Tanium-Richtlinie zur Offenlegung von Sicherheitslücken

Taniums Engagement für Sicherheit und Transparenz

Tanium ist stolz darauf, als CVE-Nummerierungsstelle (CNA) im Rahmen des weltweit anerkannten Programms zur Offenlegung von Sicherheitslücken von MITRE tätig zu sein. Diese Auszeichnung spiegelt unser starkes Engagement für Transparenz, Sicherheit und die Zusammenarbeit mit der gesamten Cybersicherheits-Community wider.

Als CNA ist Tanium berechtigt, CVE-Kennungen für validierte Schwachstellen in unseren Produkten und Dienstleistungen zu vergeben. Diese Funktion verbessert unsere Fähigkeit, Kunden und Partner zu unterstützen, indem sie zeitnahe, strukturierte und öffentlich zugängliche Informationen zu Sicherheitslücken bereitstellt. Unsere Teilnahme am CVE-Programm gewährleistet, dass Sicherheitsforscher, Kunden und Akteure der Branche sich auf einen einheitlichen und vertrauenswürdigen Prozess zur Offenlegung von Sicherheitslücken verlassen können.

Die Tanium CNA wird CVEs veröffentlichen, die Kunden dabei unterstützen, berechtigte Sicherheitslücken in den folgenden Kategorien zu beheben:

• Sicherheitslücken in der Tanium-Plattform sowie in Produkten und Lösungen, die bereits auf den Markt gebracht wurden und derzeit unterstützt werden.
• Sicherheitslücken in Systemen und Diensten von Tanium, die für das Hosting der Tanium Cloud genutzt werden und nicht ausdrücklich mit einem einzelnen Kunden in Verbindung stehen.
• Schwachstellen in Taniums Implementierung von Drittanbieter-Technologien / -Bibliotheken.

Wir sind davon überzeugt, dass die Zusammenarbeit mit der Sicherheits-Community unseren Kunden und unserer Software zugutekommt. Aus diesem Grund haben wir ein Bug-Bounty-Programm eingerichtet, das Forscher belohnt, die Sicherheitslücken auf verantwortungsvolle Weise melden. Weitere Einzelheiten zu den Teilnahmebedingungen und zum Geltungsbereich entnehmen Sie bitte den unten verlinkten Teilnahmebedingungen für das Schwachstellenprogramm.

Falls Sie eine Sicherheitslücke entdeckt haben, die gemäß den „Tanium-Bedingungen für die Meldung von Sicherheitslücken“ ( ) unter in den Geltungsbereich entweder des CNA- oder des Bug-Bounty-Programms von Tanium fällt, melden Sie das Problem bitte über das untenstehende HackerOne-Formular an die Produktsicherheitsabteilung von Tanium.

Unser Sicherheitsteam nimmt jede berechtigte Meldung einer Sicherheitslücke, die bei uns eingeht, umgehend zur Kenntnis, untersucht sie und behebt sie.

Reaktionsziele

Sollten Sie eine Sicherheitslücke gemäß diesen Bedingungen identifizieren und melden, werden wir uns in angemessener Weise bemühen, die folgenden Reaktionsziele einzuhalten:

• Zeit bis zur ersten Antwort – 2 Werktage ab der ersten Einreichung
• Zeit bis zur ersten Triage – 72 Stunden ab der ersten Einreichung
• Die Zeit bis zur Behebung – einschließlich möglicher Abhilfemaßnahmen und Korrekturen sowie Sicherheitshinweisen – hängt vom Schweregrad und der Komplexität der Sicherheitslücke ab

Tanium wird Forscher während des Überprüfungsprozesses über den Fortschritt unserer Prüfung auf dem Laufenden halten. Auf Anfrage wird Tanium den Melder einer Sicherheitslücke in unseren öffentlichen Sicherheitsmitteilungen namentlich erwähnen. Falls Sie Informationen zu einer Tanium-Sicherheitslücke auf einer öffentlichen Website oder in einem anderen Medium veröffentlichen möchten, bitten wir Sie, die Veröffentlichung mit uns abzustimmen.

Die Bereitstellung einer sicheren und zuverlässigen Plattform für unsere Kunden hat für uns höchste Priorität. Daher ermutigen wir jeden, der eine Sicherheitslücke oder ein Sicherheitsproblem entdeckt, dies umgehend zu melden. Bitte geben Sie so viele Informationen wie möglich an, z. B. Versionsinformationen, Proof-of-Concept-Code oder spezielle Konfigurationen, die uns helfen, das Problem zu validieren und zu reproduzieren.