Udostępnianie zgłoszeń współpracownikom

Kiedy udostępnić zgłoszenie

Zasadne zgłoszenie często musi trafić do kogoś spoza zespołu bezpieczeństwa: inżyniera odpowiedzialnego za usługę, której dotyczy problem, lidera dyżuru czy zewnętrznego wykonawcy. Przesłanie surowego zgłoszenia ujawnia tożsamość badacza, kwoty nagród i wewnętrzne notatki z triażu, a wątku e-mailowego nie da się cofnąć. Udostępniony widok zawiera techniczne informacje potrzebne do sprawdzenia i naprawy błędu. Link wygasa i możesz go w każdej chwili unieważnić.

Udostępnianie współpracownikom jest dołączone do każdej aktywnej subskrypcji Kit.

Udostępnianie zgłoszenia

Otwórz zgłoszenie i kliknij Share (Udostępnij) w nagłówku zgłoszenia (gdy ktoś już je obejrzy, oznaczenie Shared · N external viewers otwiera to samo miejsce). Otworzy się okno udostępniania, w którym możesz zaprosić kogoś e-mailem, utworzyć link „każdy, kto ma link” i zarządzać wszystkimi aktywnymi udostępnieniami w jednym miejscu.

Żeby zaprosić e-mailem, wpisz adres odbiorcy, zdecyduj, czy może odpowiadać komentarzami, i wyślij. Kit wyśle mu w imieniu twojego programu zaproszenie z jego nazwą i oznaczeniami. Sam e-mail nie zawiera żadnych szczegółów podatności.

Wysłany link jest przypisany do tego adresu. Jego otwarcie nie pokazuje jeszcze zgłoszenia: współpracownik wpisuje adres, na który poszło zaproszenie, a Kit wysyła na ten adres drugi, krótkoterminowy link potwierdzający. Zgłoszenie jest widoczne dopiero po otwarciu tego linku. Do dostępu potrzebna jest więc skrzynka, a nie sama znajomość adresu. Przekazane dalej zaproszenie jest bezużyteczne dla kogoś, kto nie ma wglądu w pocztę pierwotnego odbiorcy. Formularz z pytaniem „na jaki adres to wysłano?” odpowiada zawsze tak samo, niezależnie od tego, czy podany adres jest prawidłowy, więc strona nigdy nie potwierdza, do kogo poszło zaproszenie.

Wynikają z tego dwie rzeczy. Współpracownik potrzebuje jednego dodatkowego kliknięcia w swojej skrzynce, kiedy otwiera zgłoszenie po raz pierwszy (i ponownie w nowej przeglądarce). A jeśli pierwotny odbiorca przekaże dalej także wiadomość potwierdzającą, świadomie oddaje swój dostęp, tak samo jak przy przekazaniu linku do resetu hasła.

Każdy, kto ma link

Kiedy chcesz wrzucić zgłoszenie na prywatny kanał, na przykład firmowy Slack lub kanał obsługi incydentu, i nie masz jednego konkretnego odbiorcy, włącz opcję Każdy, kto ma link. Kit da ci jeden gotowy do skopiowania adres URL, który otwiera to samo okrojone zgłoszenie bez kroku z e-mailem.

• Jeden link na zgłoszenie. Utworzenie linku daje ci adres URL do skopiowania; cofnięcie go unieważnia ten adres. Utwórz go ponownie, żeby dostać nowy.
• Tylko do odczytu. Osoby z linkiem nie mogą komentować ani prosić o dołączenie do zespołu. To wymaga konkretnej, zweryfikowanej osoby, więc takie prośby pozostają na ścieżce e-mailowej.
• Ten sam zakres danych i ograniczenia. Link ujawnia dokładnie to samo co zaproszenie e-mailem (i ukrywa dokładnie to samo). Nadal wygasa po 7 dniach i możesz go odwołać w każdej chwili. Zamknięcie zgłoszenia cofa już udostępnione linki, ale możesz potem celowo udostępnić je ponownie.

Skoro każdy, kto ma link, może go otworzyć, udostępniaj go tylko tam, gdzie sam udostępniłbyś okrojone szczegóły. W razie wątpliwości zaproś e-mailem. To wiąże dostęp ze skrzynką, do której trzeba mieć wgląd.

Co widzi współpracownik

Udostępniony widok to okrojona wersja zgłoszenia tylko do odczytu:

• Widoczne: typ podatności, endpoint, którego dotyczy podatność, poziom ważności, opis, kroki odtworzenia oraz załączniki (dostępne pod tymczasowymi linkami do pobrania z osobnej domeny).
• Ukryte: tożsamość i e-mail badacza, kwoty nagród, twoje notatki wewnętrzne, autor oceny oraz oś czasu twojego zespołu.

Jeśli włączysz komentarze, współpracownik może odpowiedzieć. Jego odpowiedzi trafiają do zgłoszenia jako wewnętrzne notatki widoczne tylko dla zespołu (wyraźnie oznaczone jako pochodzące od zewnętrznego współpracownika) i nigdy nie są pokazywane badaczowi.

Wygaśnięcie i odwołanie

• Linki wygasają po 7 dniach od utworzenia.
• Zamknięcie zgłoszenia (rozwiązane, zapłacone lub odrzucone) cofa już udostępnione linki. Możesz potem udostępnić je ponownie. Przydaje się to, gdy odrzucasz zgłoszenie jako „poza zakresem” i chcesz przekazać je do właściwego dostawcy. Współpracownik widzi wtedy krótką informację „to zgłoszenie zostało zamknięte”, więc wie, że to migawka.
• Możesz odwołać każde udostępnienie w każdej chwili z okna udostępniania. Współpracownik natychmiast traci dostęp.

Gdy link wygaśnie

Współpracownik, który otworzy wygasłe zaproszenie e-mailem, może ponownie potwierdzić dostęp do skrzynki, a następnie:

• Poprosić o nowy link: o ile zgłoszenie jest nadal otwarte, Kit wyśle nowy 7-dniowy link na ten sam adres (nigdy nigdzie indziej). Cofniętego linku nie da się odnowić samodzielnie, a gdy zgłoszenie zostanie zamknięte, współpracownik również nie odnowi go samodzielnie. Ponowne udostępnienie zamkniętego zgłoszenia wymaga twojej decyzji, więc współpracownik widzi tylko informację, żeby się z tobą skontaktować.
• Poprosić o dołączenie do zespołu: ten sam proces prośby o dołączenie opisany poniżej.

Wygasły link „każdy, kto ma link” nie jest przypisany do odbiorcy i nie można go odnowić. Jeśli nadal potrzebujesz dostępu, utwórz nowy link z okna udostępniania.

Kto otworzył zgłoszenie

Kit zapisuje otwarcia udostępnionych zgłoszeń:

• Lista Active shares (Aktywne udostępnienia) w oknie udostępniania pokazuje przy każdym udostępnieniu odbiorcę (lub „Każdy, kto ma link”), status, liczbę wyświetleń, czas ostatniego wyświetlenia i kraj, z którego je otworzono.
• Nagłówek zgłoszenia pokazuje oznaczenie „Shared · N external viewers” (kliknij je, aby otworzyć okno udostępniania).
• Oś czasu zgłoszenia zapisuje zdarzenie External viewer opened this report.
• Każda osobna sesja przeglądarki, w której otwarto zgłoszenie, zostawia w dzienniku własny wpis, dzięki czemu nie jest łączona z niedawnym otwarciem w innej sesji. Przy zaproszeniu e-mailem każda taka sesja oznacza kolejne przejście przez skrzynkę odbiorcy.
• Osoba, która udostępniła link, oraz osoba przypisana do zgłoszenia dostają powiadomienie przy pierwszym otwarciu przez dany adres, a potem za każdym razem, gdy zgłoszenie zostanie otwarte z nowego kraju. Przy zaproszeniu e-mailem adres nie może się zmienić (jest z góry przypisany), więc uwagi wart jest właśnie kraj: to samo zaproszenie otwarte z nowego miejsca to powód, żeby dopytać.

Prośba o dołączenie do zespołu

Współpracownik, który potrzebuje stałego dostępu, może z udostępnionego zgłoszenia poprosić o dołączenie do twojego zespołu bezpieczeństwa. Prośba trafia do administratorów konta razem z innymi prośbami o dostęp; jej zatwierdzenie wysyła zwykłe zaproszenie do zespołu, a po jego przyjęciu osoba staje się pełnoprawnym członkiem z własnym kontem i nie potrzebuje już czasowych linków do udostępnionych zgłoszeń.

Kiedy otworzysz prośbę, Kit pokaże ci, kto prosi i z którego zgłoszenia pochodzi udostępnienie. Pola mają różne źródła: e-mail to adres, na który wysłałeś zaproszenie (osoba prosząca nie może go podmienić; Kit bierze go z potwierdzonego udostępnienia, nie z formularza), a kraj pochodzi z połączenia. Za to imię i nazwisko oraz notatka to dowolny tekst, który wpisała osoba prosząca. Adres traktuj jak fakt, a nazwisko jak deklarację, i przed zaproszeniem upewnij się, że rzeczywiście udostępniłeś coś tej osobie. Approve wysyła zaproszenie do zespołu; Dismiss odrzuca prośbę (osoba prosząca nie zostaje o tym powiadomiona).