Fox-IT Ufichuaji Ulioratibiwa wa Udhaifu

Katika Fox-IT, tunaona usalama wa mifumo yetu, mtandao wetu na bidhaa zetu kuwa wa umuhimu mkubwa kabisa. Licha ya uangalifu mkubwa tunaouchukua kuhusu usalama, sehemu dhaifu bado zinaweza kubaki. Ukipata sehemu dhaifu kama hiyo, tungependa kuisikia mapema iwezekanavyo ili tuchukue hatua zinazofaa haraka iwezekanavyo.

Sehemu dhaifu zinaweza kugunduliwa kwa njia mbili: unaweza kukutana na kitu kwa bahati wakati wa matumizi ya kawaida ya mazingira ya kidijitali, au unaweza kujitahidi waziwazi kuzitafuta.

Sera yetu ya ufichuaji wa kuwajibika si mwaliko wa kuchanganua kikamilifu mtandao wetu wa biashara ili kugundua sehemu dhaifu. Sisi wenyewe tunafuatilia mtandao wetu wa biashara. Hii ina maana kuna uwezekano mkubwa kwamba uchanganuzi utagunduliwa, na kwamba uchunguzi utafanywa na Kituo chetu cha Operesheni za Usalama (SOC), jambo linaloweza kusababisha gharama zisizo za lazima. Hata hivyo, unakaribishwa kutafuta kikamilifu udhaifu katika bidhaa zetu katika mazingira yasiyo ya uzalishaji yaliyo nje ya mtandao na kutuarifu matokeo yako. Wajibu wetu kwa wateja wetu unamaanisha kuwa nia yetu si kuhimiza majaribio ya udukuzi dhidi ya miundombinu yao; hata hivyo, tungependa kusikia kutoka kwako mapema iwezekanavyo ikiwa udhaifu utapatikana, ili tuweze kuutatua ipasavyo.

Tungependa kufanya kazi nawe ili tuweze kuwalinda vizuri zaidi wateja wetu na mifumo yetu.

Tunakuomba:

• Utume matokeo yako kwa barua pepe mapema iwezekanavyo kwa security-alert@fox-it.com.

• Usitumie vibaya udhaifu; kwa mfano, kwa kupakua, kuhariri au kufuta data. Siku zote tutachukulia ripoti yako kwa uzito na kuchunguza shaka yoyote ya udhaifu, hata bila ushahidi.

• Usishiriki tatizo na wengine hadi litakapotatuliwa.

• Usitumie mashambulizi dhidi ya usalama wa kimwili, uhandisi wa kijamii au zana za udukuzi, kama vile vichanganuzi vya udhaifu.

• Toa taarifa za kutosha ili tatizo liweze kurudiwa ili tuweze kulitatua haraka iwezekanavyo. Kwa kawaida, anwani ya IP au URL ya mfumo ulioathirika na maelezo ya udhaifu vinatosha, ingawa taarifa zaidi zinaweza kuhitajika kwa udhaifu tata zaidi.

Tunachoahidi:

• Tutajibu ripoti yako ndani ya siku tatu za kazi, kwa tathmini yetu ya ripoti na tarehe inayotarajiwa ya utatuzi.

• Tutashughulikia ripoti yako kwa siri, na hatutashiriki taarifa zako binafsi na wahusika wa tatu bila ruhusa yako. Isipokuwa ni polisi na mfumo wa mahakama endapo kutakuwa na mashtaka au ikiwa taarifa zinadaiwa.

• Tutakujulisha maendeleo ya suluhisho la tatizo.

• Katika mawasiliano kuhusu tatizo lililoripotiwa, tutataja jina lako kama mhusika aliyegundua tatizo, ukitaka.

• Kwa bahati mbaya haiwezekani kuhakikisha mapema kwamba hakuna hatua za kisheria zitakazochukuliwa dhidi yako. Tunatumaini kuweza kuzingatia kila hali kivyake. Tunajiona kuwa tuna wajibu wa kimaadili kukuripoti ikiwa tunashuku kwamba sehemu dhaifu au data zinatumiwa vibaya, au kwamba umeshiriki ujuzi wa sehemu dhaifu na wengine. Unaweza kuwa na uhakika kwamba ugunduzi wa bahati mbaya katika mazingira yetu ya mtandaoni hautasababisha mashtaka.

• Kama shukrani kwa msaada wako, tunatoa zawadi kwa kila ripoti ya tatizo la usalama ambalo hatulijui. Tunaamua thamani ya zawadi kwa msingi wa ukali wa uvunjifu na ubora wa ripoti.

Tunajitahidi kutatua matatizo yote haraka iwezekanavyo, kuwajulisha wahusika wote, na tungependa kushiriki katika uchapishaji wowote kuhusu tatizo mara litakapotatuliwa.

Mfano: Bits of Freedom

Utegemezi wetu kwa miundombinu ya kidijitali unaendelea kuongezeka. Hili linahusu jamii kwa ujumla, lakini pia linatuhusu sisi wenyewe. Kwa hiyo ni maoni yetu kwamba serikali na mashirika (ikiwa ni pamoja na yetu) yanapaswa kujitolea kwa dhati kulinda miundombinu yetu ya kidijitali. Tunatambua kwamba, licha ya nia zetu bora na uangalifu wetu mkubwa, udhaifu unaweza kuwepo katika mifumo yetu. Ukipata mojawapo ya udhaifu huu, tungependa kusikia kutoka kwako ili tuweze kulitatua suala hilo.

Tunachotarajia kutoka kwako

• Unapochunguza mojawapo ya mifumo yetu, zingatia uwiano wa shambulio. Hakuna haja ya kuonyesha kwamba unapoishambulia tovuti yetu kwa shambulio kubwa zaidi la DDoS katika historia ya intaneti, tovuti inaweza kutopatikana. Tunajua hilo. Pia tunaelewa kwamba ukiendesha tingatinga hadi ofisini kwetu, pengine utaweza kunyakua mojawapo ya kompyuta zetu mpakato.

• Kanuni hii ya uwiano pia inahusika wakati wa kuonyesha udhaifu wenyewe. Hupaswi kukagua wala kubadilisha data zaidi ya inavyohitajika kabisa ili kuthibitisha uhalali wa ugunduzi wako. Kwa mfano, ukiweza kubadilisha ukurasa wetu wa mwanzo, ongeza neno moja tu lisilo na utata badala ya kuuteka ukurasa mzima. Ukiweza kupata ufikiaji wa hifadhidata, inatosha kutuonyesha orodha ya majedwali yaliyomo, au pengine rekodi ya kwanza katika mojawapo ya majedwali hayo.

• Udhaifu katika mojawapo ya mifumo yetu unapaswa kuripotiwa mapema iwezekanavyo kwa kutuma barua pepe kwa security@bof.nl. Ni vyema ukisimba ujumbe wako kwa njia fiche kwa kutumia OpenPGP. Tafadhali toa taarifa za kutosha ili tuweze kurudia na kuchunguza suala hilo.

• Ufunguo wa umma wa OpenPGP wa security@bof.nl

• Hutashiriki ujuzi wako wa udhaifu na wahusika wengine mradi bado hatujalishughulikia suala hilo na bado tuko ndani ya muda wa busara tangu uliporipoti suala hilo.

• Utafuta taarifa zote za siri ulizopata wakati wa uchunguzi wako mara tutakapotatua udhaifu huo.

Unachoweza kutarajia kutoka kwetu

• Tutajibu ripoti yako ndani ya siku tatu kwa kina. Tutajumuisha makadirio ya muda tutakaohitaji kulishughulikia suala hilo. Bila shaka, tutakujulisha maendeleo yetu mara kwa mara.

• Tutautatua udhaifu huo haraka iwezekanavyo. Hapa pia, uwiano ni muhimu: muda unaohitajika kurekebisha udhaifu unategemea mambo kadhaa, miongoni mwake ukali na utata wa suala husika.

• Ukifuata miongozo iliyoelezwa hapa, hatutachukua hatua za kisheria dhidi yako kuhusiana na ripoti yako.

• Ni muhimu kwetu kukupa sifa kwa ulichofanya - ukitaka. Tutataja jina lako katika chapisho lolote kuhusu udhaifu huo ikiwa tu umekubali.

• Kama shukrani kwa kutusaidia kulinda mifumo yetu vizuri zaidi, tungependa kutuza kila ripoti ya udhaifu ambao haukuwa unajulikana kwetu wakati huo. Zawadi itategemea ukali wa udhaifu na ubora wa ripoti.

• Ukipata udhaifu katika programu ya mhusika wa tatu tunayoitumia na udhaifu huo unashughulikiwa na programu ya zawadi kwa hitilafu, hatutajaribu kudai zawadi hiyo; unapaswa kudai wewe.