Skanowanie bezpieczeństwa

Jeśli chcesz przeprowadzić skanowanie naszych serwerów lub powiązanych z nimi stron internetowych, jest to co do zasady dozwolone.
Ze względu na dobrą koordynację i stabilność działania wolimy jednak, aby informowano nas o takich skanowaniach z wyprzedzeniem. Jednocześnie zastrzegamy sobie prawo do blokowania działań, które mogłyby wpływać na dostępność lub wydajność naszych systemów.

¶Postępowanie ze zidentyfikowanymi podatnościami

Jeśli skanowanie ujawniłoby potencjalne podatności w naszych systemach, oczywiście chętnie przyjmiemy informacje na ten temat. Należy jednak zauważyć, że sami regularnie przeprowadzamy szeroko zakrojone skanowania bezpieczeństwa i postępujemy z ewentualnymi ustaleniami zgodnie z obowiązującą praktyką.

Ważne jest, aby mieć świadomość, że wiele zautomatyzowanych narzędzi skanujących opiera swoje oceny na przykład na numerach wersji lub otwartych portach – bez koniecznej weryfikacji, czy dana podatność faktycznie występuje. Narzędzia te często nie uwzględniają również, czy odpowiednie oprogramowanie otrzymało już poprawki (patche) usuwające znane podatności. Dlatego zalecamy, aby ewentualne ustalenia zostały zweryfikowane i krytycznie przeanalizowane, zanim zostaną nam zgłoszone.

Prosimy mieć na uwadze, że zidentyfikowane podatności w stronach internetowych, które są jedynie hostowane na naszych serwerach, niekoniecznie mają związek z naszą infrastrukturą lub oprogramowaniem. Odpowiedzialność za utrzymanie i bezpieczeństwo tych stron internetowych spada co do zasady na ich właściciela lub dewelopera. Zgłoszenia dotyczące takich ustaleń należy zatem kierować bezpośrednio do odpowiedniego podmiotu.

¶Postępowanie z CVE

Na bieżąco zajmujemy się wszystkimi istotnymi CVE (Common Vulnerabilities and Exposures) w naszej infrastrukturze oraz w oprogramowaniu, którego utrzymanie zapewniamy. Jeśli podatność ma istotny wpływ, na który chcemy zwrócić uwagę naszych klientów, informujemy o tym w naszym przeglądzie operacyjnym, który można znaleźć w naszym Panelu klienta.
Sam fakt, że dana CVE nie została wymieniona, nie oznacza, że jej nie oceniliśmy lub nie podjęliśmy działań – obsługa ewentualnych CVE to nasze zadanie i wywiązujemy się z niego.