Originalbeitrag von Jonn Perez, Sr. Director, Vulnerability Response (PSIRT) and Global Programs

Als weltweit agierende Sicherheitsfirma ist Trend Micro die offensive Entdeckung von Schwachstellen und Offenlegung von Fehlern sehr vertraut. Immer wieder meldeten wir sogar einen Zero Day, wenn ein Hersteller ein kritisches Sicherheitsproblem nicht ernsthaft anging. Dennoch war es etwas anderes, wenn Forscher uns über mögliche Sicherheitslücken in unserer eigenen Technologie informierten – als erste Reaktion wollte man die Nachricht verbergen und hoffen, dass sie nicht viele zu sehen bekämen. Die Übernahme von TippingPoint Ende 2015, zu der auch die Zero Day Initiative (ZDI) gehörte, das weltweit größte herstellerunabhängige Bug Bounty-Programm, beschleunigte unser Bestreben, eingehende Schwachstellen besser zu organisieren und zu handhaben. Wie schon HP, die frühere Muttergesellschaft von TippingPoint, stellt die Übernahme von ZDI auch Trend Micro direkt in den Mittelpunkt, und kurz darauf sahen wir uns mit Berichten zu einen Zustrom von Schwachstellen gegen mehrere unserer Produkte konfrontiert. Und es stellte sich zudem heraus, dass die Forscher nicht nur erwarteten, bei der Offenlegung über die Attribution formell anerkannt zu werden, sondern auch, dass eine CVE-ID vergeben wird.
Weiterlesen →