Bug bounty nedir?
Bug bounty (hata ödül programı), bir kuruluşun kendi sistemlerinde güvenlik açığı bulan bağımsız araştırmacılara belirli kurallar çerçevesinde ödül verdiği programdır. Böylece kuruluş, geniş bir araştırmacı topluluğunun gözünden yararlanır ve açıklar kötü niyetli kişilerden önce bildirilir.
Programın kapsamı, kuralları ve ödül tablosu açıkça yazılır. Araştırmacı bu kurallara uyarak bulduğu açığı bildirir, doğrulanırsa ödüllendirilir.
Nasıl çalışır?
Kuruluş, hangi sistemlerin kapsam içinde olduğunu, hangi test yöntemlerinin yasak olduğunu ve ödül düzeylerini yayınlar. Araştırmacı açığı bulur, kanıtıyla birlikte bildirir; güvenlik ekibi raporu doğrular, ciddiyetini değerlendirir, düzeltir ve ödülü öder. Programlar herkese açık olabileceği gibi yalnızca davetli araştırmacılara da yönelik olabilir.
Birçok kuruluş programı kendi başına yönetir; bazıları ise aracı platformlardan yararlanır. İyi yürütülen bir program hızlı yanıt, adil değerlendirme ve net iletişim gerektirir.
Sunucu ve hosting ortamında
Hosting şirketleri ve web hizmeti sağlayıcıları için bug bounty; müşteri paneli, API, alan adı yönetimi ve altyapı hizmetlerindeki açıkları bulmaya yarar. Kapsam belirlenirken canlı müşteri verisine dokunulmaması, hizmet kesintisi yaratan testlerin yasaklanması gibi kurallar mutlaka eklenir.
Araştırmacı açısından da önemli bir kural vardır: yalnızca programın kapsamındaki sistemler test edilmeli, veri okunmamalı veya değiştirilmemeli ve bulgu yalnızca ilgili kanala bildirilmelidir. Kapsam dışı test yapmak, programın güvence verdiği korumadan çıkmak anlamına gelir.
Nelere dikkat edilmeli?
- Kapsamı, yasaklı yöntemleri ve ödül tablosunu net yazın