Identifique y aborde vulnerabilidades con nuestra plataforma de Bug Bounty

La atribución es importante. Todo nuestro tráfico de Bug Bounty proviene del mismo rango de direcciones IP, el cual compartimos con usted por adelantado. Al hacerlo, puede estar seguro de que nuestra actividad de prueba es nuestra y no de un actor de amenazas real.

No recomendamos incluirnos en una lista blanca de ninguna manera. Los Bug Bounties están diseñados para probar la postura de seguridad de su organización tal como se presenta al mundo exterior. Por lo tanto, a diferencia de una prueba de penetración con tiempo limitado, cuyo objetivo suele ser encontrar la mayor cantidad de vulnerabilidades dentro de ese marco temporal, la lista blanca no tiene tanto sentido en un Bug Bounty.

Todos los datos se almacenan en nuestra plataforma de Bug Bounty, alojada en AWS. Manejamos esos datos de acuerdo con nuestras estrictas políticas de manejo y retención de datos, que forman parte de nuestra certificación ISO 27001.

Le permitimos crear reglas de participación personalizadas para cada programa de Bug Bounty. Por ejemplo, puede definir el alcance que probamos, los tipos de vulnerabilidades que enviamos y en qué áreas pasamos la mayor parte del tiempo. Proporcionamos reglas de participación predeterminadas que funcionan bien para la mayoría de los clientes, las cuales puede modificar libremente.

Seguimos una metodología de caza de vulnerabilidades no disruptiva y no destructiva. Todas las pruebas las realizan miembros del equipo con experiencia en probar de manera segura sistemas de alta importancia y de producción. Aunque ninguna actividad de prueba está completamente libre de riesgos, tenemos mucha experiencia en evitar interrupciones, y nuestra tasa de incidentes es extremadamente baja.

Utilizamos el Sistema de Puntuación de Vulnerabilidades Común (CVSS) v3 para calificar las vulnerabilidades. CVSS v3 especifica rangos de gravedad, por ejemplo, una puntuación de 9.0 a 10 es crítica, de 7.0 a 8.9 es alta, y así sucesivamente. Proporcionamos la cadena vectorial de CVSS junto con la puntuación para que sea claro cómo se determinó la calificación.

Cada vulnerabilidad se asigna a una puntuación y gravedad según CVSS v3. El precio depende de la gravedad; una vulnerabilidad crítica tiene un precio más alto que una vulnerabilidad de baja gravedad. Recomendaremos un modelo de precios basado en los sistemas objetivo y su postura de seguridad percibida. Cada programa tiene un pago máximo total para garantizar un presupuesto confiable. Cobramos una tarifa de gestión baja en comparación con otros proveedores, por lo que, en su mayoría, está pagando por vulnerabilidades.

Nuestro servicio de Bug Bounty se ejecuta en una plataforma en línea que le proporciona varias opciones granulares de notificación. Actualmente, ofrecemos notificaciones dentro de la plataforma, correos electrónicos y mensajes SMS. Por ejemplo, puede decidir que una notificación de vulnerabilidad crítica se envíe por mensaje de texto y correo electrónico, mientras que una vulnerabilidad de severidad media se notifique solo por correo electrónico.

Nuestra plataforma presenta una API que proporciona todas las funcionalidades de nuestra aplicación web principal de Bug Bounty. Esto significa que puede integrar cualquier software con nuestra plataforma y dejar que la aplicación web pase a un segundo plano. También proporcionamos varios asistentes para la integración rápida y fácil con software de gestión de tickets comunes como ServiceNow y Jira.

Regularmente descubrimos vulnerabilidades previamente desconocidas que afectan a software de terceros. Nuestro equipo de divulgación coordinada tiene una amplia experiencia trabajando con proveedores de software para acelerar la producción de un parche.

Cada vulnerabilidad que descubrimos está documentada de manera clara y concisa. Nos esforzamos por demostrar el impacto, garantizar la reproducibilidad y proporcionar orientación detallada sobre la remediación. Si necesita hablar con nosotros sobre un hallazgo, puede hacerlo directamente a través de nuestra plataforma. No nos detendremos hasta que tenga toda la información y comprensión que necesita.

Nuestras reglas de participación predeterminadas permiten pruebas las 24 horas del día, los 7 días de la semana. Recomendamos mantener la ventana de pruebas lo más abierta posible. Nuestro equipo a menudo trabaja en la plataforma de Bug Bounty fuera del horario laboral habitual, y algunos de sus mejores hallazgos ocurren fuera de las horas normales de trabajo. Nuestras reglas de participación predeterminadas prohíben el escaneo masivo de vulnerabilidades y cualquier otra actividad que tenga una mayor probabilidad de causar un impacto negativo. Los hallazgos de un Bug Bounty tienden a ser manuales debido a una evaluación lenta y deliberada durante un período prolongado. Por supuesto, puede establecer cualquier regla de participación que desee, incluida la definición de horarios de prueba permitidos. Del mismo modo, puede pausar un Bug Bounty en cualquier momento, por ejemplo, durante una congelación de cambios.