メインコンテンツへスキップ

脆弱性報告規約

最終更新日：2025年9月

これらの利用規約はTanium CNAおよびバグバウンティプログラムを規定するものであり、記載内容が矛盾する場合はHackerOneのガイドラインおよび利用規約に優先します。 TaniumのバグバウンティプログラムにはI、以下に示す特定の補足条件およびスコープ要件があります。 いずれかのプログラムに脆弱性を提出することにより、お客様は以下の利用規約を承認し、同意したものとみなされます。

報告ガイドライン

  • 再現可能な手順を含む詳細なレポートを提供してください。 影響を受けるTanium製品の名前とバージョン番号、疑わしい問題の性質と影響、および必要に応じて関連する証拠やPoCを必ず含めてください。
  • ソーシャルエンジニアリング（例：フィッシング、ビッシング、スミッシング）は禁止されています。
  • プライバシーの侵害、データの破壊、およびサービスの中断または低下を避けるために誠実な努力をしてください。 自分が所有するアカウント、またはアカウント所有者の明示的な許可を得たアカウントのみを操作してください。
  • 取得した機密情報は安全に破棄してください。
  • あなたはTaniumにレポートに必要なすべての権利を付与します。
  • あなたはTaniumの脆弱性開示ポリシーを読み、同意しており、Taniumがプログラムの条件（プログラム報酬に対する個人の資格やプログラム報酬の変更を含む）を解釈および適用する完全な裁量を保持することを認めます。
  • あなたはこのプログラムに参加する権限を有しており、報酬を受け取るために必要なすべての承認を雇用主から取得しており、その際に適用されるすべての法律、規制、および報酬の受け取りに関する雇用主のポリシーを遵守していることを確認します。

対象外

脆弱性を報告する際は、攻撃シナリオ／悪用可能性およびバグのセキュリティへの影響を考慮してください。 例えば、以下の問題は対象外とみなされます：

  • 機密性の高い操作がないページでのクリックジャッキング。
  • 未認証/ログアウト/ログインのCSRF。
  • 動作する概念実証（Proof of Concept）のない設定のベストプラクティスの欠如。
  • 当社のWebプロパティに対するサービス拒否（DoS）攻撃。
  • スパムまたはソーシャルエンジニアリング手法。
  • Tanium Labsのコンテンツ。
  • アプリケーション、サービス、またはセンサーを含むサードパーティのTanium統合における脆弱性。
  • 誰かが意図的に誤った設定をした場合、安全でない設定をした場合、または安全でない方法で製品を展開した場合にのみ悪用可能な脆弱性。
  • 当社が実装するテクノロジーまたはライブラリの一般的な実装における脆弱性。 場合によっては、Taniumはサードパーティのテクノロジーを限定的な方法で活用してソリューションを実装しています。 サードパーティテクノロジーの一般的な実装における脆弱性は、Taniumの実装に脆弱性が存在すると判断されない限り、対象外となります。

セーフハーバー

このポリシーに沿った方法で実施されたいかなる活動も、Taniumによって承認された行為とみなされます。 このポリシーに基づいて実施された活動に関連して、第三者があなたに対して法的措置を開始した場合、当社はあなたの行動がこのポリシーに準拠して実施されたことを明らかにするための措置を講じます。

バグバウンティ報告ガイドライン

Taniumのバグバウンティプログラムを通じて提出された脆弱性には、以下の追加報告ガイドラインも適用されます：

  • 報告内容が問題を再現するのに十分な詳細を含んでいない場合、その問題は報奨金の対象となりません。
  • 脆弱性を連鎖させて影響を示す必要がある場合を除き、1件の報告につき1つの脆弱性を提出してください。
  • 重複が発生した場合、最初に受け取った報告（完全に再現できることが条件）のみに報奨金を授与します。
  • 1つの根本的な問題によって引き起こされた複数の脆弱性には、1つの報奨金が授与されます。
  • Taniumのプログラムへの参加は、雇用関係を生じさせるものではありません。

バグバウンティの対象範囲

以下のリソースがバグバウンティの対象範囲です：

  • Tanium CNAの対象範囲に含まれるすべての脆弱性
  • 「bugbounty」カスタマーインスタンスに関連する顧客固有のドメイン。 以下の通りです
    • bugbounty.cloud.tanium.com
    • bugbounty-api.cloud.tanium.com
    • portal.bugbounty.cloud.tanium.com
  • tanium.comドメイン上の公開Webサイト（例：tanium.com、developer.tanium.com、docs.tanium.com）で、特定の顧客に明示的に関連していないもの。

以下のリソースはバグバウンティテストの対象外です：

  • 特定のTanium顧客に属するTaniumクラウドホストまたはオンプレミスリソース。 これには、以下のパターンに一致するすべてのドメインが含まれます：
    • *.cloud.tanium.com
    • *-api.cloud.tanium.com
    • portal.*.cloud.tanium.com

バグバウンティ報酬

報酬は、CVSSv3（共通脆弱性評価基準）に基づく深刻度や影響を受けるアセットなど、さまざまな要素に基づいて決定されます。 これらはあくまで一般的なガイドラインであり、報酬の決定はTaniumの裁量に委ねられることにご注意ください。

以下に該当する方は、金銭的報酬を含む特定の報酬を受け取る資格がない場合があります。

  • Taniumの従業員および契約社員、ならびにTaniumのためにサービスを提供するその他のすべての作業者。
  • Taniumの顧客または顧客候補の従業員および契約社員、ならびにTaniumの顧客または顧客候補のためにサービスを提供するその他の作業者で、通常の職務の一環として脆弱性を発見した方。
  • 米国政府が公布する禁輸・制裁対象国（現在、キューバ、イラン、北朝鮮、シリア、ロシア、ベラルーシ、ウクライナの特定地域を含む）の居住者、および米国財務省外国資産管理局（OFAC）が随時更新して指定する特別指定国民（SDN）に該当する方。
  • 上記のいずれかに該当する方の直系家族、または同一世帯に居住する方。

Taniumおよびユーザーの安全を守るためにご協力いただきありがとうございます！