Chính Sách An Ninh Mạng

Hướng Dẫn Công Bố Lỗ Hổng Có Phối Hợp

• Tránh chia sẻ trái phép. Trong quá trình công bố có phối hợp, vui lòng chỉ thảo luận về lỗ hổng với nhà cung cấp bị ảnh hưởng, chủ sở hữu hệ thống và chúng tôi.
• Dành thời gian để khắc phục. Hãy đợi trước khi công khai lỗ hổng cho đến khi các bên bị ảnh hưởng có đủ thời gian để xử lý, hoặc cho đến khi bạn và tất cả các bên—bao gồm cả DropBG—đạt được thỏa thuận công bố.
• Giữ tương tác ở mức tối thiểu. Sau khi bạn đã báo cáo một lỗ hổng, không tương tác lại với hệ thống bị ảnh hưởng trong suốt quá trình công bố có phối hợp.
• Giới hạn phạm vi của bạn. Khi trình bày bằng chứng khái niệm (proof of concept), chỉ thực hiện các hành động tối thiểu cần thiết. Không tải xuống, sửa đổi hoặc xóa bất kỳ dữ liệu nào vượt quá mức cần thiết.
• Không vượt quá quyền truy cập của bạn. Tránh leo thang đặc quyền hoặc khám phá hệ thống vượt quá mức tối thiểu cần thiết cho bằng chứng khái niệm của bạn. Chỉ sử dụng tài khoản của riêng bạn để kiểm thử và không bao giờ trích xuất dữ liệu của người dùng khác.
• Sử dụng phương pháp có đạo đức. Không sử dụng kỹ thuật vét cạn (brute-force) hoặc kỹ nghệ xã hội (social engineering) để giành quyền truy cập vào hệ thống.
• Tránh các hành động độc hại. Không thực hiện các cuộc tấn công từ chối dịch vụ (DDoS) hoặc cài đặt phần mềm độc hại hay vi-rút.
• Cung cấp địa chỉ IP. Bất cứ khi nào có thể, hãy đính kèm các địa chỉ IP bạn đã sử dụng trong quá trình phát hiện. Điều này giúp chúng tôi đánh giá khả năng khai thác tiềm ẩn và giảm các cảnh báo dương tính giả.
• Thông báo kế hoạch của bạn. Nếu bạn có ý định công bố công khai các phát hiện của mình, chẳng hạn như trong một buổi diễn thuyết hoặc bài viết, vui lòng cho chúng tôi biết trước.