Chào mừng đến với QNAP Trust Center

• Phạm vi: Tiếp nhận báo cáo lỗ hổng 24/7 từ các nhà nghiên cứu, khách hàng, nền tảng Bug Bounty và kiểm thử nội bộ.
• Kênh bảo mật: Cung cấp khóa OpenPGP để mã hóa báo cáo gửi lên và mã PoC (Proof-of-Concept).
• Cam kết SLA: Chuyên gia trực ca đảm bảo phản hồi ban đầu trong vòng 24–72 giờ.

Kết quả chính: Mã theo dõi sự cố, chỉ định trưởng nhóm an ninh.

• Phạm vi: Tái tạo sự cố trong môi trường sandbox để đánh giá các mẫu, firmware và module hệ thống bị ảnh hưởng.
• Chấm điểm CVSS: Sử dụng các chỉ số CVSS để phân loại mức độ nghiêm trọng (Critical, High, Medium, Low) nhằm ưu tiên khắc phục.
• Gán mã CVE: Thiết lập thời hạn khắc phục và tự động gán mã CVE trong phạm vi CNA của QNAP.

Kết quả chính: Lịch trình khắc phục ưu tiên. Các vấn đề rủi ro cao được đánh giá ban đầu trong vòng 9 giờ.

• Phạm vi: R&D phát triển bản vá và hotfix; đội ngũ bảo mật thực hiện kiểm thử xâm nhập và hồi quy để đảm bảo tính ổn định của bản vá.
• Xác minh kép: Thực hiện mô phỏng tấn công để xác minh việc đóng hoàn toàn lỗ hổng.
• QA đa nền tảng: Xác thực khả năng tương thích gói trên tất cả các nền tảng OS và ứng dụng được hỗ trợ.

Kết quả chính: Các gói cập nhật firmware và ứng dụng đã được QA xác minh.

Đối với các phụ thuộc bên thứ ba hoặc kiến trúc, QNAP cung cấp các biện pháp giảm thiểu tạm thời trong khi điều chỉnh ngày phát hành bản vá cuối cùng.

• Phạm vi: QNAP phát hành Khuyến nghị Bảo mật (QSA) với phạm vi lỗ hổng, biện pháp giảm thiểu và cập nhật thông qua cảnh báo chủ động.
• Đồng bộ toàn cầu: Công bố hồ sơ CVE lên cve.org và đồng bộ với các cơ sở dữ liệu toàn cầu (ví dụ: US NVD) dưới quyền CNA của QNAP.
• Bảo vệ chủ động: Đối với các sự cố rủi ro cao trước khi phát hành bản vá, QNAP cập nhật định nghĩa Malware Remover để quét/xóa phần mềm độc hại tự động và cung cấp hướng dẫn chính sách bảo mật qua Security Center.

Các sản phẩm chính: Khuyến nghị chính thức, cảnh báo đẩy, cập nhật định nghĩa phần mềm độc hại, đồng bộ hồ sơ CVE.

• Phạm vi: Thực hiện Phân tích Nguyên nhân Gốc (RCA) để cung cấp thông tin cho DevSecOps và ghi nhận các nhà nghiên cứu bên ngoài.
• Bảo mật Shift-Left: Chuyển đổi chữ ký thành quy tắc SAST/DAST tự động để tích hợp bảo mật ngay từ đầu quá trình phát triển.
• Hall of Fame: Ghi nhận các nhà nghiên cứu bảo mật đóng góp trên Hall of Fame chính thức của QNAP.

Các sản phẩm chính: Báo cáo RCA, cập nhật bộ quy tắc SAST/DAST, cập nhật Hall of Fame.