你收到了我们的邮件

我们发现你所在机构名下的一个系统存在安全问题，并就此与你取得了联系。本页说明我们是谁、如何确认这封 邮件属实，以及接下来该怎么办。

**我们绝不会向你索要钱款、账号密码或系统访问权限。**如果有消息自称来自我们并提出这些要求，那它不是 我们发的。

如何确认邮件属实

我们的通知来自以 @csirt.global 结尾的地址。可能是 inquiries@csirt.global，可能是形如 CG-2024-00001@csirt.global 的案例地址，也可能是负责该案例的研究人员在 CSIRT.global 的个人地址。

请仔细核对发件域名。留意近似拼写，例如 csirt-global.com 或 cslrt.global。如果域名不是完全一致的 csirt.global，就应当视为可疑。

我们开设的每一个案例都会公布在案例登记册中，包含日期、漏洞以及参与的研究人员。如果邮件 里提到了案例编号，你可以在那里查到。

你也可以直接联系我们，请使用在本站找到的地址，而不是邮件里的地址： inquiries@csirt.global。

我们做了什么

我们扫描公共互联网，寻找受已知漏洞影响的系统，以及在可公开访问的位置暴露出来的凭据。一旦发现，就 确认其所有者并主动联系。

我们没有访问你的数据，没有利用该漏洞，也没有对你的系统做任何改动。在需要确认某项发现时，我们 以尽可能少的交互、使用不具攻击性的检测方式完成。我们的行为准则规定了 我们工作的边界，我们受其约束。

我们这样做，是因为没有被报告的漏洞迟早会被人发现，而且通常是被心怀恶意的人发现。我们是一家由志愿者 运作的非营利基金会。没有人付钱让我们联系你，我们也不推销任何东西。

接下来该怎么办

1. 确认发件人，按照上面的方法核对。
2. **阅读发现的问题。**邮件中说明了受影响的主机和具体问题。
3. **修复或缓解。**如果已有补丁或临时方案，我们会一并附上。
4. **需要的话请回复。**如果有不清楚的地方，如果你并非该系统的负责人，或者你希望得到帮助，请告诉 我们。回复也能让我们确认消息送到了对的人手里。

修复由你负责，主动权始终在你手里。我们只做报告，不做干预。

如果你希望我们继续关注

有些机构会请我们定期扫描，而不是等我们偶然发现问题。公益机构和非政府组织也可以被提名参加全额资助的 漏洞赏金项目。两者都是免费的。