Termini per la Segnalazione delle Vulnerabilità

Ultimo Aggiornamento: settembre 2025

Questi Termini regolano il programma Tanium CNA e Bug Bounty e sostituiscono le linee guida e i termini di HackerOne in caso di dichiarazioni contrastanti. Il programma Bug Bounty di Tanium ha determinati termini supplementari e requisiti di ambito identificati di seguito. Inviando una vulnerabilità nell'ambito di uno dei due programmi, l'utente riconosce e accetta i seguenti Termini.

Linee Guida per la Segnalazione

• Fornire rapporti dettagliati con passaggi riproducibili. Assicurarsi di includere il nome e il numero di versione del prodotto Tanium interessato, la natura e l'impatto del problema sospetto e qualsiasi prova associata o PoC se necessario.
• Il social engineering (ad es. phishing, vishing, smishing) è vietato.
• Fare un buon tentativo in buona fede per evitare violazioni della privacy, distruzione di dati e interruzione o degrado del nostro servizio. Interagisci solo con account di tua proprietà o con l'esplicita autorizzazione del titolare dell'account.
• Distruggi in modo sicuro qualsiasi informazione riservata che potresti aver ottenuto.
• Concedi a Tanium tutti i diritti necessari per i report.
• Hai letto e accettato la Policy di Divulgazione delle Vulnerabilità di Tanium e riconosci che Tanium mantiene piena discrezione nell'interpretare e applicare i termini del programma, inclusa l'idoneità di qualsiasi individuo o la modifica dei premi del programma.
• Hai l'autorità per partecipare a questo programma e hai ottenuto dal tuo datore di lavoro tutte le autorizzazioni necessarie per ricevere i premi assegnati, e che nel farlo sei in conformità con tutte le leggi, i regolamenti applicabili e le politiche del tuo datore di lavoro riguardanti l'accettazione di qualsiasi ricompensa.

Fuori Ambito

Quando si segnalano vulnerabilità, si prega di considerare lo scenario di attacco/sfruttabilità e l'impatto sulla sicurezza del bug. Ad esempio, i seguenti problemi sono considerati fuori ambito:

• Clickjacking su pagine senza azioni sensibili.
• CSRF non autenticato/logout/login.
• Configurazione mancante delle best practice senza un Proof of Concept funzionante.
• Attacchi Denial of Service (DoS) contro le nostre proprietà web.
• Tecniche di spam o di ingegneria sociale.
• Contenuti di Tanium Labs.
• Vulnerabilità nelle integrazioni Tanium di terze parti, incluse applicazioni, servizi o sensori.
• Vulnerabilità sfruttabili solo se qualcuno configura intenzionalmente in modo errato, configura in modo non sicuro o distribuisce in modo non sicuro i nostri prodotti.
• Vulnerabilità nelle implementazioni generiche di tecnologie o librerie che implementiamo. In alcuni casi, Tanium sfrutta tecnologie di terze parti in modi limitati per implementare le nostre soluzioni. Le vulnerabilità nelle implementazioni generiche di tecnologie di terze parti sono fuori ambito, a meno che non venga determinata l'esistenza di una vulnerabilità nell'implementazione di Tanium.

Safe Harbor

Qualsiasi attività condotta in modo coerente con questa politica sarà considerata una condotta autorizzata da Tanium. Se un'azione legale viene avviata da terzi nei tuoi confronti in relazione ad attività svolte nell'ambito di questa politica, adotteremo misure per far sapere che le tue azioni sono state condotte in conformità con questa politica.

Linee guida per la segnalazione del Bug Bounty

Le vulnerabilità inviate tramite il programma Bug Bounty di Tanium sono soggette anche a queste ulteriori Linee guida per la segnalazione:

• Se il rapporto non è sufficientemente dettagliato da riprodurre il problema, il problema non sarà idoneo a ricevere un premio.
• Invia una vulnerabilità per rapporto, a meno che non sia necessario concatenare le vulnerabilità per fornire un impatto.
• Quando si verificano duplicati, premiamo solo il primo rapporto ricevuto (a condizione che possa essere completamente riprodotto).
• Più vulnerabilità causate da un unico problema sottostante riceveranno un solo premio.
• La partecipazione al programma di Tanium non crea un rapporto di lavoro.

Ambito del Bug Bounty

Le seguenti risorse rientrano nell'ambito del Bug Bounty:

• Qualsiasi vulnerabilità inclusa nell'ambito Tanium CNA
• Domini specifici del cliente relativi all'istanza cliente 'bugbounty'. Questi sono
  • bugbounty.cloud.tanium.com
  • bugbounty-api.cloud.tanium.com
  • portal.bugbounty.cloud.tanium.com
• Qualsiasi sito web pubblico nel dominio tanium.com (ad es. tanium.com, developer.tanium.com, docs.tanium.com) non esplicitamente correlato a un cliente specifico.

Le seguenti risorse sono fuori ambito per i test Bug Bounty:

• Risorse ospitate nel cloud Tanium o on-premise appartenenti a uno specifico cliente Tanium. Questo include tutti i domini corrispondenti ai seguenti pattern:
  • *.cloud.tanium.com
  • *-api.cloud.tanium.com
  • portal.*.cloud.tanium.com

Premi Bug Bounty

I nostri premi si basano su una varietà di fattori, tra cui la gravità secondo il CVSSv3 (Common Vulnerability Scoring Standard) e l'asset interessato. Si prega di notare che queste sono linee guida generali e le decisioni sui premi sono a discrezione di Tanium.

I seguenti individui potrebbero non qualificarsi per determinati premi, inclusi i premi in denaro:

• Dipendenti e collaboratori di Tanium e qualsiasi altro lavoratore che svolge servizi per Tanium.
• Dipendenti e collaboratori dei clienti attuali o potenziali di Tanium, e qualsiasi altro lavoratore che svolge servizi per un cliente attuale o potenziale di Tanium che identifichi una vulnerabilità nell'ambito delle proprie normali responsabilità lavorative.
• Residenti di qualsiasi paese sottoposto a embargo e sanzioni promulgate dal Governo degli Stati Uniti, che attualmente includono Cuba, Iran, Corea del Nord, Siria, Russia, Bielorussia e alcune regioni dell'Ucraina, nonché qualsiasi altro Soggetto Designato Speciale identificato dall'Ufficio del Controllo dei Beni Stranieri degli Stati Uniti, come aggiornato di volta in volta.
• I familiari immediati, o le persone che risiedono nello stesso nucleo familiare, di uno qualsiasi degli individui descritti sopra.

Grazie per aver contribuito a mantenere Tanium e i nostri utenti al sicuro!