К слову, факт непосредственного создания тоже нужно доказать и сделать это ой как сложно, а вот факт мошенничества + 272 ук рф проще доказать, чем 273. К слову, дел по 273 в разы меньше :)

Санкционированное вендором это хорошо сказано, но никто и не говорит, что обвинителем будет именно вендор :)
История много уже раз показывала, как недовольные исследовали в ответ на маленькое Баунти или долгий ответ просто выкладывали информацию о баге в открытый доступ. Если данная бага и не дай бог эксплоит будет использовано для неправомерного воздействия на КИИ РФ обвинения уже будут не частного характера. GG WP.

А выкладывание в открытый доступ попадает под 273 УК РФ пункт 1, часть 1 (распространение).УК РФ 274.1 в подарок. А факт распространения является самодостаточным и не требует запроса на доказательство причастности к созданию

Ещё желание обсуждать национальную платформу для ББ осталось?)

На официально объявленный баг баунти? Можно ссылочку хотя бы на один приговор из упомянутых "много раз показывала"?

Нет, Вы меня неправильно поняли, исследователь отдал уязвимость и PoC, а ему заплатили шоколадку или вовсе не ответили. Если хотите пруфов того, что такое встречается, то вот Вам самая свежая новость:
https://habr.com/ru/news/t/591115/

@Anton_Shipulin , Как вы смотрите на то ,чтобы расширить тему группы и добавить например IoT sec? Например RUSCADAIOTSEC?

Отрицательно. Industrial IoT и так относится к теме, остальной IoT можно обсуждать где-нибудь еще.

А случай с DSec и Cisco можно вспомнить?)))

Принято.Спасибо Я лишь хотел предложить добавить драйва)).

Прелесть тематического сообщества, в том что оно тематическое. Но могут быть другие тематические сообщества, и в этом их прелесть. И такие сообщества могут быть партнёрами. А участники смогут сами выбирать что им интересно.

Позвольте чуть не согласится). Могу вас уверить ,что общемированя тенденция заключаеться в том что ICS sec это просто часть общей стратегии IoT sec.

Пусть так. Но так можно во все стороны информационной безопасности расширять, и тогда сообщество потеряет свою специализацию. Но я готов морально и информационно поддержать создание, развитие и продвижение новых тематических сообществ, в частности IoT security. Дерзайте

Там будет, надеюсь, по понятиям, для правильных пацанов)

Ох и понаписали то про bug bounty ) Т.к. был причастен в уже далеком 2019-м к написанию ТЗ на киберполигон и в частности на bb, попробую прояснить как в реальности это может работать. Во-первых речь не идет ни в коем разе об исследовании действующей инфраструктуры, речь идет в первую очередь об исследовании устройств в лабораторных условиях. Во-вторых исследуемые устройства должны предоставляться вендором и/или юр. лицом, владеющим ими на законном основании (и желательно с письменного одобрения вендора). Далее платформа (киберполигон) организует лабораторные условия (еще раз подчеркну - лабораторные) для исследования устройств через сеть и/или организует физический доступ к устройствам заинтересованным исследователям. Все найденные баги в обязательном порядке передаются (исследователем, но с участием платформы) только вендору (даже если изначально устройство было предоставлено другим юр. лицом) при этом в паблик (и стороннему юр. лицу, если оно предоставило устройства) раскрываются общие сведения по обычной процедуре. После обработки вендором баги заносятся в БДУ. Тот кто заказывает bb платит платформе в соответствии с оговоренными ранее условиями. Платформа платит исследователям, все спорные вопросы ("это не баг, это фича", понижение уровня, "не будем править" и т.д.) с вендорами разруливает платформа, при этом окончательно решение платить или не платить принимает платформа. Зачем это вендорам - 1) вся эта кухня по работе с исследователями требует экспертизы и ресурса, которого у большинства вендоров просто нет, платформа всю эту кухню берет на себя, упорядочивая и фильтруя взаимодействия с исследователями, 2) исследователей обычному вендору не так просто найти, особенно если он производит нишевую продукцию, а платформа имеет соответствующие контакты 3)  лабораторная инфраструктура для исследований. Зачем это исследователям - 1) понятные, прозрачные, юридически чистые условия по выплатам, упорядоченное взаимодействие с вендором в присутствии экспертного арбитра, 2) определенная страховка в случае конфликтов с вендором, 3) доступ к дорогостоящим и редким устройствам. Более сложный вариант - когда всё то же самое, но действительно исследуется инфраструктура. В этом случая опять же нет речи о реальной инфраструктуре, а речь о лабораторном макете инфраструктуры на мощностях киберполигона.

1) зачем вендору оборудования платить за четвёртый лабораторный стенд (нужен свой для ssdlc, стенд в лаборатории функциональной сертификации и стенд в ИБ лаборатории)?
2) как было указано выше, подразумеваются работа только с исследователями юридическими лицами. Таких исследовательских компаний в РФ можно по пальцам пересчитать. Зачем платить прокладке, если можно напрямую пригласить исследователей на свой стенд?
3) у вендора должна быть экспертиза для безопасной разработки, иначе он разорится на бб.
4) не вижу проблем в поиске контактов крупных исследовательских компаний, на каждой первой конференции все есть :)
5) третья сторона в данном случае миф. Все три участника - юридические лица. Все прописано в договорах. Убираем прокладку, условия не меняются.

Описанная схема дублирует сертификационное и внутреннее тестирование, при этом не давая ничего в замен.

Все плюсы бб на реально действующей в поле системе тут отсутствуют.

Ну, от лица исследователей, которые есть в этом чате. Вендоры спокойно "привозят на дом" проверенным контактам свои железки. Это и про АСУ ТП и про АТМ. Думаю, что в смежных областях делают так же. Делают так, из-за того, что толковых людей на рынке очень мало. Знаю на примерах, что в рынке мобильных телефонов есть практика, когда исследователь работает в штате сразу нескольких компаний.

Кстати, про иб компании, тоже есть практика обращения к этим независимым исследователям.

Приветствую, коллеги. Кто-нить может подсказать порты взаимодействия для межсетевого экрана, чтобы работала ДАТАПК? вдруг тут есть знающие.
Тяжело с телефона                    найти инфу. Спасибо

А это я так для информации. Нашел сайт мне понравилось как расписано. Вдруг кому надо тоже)))
https://asutp.ru/publikacii/2021/04/29/prosto-o-standartah-opc-da-i-opc-ua/