Vcode
2019-02-14 01:59:04 UTC
Jestem członkiem ds. bezpieczeństwa w małej firmie, z którą niedawno skontaktował się ktoś podający się za członka Hackenproof. Zgłaszali, że nasza witryna jest indeksowana przez Googlebota (metadane, cienka zawartość strony, problemy z tekstem kotwicy) oraz luka w zabezpieczeniach XSS .
Nie mamy jeszcze żadnego oświadczenia prawnego, o którym wiem, dotyczącego VDP (polityki ujawniania luk).
Moje pytania:
- Zasadniczo, jak kontynuować, czy nawet powinniśmy? (Czy są prawidłowe?)
- Czego zwykle oczekuje biały haker?
- Jak sprawdzić lukę?
zgodnie z https://hackenproof.com/#how-it - „Luki są zgłaszane i zarządzane za pośrednictwem naszej platformy koordynacyjnej”.czy na pewno nie skontaktowali się z Tobą sami hackenproof?cały ich model biznesowy polega na tworzeniu programów zgłaszania błędów dla firm takich jak Twoja, które tak naprawdę nie koncentrują się na bezpieczeństwie.ich „członkowie” po prostu rywalizują o nagrody za błędy, sami nie kontaktują się z firmami. Jeśli to nie jest firma, ktoś wydaje się być inżynierią społeczną.
Możesz przynajmniej powiadomić osobę odpowiedzialną za bezpieczeństwo w Twojej firmie, że skontaktowano się z Tobą i powiedziano o luce w zabezpieczeniach xss.Część o nieujawnianiu informacji to zdrowy rozsądek.
Wydaje się bardzo podobny do [this] (https://security.stackexchange.com/q/178076/168620)
Możliwe powiązane: [Nasze biuro się pali.Nie mamy jeszcze zasad reagowania na ogień.Czy powinniśmy pozostać na miejscu, czy też napisać coś w pośpiechu, co oczywiście jest mniej niż idealne?] (
Pamiętaj, że zgodnie z RODO jesteś zobowiązany do powiadomienia odpowiednich organów w ciągu 72 godzin od naruszenia danych.Może nie dotyczyć Ciebie, jeśli nie masz żadnych klientów w UE, ale jeśli chcesz, zacznij od tego wczoraj.
@Harper Niezbyt dobre porównanie, myślę, że moje pytanie jest jasne, jak odpowiedzieć zgłaszającemu i jakie punkty powinniśmy rozważyć, aby upewnić się, że osoba zgłaszająca / luka jest legalna.
Cokolwiek robisz, nie [wyciągaj wyroczni] (https://web.archive.org/web/20150811052336/https://blogs.oracle.com/maryanndavidson/entry/no_you_really_can_t) i spróbuj pozwać białąkapelusz.
Kiedy mówisz „skontaktowano się”, czy masz na myśli „wysłano e-mailem”?„metadane, cienka zawartość strony, problemy z tekstem kotwicy” - to ta część, która budzi we mnie alarm i krzyczy _spamer_, próbując zdobyć biznes / pieniądze.Po co zgłaszać „potencjalne” problemy, które nie są związane z podstawowym problemem dotyczącym bezpieczeństwa (chyba że nie ma „podstawowego problemu dotyczącego bezpieczeństwa”, a tak naprawdę chcą po prostu pracować w Twojej witrynie)?
Luka @Cubic XSS nie jest naruszeniem danych, chyba że firma stwierdzi, że luka została wykorzystana do naruszenia czegoś.To także 72 godziny od kiedy dowiedziałeś się o naruszeniu, a nie od przypadkowego gościa, który powiedział, że jest.