Richtlinie von Mimecast zur verantwortungsvollen Offenlegung

Mimecast betrachtet den Schutz von Kundendaten als eine bedeutende Verantwortung, die für uns höchste Priorität hat, da wir unseren Kunden in jeder Phase ihrer Customer Journey ein herausragendes Erlebnis bieten möchten. Wir nehmen die Sicherheit unserer Systeme daher äußerst ernst und schätzen die Unterstützung von Sicherheitsforschern und anderen Mitgliedern der Sicherheits-Community bei der Gewährleistung der Sicherheit unserer Systeme sehr. Gemeinsam können wir Verbesserungen erzielen und Wege finden, um Herausforderungen zu meistern. Mimecast begrüßt unterschiedliche Perspektiven, um die Cyber-Resilienz zu stärken. Die verantwortungsvolle Offenlegung von Sicherheitslücken hilft uns, die Sicherheit und den Datenschutz aller unserer Nutzer zu gewährleisten. Wenn Sie eine Sicherheitslücke entdecken, würden wir uns freuen, wenn Sie uns gemäß dieser Richtlinie darüber informieren, damit wir das Problem so schnell wie möglich beheben können. Gemeinsam können wir durch Zusammenarbeit, Kommunikation und Verantwortungsbewusstsein unsere Ziele erreichen.

Weitere Informationen zu unseren Zertifizierungen finden Sie in unserem Trust Center.

Richtlinien für die verantwortungsvolle Offenlegung

• Führen Sie Untersuchungen ausschließlich im Rahmen des in dieser Richtlinie festgelegten „Geltungsbereichs“ durch;
• Mimecast-Kunden sollten für alle Meldungen, die nicht sicherheitsrelevant sind, einen Fall eröffnen.
• Um uns zu helfen, Art und Umfang der potenziellen Sicherheitslücke zu verstehen, besuchen Sie bitte https://bugcrowd.com/3905fe58-e58e-491d-87dc-a8a9264eb662/external/report und füllen Sie das Formular mit möglichst vielen Informationen aus. Wenn Sie fertig sind, klicken Sie auf „Sicherheitslücke melden“, um Ihren Bericht an Mimecast zu übermitteln;
• Behandeln Sie Informationen zu jeder von Ihnen entdeckten Sicherheitslücke vertraulich – nur zwischen Ihnen und Mimecast –, bis wir mindestens 90 Tage Zeit hatten, das Problem zu prüfen und zu beheben. Bitte beachten Sie, dass der Zeitrahmen für die Überprüfung und Behebung eines Problems von einer Reihe von Faktoren abhängt, darunter unter anderem die Komplexität der Sicherheitslücke und das damit verbundene Risiko;
• Halten Sie die Kommunikationskanäle offen, um eine effektive Zusammenarbeit zu ermöglichen;
• Bemühen Sie sich nach Kräften, Datenschutzverletzungen, eine Beeinträchtigung der Benutzererfahrung, Störungen der Produktionssysteme und die Zerstörung von Daten während der Sicherheitstests zu vermeiden.

Was Sie von uns erwarten können:

• Wir werden mit Ihnen zusammenarbeiten, um das Problem zu verstehen und zu beheben, mit dem Ziel, den Schutz unserer Kunden und Systeme zu verbessern;
• Sofern Sie die oben genannten Richtlinien befolgen, werden wir keine rechtlichen Schritte im Zusammenhang mit Ihrer Forschung einleiten oder unterstützen;
• Wir bemühen uns, innerhalb von 3 Werktagen nach Einreichung
  
  auf Ihre Meldung zu reagieren

Geltungsbereich

Außerhalb des Geltungsbereichs

Alle von Drittanbietern gehosteten Dienste sind vom Geltungsbereich ausgeschlossen. Zu diesen Diensten gehören:

• Mimecast-Wissensdatenbank (kb.mimecast.com);
• Mimecast Academy (academy.mimecast.com);
• https://community.mimecast.com;
• sowie alle weiteren Dienste, die im obigen Abschnitt „Im Geltungsbereich“ nicht ausdrücklich genannt sind.

Im Interesse der Sicherheit unserer Kunden, unserer Mitarbeiter, des Internets im Allgemeinen sowie Ihrer Person als Sicherheitsforscher sind die folgenden Testarten vom Geltungsbereich ausgeschlossen:

• Jeder Versuch, Daten zu verändern oder zu zerstören;
• Erkenntnisse, die in erster Linie durch Social Engineering (z. B. Phishing) gewonnen wurden;
• Befunde aus Anwendungen oder Systemen, die nicht im Abschnitt „Geltungsbereich“ aufgeführt sind;
• Schwachstellen auf Netzwerkebene, die zu einem Denial-of-Service (DoS/DDoS) führen können, oder jegliche anderen Versuche, die von Mimecast angebotenen Dienste zu unterbrechen oder zu beeinträchtigen, einschließlich der Beeinträchtigung der Fähigkeit von Endnutzern, den Dienst zu nutzen;
• Jegliche Versuche, auf das Konto oder die Daten eines Nutzers zuzugreifen;
• sowie alles, was nach geltendem Recht nicht zulässig ist...
   

Qualifizierte Schwachstellen

Was ist eine „qualifizierte Sicherheitslücke“?

Schwachstellen in Webanwendungen wie XSS, XXE, CSRF, SQLi, lokale oder entfernte Dateieinbindung, Authentifizierungsprobleme, Remote-Code-Ausführung und Autorisierungsprobleme, Rechteausweitung und Clickjacking. Die Schwachstelle muss in einem der im obigen Abschnitt „Geltungsbereich“ genannten Dienste auftreten. Sie müssen der erste Forscher sein, der die Sicherheitslücke verantwortungsbewusst offenlegt, und Sie müssen die in dieser Richtlinie festgelegten Richtlinien zur verantwortungsvollen Offenlegung befolgen, wozu auch gehört, uns eine angemessene Frist zur Behebung der Sicherheitslücke einzuräumen. Wir werden die angemessene Frist nach der Offenlegung der Sicherheitslücke mit Ihnen abstimmen.

Was gilt nicht als „anerkennungsfähige Sicherheitslücke“?

Obwohl jede Meldung im Einzelfall geprüft wird, finden Sie hier eine Liste einiger Probleme, die nicht als Sicherheitslücken gelten:

• TLS/SSL-bezogene Probleme;
• SPF-, DMARC- und DKIM-Konfigurationen;
  fehlende Sicherheits-Header oder Content-Security-Policies (CSP);
• Fehlende CAPTCHAs als Sicherheitsmechanismus;
• Fehlende Flags bei Cookies;
• Aufzählung von Benutzernamen
• Sicherheitslücken in Produkten, deren Lebenszyklus abgelaufen ist;
• Möglichkeit, eine Seite per iFrame einzubinden/Clickjacking;
• HTML-Injektion ohne Auswirkungen auf die Sicherheit;
• Funktionen zur Kontosperrung oder Ratenbegrenzung;
• CSRF-Angriffe ohne Auswirkungen oder solche, die keine Berechtigungsgrenzen überschreiten;
• Informationen von Drittanbietern/Leaks von Anmeldedaten, die nicht unter die Kontrolle von Mimecast fallen (z. B. Google, GitHub, Pastebin usw.);
• E-Mail-Links mit sensiblen Inhalten aus Mimecast-Produkten, die in Diensten von Drittanbietern indexiert sind, wenn sie von Kunden direkt oder indirekt offengelegt wurden;
• Verwendung einer Bibliothek mit bekannter Sicherheitslücke ohne Nachweis der Ausnutzbarkeit;
• Sicherheitslücken bei Drittanbietern, für die noch kein oder erst kürzlich (vor weniger als 30 Tagen) ein Sicherheitshinweis veröffentlicht wurde;
• Sicherheitslücken, die bereits gemeldet wurden oder deren Behebung bereits im Gange ist;
• Angriffe zur Übernahme von Subdomains ohne Nachweis; ein häufiges Fehlalarm ist „smartlinggdn.mimecast.com“;
• Host-Header-Injektionen, wenn der Angriffsvektor MITM erfordert oder wenn der Header nicht reflektiert wird;
• Offenlegung von Informationen (z. B. JavaScript-Dateien, API-Schlüssel – Google Maps), es sei denn, es kann nachgewiesen werden, dass es sich um private Daten handelt;