Ders 4.32: Ölçekte zafiyet bildirimi ve hata ödülü programı yürütmek
Giriş 201'de dışarıdakilerin sorun bildirebilmesi için bir açıklama politikası yayımladın. Bir yıl sonra program fazla iyi çalışıyor: onlarca rapor, yanıt bekleyen kızgın araştırmacılar, tekrar tekrar bildirilen aynı hata ve gelişigüzel görünen ödemeler. Usta düzeyinde soru 'bir programımız olmalı mı' değil, 'bizimki adil, hızlı ve bizi gerçekten daha güvenli kılıyor mu?'. Laboratuvarda Northwind'in programını rapor kaydından ölçüyor, ödemeleri yayımlanmış tabloya göre denetliyor, security.txt'yi ve politikayı herkese açık standartlara (RFC 9116, ISO/IEC 29147 ve 30111) göre sınıyor ve beş değişikliğe karar veriyorsun.
20 dk
Bu derste öğreneceklerin
- Bir açıklama programını hacme göre değil sonuçlara göre ölçmek
- Yinelenen raporları yavaş düzeltmenin işareti olarak kullanmak
- Ön değerlendirmeyi bir hizmet düzeyine göre denetlemek
- Ödemeleri yayımlanmış bir tabloya göre denetlemek
- security.txt'yi ve güvenli liman metnini herkese açık standartlara göre sınamak
Temel terimler
- Zafiyet bildirim programı (VDP)
- Herkesin güvenlik sorunlarını bildirebileceği, kuralları ve vaatleri olan açık bir yol.
- Hata ödülü
- Geçerli raporlar için genellikle önem derecesine göre ödeme yapan program.
- Yinelenen rapor
- Daha önce bildirilmiş bir sorunun raporu; genellikle ödenmez.
- Güvenli liman
- Politika içindeki iyi niyetli araştırmaya karşı hukuki işlem yapmama vaadi.
- security.txt
- /.well-known/security.txt konumunda araştırmacılara nasıl bildireceklerini anlatan dosya (RFC 9116, 2022).
- ISO/IEC 29147 ve 30111
- Zafiyet raporlarını almak ve açıklamak (29147) ve içeride işlemek (30111) için standartlar.
← Önemli iş hizmetleri ve etki toleransları · Tüm dersler · Joker karakterler ve yol genişletme →