Seputar Bug Hunter, Bug Bounty Program dan Tips Pembuatan Laporan Kerentanan yang Baik

Informasi ini akan sangat berguna bagi tim keamanan atau developer dalam menemukan dan memperbaiki celah keamanan yang ada secara lebih cepat.

3.  Memberikan Penjelasan Ringkas Terhadap Jenis BUG

Hal ini merupakan sesuatu yang dapat dikatakan penting karena mungkin saja tim keamanan atau developer tidak memahami bug yang dimaksud dan seperti apa dampaknya. 

Dengan memberikan penjelasan ringkas tentang bug tentu akan membuat tim tersebut lebih paham dan menjadi lebih aware serta memprioritaskan laporan bug yang kita buat. Contoh: "IDOR adalah adalah kependekan dari Insecure direct object references merupakan jenis kerentanan kontrol akses yang muncul saat aplikasi menggunakan input yang diberikan pengguna untuk mengakses objek secara langsung."

4. Menyertakan Video ataupun GIF 

Dalam membuat laporan, biasanya di bagian step to reproduce atau langkah-langkah bug hunter akan menggunakan screenshot atau tangkapan layar. Namun alangkah lebih baik apabila dalam langkah-langkah disertakan juga GIF ataupun video sehingga tim keamanan atau developer dapat lebih mengerti cara mereproduce bug dan memverifikasi  bug untuk menentukan valid atau tidak valid.

5. Beritahukan Versi Aplikasi atau Sistem yang Memiliki Kerentanan Beserta Keterangan Device  yang Dipakai

Ketika bug hunter melakukan pengetesan  pada sistem atau aplikasi yang memiliki versi di dalamnya, maka akan lebih baik apabila menyertakan versi dari aplikasi atau sistem yang diuji berserta dengan detil dari device yang digunakan untuk melalukan pengetesan. 

Aplikasi atau sistem yang kita tes bisa saja menggunakan framework atau CMS tertentu, oleh karena itu informasi mengenai versi akan sangat berguna bagi tim keamanan atau developer untuk melakukan mitigasi dan perbaikan. Contoh: "SSRF Vulnerability disini ada pada library urlgetreq/0.19.2 dan telah dites menggunakan Chrome versi n 96.0.4664.110 (Official Build) (64-bit) dengan Windows 10 Single Language."

6. Deskripsikan Dampak dengan Jelas dan Cantumkan CVSS Score

Dalam melaporkan celah keamanan, hal yang paling menentukan jumlah nominal reward atau kevalidan dari laporan kita adalah dampak (impact) dari celah keamanan yang kita temukan. Semakin besar dampak dari bug terhadap sistem ataupun terhadap pengguna dari sistem tersebut  maka akan semakin diprioritaskan laporan kita dan tentu reward yang kita dapatkan bisa menjadi lebih besar. Bug hunter perlu memberi penekanan terhadap informasi dampak ini dengan membuat sub-bab khusus yang menjelaskan akan setiap dampak secara detil dan merinci.