Выбор ответа Senior Secure SDLC, сканеры и пентест обновлено
Когда запускать баг-баунти
Вопрос
Компания хочет запустить публичный баг-баунти. Что должно быть готово до старта?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Процесс разбора и исправления, закрытые простые дыры, scope, бюджет, сначала приватно. Без процесса исправления баунти просто наполняет бэклог и тратит бюджет на дубликаты простых ошибок.
Варианты ответа
- Страница с правилами и размером выплат, остальное настраивается по первым отчётам
- Ничего особенного: исследователи сами найдут уязвимости и пришлют готовые исправления
- Отказ от внутренних проверок и пентестов, раз этим теперь занимаются внешние участники
- Процесс разбора и исправления, закрытые простые дыры, scope, бюджет, сначала приватноправильный ответ
Разбор
Без процесса исправления баунти просто наполняет бэклог и тратит бюджет на дубликаты простых ошибок. Сначала собственные проверки и приватная программа с узким кругом, потом публичная. Исследователи находят, а исправляют ваши команды. Внутренние проверки остаются.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «Secure SDLC, сканеры и пентест»
- Security champions
- Просроченные находки по SLA
- CVSS
- Этапы пентеста
- Практики Secure SDLC по этапам
- Классы инструментов
- Этапы пентеста
- Что нужно до начала пентеста