MaxPatrol O2 Bug Bounty Program

Company: Positive Technologies

Program Description

MaxPatrol O2 — это система, предназначенная для автоматического обнаружения и обработки инцидентов информационной безопасности, происходящих в IT-инфраструктуре организации.

MaxPatrol O2 упрощает работу экспертов по ИБ: обнаружение инцидентов происходит автоматически, а процесс управления инцидентами максимально автоматизирован. В веб-интерфейсе отображаются подробные сведения о хакерских действиях, а также предоставляются инструменты для быстрого расследования атаки. Благодаря MaxPatrol O2 работа с инцидентами становится эффективнее, что обеспечивает своевременное реагирование на угрозы ИБ и повышает защищенность инфраструктуры.

Ограничения

На момент запуска программы доступ к тестовым стендам продукта предоставляется ограниченно.

Расширенный доступ будет предоставлен позднее, по мере готовности инфраструктуры и процедур сопровождения.

Типы уязвимостей

Мы принимаем отчёты об уязвимостях следующих категорий (но не ограничиваемся ими):

1. Веб-интерфейс и API

• Обход аутентификации или авторизации в интерфейсе управления O2, ведущий к доступу к данным и функциям другого тенанта или администратора.
• XSS (межсайтовый скриптинг) в любом поле ввода, позволяющий похитить сессию администратора системы.
• SSRF (Server-Side Request Forgery) в функциях интеграции, позволяющий атаковать внутренние компоненты системы O2 или подключенные сенсоры.
• Небезопасная десериализация в API, используемом для обмена данными между компонентами O2 и сенсорами, ведущая к удалённому выполнению кода (RCE).

2. Ядро анализа (Threat Modeling Engine)

• Манипуляция с данными Threat Modeling Engine, приводящая к построению неверного графа атак и образованию «слепых зон» в защите.
• Обход механизмов корреляции событий, позволяющий скрыть активность злоумышленника от системы (например, создание событий, которые O2 не сможет корректно «склеить» в цепочку).
• Подмена или порча данных об активах, уязвимостях или топологии сети, приводящая к неверной оценке уровня опасности цепочек активности.

3. Интеграции и сенсоры

• Подмена данных, поступающих в O2 от сенсоров (MaxPatrol SIEM, EDR, PT NAD и др.), ведущая к ложным срабатываниям или сокрытию атак.
• RCE через обработку файлов от интегрированных систем (например, при анализе файлов из PT Sandbox).
• Уязвимости в механизмах обогащения контекста, например, SSRF при обращении к внешним системам для верификации IP-адресов или хэшей.

4. Автоматизированное реагирование

• Неавторизованный запуск сценариев реагирования, приводящий к нарушению работы бизнес-процессов (например, несанкционированное отключение узлов сети или учётных записей через интегрированный EDR).
• Обход сценариев реагирования, позволяющий злоумышленнику оставаться в системе, даже если его активность была обнаружена.

Примечание: Уязвимости, не ведущие к реальному риску (например, теоретические или без подтверждения эксплуатации), могут быть отклонены или оценены как «информационные» без денежного вознаграждения.

Вознаграждения

Вознаграждение может быть выплачено только за сценарии атак, воспроизводимые на инсталляциях официально поддерживаемой версии продукта со всеми доступными обновлениями. Отчеты о недостатках в снятых с поддержки версиях также принимаются, но выплата вознаграждения за такие уязвимости не гарантируется.

Уровень критичности уязвимости определяется в ходе триажа и подтверждения отчёта с учётом влияния на безопасность продукта.

Окончательное решение по уровню критичности уязвимости принимается командой безопасности продукта.

Eligibility Requirements

Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет.

Исследователи в возрасте от 14 до 18 лет имеют право участвовать в программе только при наличии письменного согласия родителей или законного представителя.

Действующие сотрудники Positive Technologies и бывшие сотрудники, с момента увольнения которых прошло менее 3 лет, могут участвовать в программе, но не могут претендовать на вознаграждение.

Researchers must:

• Соблюдать правила, которые устанавливает Positive Technologies в своей программе по раскрытию уязвимостей, а также правила платформы The Standoff 365 Bug Bounty.
• Соблюдать правила конфиденциальности информации. Запрещено получать доступ к данным другого пользователя без его согласия, изменять и уничтожать их, а также раскрывать любую конфиденциальную информацию, случайным образом полученную в ходе поиска уязвимостей или их демонстрации. Преднамеренный доступ к этой информации запрещен и может быть признан незаконным.
• Поддерживать общение с командой по безопасности, направлять ей отчеты о выявленных уязвимостях, оформленные согласно требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.
• Не разглашать информацию об уязвимости. Право на публикацию информации о найденной уязвимости остается за Positive Technologies.
• Раскрытие уязвимости допустимо только при наличии исправления и публично зарегистрированного идентификатора CVE/BDU.
• Багхантер может изъявить желание о раскрытии отчета - PT обязуется запустить процесс согласования регистрации идентификатора уязвимости.

Non-Qualifying Vulnerabilities

Positive Technologies не выплачивает вознаграждение:

• за отчеты сканеров безопасности и других автоматизированных инструментов;
• раскрытие несекретной информации (наименования ПО или его версии, технические параметры и метрики системы и пр.);
• информацию об IP-адресах, DNS-записях и открытых портах;
• проблемы и уязвимости, которые основаны на версии используемого продукта, без демонстрации их эксплуатации;
• уязвимости, эксплуатацию которых блокируют СЗИ, без демонстрации обхода СЗИ;
• отчеты о небезопасных шифрах SSL и TLS без демонстрации их эксплуатации;
• отчеты об отсутствии SSL и других лучших практик (best current practices);
• уязвимости, информацию о которых ранее передали другие участники конкурса (дубликаты отчетов);
• уязвимости 0-day или 1-day, информация о которых получена командой по безопасности из открытых источников;
• уязвимости к атаке перебором, если в отчете не описан метод, имеющий существенно более высокую эффективность, чем прямой перебор.