Ресурсы · 41
Скоординированное раскрытие информации об уязвимостях: получение, исправление и информирование.
Создание безопасного канала для внешних сообщений, оценка воздействия, координация действий заинтересованных сторон и публикация полезных рекомендаций.
Обновлено · 3 min
Чего помогает достичь это руководство
- Обеспечение возможности и безопасности отправки сообщений.
- Назначение ответственного за каждое сообщение.
- Координация проверяемого исправления.
- Предоставление пользователям практических рекомендаций.
Быстрая проверка
- Можно ли отправить сообщение без учетной записи клиента?
- Четко определены область действия и разрешенные тесты?
- Кто отвечает, если основной контакт отсутствует?
- Какие продукты и поставщики имеют эту уязвимость?
- Какие временные меры по устранению проблемы полезны?
- Указывает ли уведомление на фактически затронутые версии?
Пошаговый метод
- 1
Опубликовать четкую политику.
Указать область действия, тесты, которых следует избегать, канал связи, полезные сведения об отчете и процесс ответа. Провести проверку политики с учетом вашего контекста.
Результат: опубликованная политика и контролируемый канал.
- 2
Подтвердить и защитить доказательства.
Подтвердить получение, присвоить идентификатор, ограничить распространение конфиденциальных данных и запросить только доказательства, необходимые для воспроизведения проблемы.
Результат: датированный отчет с указанием ответственного лица.
- 3
Оценить и расширить область действия.
Воспроизвести без вреда для систем. Изучить возможность эксплуатации, активы, версии, данные и компоненты, используемые совместно с другими продуктами или поставщиками.
Результат: оценка воздействия и карта заинтересованных сторон.
- 4
Координация мер по устранению проблемы.
Поддержание регулярного диалога с автором сообщения и сопровождающими проекта. Согласование этапов проверки и адаптация коммуникации в случае изменения рисков или способов распространения информации.
Результат: общий график, исправления и регрессионные тесты.
- 5
Публикация и отслеживание результатов.
Объяснение затронутых версий, исправлений или мер по смягчению последствий, действий пользователей и неопределенностей. Проверка развертывания и обновление уведомления по мере изменения фактов.
Результат: версионированное уведомление и подтверждение распространения.
Вымышленный пример
Иллюстративная ситуация
Исследователь сообщает о сбое контроля доступа в старой версии API. Команда подтверждает это, воспроизводит случай в авторизованной среде и обнаруживает, что общий компонент затрагивает два продукта.
Решение и ожидаемые доказательства
План связывает сопровождающих проекта, версии, тесты исправлений и промежуточные меры по смягчению последствий. В заключительном уведомлении пользователям предлагаются четкие действия, а также указывается авторство исследователя в соответствии с договоренностью.
Показатели управления
| Показатель | Что он измеряет | Первое действие |
|---|---|---|
| Отслеживание получения | Сообщения с указанием владельца и даты первого ответа | Восстановление скрытых каналов |
| Определение области действия | Подтверждение затронутых продуктов, версий и зависимостей | Расширение поиска перед окончательным решением |
| Проверка исправления | Воспроизведение исходных и связанных случаев в выпущенных версиях | Не закрывать уязвимый вариант |
| Информирование пользователей | Руководство доходит до затронутых аудиторий | Обновление необходимых каналов и переводов |
Распространенные ошибки
- Обещание одного крайнего срока независимо от риска
- Запрос чрезмерного количества персональных данных от заявителя
- Рассмотрение подтверждения как исправления
- Публикация подробных доказательств эксплуатации до применения действенных мер
- Забывание версий, внедренных партнерами
Часто задаваемые вопросы
Является ли политика раскрытия информации вознаграждением за обнаружение ошибок?
Нет. Политика объясняет, как сообщать о проблемах и координировать действия. Для вознаграждений необходимы отдельные правила и ресурсы.
Всегда ли коммуникация должна ждать решения проблемы?
Нет. Сроки зависят от риска, временных мер и затронутых сторон. Зафиксируйте и пересмотрите решение.
Когда следует обратиться за помощью к координатору?
Координатор может помочь, когда затронуты несколько поставщиков, контактное лицо не отвечает или сложно согласовать график.
Официальные ссылки
Ссылки подтверждают метод. Адаптируйте проверки к вашему контексту; они не являются сертификацией. Оригинальные названия ссылок и исходные документы могут быть на другом языке.
