Grafana Labs漏洞赏金计划：关于我们与Intigriti新合作的须知
内容提要
Grafana Labs与Intigriti合作扩展漏洞赏金计划，提高与全球安全研究人员的合作效率。合作由Intigriti团队进行初步评估，然后由Grafana Labs进行第二轮评估。奖励根据报告的影响程度和CVSS 3.1评分系统进行评估，并通过Intigriti平台直接支付。
延伸解读
合作背景与动机
Grafana Labs最初自建漏洞赏金计划，但遇到缺乏维护良好的开源平台、需在GitHub上构建变通方案、大量时间用于分类无效报告以及覆盖范围有限等问题。与Intigriti合作旨在利用其专业分类团队和全球研究人员网络，使计划可扩展且可持续，让Grafana Labs能专注于有效报告并扩大范围。
奖励评估与支付流程
奖励基于报告描述的影响，使用CVSS 3.1评分系统映射赏金，并可能为高质量报告提供额外奖金。Intigriti负责初步验证，Grafana Labs进行第二轮评估，通常在两个工作日内回应。赏金通过Intigriti平台支付，转账到个人银行账户通常需三到五个工作日。
透明度与CVE分配
尽管目前无法在Intigriti上公开提交内容，但Grafana Labs承诺为所有范围内的开源产品分配CVE，并在其CVE数据库中发布漏洞详细信息。此外，他们继续询问研究人员是否愿意在安全名人堂中受到表彰，以保持透明度。
Q&A
Grafana Labs与Intigriti的合作目的是什么？
合作旨在提高与全球安全研究人员的合作效率，扩展漏洞赏金计划的范围。
漏洞提交的要求是什么？
提交的漏洞必须在最新发布版本中存在，并证明其安全影响。
Grafana Labs对漏洞报告的响应时间是多久？
Grafana Labs通常在两天内回应提交的漏洞报告。
漏洞赏金的支付结构是怎样的？
根据CVSS 3.1评分系统，漏洞赏金分为不同级别，最低赏金为100美元，最高可达15000美元。
如何确保漏洞报告的透明度？
Grafana Labs将为所有在范围内的开源产品分配CVE，并在CVE数据库中发布详细信息。
Grafana Labs为何决定与Intigriti合作？
Grafana Labs希望通过Intigriti的平台改善程序，解决自托管过程中遇到的问题，并扩大漏洞赏金计划的规模。
