Tanımlar

Avcı

"Avcı" terimi, Strecan sisteminde bir kez kayıt yaptırmış her gerçek kişiye uygulanır. Avcı, tanımlanmış hedeflerden güvenlik açığı bularak rapor sunabilir. Platformda faaliyet gösterebilir, genel açık olan hedefleri ve kurallarını inceleyebilir.

İşletme

Bu terim, Strecan hizmetlerinden yararlanmak için bir anlaşma imzalayan gerçek veya tüzel kişiye uygulanır.

Hedef

Strecan'da işletme tarafından sunulan güvenlik açığı keşif programlarına "Hedef" denilir. İşletmeler, güvenlik açığı keşif programının çerçevesini, şartlarını ve onaylanan raporların ciddiyet seviyesine göre ödenecek ücretini Strecan platformunda aktif olup avcıların çalışmalarına sunulabilmesi için belirlemek zorundadır.

Av

Avcı tarafından işletme hedefleri için sunulan ve onaylanmış güvenlik açığı raporlarına "Av" denir.

Genel Kurallar

Strecan’ını, genel kurallarına platformsa üye olan gerçek ve tüzel kişilerin tamamı uymakla yükümlüdür, platformun kullanım koşulları dışında yapılan faaliyetler onaylanmamakla birlikte karşılıklı olarak yasal süreçlerin başlatılmasına sebep olabilir.

• Bu kuralların tüm avcılar tarafından tüm işletmelerde ve hedeflerde uygulanması zorunludur.
• Hassas bilgilere erişimi mümkün kılan veya hizmeti engelleyen saldırılara neden olan zafiyetlerin tespiti durumunda, avcı, bu durumu derhal belgeler ve raporlarla Strecan'a iletmekle yükümlüdür ve zafiyetin incelenmesinin sonuçlarını beklemelidir. Strecan'ın değerlendirdiği ve doğruladığı bildirimleri, işletme teknik yöneticilerine sunar. Strecan tarafından avcı raporunun nihai onayının ardından, ödenecek ödülün miktarı ve puanı belirlenir.
• İşletmeler hizmeti kullanım dışı bırakabilen zafiyetler bulunduktan sonra çalışmanın devam etmesini talep edemezler.
• Avcı hizmeti kullanım dışı bırakan zafiyete ulaşması durumunda ve bu durumu raporlamadığı durumunda işletmeye kendi hakkında yasal sürecin başlatılmasına sebebiyet vermiş demektir.

Güvenlik Açığı Rapor Yapısı:

1. Güvenlik açığı avlama projesinde sunulan rapor işletme tarafından belirlenen şartları göz önünde bulundurarak hazırlanmalıdır.

2. Her rapor, teknik detaylar, kanıtlar ve test adımlarını içermelidir.

3. Alınan raporun teknik olarak incelenebilmesi için avcının yaptığı tüm adımların ve raporda anlatılan teknik bilgileri inceleme ekibi adım adım yapabilmesi gerekmektedir. (Raporda anlatıldığı gibi yapılan işlemlerin sonucunda güvenlik açığı zafiyetini tekrarlanabilmesi gerekmektedir)

4. Güvenlik açığından faydalanabilmesi için gereken giriş bilgileri ve teknik değerlerin raporda olması gerekmektedir. Bu bilgilerin sunulmaması raporun reddine sebep olabilir.

5. Bir raporda aşağıdaki unsurların belirtmesi beklenir:

   5.1. Bulunan zafiyetin kategorisinin yazılması (SQL Injection, Cross-Site Scripting vb.…)

   5.2. Güvenlik açığının tekrarlanabilmesi için yapılması gereken tüm yapılandırmalar belirtilmelidir.

   5.3. Güvenlik açığının tekrarlanabilmesi için gerekli olan tüm adımlar sırayla ve açıklamalı bir şekilde belirtilmelidir.

   5.4. Avcı incelemesine göre zafiyetin önem derecesi ve oluşturabileceği hasar açıklanmalıdır.

   5.5. Raporun şeffaf ve tam bir açıklaması bulunmalı ve zafiyetin nasıl istismar edilebilmesi açıklanmalıdır.

   5.6. Zafiyetin varlığını doğrulayan referans alınabilecek kanıt ve belgelerin eklenmesi zorunludur. Bu belgeler Video, Ekran görüntüsü, Kullanılan Script ve kodlar vb.… olabilir.

Avcı Kuralları

1. Strecan'a kullanıcı olarak kaydolmak, Kuralların tamamen kabul edilmesi anlamına gelir.

2. Avcı, Türkiye Cumhuriyeti’nin tüm yasalarına bağlı olmalıdır.

3. Güvenlik açığı raporunu inceleyebilmek için gerekli ve yeterli tüm belgeleri sunmak zorunludur.

   3.1. Strecan tarafından talep edilen belgeleri belirtilen süre içinde hazırlamak ve göndermek zorunludur.

   3.2. Belirlenen süre içinde talep edilen belgelerin gönderilmemesi durumunda, raporun incelemesi sona erer.

4. Av raporu sadece üzerinde çalışılan ve ilgili işletmenin ilgili hedefine ait olmalıdır.

5. Gönderilen belgelerin içeriği ve yazılan bilgilerin ve telif hakkında uygunluğu gönderen kişinin sorumluluğundadır.

6. Avcıların kullanıcı hesaplarından paylaşılan rapor ve bilgilerin sorumlusu hesap sahibidir.

7. Platformun ve işletmenin kurallarında tanımlanan yasal çerçeve dışındaki tüm faaliyetlerden sorumluluk, avcıya aittir. Kanıtlanmış şekilde yasal olmayan faaliyetlerde bulunulması durumunda, konu işletme tarafından ilgili yetkililere yönlendirilebilir.

8. Gönderilen belgelerin doğruluğu avcının sorumluluğundadır.

9. Avcı, gizlilik ihlali, veri tahribatı, bilgi yayını, hizmete müdahale, servis kesintisi vb. herhangi bir zararlı eylemi, gerçekleştirmeyeceğini taahhüt eder.

10. Avcı, ürünlerin hizmetini bozan veya servis kesintisine neden olan herhangi bir eylemi gerçekleştirmemeyi taahhüt eder. Bu tür zafiyetlerin tespiti durumunda, Strecan’a bilgi vermekle yükümlüdür.

11. Avcı, üzerinde çalıştığı hedeflerle ilgili veya zafiyetlerle ilgili sosyal medyada veya internette herhangi bir bilgi paylaşmayacağını taahhüt eder.

12. Avcı, üzerinde çalıştığı hedeflerde kullandığı kod veya yöntemler hakkında herhangi bir platformda paylaşım yapmayacağını taahhüt eder.

13. Rapor ve bilgi açıklamaları, sadece Strecan'ın kuralları doğrultusunda, işletmenin onayı ve Strecan tarafından gerçekleştirilen değerlendirme ile yapılmaktadır. Strecan'ın onayı olmadan avcı tarafından yapılan herhangi bir bilgi açıklaması, kurallara aykırıdır ve hukuki sonuçlara yol açacaktır.

14. Avcı ve birinci derece yakınları son 6 ay içersinde üzerinde çalışmak istediği hedefin sahibi olan işletme ile herhangi bir bağlantısı olmamalıdır.

15. Avcı, zafiyet raporu için belirlenen değerlendirme ekibi üyeleri arasında yer alamaz.

16. Avcı, ödül alma sürecini tamamlamak için kimlik ve geçerli banka bilgilerini sisteme göndermekle yükümlüdür.

17. On sekiz (18) yaşın altındaki avcılar, ödül almak için veli veya yasal vasileri aracılığıyla işlem yapmalıdır.

18. İşletme tanımlarının dışındaki alanlarda faaliyet yasaktır.

19. Her bir zafiyet keşfi, yalnızca ilk keşfeden kişiyi ödüllendirir. İlk keşfi belirleme kriteri, raporun kaydedildiği zamanına dayanmaktadır.

20. Yukarıdaki kuralların herhangi birini ihlal etmek, sürecin tamamlanmasının ardından bile yasal takip olasılığını beraberinde getirir ve hiçbir ödül avcıya verilmez.

21. Tüm avcıların bilgileri (güvenlik uzmanları, beyaz şapkalılar dahil) Strecan platformunda gizli kabul edilir ve yalnızca yargı kararı ile yasal yetkililere sunulabilir.

İşletme kuralları:

1. Strecan platformu ile iş birliği anlaşmanın onaylanması ve anlaşma hükümlerini yerine getirilmesini taahhüt eder.

2. İşletmenin Strecan’da faaliyet göstermesi kuralların tamamının kabulü anlamına gelir.

3. Avcı’nın tüm kurallara uyması durumunda, işletmenin avcı, av raporu ve Strecan platformuna karşı herhangi bir yasal takip hakkı bulunmamaktadır.

4. İşletme, sistemde belirlenen süre içinde, inceleme sonuçlarını, rapor için gerekli belgeleri ve kanıtları bildirmekle yükümlüdür. Aksi takdirde, Strecan, işletmeden tahmini maliyeti almanın yanı sıra, tahmini maliyetin en az %2'sini günlük olarak işletmenin kredisinden, maliyetin tamamen ödendiği zamana kadar ceza olarak kesebilir ve işletmenin hiçbir yasal takip hakkı olmaz.

5. Avcıların faaliyet göstereceği alanların şeffaf bir şekilde açıklanması işletme yükümlülüğündedir.

6. İşletme tarafından yasaklı alanların şeffaf bir şekilde belirlenmesi gerekir. Yasaklı alanların belirlenmemesine dayalı erişimler ve güvenlik zafiyetlerinin bulunması durumunda avcının raporu geçerlilik kazanarak incelemeye alınır.

7. Sözleşmeyi imzalamak, güvenlik açığı değerleme tablosunun onaylamak anlamına gelir.

8. Anlaşma süresi sonunda, incelemesi devam eden güvenlik açığı raporu varsa süreçlerin durumu belirlendikten sonra işletme onaylanmış güvenlik açığı raporunun öngörülen maliyetini ve hesaplanmış komisyonunu tamamen ödemekle yükümlüdür.

9. Avcı, yaptığı çalışma sonucunda onaylanan raporu hakkında işletmeden takdir belgesi talep edebilir, bu takdir belgesinin onaylanması, hazırlanması ve Strecan’a gönderilmesinden işletme sorumludur.

10. Güvenlik açığı raporu problemini çözme süresi belirleme işletme sorumluluğundadır.

11. Avcıların işletmelerle herhangi bir bağı olamaz konusu ihlal edilirse işletmeye ceza kesilir ve raporun inceleme ücretlerinin yanısıra kesilen ceza işletme tarafından Strecan’a ödenir.

12. İşletmenin platformda onaylanmış kullanıcı hesabı giriş bilgilerinin sorumluluğu tamamen işletmeye aittir.

Güvenlik açığı raporu kayıt kuralları

1. Sadece sözleşmeli işletmeler ve sistemde tanımlanan hedeflerle ilgili raporlar incelenir.

2. Tüm raporlar Strecan'da genel kurallara ve her bir hedefte belirlenen kurallara uymalıdır.

3. Sadece rapor yapısına uygun olan raporlar incelemeye alınır.

4. İşletme hedef ve kurallarında değişiklik yapma durumunda, raporların değerlendirmesi, raporun kaydedildiği tarih ve işletme tarafından yapılan değişikliklerin yüklenme tarihi dikkate alınarak yapılır. Değişikliklerin uygulanma öncesinde kaydedilen raporlar, o tarihlerdeki kurallar versiyonuna göre incelenir.

5. Rapor göndermeden önce, işletmenin kuralları okunmalı ve raporlanan zafiyetler tekrar kontrol edilmelidir.

6. Raporda aşağılayıcı kelimelerin, siyasi açıklamaların ve teknik olmayan açıklamaların yazıldığı durumunda rapor incelemeye alınmadan reddedilecektir.

7. Genel kurallarda ve her işletmenin hedefe ilişkin açıkladığı kurallara göre rapor yüklemesi yapılmalıdır.

Ödül Ödeme Kuralları:

1. Güvenlik zafiyetinin nihai onayından sonra ödül miktarı ve puanı belirlenir.

2. Ödemenin yapılma süresi, raporun nihai onayından ve ilgili işletmenin cüzdanına yatırmasından sonra en fazla 3 iş günüdür.

3. Bir güvenlik açığı raporuna yapılan ödeme, herhangi bir bilgi yayınlama izni anlamına gelmez.

4. Ödül alabilmek için avcının kimlik ve banka bilgilerinin, ülkenin finansal yasalarına göre onaylanması gerekmektedir.

5. Ödemelerde yasal olarak alınan vergi ve kesintiler avcı sorumluluğundadır, ödemeler Strecan’a yapılır ve Strecan avcının onaylanan banka hesabına gönderir. Avcı talebi üzerine bir güvenlik açığı raporundan elde edilen ödeme aşağıdaki şekillerde olabilir:

   5.1. Avcı’nın onaylanan banka hesabına yatırılması.

   5.2. Strecan platformunun hedeflerini geliştirmek ve daha iyi hizmet verebilmesi için alınan ödülün Strecan platformuna bağışlanması.

   5.3. Alınan ödülün sivil toplum kuruluşlarına bağışlanması. (Avcı bu seçeneği seçerse Strecan alınan ödülün tamamını avcı adına bağışta bulunarak belgelerini paylaşır.)

   5.4. Avcı on sekiz (18) yaş altındaysa kazandığı ödülü almak için yasal vasi veya vekilini belgelerle bildirerek ödemeyi ilgili kişinin hesabına yatırılmasını talep edebilir.

Kabul Edilmeyen Raporlar

Strecan’da kabul edilmeyen raporlar, Strecan’da faaliyet gösteren işletmelerin belirlediği kurallar ve koşullar ile Strecan’ın genel kullanım şartlarına uymayan raporlardır. Bu raporların teknik eksiklikleri bulunması durumunda rapor inceleme sırasında reddedilir. Aynı zamanda hukuki takip gerektiren raporlar hakkında işletmenin bu süreci başlatmasına sebebiyet verebilir. Hukuki sürecin başlatılması yapılan zarar verici ve suç niteliğinde olan işlemlerin ve faaliyetlerin ispatını gerektirir. Kabul edilmeyen raporların açıklamaları aşağıdaki gibidir:

1. Senaryo ve Exploite içermeyen raporlar.

2. MITM (Man-in-the-Middle) zafiyetleri.

3. Daha önce farklı avcılar tarafından raporlanan zafiyetler.

4. Root Cause (Kök Neden) bakımından önceki raporlardaki zafiyetlerle aynı olan raporlar.

5. Üç (3) aşamadan fazla kullanıcı etkileşimi gerektiren zafiyetler.

6. Zafiyet teknikleri kullanmadan erişilebilen yönetici giriş sayfaları.

7. Sosyal mühendislik ve Phishing (Oltalama) saldırıları.

8. Servis devre dışı bırakma saldırıları (DoS/DdoS)

9. Hedefte belirlenen yasaklı alanlar (Domains) ve IP adresleri ile ilgili zafiyetler.

10. Otomatik tarama yapan ve diğer otomatik araçlar tarafından sunulan ve herhangi bir faydalanma (Exploit) içermeyen raporlar.

11. Sunucu bilgilerinin sızdırılması (web sunucu türü ve versiyonu) sonucunda bulunan zafiyetler.

12. SSL ve Best Practise ile ilgili olan zafiyetler.

13. Eski tarayıcılara yönelik zafiyetler.

14. Fiziksel saldırılara karşı zafiyetler.

15. İçerik Sahtekarlığı (Content Spoofing) ile ilgili zafiyetler.

16. SSRF zafiyetler (Sadece DNS sorgusu içeren ve Exploint içermeyen) zafiyetler.

17. Clickjacking zafiyetleri, hassas sayfalarda olmadığı sürece.

18. *self zafiyetleri (Sadece ilgili avcı veya kullanıcıya etki eden zafiyetler)

19. Captcha ile ilgili olmayan Brute Force saldırıları.

20. Wordpress ile ilgili tüm zafiyetler.

21. Best Practice’ler, şifre kuralları vs.

22. DNS kayıtları ile ilgili gönderilen sahte E-postalar (E-mail Spoofing)

23. Kullanılan kütüphanelerin ve yazılım sürümlerinin düşük olduğunu gösteren raporlar.

24. Header incelemeleri ve header injection.

25. Hassas veriye ulaşmayan Option Index durumları.

26. Account/e-mail/phone enumeration ile ilgili her türlü kullanıcı adlarının ele geçirilmesi ile ilgili raporlar.

27. Logout (Hesaptan çıkış) yönelik CSRF zafiyetleri.

28. Email validation not enforced ile ilgili tüm zafiyetler.

29. Cookie valid after password change/reset veya Session fixation ile ilgili tüm zafiyetler.

30. Domain authentication ile ilgili tüm zafiyetler.

31. CDN arkasındaki IP’leri bulma (etkili bir saldırı senaryosu veya kabul edilebilir bir durum olmadan)

32. Information Disclousre zafiyetleri (senaryo ve exploit içermeyen raporlar)

33. Crossdomain.xml zafiyetleri.

34. CSV enjeksiyonu zafiyetleri.

35. Sadece kullanıcı (user) cihazını etkileyen zafiyetler (Android yazılımları için).

36. Tersine mühendislik, kaynak koda dönüştürme (decompile) ve benzeri durumlarla ilgili zafiyetler (Android yazılımı için)

37. Fiziksel erişim gerektiren veya kullanıcıları tehdit etmeyen zafiyetler (Android yazılımı için).