Hata ödül programları ve sorumlu bildirim
Hata ödül programlarının ve açık bildirim politikalarının kurallarını, ülkeler arasındaki yasal farkları ve etik sınırları öğrenir; kurgusal bir programda yöntemli çalışıp bildirim yazar, kurum tarafında da bildirim sürecini kurarsın.
Seviye 301 · 15 ders · 13 pratik lab
Dersler
Kurallar ve etik
- Hata ödül programları ve açık bildirim politikaları (VDP)
- Kapsam, kurallar ve güvenli liman maddeleri: yalnızca izin verileni test et
- Yasal çerçeve: ülkeler arası farklar ve yetkisiz erişim yasaları
- Etik sınırlar: veri erişimi, hizmet kesintisi ve sosyal mühendislik yasağı
- Kısa görev: örnek bir program politikasını oku, izinli ve yasak testleri ayır
Yöntem
- Yöntem: kapsamı anlamak, uygulamayı öğrenmek ve varsayım kurmak
- Notlar ve hedef takibi: aynı işi iki kez yapmamak için düzen
- Kopya bildirimler ve etkiyi doğru göstermek
- Programa uygun bildirim yazmak
- Kısa görev: lab’daki kurgusal programa bir bildirim hazırla
Kurum tarafı
- security.txt ve bildirim kanalı kurmak
- Koordineli açıklama süreci: ayıklama, düzeltme ve yayın takvimi
- Gelen bildirimleri ayıklamak ve araştırmacıyla iletişim kurmak
- CVE almak ve güvenlik duyurusu yazmak
- Bitirme görevi: kurgusal bir şirket için açık bildirim politikası ve ayıklama süreci kur
Pratik lablar
- Kapsamda mı, kapsam dışı mı: Kurgusal bir program politikasına göre on test fikrini izinli, yasak ve sorulmalı olarak sınıflandır.
- Güvenli liman maddesini oku: İki kurgusal politikanın güvenli liman maddelerini karşılaştır ve araştırmacıyı hangisinin daha iyi koruduğunu gerekçelendir.
- Veriye erişince nerede durmalı: Lab'daki kurgusal programda bir IDOR bulduğunda kanıt için gereken en az erişimi belirle ve durma noktanı raporda açıkla.
- Ülkeler arası yasal farklar: Aynı test senaryosunu üç farklı ülkenin yetkisiz erişim yasalarına göre değerlendir ve programın izin kapsamının neyi değiştirdiğini yaz.
- Programa uygun bildirim yaz: Lab'daki kurgusal programda bulduğun bir açığı programın şablonuna göre başlık, adımlar, etki ve öneriyle bildir.
- Not düzeni: aynı işi iki kez yapma: Bir hedef için test edilen uç noktaları, denenen fikirleri ve açık soruları izleyen bir not düzeni kur.
- Etkiyi doğru göster: Düşük etkili gibi görünen bir bulgunun gerçek iş etkisini lab'da güvenli biçimde kanıtla ve abartmadan anlat.
- Kopya bildirim mi, yeni bulgu mu: Bilinen bir bulguyla aynı kök nedene sahip görünen üç bildirimi incele ve hangilerinin ayrı bulgu olduğunu gerekçelendir.
- Reddedilen bildirimi yeniden yaz: Yetersiz kanıt nedeniyle reddedilmiş bir bildirimi tekrar edilebilir adımlar ve net etkiyle yeniden yaz.
- security.txt yayımla: Lab sitesi için iletişim, politika ve son geçerlilik alanlarını içeren security.txt dosyası hazırla ve doğru yolda yayımla.
- Gelen bildirimleri ayıkla: Lab bildirim kutusundaki altı bildirimi geçerlilik ve öneme göre ayıkla ve her araştırmacıya kısa yanıt yaz.
- Koordineli açıklama takvimi: Kritik bir bildirim için ayıklama, düzeltme ve yayın tarihlerini içeren takvim hazırla ve araştırmacıyla iletişim planını yaz.
- Güvenlik duyurusu yaz: Düzeltilmiş bir açık için etkilenen sürümleri, etkiyi ve yükseltme adımlarını içeren güvenlik duyurusunu yaz.
Kurs hakkında
Hata ödül programlarının ve açık bildirim politikalarının kurallarını, ülkeler arasındaki yasal farkları ve etik sınırları öğrenir; kurgusal bir programda yöntemli çalışıp bildirim yazar, kurum tarafında da bildirim sürecini kurarsın.
Ne öğreneceksin
- Kurallar ve etik
- Yöntem
- Kurum tarafı
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.