Você está pronto para bug bounty?

Question 1

O que é o 'escopo' (scope) de um programa de bug bounty?

Accepted Answer

A lista de alvos, domínios e tipos de teste autorizados (e os que estão fora dos limites)

Answer

O valor máximo da recompensa

Answer

O tempo que você tem para reportar

Answer

O nome do pesquisador que achou a falha antes

Question 2

O que significa divulgação coordenada de vulnerabilidades?

Accepted Answer

Reportar de forma privada e dar tempo para a organização corrigir antes de qualquer divulgação pública

Answer

Publicar a falha imediatamente nas redes sociais

Answer

Vender a falha para o maior interessado

Answer

Nunca contar a ninguém

Question 3

O CVSS é usado para:

Accepted Answer

Pontuar e classificar a severidade técnica de uma vulnerabilidade de forma padronizada

Answer

Calcular o valor exato em dinheiro de toda recompensa

Answer

Identificar o pesquisador

Answer

Medir a velocidade da internet do alvo

Question 4

O que caracteriza um bom relatório de vulnerabilidade?

Accepted Answer

Passos claros de reprodução, evidências, descrição do impacto e, quando útil, sugestão de correção

Answer

Apenas dizer 'o site é inseguro'

Answer

O maior número de capturas de tela possível, sem explicação

Answer

Ameaçar a empresa caso não pague

Question 5

O que é uma duplicata (duplicate) em bug bounty?

Accepted Answer

Um relatório de uma falha que já havia sido reportada antes; em geral, vale a recompensa para quem reportou primeiro

Answer

Dois pesquisadores que trabalham juntos

Answer

Uma falha que aparece em dois sites diferentes

Answer

Um relatório enviado duas vezes por engano que dobra a recompensa

Question 6

Em um programa de bug bounty, você NUNCA deve:

Accepted Answer

Exfiltrar dados de usuários reais, acessar contas de terceiros sem autorização ou ir além do necessário para provar a falha

Answer

Ler a política antes de testar

Answer

Escrever passos de reprodução

Answer

Respeitar o escopo definido

Question 7

Tentar extorquir a empresa ('pague ou eu divulgo') é:

Accepted Answer

Conduta antiética e ilegal, fora de qualquer programa legítimo de divulgação responsável

Answer

Uma tática de negociação aceita

Answer

O jeito normal de receber recompensa

Answer

Permitido se a recompensa for baixa

Question 8

Você encontrou uma falha grave em um sistema que NÃO tem programa de bug bounty nem política de divulgação. O melhor caminho é:

Accepted Answer

Buscar um canal responsável de contato de segurança e reportar de forma privada, sem invadir além do necessário

Answer

Explorar a falha para ver até onde dá

Answer

Publicar tudo imediatamente

Answer

Vender a informação

Question 9

Por que respeitar as 'regras de engajamento' (rules of engagement) do programa é essencial?

Accepted Answer

Porque elas definem o que é permitido (alvos, técnicas, limites) e te protegem juridicamente dentro do safe harbor

Answer

Porque sem elas a recompensa dobra

Answer

Porque elas servem apenas para a empresa, não para o pesquisador

Answer

Porque são opcionais e ninguém as lê

Saiba do concurso antes do edital — 7 dias grátis