3 sur 7Primes aux bogues et recherche de vulnérabilités
La recherche des failles que les outils ratent.
Les outils automatisés repèrent bien les schémas connus. Les failles à l’origine des vraies brèches sont plutôt une logique d’affaires défaillante, un contrôle d’accès faible et des enchaînements de petits problèmes. Nous les traquons manuellement, et nous vous aidons à mettre en place un programme de divulgation pour que des chercheurs externes puissent vous signaler ce qu’ils trouvent.
Ce que nous couvrons
Recherche manuelle de vulnérabilités
Un examen approfondi des fonctions qui intéressent le plus les attaquants : connexion, paiements, permissions et exportations de données.
Programmes de divulgation des vulnérabilités et security.txt
Une politique claire, une clause de protection pour les chercheurs et un fichier security.txt, pour qu’on sache comment vous joindre.
Conception et tri de programmes de primes aux bogues
Portée, récompenses et règles pour un programme public ou privé, avec un tri pour que vos ingénieurs ne voient que les signalements valides.
Cotation de la gravité avec CVSS
Des cotes de gravité cohérentes et défendables, qui transforment les signalements en un carnet de travail dans le bon ordre.
Divulgation coordonnée avec les fournisseurs
Quand nous trouvons une faille dans un logiciel tiers, nous la signalons au fournisseur et convenons du calendrier avant toute publication.
Analyse des variantes après un constat
Une faille est rarement seule. Nous cherchons la même erreur partout ailleurs dans votre code.
Déroulement d’un mandat
Cadrer les cibles
Nous convenons des applications, des comptes de test, et de ce qui est permis ou exclu.
Recherche
Des tests manuels axés sur la logique, le contrôle d’accès et les problèmes enchaînés.
Signalements au fur et à mesure
Chaque constat arrive avec une preuve, une gravité CVSS et un correctif suggéré.
Mise en place de votre programme
Si vous le souhaitez : politique, security.txt, réception et tri pour un programme continu de divulgation ou de primes.
Ce que vous obtenez
- Des constats avec preuves et gravité CVSS
- Un correctif suggéré pour chaque problème
- Une politique de divulgation et un security.txt prêts à publier
- Un processus de tri des signalements reçus
- Une recherche des variantes dans l’ensemble de votre code
Normes
Cotation CVSS, RFC 9116 pour security.txt, et ISO/IEC 29147 et 30111 pour la divulgation et le traitement des vulnérabilités.
Questions fréquentes
Quelle est la différence entre un test d’intrusion et un programme de primes aux bogues?
Un test d’intrusion est un test limité dans le temps, mené par une équipe connue selon une portée convenue. Un programme de primes rémunère des chercheurs externes pour des constats valides, sur la durée. Beaucoup d’entreprises commencent par un test d’intrusion, puis ajoutent un programme de divulgation.
Faut-il un programme de primes pour recevoir des signalements?
Non. Une politique de divulgation des vulnérabilités et un fichier security.txt permettent aux chercheurs de signaler des problèmes sans programme de récompenses. Les récompenses peuvent venir plus tard.
Un programme de primes va-t-il nous inonder de bruit?
Cela peut arriver, d’où l’importance du tri. Nous filtrons les doublons et les signalements invalides, pour que vos ingénieurs ne voient que les vrais problèmes.
Contact
Dites-nous ce que vous voulez faire examiner.
Quelques lignes suffisent pour commencer. Nous vous répondrons avec des questions ou un moment pour en parler.