Pour répondre à chacune de vos questions:
1. En gros, comment procéder ou même devrions-nous?
Je recommande de continuer. Vous pourrez acquérir des informations précieuses qui pourront être immédiatement mises à profit pour améliorer la sécurité de votre entreprise. Vous ne nous avez pas dit ce que le chercheur vous a envoyé, mais ils auront soit une description de la vulnérabilité, soit des méthodes pour la reproduire. Pour continuer, vous aurez besoin d'eux:
-
Une description / scénario d'attaque de la vulnérabilité trouvée. Pourquoi est-ce un problème, qu'est-ce que le bogue permet spécifiquement à un attaquant de faire ce qu'il ne devrait pas être en mesure de faire, quel est le pire scénario / gravité de la découverte.
-
Etapes de reproduction. Quelles étapes pourriez-vous donner à un ingénieur et lui permettre de reproduire le bogue à chaque fois.
-
Ce que le hacker recherche en retour. Comme mentionné, il peut s'agir d'une autorisation de publier la conclusion après avoir fixé ou payé de l'argent.
-
Vous pouvez également souhaiter ou recevoir des conseils de correction, des scores de risque, etc. de la part du chercheur.
TRÈS IMPORTANT: indiquez clairement au chercheur que vous vous attendez à ce qu'il garde le problème confidentiel jusqu'à ce que le problème soit résolu. Ils peuvent contrer avec une fenêtre de correction, par exemple ils peuvent publier et publier des articles si le problème n'est pas résolu dans les 60 jours. C'est une pratique courante et devrait être acceptable pour la plupart des entreprises ayant une solide posture de sécurité.
2. Quelle est l'attente commune d'un hacker blanc (chapeau)?
Cela dépend du chercheur, mais il voudra probablement l'autorisation de publier le résultat une fois qu'il a été corrigé, ainsi qu'une récompense monétaire. Les prix des récompenses sont basés sur la gravité globale et la taille du programme de primes. Hackerone, une grande plate-forme de primes de bogues, dispose d'une matrice qui suggère des paiements par rapport à la taille de l'entreprise / du programme de primes: https://www.hackerone.com/resources/bug-bounty-basics. Déterminer le prix de paiement est un art subtil - je recommande de rechercher des bogues similaires sur hackerone ou d'autres plates-formes de primes de bogues et de baser votre paiement sur ce que d'autres entreprises paient pour le même problème.
Encore une fois - une attente commune des chercheurs est qu'ils peuvent publier les résultats dans un certain laps de temps, qu'ils aient ou non été corrigés d'ici là. 60 jours est courant, mais je ne serais pas d'accord avec un délai si vous n'êtes pas sûr que votre entreprise peut livrer dans cette fenêtre. Une fois le problème corrigé, le pirate peut vouloir valider que le correctif a été correctement implémenté.
3. Comment valider?
Utilisez les étapes de reproduction que le hacker vous a données. Ils doivent être suffisamment clairs pour que tout ingénieur puisse suivre exactement les étapes et reproduire le bogue. S'il y a des problèmes ici, vous pouvez retourner voir le chercheur et obtenir des éclaircissements. Il est de la responsabilité des chercheurs de fournir à l'entreprise des étapes de reproduction qui décrivent et identifient le bogue.
Une fois le problème résolu, vous pouvez inviter le chercheur à valider le correctif et à vous assurer qu'il a été complètement corrigé.