安全通告
及時(shí)了解最新的安全漏洞信息和解決方案
科來(lái) PSIRT（Colasoft Product Security Incident Response Team）負(fù)責(zé)統(tǒng)一接收、協(xié)調(diào)、響應(yīng)和披露科來(lái)產(chǎn)品與組件中的網(wǎng)絡(luò)安全漏洞，是科來(lái)網(wǎng)絡(luò)技術(shù)股份有限公司對(duì)外發(fā)布漏洞信息的唯一官方渠道。
科來(lái)致力于提供安全可靠的產(chǎn)品和服務(wù)，我們的目標(biāo)是及時(shí)為客戶提供處理漏洞所需的信息、指導(dǎo)意見和風(fēng)險(xiǎn)緩解方案。
產(chǎn)品安全
安全通告
漏洞上報(bào)
如何報(bào)告漏洞？
科來(lái)鼓勵(lì)安全研究人員、行業(yè)組織、客戶和供應(yīng)商與我們合作，將與科來(lái)產(chǎn)品和服務(wù)相關(guān)的安全漏洞報(bào)告給科來(lái)PSIRT。
漏洞上報(bào)渠道
如您遇到或者發(fā)現(xiàn)科來(lái)產(chǎn)品和服務(wù)中的安全問(wèn)題，請(qǐng)及時(shí)報(bào)送至科來(lái)PSIRT郵箱。
PSIRT郵箱：cssrc@colasoft.com.cn
郵件內(nèi)容要求
郵件內(nèi)容請(qǐng)盡量詳細(xì)，包括且不限于：
- 上報(bào)人員姓名或組織名稱，以及聯(lián)系方式
- 漏洞描述（漏洞類型、漏洞等級(jí)、漏洞危害）
- 受影響的產(chǎn)品及其版本
- 潛在漏洞的技術(shù)細(xì)節(jié)、利用證明及POC
- 安全加固和修復(fù)建議
- 可能的漏洞披露計(jì)劃
信息保密承諾
在整個(gè)漏洞處理的過(guò)程中，科來(lái)PSIRT會(huì)嚴(yán)控漏洞信息范圍，僅在漏洞處置相關(guān)人員之間傳遞；同時(shí)也請(qǐng)求上報(bào)者在我們的客戶獲得完整的解決方案前，對(duì)此漏洞信息進(jìn)行保密。
漏洞響應(yīng)機(jī)制
科來(lái)PSIRT按照漏洞處理流程對(duì)上報(bào)的潛在漏洞進(jìn)行處理?？苼?lái)重視產(chǎn)品和服務(wù)的漏洞管理，支持負(fù)責(zé)任的漏洞披露和處理過(guò)程，尊重每一個(gè)安全研究人員的研究結(jié)果，對(duì)上報(bào)的每個(gè)安全問(wèn)題都有專人進(jìn)行跟進(jìn)、分析和處理，并及時(shí)給予答復(fù)，確保及時(shí)處置響應(yīng)。
漏洞響應(yīng)流程
漏洞感知
主動(dòng)監(jiān)控和接收漏洞上報(bào)者上報(bào)的潛在安全漏洞和問(wèn)題，同時(shí)和漏洞上報(bào)者保持聯(lián)系。
漏洞驗(yàn)證
驗(yàn)證潛在安全漏洞和問(wèn)題是否影響公司產(chǎn)品安全，并評(píng)估風(fēng)險(xiǎn)，確定漏洞等級(jí)?？苼?lái)PSIRT使用通用漏洞評(píng)分系統(tǒng)（CVSS3.1）對(duì)漏洞評(píng)分。
漏洞修復(fù)
制定漏洞風(fēng)險(xiǎn)緩解和修復(fù)方案，驗(yàn)證漏洞修復(fù)效果，給出產(chǎn)品升級(jí)包或補(bǔ)丁。
漏洞披露
在規(guī)避方案、補(bǔ)丁可用（或發(fā)布新版本）的情況下，披露漏洞信息。
問(wèn)題改善
漏洞披露后，監(jiān)控補(bǔ)救措施的有效性，收集客戶反饋的問(wèn)題和建議，必要時(shí)對(duì)補(bǔ)丁包/升級(jí)包更新，同時(shí)，科來(lái)將持續(xù)改善產(chǎn)品開發(fā)和漏洞處理流程。
數(shù)據(jù)保護(hù)承諾
整個(gè)漏洞處理過(guò)程，科來(lái)PSIRT會(huì)嚴(yán)格控制漏洞信息的范圍，將之限制在僅處理漏洞的相關(guān)人員之間傳遞；同時(shí)也請(qǐng)求漏洞上報(bào)者在客戶獲得完整的解決方案前，對(duì)此漏洞信息進(jìn)行保密。
科來(lái)將基于法律合規(guī)要求對(duì)所獲取的漏洞數(shù)據(jù)采取必要、合理的保護(hù)措施。除非受影響客戶明確提出要求或法律規(guī)定，科來(lái)不會(huì)主動(dòng)向其他方共享或披露上述數(shù)據(jù)。