Bug bounty platform: কোথা থেকে শুরু করবেন
কোথায় hunt করছেন তা কীভাবে করছেন তার মতোই গুরুত্বপূর্ণ। Platform-গুলো কীভাবে আলাদা, VDP কী, এবং সময় নষ্ট করে না এমন প্রথম প্রোগ্রাম কীভাবে বাছবেন, জানুন।
Bug bounty platform তাদের সাথে গবেষকদের যুক্ত করে, যারা সিস্টেম পরীক্ষা করাতে চায়। Report-এর প্রক্রিয়া একই: জমা, triage, ঠিক করা, পুরস্কার, প্রকাশ।
পরিচিত platform
কয়েকটি platform প্রোগ্রাম হোস্ট করে, যেমন HackerOne, Bugcrowd, Intigriti ও YesWeHack। অনেক কোম্পানি তাদের ওয়েবসাইটে নিজস্ব প্রোগ্রামও চালায় (প্রায়ই security.txt ফাইল বা "responsible disclosure" পেজে তালিকাভুক্ত)।
কাজের ধরনে এগুলো একই রকম। আপনার জন্য যে পার্থক্য গুরুত্বপূর্ণ:
- নতুন গবেষকদের জন্য উপলব্ধ প্রোগ্রামের সংখ্যা ও ধরন।
- Private invite খোলা reputation বা point ব্যবস্থা।
- Triage-এর গতি ও মান, এবং বিরোধ কীভাবে সামলানো হয়।
- Payout-এর পদ্ধতি ও অঞ্চলভিত্তিক সুবিধা, তাই আপনার দেশে সত্যিই টাকা পাবেন কি না যাচাই করুন।
- কমিউনিটি ও শেখার উপকরণ।
শুধু একটিই বাছতে হবে না। অনেক hunter দুই-তিনটিতে নিবন্ধন করে। প্রতিটি platform-এর বর্তমান শর্ত ও নিয়ম নিজে পড়ুন, কারণ বদলায়।
প্রোগ্রামের ধরন
- Bug bounty program: বৈধ report-এ টাকা দেয়।
- VDP (vulnerability disclosure program): report নেয় এবং ধন্যবাদ বা point দিতে পারে, কিন্তু সাধারণত টাকা নয়। VDP তবু report লেখা অনুশীলন, track record গড়া ও triage কীভাবে চলে দেখার ভালো জায়গা।
- Public বনাম private: public প্রোগ্রাম সবার জন্য খোলা ও ভিড়ের। Private প্রোগ্রাম reputation গড়ার পর আমন্ত্রণে, প্রায়ই কম প্রতিযোগীসহ।
প্রথম প্রোগ্রাম কীভাবে বাছবেন
খুঁজুন:
- পরিষ্কার scope, asset-এর লম্বা তালিকা এবং সহজ ভাষায় লেখা policy।
- দ্রুত triage। প্রোগ্রাম পেজে response সময় ও সমাধান হওয়া report-এর সংখ্যা দেখা যায়।
- বড় বা বৈচিত্র্যময় ওয়েব অ্যাপ, যেখানে অনেক feature ও নতুন কোড পরীক্ষা করার আছে।
- ন্যায্য নিয়ম এবং safe harbor বিবৃতি যা সদুদ্দেশ্যের গবেষকদের রক্ষা করে।
- সাম্প্রতিক কার্যকলাপ: নতুন asset, সাম্প্রতিক বদল ও সাম্প্রতিক payout।
- আপনার জন্য সামলানো যায় এমন আকার: একটি অ্যাপ নিয়ে শুরু করে গভীরভাবে শিখুন।
সাবধান থাকুন:
- অস্পষ্ট বা পরস্পরবিরোধী scope-এর প্রোগ্রাম।
- বিশাল ভিড়ের খুব জনপ্রিয় প্রোগ্রাম, যেখানে সহজ bug আগেই খোঁজা হয়ে গেছে।
- আপনি যে ধরনের পরীক্ষা করতে চান তা নিষিদ্ধ করে এমন প্রোগ্রাম।
কিছু জমা দেওয়ার আগে
- Policy অনুমতি দিলে নিজের test অ্যাকাউন্ট বানান।
- কোন domain ও feature scope-এ আর কোনটি নয়, লিখে রাখুন।
- স্বয়ংক্রিয় scanning ও rate limit নিয়ে প্রোগ্রাম কী বলে নিশ্চিত করুন।
- Target-এর সাথে যুক্ত তৃতীয় পক্ষের সেবা, তালিকাভুক্ত না হলে, পরীক্ষা করবেন না।
Track record গড়া
শুরুতে অনেক দুর্বল report নয়, কয়েকটি ভালো মানের বৈধ report-এর লক্ষ্য রাখুন। পরিষ্কার ইতিহাস আপনার অবস্থান ভালো করে এবং private আমন্ত্রণের দিকে নিতে পারে।
মূল কথা: যেখানে টাকা পাওয়া যায় এমন platform বাছুন, পরিষ্কার scope ও সক্রিয় triage-এর প্রোগ্রাম দিয়ে শুরু করুন, অনুশীলনে VDP ব্যবহার করুন, এবং নিয়মের ভেতরে থাকুন।
বাগ বাউন্টি সিরিজ, পর্ব ১ (শুরু করা): 2 নম্বর (মোট 4)। আগের লেখা: নতুনদের জন্য bug bounty: বাস্তবসম্মত roadmap.
