Anleitung zur Behebung

Schwachstellen zu finden ist nur die halbe Arbeit. Der nachhaltige Wert eines Pentests besteht darin, dem Team zu helfen, sie zu beheben.

Gute Hinweise zur Behebung machen aus einem Bericht eine Beschwerde nicht nur, sondern einen konkreten Fahrplan.

Allgemeine Ratschläge wie „Eingaben bereinigen“ kosten die lesende Person Zeit. Beziehen Sie die Behebung auf die konkret eingesetzte Technologie.

• Schwach: Benutzereingaben validieren.
• Stark: Parametrisierte Abfragen über die API für vorbereitete Anweisungen verwenden.

Fügen Sie nach Möglichkeit ein kurzes Beispiel für das korrigierte Muster ein. Entwickelnde Personen handeln schneller, wenn sie die Zielstruktur des Codes sehen können.

Zeigen Sie die verwundbare und die korrigierte Variante direkt nebeneinander.

Empfehlen Sie Behebungen, die die eigentliche Ursache beseitigen, nicht nur das gefundene Symptom.

Wenn ein Endpunkt eine SQL-Injection aufwies, besteht die eigentliche Behebung darin, parametrisierte Abfragen überall durchzusetzen, statt nur diese eine Zeile zu reparieren.

Empfehlen Sie mehrschichtige Kontrollen, damit ein einzelner Fehler nicht zu einer Kompromittierung führt.

• Primäre Behebung: parametrisierte Abfragen.
• Sekundärmaßnahme: Datenbankkonto mit geringstmöglichen Berechtigungen.
• Detektive Maßnahme: Alarmierung bei anomalischen Abfragen.

Die einzelnen Schichten verschaffen Zeit und begrenzen den Schadensradius.

Manchmal dauert eine vollständige Behebung mehrere Wochen. Bieten Sie sowohl eine schnelle Risikominderung als auch eine nachhaltige Behebung an, damit der Kunde das Risiko noch heute reduzieren kann.

Weisen Sie ausdrücklich darauf hin, dass die Risikominderung nur vorübergehend ist.

Unterstützen Sie den Kunden bei der Planung, indem Sie neben der Priorität auch den Aufwand schätzen. Eine kritische Schwachstelle, deren Behebung zehn Minuten dauert, ist eindeutig ein sinnvoller erster Schritt.

Kombinieren Sie den Schweregrad mit dem Aufwand, um eine sinnvolle Reihenfolge vorzuschlagen.

Verweisen Sie auf vertrauenswürdige Quellen wie OWASP Cheat Sheets, Leitfäden der Hersteller zur Absicherung und Hinweise zur Behebung von CWE.

So erhalten Entwickelnde eine weiterführende Ressource, und Sie zeigen, dass Ihre Empfehlungen den Branchenstandards entsprechen.

Erklären Sie dem Kunden, wie er jede Behebung überprüfen kann, und bieten Sie einen erneuten Test an. Eine nicht überprüfte Behebung ist möglicherweise unvollständig.

Verwenden Sie Ihre Schritte zur Reproduktion erneut als Überprüfungstest: Wenn die Schritte nicht mehr funktionieren, war die Behebung erfolgreich.

Formulieren Sie Ihre Empfehlungen als Zusammenarbeit. Das Entwicklungsteam kennt seinen Technologie-Stack und seine Einschränkungen besser als Sie.

Bieten Sie, wo sinnvoll, mehrere Optionen an und vermeiden Sie einen vorwurfsvollen Ton. Ihr Ziel ist es, die Systeme des Teams sicherer zu machen, nicht, einen Streit zu gewinnen.

Empfehlen Sie dem Kunden, jeden Befund in seinem Ticketsystem bis zum Abschluss nachzuverfolgen und mit der Berichts-ID zu verknüpfen.

Ein Befund ist nicht erledigt, wenn er gelesen wurde, sondern wenn er behoben, überprüft und geschlossen ist.

Sie haben gelernt, wie Sie wirksame Hinweise zur Behebung geben.

• Beziehen Sie Ihre Empfehlungen auf die konkrete Technologie und zeigen Sie korrigierten Code.
• Beheben Sie die eigentlichen Ursachen, nicht nur die Symptome.
• Empfehlen Sie eine mehrschichtige Verteidigung sowie kurz- und langfristige Behebungen.
• Schätzen Sie den Aufwand zur Unterstützung der Priorisierung und verweisen Sie auf OWASP/CWE.
• Bieten Sie Überprüfung und erneute Tests an und verfolgen Sie Befunde bis zum Abschluss nach.

Sie haben den Kurs zur Berichterstellung bei Penetrationstests abgeschlossen.