MSRC 研究者表彰プログラム

ポイントの獲得方法

基本ポイントは、提出する脆弱性の深刻度とセキュリティへの影響によって決まります。

* Critical Information Disclosure 脆弱性の例: CVE-2014-0160
** Windows Virtualization のサービス拒否の脆弱性には 20 ポイントが付与されます。その他のすべての脆弱性には 5 ポイントが付与されます。
*** 軽減策のバイパスの報奨金プログラムの対象となる提出物には、深刻度またはセキュリティへの影響に関係なく 60 ポイントが付与されます。

ボーナス乗数の獲得方法

影響を受ける製品またはサービスに応じて、基本ポイントにボーナス乗数が適用される場合があります。特定の製品およびサービスで報告された脆弱性には、そのポイントに適用されるボーナス乗数が付与されます。この一覧は時間が経つと変更される場合があるので、調査ボーナス乗数の一覧には常に注意を払ってください。

例

Windows Hyper-V での重大なリモート コード実行の脆弱性に関する報告では、60 ポイントと 3 倍の調査ボーナスを受け取ります。

• この脆弱性に関する報告を最初に提出した場合、100% のポイント (60 x 3 = 180 ポイント) を受け取ります。
• 同じ脆弱性の報告を提出したのが 2 番目の場合、50% のポイント (60 x 3 x 0.5 = 90 ポイント) を受け取ります。
• 同じ脆弱性の報告を提出したのが 3 番目の場合、ポイントは受け取れません。

ポイントが付与されるタイミング

報告を検証して Microsoft のサービス条件を満たしていると判断した後、通常 2 週間以内にポイントを付与します。複雑なケースでは時間がかかることがあります。

評価スコア

評価スコアには、正確性と重要性の基準が含まれます。評価スコアは公開されておらず、個々のセキュリティ研究者にのみ提供されます。評価スコアが高いと、報告のトリアージや評価が迅速に行われる場合があります。