Entre em contato com a PSIRT para Trellix e Skyhigh SecurityEnvie relatórios de vulnerabilidade de segurança através
do HackerOne.
Para outras dúvidas, você pode entrar em contato com a equipe por e-mail em
trellixpsirt@trellix.com.
Declarações de política da PSIRT
- Acionáveis
Não anunciaremos vulnerabilidades de produtos ou softwares publicamente sem uma solução alternativa, atualização, hotfix ou atualização de versão acionável. Caso contrário, estaríamos informando à comunidade hacker que nossos produtos são um alvo, o que colocaria nossos clientes em maior risco. Para vulnerabilidades com grande atenção da mídia, como Log4j, publicaremos um Boletim de Segurança registrado declarando nossa conscientização e ações. Este Boletim de Segurança é restrito aos nossos clientes.
- Sem Favoritos
Divulgamos vulnerabilidades de produtos para todos os clientes, ao mesmo tempo.
- Descobridores
Damos crédito aos descobridores de vulnerabilidades apenas se o seguinte for satisfeito:
- Eles querem ser identificados como descobridores.
- Eles não tornaram sua pesquisa pública, nem compartilharam com outras partes, antes que o artigo do Boletim de Segurança ou da Base de Conhecimento (KB) abordando o problema fosse publicado.
- Eles não usaram suas pesquisas para atacar nossos produtos ou serviços afetados, ou quaisquer clientes que os utilizam.
- Permita aos nossos clientes um tempo razoável após o lançamento da correção antes de liberar mais detalhes que ajudariam um invasor (por exemplo, liberar um PoC ou uma análise detalhada do problema)
NOTA: Organizações, indivíduos ou ambos podem ser identificados como descobridores.
Pontuação do Sistema de Pontuação de Vulnerabilidade Comum (CVSS) Usamos a versão CVSS mais atual CVSS v3.1.
Todos os Boletins de Segurança devem incluir as pontuações CVSS para cada vulnerabilidade e os vetores CVSS associados. A pontuação básica é necessária. Tanto a pontuação temporal quanto a ambiental são opcionais. Idealmente, as pontuações básicas devem corresponder às pontuações que o Instituto Nacional de Padrões e Tecnologia (NIST) atribui aos CVEs.
E-mails do Serviço de Notificação de Suporte (SNS)Um e-mail do SNS é necessário para todos os Boletins de Segurança. Para assinar e-mails do SNS, acesse o
site SNS Subscription Preferences.
Política de resposta Nossa correção e resposta de alerta dependem da pontuação básica CVSS mais alta:
| Prioridade (segurança) |
Pontuação do CVSS |
Resposta típica para correções* |
SNS |
| P1-Critical |
9.0–10 Crítico |
HotFix |
Alerta |
| P2-High |
7.0-8.9 Alto |
Atualização |
Aviso |
| P3-Medium |
4.0–6.9 Médio |
Atualização |
Aviso |
| P4-Low |
0.0–3.9 Baixo |
atualização de versão |
Opcional |
| P5-Info |
0.0 |
Não vai consertar; informativo |
N/A |
| * |
A resposta de correção é baseada na gravidade da vulnerabilidade, ciclo de vida do produto e viabilidade de uma correção. A resposta de correção típica descrita acima não é um compromisso de produzir um hotfix, atualização ou atualização de versão para todas as versões de produtos com suporte. |
Mecanismos de comunicação externa Nosso mecanismo de comunicação externa depende da pontuação básica do CVSS, número de consultas de clientes e quantidade de atenção da mídia:
- Boletim de Segurança (4–10)
- KB (2–4)
- Declaração de Apoio (0–4)
- Não Necessário (0)
| |
CVSS 0
Baixo |
CVSS 0–3.9
Baixo |
CVSS 4.0–6.9
Médio |
CVSS 7.0–10
Alto |
| Divulgação externa (CVE)* |
Artigo da base de conhecimento se houver várias consultas; caso contrário não é necessário |
artigo da base de conhecimento |
Boletim de Segurança e
SNS |
Boletim de Segurança e
SNS |
| Divulgação ao cliente |
Declaração de sustentação |
Declaração de sustentação |
Boletim de Segurança e
SNS |
Boletim de Segurança e
SNS |
| Divulgação interna |
Não é necessário |
Documento nas Notas de Lançamento |
Boletim de segurança (pós-lançamento) e documento nas notas de versão |
Boletim de segurança (pós-lançamento) e documento nas notas de versão |
*Por padrão, não emitimos CVEs para problemas com pontuação abaixo4.0.
Cenários de crise Para vulnerabilidades de alta gravidade conhecidas publicamente que afetam vários produtos, podemos publicar um Boletim de segurança com uma atualização para um produto e atualizar o Boletim de segurança como atualizações e descrições para outros produtos ficam disponíveis.
Boletins de segurança com vários produtos vulneráveis listam todos os produtos com as seguintes categorias:
- Vulneráveis e atualizados
- Vulneráveis e ainda não atualizados
- Vulneráveis mas de baixo risco (considerando-se as práticas recomendadas de distribuição padrão)
- Não vulneráveis
- Em investigação (opcional)
Não costumamos publicar Boletins de Segurança nas tardes de sexta-feira, a menos que seja um cenário de crise.
Vulnerabilidade vs. Pontuações de risco
Participamos do sistema de pontuação de vulnerabilidade CVSS padrão do setor. As pontuações CVSS devem ser consideradas como um ponto de partida para determinar o risco que uma determinada vulnerabilidade pode representar para nossos clientes. A pontuação CVSS não deve ser confundida com uma classificação de risco da gravidade das vulnerabilidades que podem ocorrer em nossos produtos ou nos ambientes de tempo de execução associados nos quais nossos produtos são executados.
A pontuação CVSS básica determina nossa primeira resposta a incidentes.
Boletins de segurança com vários produtos vulneráveis listam todos os produtos por categoria. A lista abaixo descreve o que cada uma das categorias significa em termos de impacto potencial no cliente:
- Vulnerável— Um produto contém uma vulnerabilidade verificada. A vulnerabilidade representa algum nível de risco para o cliente. A pontuação CVSS associada pode ser considerada uma indicação da gravidade do impacto da exploração da vulnerabilidade em cenários típicos de implantação.
- Não vulnerável— Um produto não contém a vulnerabilidade ou a presença de um componente vulnerável não pode ser explorado de nenhuma maneira. O uso do produto não apresenta riscos adicionais para o cliente.
- Vulnerável, mas de baixo risco— Um produto contém a vulnerabilidade, talvez como uma biblioteca incluída ou executável na imagem do software. Porém, o impacto da exploração é insignificante e o produto fornece controles de segurança suficientes para que a vulnerabilidade não seja exposta a agentes de ameaça. O uso do produto provavelmente apresenta pouco risco extra para os clientes que usam o produto em cenários de implantação típicos e recomendados.
Boletins de segurançaOs boletins de segurança estão disponíveis em nosso Knowledge Center.
Ver boletins de segurança.
Relatar uma vulnerabilidadePara obter informações sobre como relatar uma vulnerabilidade, consulte
KB95563 - Relatar uma vulnerabilidade.
