Search

Programa de recompensas de segurança

A QNAP tem um compromisso intransigente com a segurança da informação e estabeleceu parcerias com a comunidade de investigação de segurança a fim de identificar e corrigir vulnerabilidades com o intuito de manter os nossos utilizadores, produtos e a internet mais seguros. A QNAP procura agradecer aos que contribuem, através da oferta de recompensas do programa de recompensas de segurança.

Âmbito do programa

O nosso programa de recompensas de segurança só aceita vulnerabilidades de segurança em produtos e serviços da QNAP. As vulnerabilidades fora do âmbito não serão elegíveis para recompensa, com exceções feitas para relatórios fora de âmbito de vulnerabilidades críticas, dependendo da situação.

Como denunciar a vulnerabilidade e obter recompensas?

Utilize a chave pública de encriptação PGP abaixo para encriptar o seu e-mail e enviá-lo para security@qnap.com. Contactá-lo-emos o mais brevemente possível.

Formato sugerido para o relatório de vulnerabilidade

Chave de encriptação PGP

Copiar chave de encriptação PGP
Comunicar vulnerabilidade

Qualificações para recompensas

  • Deve ser o primeiro investigador a comunicar as vulnerabilidades.

  • Não deve ter partilhado publicamente quaisquer ficheiros e/ou pormenores relacionados com a vulnerabilidade. Isto inclui carregamentos para quaisquer websites acessíveis ao público.

  • A vulnerabilidade comunicada é confirmada como verificável, replicável e um problema de segurança válido pela equipa PSIRT da QNAP.

  • Concorda com todos os termos e condições do programa de recompensas de segurança.

A recompensa pode ser aumentada com base na:

  • Integridade do formato: Cumpra os exemplos de formato e forneça informações pormenorizadas ao comunicar vulnerabilidades em sistemas operativos, aplicações ou serviços em nuvem. Exemplos de formato: Sistemas operativos, Aplicações, Serviços em nuvem.

  • Passos para a reprodução: Demonstre os seus passos para reproduzir as vulnerabilidades.

  • Descrição do problema: Apresente de forma clara e concisa a forma como resolveria o problema e a sua abordagem.

  • Outras informações de apoio: Inclua código de teste, scripts e tudo o que for necessário para a sua explicação.

  • Dados brutos dos ataques (payload do exploit): É necessário um relatório em forma de texto para garantir a integridade dos dados. As avaliações de vulnerabilidade podem ficar aquém das expectativas da equipa PSIRT da QNAP quando as cargas úteis da rede são fornecidas apenas em imagens.

Perguntas frequentes

A recompensa é determinada pela complexidade de exploração bem-sucedida da vulnerabilidade, da exposição potencial e da percentagem de utilizadores e sistemas afetados.

Se os vídeos facilitarem a compreensão da forma como as vulnerabilidades são exploradas, o comité de atribuição de prémios da QNAP poderá aumentar a recompensa. Tenha em conta que deve continuar a ser fornecida documentação escrita (por exemplo, informações sobre o produto, resumo da vulnerabilidade e passos para a sua reprodução), uma vez que ajuda a gerir o processo de divulgação da vulnerabilidade.

Um relatório de vulnerabilidade deve incluir, pelo menos, as seguintes informações: o nome do produto, a versão e o número da compilação em que a vulnerabilidade existe, ou a localização do URL para os serviços em nuvem.
Deve também fornecer um resumo das potenciais ameaças colocadas pela vulnerabilidade, juntamente com passos de replicação cuidadosamente detalhados. Além disso, o relatório pode ser acompanhado de um vídeo que demonstre a vulnerabilidade.

Utilize a chave PGP fornecida pela QNAP para encriptar o relatório e envie-o para security@qnap.com. O sistema responderá automaticamente com um número de assistência técnica, que pode utilizar para obter informações sobre o progresso da revisão. A equipa PSIRT da QNAP entrará proativamente em contacto com o investigador para verificar se as informações apresentadas estão completas. Se todas as informações necessárias tiverem sido fornecidas, o investigador receberá uma carta de confirmação de vulnerabilidade da equipa PSIRT da QNAP no prazo de uma semana. A carta incluirá a ID CVE atribuída ao problema de segurança comunicado. A proposta de atribuição de prémio será enviada por e-mail quatro semanas após a data da carta de confirmação da vulnerabilidade. Se o investigador concordar, a QNAP deverá efetuar o pagamento 12 semanas após a receção da resposta de confirmação.

Subscreva a QNAP eNews para receber as notícias mais recentes sobre segurança dos produtos

Subscreva agora Uma análise aprofundada do mundo do Aconselhamento de segurança

Escolher especificação

      Mostrar mais Menos

      Este site noutros países/regiões:

      open menu
      back to top