Nền tảng báo cáo an ninh của QNAP
Báo cáo theo Đạo luật Khả năng chống chịu mạng của EU
Theo Đạo luật Khả năng chống chịu mạng của EU (Cyber Resilience Act, CRA), QNAP đã thiết lập đầu mối liên hệ duy nhất này để báo cáo các lỗ hổng đang bị khai thác và các sự cố nghiêm trọng đã được xác nhận, nhằm bảo đảm nghĩa vụ báo cáo được thực hiện trong thời hạn luật định.
Lưu ý quan trọng
Những gì nền tảng báo cáo CRA tiếp nhận
Nền tảng này tiếp nhận báo cáo thuộc hai loại sau:
| Loại | Mô tả |
|---|---|
| Lỗ hổng đang bị khai thác | Có bằng chứng đáng tin cậy cho thấy kẻ xấu đã thực sự khai thác lỗ hổng trên hệ thống mà không được phép, chứ không chỉ là một CVE đã biết hay một điểm yếu chung |
| Sự cố an ninh nghiêm trọng đã được xác nhận | Sự cố an ninh gây ảnh hưởng nghiêm trọng đến tính an toàn của sản phẩm, bao gồm nhưng không giới hạn ở rò rỉ dữ liệu, gián đoạn dịch vụ hoặc hệ thống bị xâm nhập |
Những nội dung sau thuộc phạm vi hỗ trợ khách hàng (Dịch vụ khách hàng - QNAP) và không được tiếp nhận trên nền tảng này:
-
Yêu cầu hỗ trợ kỹ thuật (thiết lập NAS, cập nhật hệ thống, sửa chữa phần cứng)
-
Câu hỏi về các lỗ hổng đã được công bố (đã nêu trong các thông báo an ninh của chúng tôi)
-
Yêu cầu hỗ trợ kỹ thuật khi cài đặt bản vá
-
Lỗ hổng trong sản phẩm của hãng khác, hoặc câu hỏi về chi tiết các lỗ hổng đó
-
Lỗ hổng phát hiện trên các trang web khác ngoài qnap.com
-
Mã độc phát hiện trên thiết bị di động
-
Các câu hỏi chung khác không liên quan đến an ninh
Nếu bạn muốn báo cáo một lỗ hổng an ninh chưa bị khai thác và xin thưởng theo Bug Bounty Program, vui lòng xem điều kiện và cách gửi tại trang Bug Bounty Program.
Các kênh báo cáo và điểm khác biệt
Lưu ý: QNAP cung cấp ba kênh báo cáo và dịch vụ riêng biệt tùy theo tính chất của vấn đề. Vui lòng chọn kênh phù hợp với tình huống của bạn.
| Hạng mục | CRA Security Reporting Trang này |
Dịch vụ khách hàng QNAP Phù hợp trong phần lớn trường hợp |
Bug Bounty Program Security Bounty Program |
|---|---|---|---|
| Mục đích | Báo cáo sự cố an ninh hoặc lỗ hổng đã bị khai thác đáp ứng tiêu chí báo cáo theo quy định | Hỗ trợ kỹ thuật, câu hỏi về lỗ hổng đã biết, hỗ trợ cài đặt bản vá và các yêu cầu tương tự | Lỗ hổng an ninh chưa bị khai thác và đủ điều kiện tham gia Bug Bounty Program |
| Đơn vị xử lý | QNAP PSIRT, trong thời hạn luật định (ví dụ báo cáo trong vòng 24 giờ) | Nhóm dịch vụ khách hàng | Nhóm xét duyệt Bounty, đánh giá theo quy tắc của chương trình |
| Khi nào sử dụng | Sự cố an ninh thuộc nghĩa vụ báo cáo theo CRA hoặc quy định tương đương | Phần lớn vấn đề của người dùng | Báo cáo lỗ hổng thông thường, không khẩn cấp |
Làm thế nào để chọn kênh phù hợp?
Trước tiên, hãy xem lại tình huống của bạn:
-
Vấn đề liên quan đến thiết lập, cập nhật, sửa chữa hay một sự cố đã biết? → Thuộc phạm vi hỗ trợ khách hàng (Dịch vụ khách hàng - QNAP)
-
Bạn có bằng chứng rõ ràng cho thấy một lỗ hổng đang bị khai thác, hoặc đã xảy ra sự cố an ninh nghiêm trọng? → Thuộc phạm vi của nền tảng này (CRA Security Reporting)
Vui lòng chọn kênh phù hợp với tình huống của bạn, để vấn đề đến được nhóm xử lý phù hợp nhất trong thời gian ngắn nhất.
Điền biểu mẫu báo cáo CRA
Vui lòng điền đầy đủ thông tin báo cáo vào biểu mẫu dưới đây, để nhóm QNAP PSIRT có thể hoàn tất phân tích và đánh giá ban đầu trong thời gian ngắn nhất.
Xin lưu ý, biểu mẫu này chỉ dành cho việc báo cáo lỗ hổng đang bị khai thác hoặc sự cố an ninh nghiêm trọng đã được xác nhận. Sau khi bạn gửi, một chuyên viên truyền thông an ninh sẽ được phân công liên hệ với bạn.
Để báo cáo đầy đủ và chính xác, đồng thời hỗ trợ việc xác định thời hạn luật định và công tác báo cáo theo quy định, vui lòng cung cấp thông tin chi tiết và cụ thể nhất có thể. Nếu có tài liệu chứng minh như nhật ký tấn công, nhật ký hệ thống hoặc mã minh chứng khái niệm, bạn có thể tải lên cùng biểu mẫu.
Mọi nội dung bạn gửi đều được bảo mật và chỉ dùng cho việc đánh giá an ninh nội bộ cũng như báo cáo theo quy định của QNAP. Nội dung không được công bố ra bên ngoài, nhưng sẽ được cung cấp cho cơ quan có thẩm quyền khi quy định yêu cầu.
Nhắc nhở mã hóa thông tin nhạy cảm
Nếu nội dung bạn muốn gửi có các chi tiết kỹ thuật rất nhạy cảm, ví dụ chi tiết lỗ hổng có thể khai thác, mã minh chứng khái niệm hoặc thông tin truy cập hệ thống, chúng tôi thực sự khuyến nghị bạn mã hóa bằng khóa PGP công khai ở cuối trang này trước khi gửi, để tránh bị truy cập trái phép trong quá trình truyền.
