Geben Sie keine Sicherheitsinformationen an Nicht-Sicherheitsleute weiter. Verwenden Sie eine beliebige Kontaktmethode, um nach der richtigen Sicherheitsperson zu fragen. Geben Sie keine Details zu dem, was Sie gefunden haben, an, bis Sie jemanden finden, der es versteht.

Geben Sie dann die Details zu dem an, was Sie gefunden haben. Bitten Sie nicht um Belohnung oder fordern Sie irgendeine Aktion, sonst werden Sie höchstwahrscheinlich nicht ernst genommen. Geben Sie einfach Hilfe und überlassen Sie es ihnen.

Ich bin mir nicht sicher, welche Art von Vorlage Sie benötigen. Geben Sie ihnen die Informationen / Schritte, die sie benötigen, um die gefundenen Informationen zu finden. Wenn Sie zu "scripted" klingen, klingen Sie möglicherweise wie ein Betrüger. Menschlich sein. Seien Sie hilfreich.

Wenn Sie kein Glück haben, Kontaktdaten zu finden, können Sie sich an das CERT (Computer / Cyber ​​Emergency Response Team) in Ihrem Land oder im Land des Unternehmens wenden. Liste der globalen CERTs. Diese Organisationen verfügen im Allgemeinen über Methoden zur Kontaktaufnahme mit den entsprechenden Personen (innerhalb der betroffenen Einrichtung und der nationalen Behörden).

Zumindest in Australien wird der Kontakt von AusCERT und ACSC (Australian Cyber ​​Security Center) wahrscheinlich ernster genommen als Kontakt von einer zufälligen und unbekannten Person. Ein Artikel von Troy Hunt über seine Erfahrungen im Umgang mit dem Datenbankleck des Roten Kreuzes in Australien mit AusCERT gibt seine Ansichten zur Leistung von AusCERT wieder. Ich empfehle, den vollständigen Artikel zu lesen, aber für Troys Zusammenfassung fahren Sie mit "Behandlung des Vorfalls durch AusCERT und das Rote Kreuz" fort.

Erste Voraussetzung: Die Suche wurde rechtmäßig durchgeführt.

Sie müssen herausfinden, wer ihr Sicherheitskontakt ist und wer in der Organisation wegen der Offenlegung von Sicherheitsfehlern kontaktiert werden sollte. Wie das organisiert ist (oder nicht), liegt ganz bei der Organisation. Es liegt auch ganz bei ihnen, Sie zu ignorieren oder zu missverstehen. Denken Sie also bitte daran und legen Sie Ihre Erwartungen fest.

Manchmal finden Sie innerhalb der Organisation einen Kontakt, mit dem Sie direkt sprechen oder auf einem öffentlichen Kanal nachfragen können nützliche Wege, um schließlich zu den richtigen Personen zu gelangen.

Achten Sie darauf, was Sie melden und wie Sie die Ergebnisse kommunizieren. Sie bieten Hilfe an, die sie ablehnen oder ignorieren können. Nehmen Sie Kontakt auf, richten Sie einen Dialog ein, geben Sie Empfehlungen, wenn Sie können, und versuchen Sie, das technische Niveau der Kontakte und ihr Interesse am Lernen und Beheben des Problems zu messen.

Wie viel Mühe möchten Sie machen und warum möchten Sie es machen?

mit geringem Aufwand: "Ich kümmere mich nicht um sie, ich möchte nur ein guter Mensch sein" Antwort : Holen Sie sich eine Wegwerf-E-Mail. Senden Sie ihnen eine Nachricht an die Support-Adresse, beginnend mit "Bitte an CISO oder eine andere Person, die für die Informationssicherheit verantwortlich ist", und teilen Sie ihnen mit, wo Sie was gefunden haben. Sie erwarten keine Antwort oder Entschädigung. Wir wünschen Ihnen einen schönen Tag. Tschüss.

Wenn Sie sich aus irgendeinem Grund dafür interessieren, kontaktieren Sie sie telefonisch und stellen Sie eine Verbindung zu der verantwortlichen Sicherheitsperson her. Es ist eine Fähigkeit, an Leuten der ersten Ebene vorbeizukommen, und sie könnten Sie abschrecken. Versuchen Sie es einfach noch einmal. Sie befinden sich wahrscheinlich in einem Callcenter und werden beim zweiten Mal eine andere Person finden. Die persönliche Nachricht sollte dieselbe sein: Was Sie gefunden, wo Sie es gefunden haben (senden Sie ihnen die DB nicht direkt, zeigen Sie ihnen, wo sie es selbst finden können!), dass Sie keine Entschädigung erwarten, haben Sie einen schönen Tag.

Es ist sehr wichtig , dass Sie sehr deutlich darauf hinweisen, dass Sie sie nicht erpressen. Die Meldung "Ich habe einige Ihrer geheimen Daten" wird sehr leicht als Bedrohung angesehen.

Aufwandreiche Lösung: Der CISO für dieses Unternehmen kann sich auf LinkedIn oder einem anderen professionellen Netzwerk befinden. Versuchen Sie ihn dort zu finden und kontaktieren Sie ihn direkt. Wenn nicht, schreiben Sie ihnen einen physischen Brief an den CISO und / oder den CEO (der Name des CEO sollte in einem Unternehmensverzeichnis leicht zu finden sein). Physische Briefe werden immer noch viel ernster genommen als E-Mails, und die Adressinformationen werden im Allgemeinen respektiert. Wenn sie also mit Namen an den CEO adressiert werden, werden sie von seiner Sekretärin und nicht von einem Callcenter geöffnet Agent.

Überlegen Sie, die Informationen an eine unparteiische, bekannte Clearingstelle wie Troy Hunt weiterzugeben.

https://www.troyhunt.com/ und https: //haveibeenpwned.com/

Auf diese Weise können Sie völlig anonym bleiben.

Eine weitere Option für den Fall, dass die zuständige Gerichtsbarkeit keine CERT-Organisation hat (obwohl die Wahrscheinlichkeit hoch ist, dass Sie beim Lesen dieses Beitrags in einem Land leben, in dem das eine oder andere Unternehmen in einem solchen Land ansässig ist) und Sie können keine andere Möglichkeit finden, eine relevante Person im Unternehmen zu kontaktieren. Sie müssen jedoch vorsichtiger sein, wenn Sie sich an einen kompetenten neutralen Journalisten wenden, der auf Informationssicherheit spezialisiert ist. Die meisten Unternehmen zögern verständlicherweise, einem zufälligen Niemand zuzuhören, der sie aus heiterem Himmel mit der Nachricht kontaktiert, dass sie eine durchgesickerte Datenbank gefunden haben. Ein Journalist unterscheidet sich jedoch in bedeutsamer Weise von einem zufälligen Niemand:

1. Sie haben einen viel öffentlicheren Online-Fußabdruck, der leicht zu finden ist und zeigt, dass sie wissen, wovon sie sprechen;
2. Sie haben den Ruf, sich selbst und ihren Arbeitgeber zu schützen, und vermitteln als solche einen besseren Eindruck, dass es ernst ist und sie dies nicht für schnelle Gewinne tun;
3. Sie Es ist wahrscheinlicher, dass ein Unternehmen eine effektive Antwort erhält, da ein Unternehmen stark davon abgehalten wird, Journalisten zu ignorieren, die Verstöße melden. Einer der schlimmsten PR-Albträume, die ein Unternehmen haben kann, ist ein Artikel in einer Zeitung, in dem beschrieben wird, dass eine Unternehmensdatenbank gehackt und personenbezogene Daten für jedermann öffentlich zugänglich sind. In einem der Absätze wird beschrieben, wie das Unternehmen mehrmals ohne Antwort kontaktiert wurde.
ol>

Hinweis: Sie möchten auf jeden Fall einen kompetenten Reporter, der mit einer bekannten Publikation verbunden ist. Sie sollten sich wirklich nicht für eine sensationelle Boulevardzeitung oder eine Website / einen Fernsehsender mit einer starken politischen Ausrichtung entscheiden. Ich meine damit nicht, dass Sie sofort zu einer Site wie The Verge oder The Register gehen sollten. Insbesondere bei kleineren Unternehmen, die sich stark auf eine kleine Anzahl von Städten oder eine kleine Region konzentrieren, ist es möglicherweise vorsichtiger, eine Stadtzeitung oder einen lokalen Radiosender zu verwenden, da die Wahrscheinlichkeit größer ist, dass sie mit den beteiligten Reportern und Veröffentlichungen vertraut sind .

Eine letzte Bemerkung ist, dass diese Route fast immer dazu führt, dass das Leck EXTREM öffentlich wird. Aus diesem Grund sollte dies nur als letzter Ausweg verwendet werden, falls alles andere in einer Sackgasse endet. Sie müssen absolut sicher sein, dass dieses Ergebnis das ist, was Sie wollen, und dass es ein besseres Ergebnis ist, als es ruhig zu halten. Es gibt definitiv einige Unternehmen, in denen ein Artikel wie dieser auf allen Ebenen der Gesellschaft äußerst weitreichende Komplikationen haben kann, sogar bis zu dem Punkt, an dem er Freundschaften ruinieren, Ehen beenden und Leben kosten kann.

Ich habe gezögert, diese Antwort zu veröffentlichen, da sie nur für Webanwendungen hilfreich ist, aber ich glaube, sie gehört hierher.

Es gibt einige Bemühungen, die versuchen, die Art und Weise, wie Sicherheitsprobleme gemeldet werden sollen, und eine Datenbank zu standardisieren Leck ist einer von denen. Der Vorschlag heißt security.txt , und soweit ich weiß, handelt es sich bei dem Papier immer noch um einen Entwurf.

security.txt (einfach ausgedrückt)

Für ein Unternehmen

Es besteht aus einer Textdatei mit dem Namen "security.txt" im Stammverzeichnis der Website des Unternehmens, zum Beispiel: example.com/security.txt kann auch in den Ordner .well- gestellt werden: example.com/.well-known/security.txt. Die Idee ist, alle erforderlichen Informationen zum Melden eines Sicherheitsproblems in diese Datei aufzunehmen.

Für einen Sicherheitsforscher

Wenn dieser Vorschlag bei einem Sicherheitsproblem breite Akzeptanz findet Wenn ein Sicherheitsforscher ein bestimmtes Unternehmen gefunden hat, sollte er nach dieser bestimmten Datei suchen und hoffentlich wissen, wie er sie adressieren (melden) kann.

Weitere Informationen zu security.txt

• https://securitytxt.org/
• https://github.com/securitytxt/security- txt
• Einige große Unternehmen wie Github, Google und Facebook & Reddit haben diese Konvention bereits übernommen:
  • github.com/.well-known/security.txt
  • google.com/.well-known/security.txt
  • facebook.com/security.txt
  • reddit.com/security.txt
  /