Einreichungslimits und Spam-Sperren
Alle Gründe, aus denen Kit eine Schwachstellenmeldung ablehnen kann – Bot-Prüfung, Drosselung pro IP, Burst-Sperren und Portale nur auf Einladung.
Warum das zählt
Ihr Einreichungsformular ist öffentlich. Scanner, wahllose Bots und Personen, die einen defekten Link für eine Schwachstelle halten, werden es finden. Kit filtert diesen Verkehr, bevor er Ihr Triage-Board erreicht.
Die Folgen einer falschen Filterung sind ungleich verteilt. Etwas Spam in der Warteschlange ist lästig. Ein unbemerkt gesperrter Forscher bedeutet dagegen eine echte Schwachstelle, von der Sie nie erfahren – und eine Person, die anderen Forschern von einem undurchlässigen Programm berichtet.
Deshalb sind die Filter bewusst eng: Sie messen einen kurzen Schub, nicht die gesamte Laufbahn. Wer über zwei Jahre hundert gute Meldungen einreicht, löst sie nicht aus.
Die vier Prüfschritte
Eine Einreichung durchläuft diese Prüfungen in der angegebenen Reihenfolge. Die erste Ablehnung entscheidet.
| Prüfung | Geltungsbereich | Konfigurierbar | Ablehnungsgrund |
|---|---|---|---|
| Einladungsmodus | Programm | Ja | Ihr Portal akzeptiert nur eingeladene Forscher und diese Person besitzt keine Einladung |
| Bot-Prüfung | Einreichung | Nein | Cloudflare Turnstile weist die Browserabfrage zurück |
| Endpunkt-Drosselung | IP und Stunde | Nein | Mehr als 10 POST-Versuche von einer IP innerhalb einer Stunde |
| Spam-Sperre | E-Mail und IP, pro Programm | Ja | Ein Kennzeichen hat innerhalb Ihres Zeitfensters genügend akzeptierte Meldungen gesendet, um den Schwellwert auszulösen, oder Ihr Team hat es manuell gesperrt |
Nur die Spam-Sperre lässt sich von Ihnen abstimmen. Die übrigen Prüfungen sind festes Plattformverhalten.
Note
Die Endpunkt-Drosselung mit 10 Versuchen pro Stunde und die Spam-Sperre werden oft verwechselt. Die Drosselung zählt Versuche, auch abgelehnte, und setzt sich selbst zurück. Die Spam-Sperre zählt angenommene Meldungen und hinterlässt einen sichtbaren Datensatz, den Sie freigeben können.
So funktionieren Burst-Sperren
Kit führt für jedes Kennzeichen, das in Ihr Programm eingereicht hat, einen Spam-Datensatz – einen für die E-Mail-Adresse und einen für die IP-Adresse. Beide werden verschlüsselt gespeichert.
Jeder Datensatz zählt Einreichungen in einem Zeitfenster:
- Die erste Meldung öffnet ein Zeitfenster und setzt den Zähler auf 1.
- Jede weitere Meldung innerhalb dieses Fensters erhöht ihn um 1.
- Erreicht der Zähler Maximale Meldungen pro Zeitfenster, wird der Datensatz für die Sperrdauer mit Grund Burst gesperrt.
- Eine Meldung nach Ende des Fensters eröffnet ein neues Fenster und setzt den Zähler auf 1. War der Datensatz gesperrt, endet dabei zugleich die Sperre.
Das Fenster beginnt mit der ersten Meldung und verschiebt sich nicht mit jeder weiteren. Bei den Standardwerten – 5 Meldungen pro 300 Sekunden – bedeutet das fünf Meldungen innerhalb von fünf Minuten nach der ersten.
Beispiel
Bei den Standardwerten, 5 pro 5 Minuten und eine Stunde Sperre:
| Zeit | Ereignis | Zähler | Status |
|---|---|---|---|
| 10:00 | Meldung 1 öffnet das Fenster | 1 | Beobachtet |
| 10:01–10:03 | Meldungen 2, 3 und 4 | 4 | Beobachtet |
| 10:04 | Meldung 5 wird angenommen und aktiviert die Sperre | 5 | Gesperrt (Burst) bis 11:04 |
| 10:06 | Meldung 6 | 5 | Abgelehnt |
| 11:30 | Meldung 7; Sperre und Fenster sind abgelaufen | 1 | Beobachtet |
Zwei wichtige Einzelheiten:
- Maximale Meldungen pro Zeitfenster ist der Auslöseschwellwert, nicht das Limit. Bei 5 wird die fünfte Meldung angenommen und danach die Sperre aktiviert. Erst die sechste wird abgewiesen.
- Ein abgelaufenes Fenster beendet die Sperre. Ein Forscher muss nicht erst die Sperrdauer abwarten und wird bei der nächsten Meldung nicht sofort erneut gesperrt. Früher zählte Kit über die gesamte Lebensdauer eines Datensatzes. Wer irgendwann fünf Meldungen eingereicht hatte, selbst mit Monaten Abstand, blieb dadurch dauerhaft gesperrt. Dieses Verhalten wurde ersetzt.
Tip
Unter Einreichungen im Spam-Datensatz sehen Sie, ob jemand gerade viele Meldungen sendet. Die Zahl gilt nur für das aktuelle Fenster, nicht für die gesamte Laufbahn. Alle früheren Arbeiten stehen im Forscherprofil.
Bereits bestätigte Forscher erhalten mehr Spielraum
Hat mindestens eine Meldung eines Forschers in Ihrem Programm den Status Validiert oder später erreicht und liegt dessen Karma über null, gilt das Vierfache Ihres Schwellwerts. Bei den Standardwerten sind das 20 statt 5 Meldungen in fünf Minuten.
Das Vertrauen wird nur in Ihrem Programm erworben. Der Ruf bei einem anderen Team zählt nicht. Der höhere Schwellwert gilt sowohl für den E-Mail-Datensatz als auch für die verwendete IP, damit die Person nicht erst die E-Mail-Prüfung besteht und an der IP scheitert.
Der Schutz verschwindet nicht, die Hürde steigt nur. Beginnt ein vertrauenswürdiges Konto massenhaft zu senden, etwa nach einer Übernahme, wird es weiterhin gesperrt – nur später. Sinkt das Karma wieder auf null, entfällt das Vertrauen sofort. Eine als Spam verworfene Meldung kostet 10 Punkte.
Important
Trifft eine Burst-Sperre einen bereits validierten Forscher, werden alle CSIRT-Administratoren in Kit benachrichtigt und direkt zum Datensatz verlinkt. Behandeln Sie das zunächst als wahrscheinlichen Fehlalarm.
Spam-Datensätze lesen
Öffnen Sie VDP > Spam-Datensätze. Sie sehen getrennte Zeilen für E-Mail- und IP-Kennzeichen.
Status
| Status | Bedeutung |
|---|---|
| Beobachtet | Kit hat Meldungen dieses Kennzeichens gesehen; derzeit ist es nicht gesperrt |
| Gesperrt | Einreichungen dieses Kennzeichens werden gerade abgewiesen |
| Freigegeben | Jemand aus Ihrem Team hat die Sperre manuell aufgehoben |
Sperrgrund
| Grund | Festgelegt durch | Aufgehoben durch |
|---|---|---|
| Burst | Kit automatisch beim Erreichen Ihres Schwellwerts | Ablauf von Gesperrt bis, Ablauf des Zeitfensters oder Freigeben |
| Manuell | Ein Teammitglied über Sperren | Freigeben |
Eine manuelle Sperre gilt eine Woche, unabhängig von der konfigurierten Sperrdauer. Diese Einstellung steuert nur automatische Burst-Sperren.
Zähler
| Feld | Aussage |
|---|---|
| Einreichungen | Im aktuellen Fenster angenommene Meldungen |
| Abgelehnte Versuche | Anzahl der Abweisungen während der Sperre |
| Zuletzt gesehen | Letzte angenommene Meldung |
| Gesperrt bis | Zeitpunkt, an dem eine automatische Sperre endet. Leer bedeutet: kein Zeitpunkt |
Abgelehnte Versuche verrät oft, mit wem Sie es zu tun haben. Eine Sperre mit wenigen Versuchen und anschließender Ruhe gehört häufig zu einem Forscher, der aufgegeben hat – prüfen Sie sie. Hunderte Versuche sprechen für einen Bot und einen funktionierenden Filter.
Manuell sperren und freigeben
- Sperren setzt sofort eine einwöchige manuelle Sperre auf das Kennzeichen.
- Freigeben hebt beide Sperrarten auf und markiert den Datensatz als Freigegeben.
Important
Freigeben erstellt keine Allowlist. Das Kennzeichen wird wieder von vorn beobachtet und ein neuer Burst sperrt es erneut. Muss ein Forscher berechtigterweise viele Meldungen senden, erhöhen Sie den Schwellwert, statt ihn wiederholt freizugeben.
Sperren gelten pro Kennzeichen, nicht pro Person. Eine per E-Mail gesperrte Person kann unter einer anderen Adresse von derselben IP senden; die Freigabe einer E-Mail ändert nichts an einer separaten IP-Sperre. Meldet ein Forscher nach der Freigabe weiter Probleme, suchen Sie auch nach einem IP-Datensatz.
Warning
IP-Sperren treffen Unbeteiligte. Unternehmens-NAT, Hochschulnetze, VPN-Ausgänge und Tor-Exit-Nodes bündeln viele Personen unter einer Adresse – und Forscher verwenden sie alle. Prüfen Sie vor einer manuellen IP-Sperre, ob die Meldungen wirklich von derselben Person stammen.
Schwellwerte abstimmen
Konfigurieren Sie diese Werte unter Programmeinstellungen → Spam. Den Tab im Zusammenhang erklärt Programm konfigurieren.
| Symptom | Änderung |
|---|---|
| Echte Forscher treffen beim methodischen Prüfen eines Ziels auf die Sperre | Maximale Meldungen pro Zeitfenster erhöhen oder das Zeitfenster verkürzen |
| Bots füllen das Board | Maximale Meldungen pro Zeitfenster senken und die Sperrdauer verlängern |
| Ein Forscher reicht legitime Stapel ein, etwa mehrere verwandte Funde separat | Schwellwert erhöhen, statt die Person wiederholt freizugeben |
| Sperren dauern länger als der Missbrauch | Sperrdauer verkürzen; sie betrifft nur automatische Sperren |
Unabhängig von der Einstellung sollte der Burst-Schwellwert größer sein als der größte legitime Stapel, den Sie gern erhalten würden. Fünf Meldungen in fünf Minuten sind für einen Menschen mit echten Reproduktionsschritten schnell, aber nicht unmöglich. Wer Meldungen offline vorbereitet und einfügt, sieht für den Filter wie eine Flut aus.
Was Forscher sehen
Zielgruppe: Sicherheitsforscher und die Mitarbeitenden, die ihnen antworten.
Kit verrät abgewiesenen Personen nie, welcher Filter angeschlagen hat. Eine genaue Meldung wäre eine Anleitung zum Abstimmen des Missbrauchs. Die Hinweise bleiben daher bewusst allgemein:
| Prüfung | Hinweis im Formular |
|---|---|
| Portal nur auf Einladung | „Einladung erforderlich“ mit Formular zur Zugriffsanfrage |
| Bot-Prüfung | „Schließen Sie die Sicherheitsprüfung ab und versuchen Sie es erneut.“ |
| Endpunkt-Drosselung | „Zu viele Einreichungen. Versuchen Sie es später erneut.“ |
| Spam-Sperre | „Ihre Einreichung konnte derzeit nicht verarbeitet werden.“ |
Wurde Ihre Einreichung als Forscher abgewiesen:
- Warten Sie eine Stunde und versuchen Sie es erneut. Drosselung und Standard-Burst-Sperre enden von selbst.
- Suchen Sie nach einer Einladung, falls das Portal nur eingeladene Personen akzeptiert.
- Senden Sie eine kurze E-Mail an den Programmkontakt, wenn es weiterhin nicht funktioniert. Die Adresse steht in der Offenlegungsrichtlinie.
- Schreiben Sie nichts Vertrauliches in diese E-Mail. Bitten Sie nur um Freigabe und bewahren Sie den Fund für das Formular auf.
Betreiben Sie das Programm und meldet ein Forscher dieses Problem, suchen Sie dessen E-Mail-Adresse unter Spam-Datensätze, öffnen Sie den Datensatz und geben Sie ihn frei.
Kurz-Check
- Burst-Schwellwert über dem größten legitimen Stapel festlegen, den Sie erhalten möchten
- Unter Spam-Datensätze nach Gesperrt mit wenigen abgelehnten Versuchen suchen – dahinter könnten Menschen stehen
- Wahrscheinliche Forscher freigeben und den Schwellwert erhöhen, statt sie nächste Woche erneut freizugeben
- Vor der Zusage an einen Forscher auch nach einem separaten IP-Datensatz suchen
Wie geht es weiter
- Programm konfigurieren – der Spam-Tab neben allen anderen Programmeinstellungen
- Das Forscherportal – Einreichungsformular, Einladungsmodus und Magic-Link-Portal
- Meldungen sichten – was mit angenommenen Einreichungen geschieht
- IP-Untersuchung – eine Adresse vor der manuellen Sperre prüfen
- E-Mail-Prüfung – Wegwerf-Postfächer von echten unterscheiden