BI.ZONE Bug Bounty

— проверка на прочность за гранью
привычных практик

BI.ZONE BUG BOUNTY

Платформа BI.ZONE Bug Bounty связывает компании и багхантеров — независимых исследователей безопасности.

Здесь первые узнают, насколько хорошо защищена их внешняя инфраструктура, а вторые получают вознаграждение за обнаруженные уязвимости

Переход с сохранением рейтинга

Не теряй рейтинг, накопленный за рубежом, и продолжай заниматься любимым делом. Чем выше рейтинг, тем больше возможностей присоединиться к приватным программам bug bounty!

Прозрачные коммуникации

Следи за тем, что происходит с отчетом, с помощью статусов в личном кабинете. Для общения с компаниями пригодятся комментарии: удалять их нельзя, так что никакие договоренности не пропадут.

Помощь со стороны BI.ZONE в сложных ситуациях

Если возник спор с компанией, смело пиши в нашу поддержку на почту bb@bi.zone или в Telegram

— мы постараемся решить проблему

Простая организация выплат

Получай вознаграждение как физлицо, самозанятый или ИП, выводи деньги на карту или счет

Удобное составление отчетов

Используй markdown‑разметку, чтобы описывать найденные уязвимости понятно и красиво. А еще в твоем распоряжении готовые шаблоны — они сэкономят время

Клуб единомышленников для обмена опытом

Приходи на закрытые митапы, узнавай новое в дружеской обстановке, участвуй в конкурсах и других активностях для комьюнити

База знаний

Изучай открытые отчеты других багхантеров и повышай свое мастерство

Создавайте эффективные программы bug bounty при поддержке BI.ZONE

Мы поможем определить тип программы, области тестирования и оптимальные условия для багхантеров. В итоге ваша bug bounty будет интересна исследователям и выгодна вам

Пользуйтесь удобными функциями для работы

Красиво оформить условия программы позволит markdown‑разметка, быстрее разбирать отчеты — фильтрация по статусам, датам и другим параметрам. А контролировать управление будет проще с ролевой моделью

Делегируйте обработку отчетов об уязвимостях

Команда BI.ZONE готова взять на себя все задачи по триажу уязвимостей. Вам останется только получать проверенные отчеты и одобрять выплату независимым исследователям

Используйте решение из реестра отечественного ПО

Платформа BI.ZONE Bug Bounty зарегистрирована Министерством цифрового развития, связи и массовых коммуникаций РФ в реестре отечественного ПО

Переход с сохранением рейтинга

Не теряй рейтинг, накопленный за рубежом, и продолжай заниматься любимым делом. Чем выше рейтинг, тем больше возможностей присоединиться к приватным программам bug bounty!

Три шага до участия в bug bounty

Перерыв в bug bounty окончен.

Пора возвращаться

«Астра» на BI.ZONE Bug Bounty

Проверяться будет операционная система Astra Linux Special Edition.
В рамках партнерства с BI.ZONE «Астра» разместит на платформе
публичную программу с денежными выплатами

FAQ

Что считать багом?

Мы встречали случаи, когда под багом понималась любая ошибка на сайте: неработающая кнопка или неправильно поставленная запятая. Но в рамках багбаунти речь идет только об уязвимостях с точки зрения кибербезопасности. Например, это ошибки, приводящие к удаленному выполнению кода на узлах API. Где такие искать и какими еще они могут быть, подробно описано в каждой из программ, представленных в свободном доступе на платформе.

Нашлись критические уязвимости, но они не входят в скоуп. Мне за них заплатят?

Здорово, что получилось найти уязвимости, которые влияют на кибербезопасность компании! Но напоминаем: приносить баги в ресурсах вне скоупа — это риск. Компания может не платить за такие отчеты, так как не закладывала это в бюджет. А ваше время уже потрачено.

Что делать, если компания не хочет платить за найденную уязвимость?

В конфликтных ситуациях лучше приводить аргументы, а не давить на эмоции. Можно предложить пересмотреть размер награды. В любом случае не бойтесь обратиться в нашу поддержку к специалистам с независимой экспертизой в сфере ИБ. Мы поможем разобраться, ведь одна из целей площадки BI.ZONE Bug Bounty — построить максимально выгодное для всех взаимодействие. Для этого мы и выступаем арбитром в непростых ситуациях.

А багбаунти — это вообще легально?

Мы часто получаем этот вопрос от исследователей. Если багхантер действует так, как оговорено в программе, то все легально. А вот взлом инфраструктуры компании с использованием DDoS-атак или методов социальной инженерии запрещен в подавляющем большинстве случаев, это зафиксировано в условиях.

В каком формате предоставить репорт, чтобы точно получить баунти?

Наши разработчики постарались продумать все инструменты, необходимые для формирования отчета мечты. Используйте маркдаун-разметку, чтобы описывать найденные уязвимости понятно и красиво. А еще в вашем распоряжении готовые шаблоны, которые сэкономят время. Обязательно вместе с репортом отправьте все подтверждения работы: скриншот, видеозапись PoC, скрипт или файл бурпа, который поможет компании проверить наличие уязвимости. Они покажут, что вы действительно проэксплуатировали уязвимость, причем сделали это как белый хакер. Чем больше таких доказательств, тем больше вероятность заработать вознаграждение. За теоретическую возможность эксплуатации вендор не платит, увы.

Багхантить с платформой могут только физические лица?

Нет. На выбор предлагаем три налоговых статуса. Можешь заключить с нами договор гражданско‑правового характера как физическое лицо. Но выгоднее быть самозанятым или ИП.

А чем отличается самозанятость от ИП?

ИП проходят государственную регистрацию, выбирают систему налогообложения и платят страховые взносы. Самозанятость проще. Она подходит тем, у кого уже есть основная работа, а багхантинг занимает свободное от нее время. Тут есть существенные плюсы:

  • Простое и быстрое оформление при помощи платежного провайдера «Консоль» займет всего 10 минут. Подробное описание процесса — в блоге платформы.
  • Для получения выплат подойдет обычный счет в банке — специальный расчетный счет не нужен.
  • Процесс уплаты налога автоматизирован благодаря интеграции с «Консолью».

Как изменить налоговый статус?

Если изначально вы зарегистрировались в «Консоли» как физическое лицо, а позже решили получать вознаграждение в другом статусе, не нужно удалять аккаунт или учетную запись. Дополнительное заявление на смену налогового статуса тоже писать не нужно. А вот обратиться в поддержку стоит. Опишите ситуацию, укажите Ф. И. О., отправьте письмо на почту bb@bi.zone или сообщение в Telegram @BizoneBugBountySupport. Мы поможем.

Баг найден. Что мне делать дальше?

В целом на нашей площадке процесс получения вознаграждения за баг выглядит так:

  1. Вы находите баг и через платформу отправляете компании репорт.
  2. Компания подтверждает баг и назначает награду в зависимости от его критичности.
  3. Когда вы получаете уведомление о том, что компания готова выплатить вам баунти, регистрируетесь в сервисе «Консоль» и указываете реквизиты счета. Сделать это можно через настройки профиля на платформе или по ссылке.
  4. После того как платежный провайдер вас верифицирует, вы через «Консоль» подписываете договор с BI.ZONE Bug Bounty, а также акт выполненных работ.
  5. Выплата оказывается у вас на счете (обычно в течение 30 часов), а узнаете вы об этом (и не только) благодаря push-уведомлениям.

Не нахожу здесь ответ на свой вопрос. Кому его задать?

Нет предела совершенству. Мы стараемся рассказать все, но если вы прочитали наши рекомендации и не нашли ответ, то напишите в поддержку на почту bb@bi.zone или в Telegram @BizoneBugBountySupport.