مایکروسافت سیستم جدیدی را برای ارزیابی گزارش‌ها در برنامه‌های Bug Bounty (جوایز باگ) خود معرفی کرده است که در آن، کیفیت و کامل بودن مستندات ارسالی توسط پژوهشگران امنیتی، عامل اصلی تعیین میزان پاداش خواهد بود.
بر اساس سیاست جدید در برنامه پاداش Azure، گزارش‌های مربوط به آسیب‌پذیری‌های بحرانی از نوع Remote Code Execution (RCE) و Privilege Escalation که به عنوان “کامل” (Complete) ارزیابی شوند، ۴۰,۰۰۰ دلار پاداش دریافت می‌کنند؛ در حالی که گزارش‌های “ناقص” (Not Complete) تنها ۴,۰۰۰ دلار پاداش خواهند داشت.
این تغییر از تاریخ ۲۰ اکتبر ۲۰۲۶ اعمال می‌شود. هدف مایکروسافت از این اقدام، کاهش درخواست‌های مکرر برای جزئیات مفقود شده و کمک به تیم‌های امنیتی برای بازتولید (Reproduction) و ارزیابی سریع‌تر آسیب‌پذیری‌ها است.
جزئیات پاداش‌ها بر اساس نوع آسیب‌پذیری
- افشای اطلاعات حساس (Information Disclosure): ۱۲,۰۰۰ دلار برای گزارش کامل در مقابل ۱,۲۰۰ دلار برای گزارش ناقص.
- جعل و دستکاری (Spoofing and Tampering): ۸,۰۰۰ دلار برای گزارش کامل در مقابل ۸۰۰ دلار برای گزارش ناقص.
- اجرای کد از راه دور (RCE) مهم: ۳۰,۰۰۰ دلار برای گزارش کامل در مقابل ۳,۰۰۰ دلار برای گزارش ناقص.
مایکروسافت تأکید کرده است که یک گزارش کامل لزوماً به معنای تایید پرداخت یا بحرانی بودن آسیب‌پذیری نیست؛ بلکه شدت (Severity) و تأثیر امنیتی به طور جداگانه ارزیابی می‌شوند. برای اینکه یک گزارش “کامل” تلقی شود، پژوهشگران باید مراحل بازتولید دقیق، یک Proof of Concept (PoC) قابل اعتماد، تحلیل فنی درست و علت ریشه‌ای (Root Cause) آسیب‌پذیری را ارائه دهند.
الزامات مستندسازی و شواهد فنی
بسته به نوع آسیب‌پذیری، شواهد مورد نیاز متفاوت است:
- فساد حافظه (Memory Corruption): نیاز به داده‌های Crash، Call Stacks و کد منبع PoC.
- تغییر مسیر فایل (File Redirection): نیاز به لاگ‌های Process Monitor.
- حملات NTLM Coercion یا Relay: نیاز به Packet Captures.
- آسیب‌پذیری‌های وب: نیاز به ویدئو و اسکریپت‌های مربوطه.
همچنین مایکروسافت اعلام کرده است که استفاده از هوش مصنوعی (AI) در تحقیقات مجاز است، اما تحلیل‌ها و شواهد ارائه‌شده باید دقیق و قابل استناد باشند تا بتوانند ماهیت آسیب‌پذیری را به درستی اثبات کنند.
