेंट और स्टेकहोल्डर मैप।
- 4
कोऑर्डिनेट रिमेडिएशन
रिपोर्टर और मेंटेनर्स के साथ रेगुलर बातचीत करते रहें। वैलिडेशन माइलस्टोन पर सहमत हों और अगर रिस्क या डिसेमिनेशन बदलता है तो कम्युनिकेशन को अडैप्ट करें।
डिलीवरेबल: शेयर्ड टाइमलाइन, फिक्स और रिग्रेशन टेस्ट।
- 5
पब्लिश करें और फॉलो थ्रू करें
प्रभावित वर्शन, फिक्स या मिटिगेशन, यूज़र एक्शन और अनिश्चितताओं के बारे में बताएं। डिप्लॉयमेंट वेरिफाई करें और फैक्ट्स बदलने पर एडवाइजरी को अपडेट करें।
डिलीवरेबल: वर्शन्ड एडवाइजरी और डिस्ट्रीब्यूशन एविडेंस।
काल्पनिक काम का उदाहरण
उदाहरण वाली स्थिति
एक रिसर्चर पुराने API वर्शन में एक्सेस-कंट्रोल फेलियर की रिपोर्ट करता है। टीम इसे मानती है, ऑथराइज्ड एनवायरनमेंट में केस को रिप्रोड्यूस करती है और पाती है कि एक शेयर्ड कंपोनेंट दो प्रोडक्ट्स पर असर डालता है।
फैसला और उम्मीद का सबूत
प्लान मेंटेनर्स, वर्शन, फिक्स टेस्ट और एक इंटरिम मिटिगेशन को जोड़ता है। फाइनल एडवाइजरी यूज़र्स को एक क्लियर एक्शन देती है और रिसर्चर को एग्रीमेंट के अनुसार क्रेडिट देती है।
मैनेजमेंट इंडिकेटर
| इंडिकेटर | यह क्या मापता है | पहला एक्शन |
|---|---|---|
| रसीद ट्रैक की गई | मालिक और पहले जवाब की तारीख के साथ रिपोर्ट | साइलेंट चैनल ठीक करें |
| स्कोप तय किया गया | प्रभावित प्रोडक्ट, वर्शन और डिपेंडेंसी कन्फर्म हुए | आखिरी सलाह से पहले सर्च को बड़ा करें |
| फिक्स वेरिफाइड | रिलीज़ किए गए वर्शन पर ओरिजिनल और उससे जुड़े केस दोबारा चलाए गए | कमज़ोर वैरिएंट को बंद न करें |
| यूज़र्स को जानकारी दी गई | प्रभावित ऑडियंस तक गाइडेंस पहुंचे | ज़रूरी चैनल और ट्रांसलेशन अपडेट करें |
आम गलतियाँ
- रिस्क की परवाह किए बिना एक डेडलाइन का वादा करना
- रिपोर्टर से बहुत ज़्यादा पर्सनल डेटा मांगना
- एक्नॉलेजमेंट को सुधार के तौर पर मानना
- इस्तेमाल करने लायक कमी से पहले एक्सप्लॉइटेशन के डिटेल्ड सबूत पब्लिश करना
- पार्टनर द्वारा एम्बेड किए गए वर्शन को भूल जाना
अक्सर पूछे जाने वाले सवाल
क्या डिस्क्लोज़र पॉलिसी एक बग बाउंटी है?
नहीं। एक पॉलिसी बताती है कि रिपोर्ट कैसे करें और कोऑर्डिनेट कैसे करें। रिवॉर्ड्स के लिए अलग नियम और रिसोर्स चाहिए।
क्या कम्युनिकेशन को हमेशा फिक्स का इंतज़ार करना चाहिए?
नहीं। टाइमिंग रिस्क, अंतरिम उपायों और प्रभावित पार्टियों पर निर्भर करती है। रिकॉर्ड करें और फैसले पर दोबारा विचार करें।
कोऑर्डिनेटर को कब मदद करनी चाहिए?
एक कोऑर्डिनेटर तब मदद कर सकता है जब कई वेंडर प्रभावित हों, कोई कॉन्टैक्ट जवाब न दे या शेयर किया गया टाइमटेबल मुश्किल हो।
ऑफ़िशियल रेफ़रेंस
रेफ़रेंस इस तरीके को सपोर्ट करते हैं। अपने कॉन्टेक्स्ट के हिसाब से चेक को एडजस्ट करें; वे सर्टिफ़िकेशन नहीं हैं। ओरिजिनल रेफ़रेंस टाइटल और सोर्स डॉक्यूमेंट दूसरी भाषा में हो सकते हैं।
