Güvenlik açığı bildirimiBildirin, yanıt verelim.

Q: Bir güvenlik açığını nasıl bildiririm?

security@nousec.com adresine, sorunu yeniden üretmemize yetecek ayrıntıyla e-posta gönderin: etkilenen URL ya da uç nokta, izlediğiniz adımlar ve gözlemledikleriniz. Türkçe ve İngilizce bildirimlerin ikisi de okunur. Lütfen biz yanıt vermeden bulguyu herkese açık bir yerde paylaşmayın.

NOUSEC'e ait bir yüzeyde güvenlik açığı bulduysanız, bu sayfa nereye bildireceğinizi, neyi kapsamda saydığımızı ve karşılığında neyi taahhüt ettiğimizi anlatıyor. İnsan riski yönetimi satan bir şirket olarak, en azından kendi riskimiz konusunda açık olmalıyız.

Açık bildirin Kapsamı görün

[email protected] · En geç 2 iş günü içinde ilk yanıt · Türkçe ve İngilizce

Nasıl bildirilir?

Tek bir adres ve onu okuyan bir kişi. Doldurulacak form ya da açılacak hesap yok.

1. adım

[email protected] adresine yazın

Etkilenen URL ya da uç noktayı, sorunu yeniden üretme adımlarını ve gözlemlediklerinizi ekleyin. Ekran görüntüsü ya da kısa bir kayıt işimizi kolaylaştırır. Türkçe ve İngilizce bildirimlerin ikisi de okunur.

2. adım

2 iş günü içinde teyit ederiz

Otomatik bir alındı mesajı değil, sorunu yeniden üretip üretemediğimizi söyleyen gerçek bir yanıt alırsınız. İnceleme uzun sürecekse sessiz kalmak yerine bunu söyleriz.

3. adım

Düzeltiriz, sonra size haber veririz

Neyin değiştiğini ve ne zaman yayına alındığını öğrenirsiniz. İsterseniz duyuruda adınızı anarız; adınızın geçmesini istemezseniz bu da olur.

Aynı iletişim bilgisi, RFC 9116'ya uygun olarak security.txt dosyamızda da yayımlanır.

Kapsam

Açıkça yazıyoruz; çünkü kapsamı belirsiz bırakan bir politika araştırmacıyı tahmine iter, yanlış bir tahmin de iyi niyetli bir araştırmayı olaya dönüştürür.

Kapsamda

nousec.com

Tanıtım sitesi ve buradan sunulan her şey; demo talep uç noktası dahil.

Kapsamda, sınırlarla

Platformun giriş ve uygulama yüzeyi; yalnızca size ait bir hesap üzerinde test edilmek şartıyla. Otomatik tarama, yük ya da stres testi yok; başka bir kurumun ya da başka bir kişinin verisine ulaşma girişimi yok. Bu sınırlar içindeki bulgular memnuniyetle karşılanır ve aşağıdaki güvencenin kapsamındadır.

Kapsam dışı

Kontrolümüzde olmayan üçüncü taraf hizmetler

NOUSEC'in kullandığı ama işletmediği hizmetlerdeki bulgular o hizmetin sağlayıcısına bildirilmelidir. Bir yüzeyin kime ait olduğundan emin değilseniz bize sorun, söyleyelim.

Kapsam dışı

Simülasyon altyapısı

Müşteri çalışanlarına oltalama simülasyonu göndermek için kullanılan alan adları bilerek saldırgan altyapısına benzetilmiştir. Bunları zararlı olarak bildirmek beklenen bir davranıştır, güvenlik açığı değildir.

İyi niyetli araştırmaya güvence

İyi niyetle hareket ederseniz bizden alacağınız taahhüt.

Yukarıdaki kapsama uyar, iyi niyetle hareket eder, gizlilik ihlallerinden ve hizmet kesintisinden kaçınır ve bulguyu kamuya açıklamadan önce sorunu düzeltmemiz için bize makul bir süre tanırsanız, NOUSEC bu araştırmanız nedeniyle size karşı hukuki yola başvurmaz ve başvurulmasını desteklemez.

Bu politikanın sınırları içinde kalan bir araştırma nedeniyle üçüncü bir taraf size karşı yasal işlem başlatırsa, çalışmanızın bu politika kapsamında yetkilendirildiğini açıkça beyan ederiz. Başlamadan önce bu taahhüdü yazılı olarak isterseniz göndeririz.

Sizden ricamız

Dört kural; hepsinin amacı bir testin olaya dönüşmemesi.

Kendi hesabınızı kullanın

Başka bir kişiye ya da kuruma ait veriye erişmeyin, onu değiştirmeyin veya dışarı çıkarmayın. Yanlışlıkla başkasının verisine rastlarsanız durun ve bize bildirin.

Hizmeti yavaşlatmayın

Yük testi, hizmet engelleme saldırısı ya da platform girişine yönelik otomatik tarama yapmayın.

Ekibimize sosyal mühendislik uygulamayın

Çalışanlarımız, yüklenicilerimiz ve müşterilerimiz kapsam dışıdır. Çalışanlarımıza oltalama yapmak burada araştırma sayılmaz; o bizim sattığımız ürün ve bunu bir saldırı olarak ele alırız.

Açıklamadan önce bize süre tanıyın

Önce bize söyleyin ve düzeltmeyi yayına almamıza izin verin. Bu süreyi oyalamak için değil, düzeltmek için kullanırız.

İddia etmediklerimiz

NOUSEC bir SOC 2 ya da ISO/IEC 27001 denetimini tamamlamadı. Bu standartların hiçbirinden sertifikamız yok ve bu sitedeki hiçbir ifade sertifika iddiası olarak okunmamalıdır. Bağımsız bir sızma testi de yaptırmadık. Bu durumlar değiştiğinde bu sayfa bunu tarihiyle birlikte söyleyecek.

Sitenin başka yerlerinde NOUSEC'in kanıtı her kurum için yedi çerçeveye eşlediğini okuyacaksınız: KVKK, ISO/IEC 27001, NIS2, BDDK, SOC 2, GDPR ve ISO/IEC 27701. Bu cümle ürünün sizin verinizle ne yaptığını anlatır: denetçinizin istediği eğitim ve simülasyon kanıtını toplar ve düzenler. Kendi sertifika durumumuzla ilgili bir beyan değildir. Sizin için ISO 27001 kanıtı üreten bir tedarikçi, bu yüzden kendisi ISO 27001 sertifikalı olmaz; aynı cümlenin sessizce iki işi birden görmesine izin vermiyoruz.

Şu an ücretli bir ödül programımız yok. Bildirimler yine de memnuniyetle karşılanır, iki iş günü içinde değerlendirilir ve isterseniz adınız anılır.

Sorular

Araştırmacıların ilk e-postadan önce sorduğu sorular.

Bir güvenlik açığını nasıl bildiririm?

[email protected] adresine, sorunu yeniden üretmemize yetecek ayrıntıyla e-posta gönderin: etkilenen URL ya da uç nokta, izlediğiniz adımlar ve gözlemledikleriniz. Türkçe ve İngilizce bildirimlerin ikisi de okunur. Lütfen biz yanıt vermeden bulguyu herkese açık bir yerde paylaşmayın. Aynı iletişim adresi security.txt dosyamızda da yer alır.

Ne kadar sürede yanıt alırım?

Her bildirimi en geç iki iş günü içinde teyit eder ve ön değerlendirmesini yaparız. İlk yanıt otomatik bir alındı mesajı değil, sorunu yeniden üretip üretemediğimizi söyleyen gerçek bir kişinin yanıtıdır. İnceleme daha uzun sürecekse bunu söyler ve sizi bilgilendirmeye devam ederiz.

Evet, sınırlarla. Yalnızca size ait bir hesap üzerinde test yapabilirsiniz. Otomatik tarama, yük ya da stres testi ve başka bir kişinin hesabına erişme veya hesabı ele geçirme girişimleri kapsam dışıdır. Giriş yüzeyi bir güvenlik şirketinin en hassas noktasıdır; test edilmeyecekmiş gibi davranmak yerine nasıl test edileceğini tanımlamayı tercih ediyoruz.

Güvenlik açığı bildirimleri için ödeme yapıyor musunuz?

Şu an ücretli bir ödül programımız yok. İsterseniz duyurumuzda adınızı anarız ve neyi ne zaman düzelttiğimizi size açıkça söyleriz.

NOUSEC SOC 2 ya da ISO/IEC 27001 sertifikalı mı?

Hayır. NOUSEC bir SOC 2 ya da ISO/IEC 27001 denetimini tamamlamadı ve bu standartların hiçbirinden sertifikası yok. Platform sizin denetiminiz için çerçevelere eşlenmiş kanıt üretir; bu bir ürün özelliğidir, kendi sertifika durumumuzla ilgili bir beyan değildir.

İyi niyetli araştırmacılara karşı hukuki yola başvurur musunuz?

Hayır. Bu sayfadaki kapsama ve kurallara uyar, iyi niyetle hareket eder ve bulguyu açıklamadan önce sorunu düzeltmemiz için bize makul bir süre tanırsanız, size karşı hukuki yola başvurmayız ve başvurulmasını desteklemeyiz. İsterseniz bunu yazılı olarak da veririz.

Bir şey mi buldunuz? Bize söyleyin.

[email protected]: bir kişi okur, iki iş günü içinde yanıt alırsınız.

Demo talep edin Platformu inceleyin

RFC 9116'ya uygun yayımlanır · security.txt