Επισκόπηση
Η Sungrow δεσμεύεται να διατηρεί την ασφάλεια των προϊόντων, των υπηρεσιών και των πελατών της. Καλωσορίζουμε ερευνητές ασφάλειας, πελάτες, συνεργάτες και άλλα ενδιαφερόμενα μέρη να αναφέρουν υπεύθυνα πιθανές ευπάθειες ασφαλείας που ενδέχεται να επηρεάζουν προϊόντα, συστήματα ή υπηρεσίες της Sungrow.
Συνεργαζόμενοι με την κοινότητα ασφάλειας, μπορούμε να εντοπίζουμε, να αξιολογούμε και να αποκαθιστούμε ζητήματα ασφάλειας πιο αποτελεσματικά, συμβάλλοντας στην ενίσχυση της συνολικής ασφάλειας των προϊόντων και των υπηρεσιών μας.
Εύρος
Αυτή η πολιτική ισχύει για όλα τα προϊόντα της Sungrow.
Πώς να Αναφέρετε μια Ευπάθεια
Εάν πιστεύετε ότι έχετε εντοπίσει ένα κενό ασφαλείας που επηρεάζει ένα προϊόν ή μια υπηρεσία της Sungrow, υποβάλετε την αναφορά σας μέσω ενός από τα ακόλουθα κανάλια:
Γραμματοκιβώτιο ασφαλείας
psirt@sungrowpower.com
Για την προστασία της εμπιστευτικότητας των πληροφοριών ευπάθειας, συνιστούμε τη χρήση κρυπτογράφησης PGP κατά την υποβολή αναφορών ευπαθειών.
Πληροφορίες προς συμπερίληψη
Για να διευκολυνθεί η αποτελεσματική ανάλυση και επαλήθευση, οι αναφορές ευπάθειας θα πρέπει να περιλαμβάνουν όσο το δυνατόν περισσότερες από τις ακόλουθες πληροφορίες:
Όνομα και μοντέλο του επηρεαζόμενου προϊόντος
Λογισμικό, υλικολογισμικό ή έκδοση συστήματος
Λεπτομερής περιγραφή της ευπάθειας
Τύπος ευπάθειας (π.χ., κλιμάκωση δικαιωμάτων, απομακρυσμένη εκτέλεση κώδικα, παράκαμψη ελέγχου ταυτότητας)
Αξιολόγηση πιθανών επιπτώσεων και κινδύνων
Βήματα που απαιτούνται για την αναπαραγωγή της ευπάθειας
Πληροφορίες για το περιβάλλον δοκιμών
Κώδικας proof-of-concept (PoC), σενάρια, αρχεία καταγραφής, στιγμιότυπα οθόνης ή άλλα υποστηρικτικά υλικά
Στοιχεία επικοινωνίας (προαιρετικά)
Όσο πιο πλήρεις είναι οι παρεχόμενες πληροφορίες, τόσο πιο αποτελεσματικά μπορούμε να αξιολογήσουμε και να αντιμετωπίσουμε το αναφερόμενο πρόβλημα.
Δέσμευση ανταπόκρισης
Μετά τη λήψη μιας αναφοράς ευπάθειας, η ομάδα PSIRT της Sungrow θα ξεκινήσει την ανάλυση και την επαλήθευση το συντομότερο δυνατό.
Υπό κανονικές συνθήκες:
Η παραλαβή της αναφοράς θα επιβεβαιωθεί εντός 1 εργάσιμη ημέρα;
Τα αποτελέσματα της αρχικής αξιολόγησης και επικύρωσης θα παρασχεθούν εντός 7 εργάσιμες ημέρες;
Σημαντικές ενημερώσεις προόδου θα κοινοποιούνται καθ’ όλη τη διάρκεια της διαδικασίας αποκατάστασης.
Οι σύνθετες ευπάθειες, οι ευπάθειες που επηρεάζουν πολλαπλά προϊόντα ή ζητήματα που απαιτούν συντονισμό με τρίτους ενδέχεται να απαιτήσουν επιπλέον χρόνο για διερεύνηση και αποκατάσταση.
Διαδικασία χειρισμού τρωτοτήτων και αρχές γνωστοποίησης
Η διαδικασία χειρισμού ευπαθειών συνήθως περιλαμβάνει:
Παραλαβή και επιβεβαίωση ευπάθειας;
Επαλήθευση ευπαθειών και εκτίμηση επιπτώσεων;
Αξιολόγηση κινδύνου και ανάπτυξη σχεδίου αποκατάστασης;
Ανάπτυξη, δοκιμή και επικύρωση επιδιορθώσεων;
Ειδοποιήσεις πελατών και ενημερωτικά δελτία ασφαλείας;
Δημόσια γνωστοποίηση ευπαθειών;
Αναδρομική ανασκόπηση κλειστού βρόχου και συνεχής βελτίωση.
Η Sungrow τηρεί τις αρχές της Συντονισμένη Γνωστοποίηση Ευπαθειών (CVD) στην αντιμετώπιση ευπαθειών ασφαλείας. Κατ’ αρχήν, οι λεπτομέρειες της ευπάθειας δεν θα δημοσιοποιηθούν έως ότου είναι διαθέσιμη η επιδιόρθωσή της.
Η Sungrow συνήθως αποκαλύπτει πληροφορίες ευπαθειών και λύσεις αποκατάστασης στο κοινό με δύο τρόπους:
Συμβουλή Ασφαλείας: Μια Συμβουλή Ασφαλείας (SA) παρέχει πληροφορίες σχετικά με το επίπεδο σοβαρότητας της ευπάθειας, το εύρος των επηρεαζόμενων προϊόντων και εκδόσεων, τον επιχειρηματικό αντίκτυπο και τα μέτρα αποκατάστασης. Συνήθως χρησιμοποιείται για τη δημοσιοποίηση πληροφοριών σχετικά με κρίσιμες και υψηλού κινδύνου ευπάθειες ασφαλείας στα προϊόντα της Sungrow, μαζί με τα αντίστοιχα σχέδια αποκατάστασης, ώστε οι πελάτες να μπορούν να ενημερώνονται για αυτές τις ευπάθειες. Αξιολογήστε τους κινδύνους· η Sungrow διατηρεί το δικαίωμα να εκδίδει και να ενημερώνει συνεχώς τις συμβουλές ευπαθειών.
Σημειώσεις έκδοσης: Οι Σημειώσεις Έκδοσης (RN) παρέχουν πληροφορίες για τις επιλυμένες ευπάθειες. Χρησιμοποιούνται για τη γνωστοποίηση των ευπαθειών ασφαλείας που έχουν διορθωθεί κατά τη διάρκεια της διαδικασίας ανάπτυξης, ώστε οι πελάτες να μπορούν να κατανοήσουν την κατάσταση ασφάλειας του προϊόντος.
Όταν πληρούται οποιαδήποτε από τις ακόλουθες προϋποθέσεις, η Sungrow θα εκδώσει μια SA για να παρέχει στους πελάτες υποστήριξη λήψης αποφάσεων βασισμένη σε πραγματικούς κινδύνους του δικτύου.
● Για ευπάθειες που ταξινομούνται ως «Κρίσιμες» ή «Υψηλές» ως προς τη σοβαρότητα, η Sungrow έχει ολοκληρώσει τη διαδικασία απόκρισης σε ευπάθειες και μπορεί να παρέχει λύσεις αποκατάστασης για να βοηθήσει τους πελάτες να μετριάσουν τους κινδύνους στα ζωντανά δίκτυά τους.
● Εάν οι ευπάθειες στις εκδόσεις προϊόντων της Sungrow είναι πιθανό να προσελκύσουν ευρεία δημόσια προσοχή, ή εάν η Sungrow έχει παρατηρήσει ενεργή εκμετάλλευση τέτοιων ευπαθειών—γεγονός που ενδέχεται να αυξήσει τους κινδύνους που αντιμετωπίζουν οι πελάτες της—η Sungrow θα επιταχύνει τη διαδικασία απόκρισής της. Εντός 24 ωρών από την επιβεβαίωση ότι πληρούνται οι προαναφερθείσες συνθήκες, θα ειδοποιήσει τους πελάτες και θα παρέχει συνεχείς ενημερώσεις σχετικά με την κατάσταση της απόκρισης στην ευπάθεια.
Ασφαλές λιμάνι
Η Sungrow υποστηρίζει δραστηριότητες έρευνας ασφαλείας καλή τη πίστει και με υπευθυνότητα.
Η Sungrow αναλαμβάνει να μην κινήσει νομικές διαδικασίες ούτε να λάβει οποιαδήποτε νομική ενέργεια κατά ατόμων που συμμορφώνονται με αυτή την πολιτική και διεξάγουν έρευνα ασφάλειας καλή τη πίστει, υπό την προϋπόθεση ότι οι σχετικές ερευνητικές δραστηριότητες πληρούν τις ακόλουθες προϋποθέσεις:
Δεν θα προκαλέσει καμία διακοπή της επιχειρηματικής δραστηριότητας για τους πελάτες, τους συνεργάτες ή τη Sungrow.
Δώστε προτεραιότητα στην προσωπική ασφάλεια. Ορισμένα προϊόντα της Sungrow περιλαμβάνουν ηλεκτρικό εξοπλισμό υψηλής τάσης και ενέχουν κινδύνους ασφάλειας, όπως ηλεκτροπληξία και ηλεκτρικό τόξο. Οι ερευνητές πρέπει να διεξάγουν τις δοκιμές σε ασφαλές περιβάλλον, να τηρούν τους κανονισμούς ηλεκτρικής ασφάλειας και, όταν είναι απαραίτητο, να φορούν τον κατάλληλο ατομικό προστατευτικό εξοπλισμό.
Μην αποκτάτε πρόσβαση σε μη εξουσιοδοτημένα δεδομένα, μην τα τροποποιείτε, διαγράφετε ή αποκαλύπτετε.
Μην πραγματοποιείτε επιθέσεις άρνησης υπηρεσίας (DoS);
Μην εκμεταλλεύεστε ευπάθειες για να πραγματοποιήσετε πλευρική κίνηση, να εγκαθιδρύσετε μόνιμο έλεγχο ή να εξαπολύσετε περαιτέρω επιθέσεις.
Δεν παραβιάζει τους ισχύοντες νόμους και κανονισμούς;
Μην δημοσιοποιείτε λεπτομέρειες ευπάθειας μέχρι να επιδιορθωθεί η ευπάθεια.
Εάν οι ερευνητικές δραστηριότητες υπερβούν το προαναφερθέν πεδίο, η Sungrow διατηρεί το δικαίωμα να λάβει τα κατάλληλα μέτρα.
Αναγνώριση
Η Sungrow εκτιμά τις πολύτιμες συνεισφορές της κοινότητας έρευνας ασφάλειας.
Για έγκυρες και υπεύθυνα αναφερόμενες ευπάθειες, η Sungrow ενδέχεται να αναγνωρίσει τη συμβολή του αναφέροντος. Με τη συγκατάθεση του αναφέροντος, η αναγνώριση μπορεί να παρέχεται μέσω δελτίων ασφαλείας, ευχαριστιών ή άλλων κατάλληλων καναλιών.
Προς το παρόν, η Sungrow δεν λειτουργεί δημόσιο πρόγραμμα bug bounty. Εάν ένα τέτοιο πρόγραμμα εισαχθεί στο μέλλον, λεπτομερείς πληροφορίες θα δημοσιευθούν στον επίσημο ιστότοπο.
Επικοινωνία
Για ερωτήσεις σχετικά με αυτήν την Πολιτική Γνωστοποίησης Ευπαθειών ή άλλα ζητήματα ασφάλειας προϊόντων, επικοινωνήστε με:
Ομάδα Αντιμετώπισης Συμβάντων Ασφάλειας Προϊόντων της Sungrow (PSIRT)
psirt@sungrowpower.com
