Zaifliklarni mas’uliyatli oshkor qilish
Vigilora xavfsizlik topilmalarini qonuniy, zarar yetkazmaydigan va maxfiylikni saqlaydigan tartibda qabul qiladi. Ushbu siyosat ruxsat chegaralari, xabar berish kanali va tomonlarning amaliy kutuvlarini belgilaydi.
Ruxsat va qamrov
Faol tekshiruvni faqat o‘zingiz egalik qiladigan targetda yoki tizim egasidan oldindan aniq yozma ruxsat olgan holda bajaring. Vigilora tizimlarida faol test o‘tkazish uchun ham “DARMS KOMPANIYA” MChJning alohida yozma ruxsati talab etiladi. Tasodifan kuzatilgan zaiflikni ushbu siyosat orqali xabar qilishingiz mumkin.
Mijoz tenantlari, ulangan provayderlar, hosting va aloqa xizmatlari hamda boshqa uchinchi tomon aktivlari, agar ularning egasi alohida yozma ruxsat bermagan bo‘lsa, qamrovga kirmaydi. Ushbu siyosatning o‘zi hech bir uchinchi tomon tizimini tekshirish yoki unga kirish vakolatini bermaydi.
Taqiqlangan harakatlar
- DoS yoki DDoS, resursni tugatish, katta hajmli avtomatik trafik va xizmat barqarorligiga ta’sir qiladigan sinovlar
- Social engineering, phishing, o‘zini boshqa shaxs deb ko‘rsatish yoki xodim va mijozlarni nishonga olish
- Credential o‘g‘irlash, password spraying, credential stuffing, tokenni qo‘lga kiritish yoki begona hisobdan foydalanish
- Ma’lumotni tashqariga chiqarish, ommaviy yuklab olish, o‘zgartirish, o‘chirish yoki xizmatda doimiy kirish nuqtasini qoldirish
- Zararli dastur, jismoniy kirish, ta’minot zanjiriga aralashish yoki qonun va berilgan ruxsat chegarasidan tashqaridagi har qanday harakat
Maxfiy ma’lumot uchrasa
Shaxsiy ma’lumot, credential, maxfiy kalit, mijoz dalili yoki boshqa himoyalangan ma’lumotga duch kelsangiz, tekshiruvni darhol to‘xtating. Ma’lumotni kengaytirib ko‘rmang, ko‘chirmang, yuklab olmang, saqlamang yoki ulashmang; faqat topilmani tushuntirish uchun zarur bo‘lgan minimal, maxfiy bo‘lmagan tafsilotni qayd etib, operator bilan bog‘laning.
Xabar berish tartibi
Aloqa sahifasi va telefon raqami faqat dastlabki murojaat uchun. Ochiq kanalda exploit kodi, credential, maxfiy ma’lumot yoki mijoz dalilini yubormang. Operator murojaatni qabul qilgach, texnik materiallarni topshirish uchun xavfsiz kanalni taqdim etadi.
Dastlabki xabarga kiriting
- Ismingiz yoki taxallusingiz va qayta bog‘lanish uchun xavfsiz kontakt
- Ta’sirlangan Vigilora aktivi va zaiflikning qisqa tavsifi
- Kuzatilgan yoki ehtimoliy ta’sir, aniqlangan vaqt va xavfsiz takrorlash uchun yuqori darajadagi qadamlar
- Tekshiruv uchun olingan yozma ruxsat mavjud bo‘lsa, uning qamrovi va amal qilish muddati
Yaxshi niyatli xabarlar va muddatlar
Amaldagi qonun va oldindan berilgan ruxsat doirasida, zarar yetkazmasdan yuborilgan yaxshi niyatli xabarlar operator tomonidan hamkorlik ruhida ko‘rib chiqiladi. Zarur bo‘lsa, tafsilotlar xavfsiz kanal orqali aniqlashtiriladi. Bu yondashuv ushbu siyosatda berilmagan test yoki kirish vakolatini yaratmaydi.
Xabarni qabul qilish, tekshirish yoki tuzatish uchun ommaviy kafolatlangan muddat mavjud emas. Majburiy javob va tuzatish muddatlari faqat alohida imzolangan shartnoma yoki SLAda belgilanadi.
Mukofot va ommaviy e’lon
Vigilora hozir doimiy bug bounty dasturini va avtomatik pul mukofotini va’da qilmaydi. Har qanday mukofot yoki e’tirof faqat operatorning alohida yozma kelishuvi bilan belgilanadi.
Topilmani ommaga e’lon qilishdan oldin operator bilan xavfsiz kanal orqali muvofiqlashtiring va tuzatish uchun oqilona imkoniyat bering. Kelishilgan e’lon sanasi bo‘lmasa, sukut bo‘yicha oshkor qilish muddati mavjud deb hisoblanmaydi.