64 lines
1.7 KiB
Markdown
64 lines
1.7 KiB
Markdown
# Bug Bounty
|
||
|
||
## Definition
|
||
Bug Bounty programs incentivize external security researchers to report vulnerabilities in an organization's systems, websites, or applications.
|
||
|
||
## Concept
|
||
Bug Bounty（漏洞赏金）计划通过向外部安全研究人员提供奖励，激励他们报告组织系统、网站或应用程序中的漏洞。
|
||
|
||
## How It Works
|
||
|
||
### Program Setup
|
||
1. 定义范围（Scope）
|
||
2. 制定规则和奖励表
|
||
3. 建立提交和处理流程
|
||
4. 部署公开平台或使用第三方服务
|
||
|
||
### Researcher Workflow
|
||
```
|
||
发现漏洞 → 提交报告 → 厂商验证 → 确认/分类 → 修复 → 发放奖励
|
||
```
|
||
|
||
## Benefits
|
||
|
||
### For Organizations
|
||
- 扩展安全测试覆盖面
|
||
- 成本效益比聘请专职安全团队更高
|
||
- 获得多样化的安全研究人员视角
|
||
- 提高安全响应能力
|
||
|
||
### For Researchers
|
||
- 获得经济奖励
|
||
- 建立安全研究声誉
|
||
- 学习真实环境漏洞
|
||
|
||
## Platforms
|
||
- HackerOne
|
||
- Bugcrowd
|
||
- Open Bug Bounty
|
||
- 厂商自有平台（Google VRP, Microsoft Bounty）
|
||
|
||
## Best Practices
|
||
|
||
### For Program Owners
|
||
1. 清晰的规则和范围定义
|
||
2. 公平的奖励机制
|
||
3. 快速响应提交
|
||
4. 透明的沟通
|
||
5. 法律保护（Safe Harbor）
|
||
|
||
### Responsible Disclosure
|
||
- 给厂商合理时间修复
|
||
- 不公开漏洞细节直到修复
|
||
- 遵循协调漏洞披露（CVD）
|
||
|
||
## Related Concepts
|
||
- [[DevSecOps]] — Bug Bounty 是持续安全改进的一部分
|
||
- [[Penetration-Testing]] — 正式渗透测试
|
||
- [[Vulnerability-Scanning]] — 自动化漏洞扫描
|
||
- [[Incident-Response]] — 漏洞响应
|
||
- [[Responsible-Disclosure]] — 负责任披露
|
||
|
||
## Sources
|
||
- [[what-is-devsecops-best-practices-benefits-and-tools]]
|