Die Mission
Die Trend ZDI wurde 2005 gegründet mit dem Ziel, die nicht öffentliche Meldung von Zero-Day-Schwachstellen an betroffene Anbieter zu fördern, indem Researcher finanziell belohnt werden. Damals betrachteten manche in der Branche für Informationssicherheit diejenigen, die Schwachstellen entdeckten, als böswillige Hacker mit schädlichen Absichten. Einige denken immer noch so. Doch auch wenn es effektive, böswillige Angreifer gibt, ist dies nur eine kleine Minderheit unter all den Menschen, die neue Schwachstellen in Software entdecken.
Die Einbindung der globalen Gemeinschaft unabhängiger Researcher bereichert auch die Arbeit der internen Research-Teams – durch zusätzliche Zero-Day-Erkenntnisse und Exploit-Informationen. Dieser Ansatz steht im Einklang mit der Mission der Trend ZDI. Die Hauptziele der Trend ZDI sind die folgenden:
Steigerung der Teameffektivität durch Schaffung einer virtuellen Community mit kompetenten Researchern.
Ermutigung zur verantwortungsbewussten Meldung von Zero-Day-Schwachstellen durch finanzielle Anreize.
Schutz der Kunden von Trend Micro vor Schädigung, bis der betroffene Anbieter in der Lage ist, einen Patch bereitzustellen.
Heute ist die Trend ZDI das größte anbieterunabhängige Bug-Bounty-Programm der Welt. Der ZDI-Ansatz für die Akquise von Informationen über Schwachstellen unterscheidet sich von anderen Programmen. Technische Details zu den Bugs werden erst dann veröffentlicht, wenn der Anbieter das Problem behebt. Durch den Einsatz von Methoden, Expertise und Zeit der externen Researcher kann Trend die eigenen Research-Teams erweitern. Gleichzeitig sind die Kunden geschützt, während die betroffenen Anbieter an einem Patch arbeiten.
Unabhängige Researcher aus der ganzen Welt liefern der ZDI exklusive Informationen über ungepatchte Schwachstellen. Interne Research- und Analyseteams untersuchen das Problem in Sicherheitslaboren und machen den Researchern ein finanzielles Angebot. Wenn sie das Angebot annehmen, erfolgt die Zahlung sofort. Durch die Einreichung über die Trend ZDI müssen Researcher keine Bugs mehr bei den Anbietern nachverfolgen. Die Trend ZDI bemüht sich nach Kräften, mit den Anbietern zusammenzuarbeiten. Das soll sicherstellen, dass sie die technischen Details und die Schwere einer gemeldeten Sicherheitslücke verstehen, damit die Researcher sich auf die Suche nach anderen Fehlern machen können.
