Microsoft’un Hata Ödülü Programı Etik Hackerlara Kapılarını Açıyor: 250.000 Dolara Kadar Ödül Veriyor
Microsoft, güvenlik araştırmacılarını ve etik hacker topluluğunu ürünlerinde açık aramaya davet ediyor. Şirketin bug bounty programı sayesinde sorumlu şekilde raporlanan güvenlik açıkları hem kullanıcıların korunmasına katkı sağlıyor hem de araştırmacılara ödül kazandırıyor. Program kapsamında 250 bin dolara kadar çıkan ödüller bulunuyor.
Araştırmacılar Açıkları Bildirerek Katkı Sağlıyor
Microsoft, güvenliğin yalnızca şirket içinde yürütülen bir süreç olmadığını her fırsatta vurguluyor. Güvenlik araştırmacılarının bulduğu açıklar şirketin ürünlerini daha dayanıklı hale getiriyor. Araştırmacılar bulgularını Microsoft Güvenlik Yanıt Merkezi (MSRC) üzerinden bildiriyor.
Her rapor inceleniyor ve uygun bulunanlar ödül programına dâhil ediliyor. Araştırmacıların katkıları yalnızca finansal ödülle sınırlı kalmıyor. Microsoft, açığın kapatılmasının ardından araştırmacının adını kamuya duyuruyor. Böylece güvenlik topluluğuna katkı sağlayan herkes görünürlük kazanıyor.
Microsoft’un bug bounty programı, ürün ve servis çeşitliliğine göre farklı kategorilere ayrılıyor. Araştırmacıların bulduğu açık türüne göre ödenen ödül miktarı değişiyor.
Bulut Programları
| Program | Maksimum Ödül |
|---|---|
| Microsoft Azure | 60.000 $ |
| Microsoft Identity (Azure AD, Microsoft Account, OpenID) | 100.000 $ |
| Xbox Live | 20.000 $ |
| Microsoft 365 | 19.500 $ |
| Azure DevOps Services | 20.000 $ |
| Dynamics 365 & Power Platform | 20.000 $ |
| .NET Core & ASP.NET Core | 15.000 $ |
| Microsoft Copilot | 30.000 $ |
| Microsoft Defender for Endpoint API’leri | 20.000 $ |
Platform Programları
| Program | Maksimum Ödül |
|---|---|
| Hyper-V | 250.000 $ |
| Windows Insider Preview | 100.000 $ |
| Microsoft Uygulamaları ve Sunucuları | 30.000 $ |
| Windows Defender Application Guard | 30.000 $ |
| Microsoft Edge (Chromium tabanlı) | 30.000 $ |
| Microsoft 365 Insider | 15.000 $ |
Savunma, Hibe ve Özel Yarışmalar
| Program | Maksimum Ödül |
|---|---|
| Mitigation Bypass & Defence | 100.000 $ + 100.000 $ (savunma önerileri için) |
| Microsoft Identity Research Grant | 75.000 $ |
| SIKE Kriptografi Yarışması | 50.000 $ |
| LLMail-Inject Yarışması (Prompt Injection savunması) | 10.000 $ |
Microsoft, araştırmacılardan bulgularını sorumlu açıklama ilkesi çerçevesinde paylaşmalarını istiyor. Bu süreçte açıklar doğrudan şirkete bildiriliyor, gerekli yamalar hazırlandıktan sonra kamuya açıklanıyor. Böylece milyonlarca kullanıcının güvenliği riske atılmadan sorun gideriliyor.
Şirket, bu sürece yeni katılacak araştırmacılar için bir kaynak merkezi de hazırladı. Videolar, kılavuzlar ve raporlama adımlarını içeren bu merkez sayesinde araştırmacılar programa kolayca uyum sağlıyor.
Microsoft, yapay zekâ ve bulut sistemleri daha güvenli hale getirmek için Zero Day Quest adını verdiği yeni bir girişim başlattı. Bu girişim kapsamında araştırmacılar Copilot, Azure, Microsoft Identity, Microsoft 365 ve Dynamics 365 gibi alanlarda kritik açıklar aramaya teşvik ediliyor. Şirket böylece özellikle yapay zekâ tabanlı sistemleri saldırılara karşı daha sağlam hale getirmeyi amaçlıyor.
Hangi Açıklar Ödül Kapsamında Değil
Microsoft, her raporun ödül kazandırmadığını da açıkça belirtiyor. Sosyal mühendislik saldırıları, yalnızca araç çıktısı sunan raporlar ya da sistemin gizliliğini ve kullanılabilirliğini etkilemeyen bulgular ödül kapsamı dışında kalıyor.
Microsoft’un bug bounty programı yalnızca finansal kazanç için değil aynı zamanda küresel güvenlik topluluğu için ortak bir iş birliği zemini oluşturuyor. Araştırmacılar yeteneklerini geliştiriyor, isimlerini duyuruyor ve milyonlarca kullanıcının güvenliğine katkı sağlıyor.
Katılmak isteyenler raporlarını Microsoft Güvenlik Yanıt Merkezi üzerinden gönderebiliyor. Her rapor büyüklüğünden bağımsız olarak inceleniyor ve Microsoft’un güvenlik ekosistemine değer katıyor.
