欢迎来到 QNAP 信任中心

• 作业内容：全天候接收来自外部安全研究人员、客户、Bug Bounty 平台或内部测试发现的安全疑虑与漏洞信息。
• 安全传输渠道：提供专属 OpenPGP 公钥，确保通报内容与概念验证 (PoC) 程序代码具备高度机密性。
• SLA 承诺：专责安全团队排班待命，承诺于 24–72 小时内完成初步审查并发送人工确认回复。

关键产出：建立事件追踪编号，指派信息安全专家专项跟进。

• 作业内容：信息安全专家在隔离沙箱环境中重现漏洞情境，更精准评估受影响的产品型号、固件版本与系统模组。
• 国际评分标准：参考 CVSS（通用漏洞评分系统）评分，并结合实际部署环境评定 Critical/High/Medium/Low 处置等级，决定修复优先顺序与处理时程。
• 协调披露与 CVE 指派：确定修复优先级与处置流程，并在 QNAP 产品范围 (CNA Scope) 内独立审核与指派。

关键产出：确认修复优先级与内部处理流程。一般案件于 24–72 小时内发出人工确认；经判定为高风险者优先处理，于 9 小时内完成初步评估与影响范围确认。

• 作业内容：研发团队开发安全性更新与 Hotfix；信息安全团队进行二次渗透测试与验证，确保修补有效且不影响系统稳定性。
• 双重验证机制：进行攻击模拟与回归测试 (Regression Testing)，确保修补深入且未引入新风险。
• 跨平台兼容性测试：针对受影响的多个主流 OS 平台与 App 模组，进行完整打包与 QA 测试。

关键产出：通过 QA 验证的安全补丁版本 / 应用程序更新包。

如修补过程涉及第三方 / 开源组件依赖或重大架构调整，将优先提供临时防护措施，并依实际验证情况灵活调整较终 Patch 发布时间。

• 作业内容：发布官方 QNAP Security Advisory (SA) 信息安全通告，载明漏洞细节、缓解措施与更新建议，并主动推送更新通知。
• 全球信息同步：作为 CVE 编号授权机构（CNA），QNAP 在自身产品范围内分配 CVE 识别码，并将 CVE Record 发布至 CVE Program（cve.org）；供美国 NVD 等全球漏洞数据库据以收录。
• 即时防护与安全指引：针对高风险资安事件，在固件更新完成前，QNAP 将优先通过 Malware Remover 更新恶意软件定义，进行自动化扫描与恶意程序清除，并由 Security Center 提供即时安全策略指引，确保设备在较短时间内获得主动防护。

关键产出：Security Advisory 官方资安公告、Security Advisory 邮件主动派发、Malware Remover 恶意软件定义更新、CVE Record 国际漏洞数据库同步记录。

• 作业内容：进行事件根因分析（RCA），将处理经验反馈至软件开发生命周期（DevSecOps），并向信息安全贡献者表达感谢。
• 防线优化闭环：将已知漏洞特征转化为自动化静态（SAST）与动态（DAST）扫描规则，落实信息安全左移（Shift-Left）。
• 外部致谢：将贡献漏洞的资安研究人员列入 QNAP 官网名人榜 (Hall of Fame) 以示感谢。

关键产出：RCA 根因分析报告、DevSecOps 扫描规则库更新、Hall of Fame 致谢名单。