為了使其產品和服務更加安全可靠，越來越多的企業開始采用漏洞獎勵制度。這個項目的理念就是從報告安全漏洞的研究人員那里收集信息安全漏洞，這些漏洞會導致不可彌補的損失，而這一點之前并不知道。安全分析員提出漏洞報告并隨后確認的人員可獲得金錢獎勵。這一概念開始流行起來，世界科技巨頭微軟、谷歌和Facebook也推出了類似的項目，目的是向全球的研究者尋求幫助，找出潛在的安全漏洞，從而給產品和技術帶來巨大威脅。參加。

Synology群暉是第一個執行這類項目的數據存儲供應商之一，他希望得到有經驗的研究者的幫助來提高產品的安全性?！巴健笔且环N將最安全的產品帶給客戶，并在很早以前就有了建立安全響應團隊的想法。

推動產品安全性的進步。

塞諾格采取了實際行動，并積極參與到與信息安全有關的活動中。比如，Synology參與了HITCON2015，當參與者在一個測試平臺上發現安全漏洞時，就會得到NAS的獎勵。Synology于2016年訪問了日本，了解了CERT/CC對安全事件作出反應的方式，包括發現、分類、補救和披露過程。同一年，Synology成立了產品安全事故應急小組(PSIRT)，以確保產品安全，處理安全事故，并實施安全漏洞獎勵計劃。

在PSIRT收到漏洞報告后，首先要做的工作之一是驗證報告的正確性，以確定索賠是否正確。在驗證了漏洞之后，可能會同時提交大量報告；因此，團隊必須根據漏洞的嚴重程度對其進行排序。PSIRT隨后進入了修補程序，在這個程序中測試和修補報告的漏洞。最終，當補丁就緒后，PM團隊會向公眾發布建議和更新。PSIRT隨后將該漏洞添加到“常見漏洞與披露”列表(CVE)中。為鼓勵安全研究者報告安全漏洞，漏洞獎金計劃向報告有效漏洞的人提供金錢獎勵。不過，參賽者必須符合若干條件才有資格獲選。第一，你必須是第一個發現漏洞的人。第二，要確保漏洞是有效的，可以被復制。最終，你必須遵守該計劃的條款。

PSIRT的未來之路

Synology已經收到了來自全球研究者的寶貴反饋，因為他們發現了一個嚴重的安全漏洞，這是一個漏洞獎勵項目。舉例來說，有一份報告稱存在嚴重的安全漏洞，在“通用漏洞評分系統”中，該漏洞被評為9.8分。3(CVSS)。Synology可以采取先發制人的措施，以最大限度地減少漏洞對潛在脆弱產品和服務造成的破壞。由于Synology非常重視用戶數據的安全，所以我們采用綜合的方法來保護用戶的信息安全。舉例來說，我們一直在做的“設計安全性”政策強調在開發期間考慮所有的安全性。歡迎有經驗的安全分析人員加入我們的團隊。"同步安全"將積極參與更多的全球第三方安全平臺，以促進與安全研究社區更密切的協調與合作，從而增加對我們產品和服務的審查。

如您對SynologyBug獎勵計劃感興趣，歡迎您的加入！