据外媒报道，日前，专门致力于帮助客户寻找漏洞的平台Bugcrowd公布了一个安全漏洞悬赏模板。据悉，这份模板除了依据其在过去3年内的200个漏洞悬赏项目之外它还借鉴了来自谷歌Chrome、惠普TippingPoint’s
ZDI、微软Mitigation Bypass Bounty等安全悬赏项目。
模本将企业分为三类：基础类、进阶类、高级类。其中，基础类指的是借助开发产品天性而解决掉安全问题的团队；进阶类则是一支定义明确且从ID部门那里获得了一些自主权的团队；高级类则是由首席信息安全官直接向公司CEO并在公司基础设施中拥有属于自己突出位置的团队。
安全漏洞根据它的影响分成五类：P1-严重、P2-高风险、P3-中级风险、P4-低风险、P5-可接受风险。
Bug crowd在模板中建议，基础级的漏洞悬赏奖金应定在100美元-1500美元之间；进阶类在200美元-5000美元之间；高级类在300美元-15,000美元之间。
这种通过悬赏找到公司系统漏洞的做法现在已经变得愈发普遍，而Bugcrowd模板的提供一方面给了这些公司一个非常好的参考标准，一方面则可以让安全研究员能够得到合理的报酬。
本文转自d1net（转载）
时间： 2024-07-31 14:01:10