Befunde formulieren

Ein Befund ist die zentrale Informationseinheit in einem Pentest-Bericht. Ein guter Befund ist klar, durch Belege gestützt und umsetzbar.

Die lesende Person sollte anhand eines einzigen Eintrags das Problem verstehen, von seiner Echtheit überzeugt sein und wissen, was zu tun ist.

Verwenden Sie für jeden Befund dieselbe einheitliche Vorlage. Einheitlichkeit schafft Vertrauen und macht Befunde vergleichbar.

Jeder Befund enthält dieselben festgelegten Abschnitte.

Der Titel sollte die Schwachstellenklasse und den Fundort in wenigen Worten nennen. Er ist das Erste, was eine lesende Person überfliegt.

• Gut: SQL-Injection im Anmeldeformular
• Schwach: Datenbankproblem

Seien Sie konkret statt vage.

Die Beschreibung erklärt in zwei oder drei Sätzen, was die Schwachstelle ist und warum sie existiert. Gehen Sie von einer kompetenten Entwicklerin oder einem kompetenten Entwickler aus, die oder der den Fehler noch nicht gesehen hat.

Nennen Sie die eigentliche Ursache, nicht nur das Symptom.

Führen Sie die genauen, nummerierten Schritte zur Reproduktion auf. Jede Person im Team sollte ihnen folgen und dasselbe Ergebnis sehen können.

Fügen Sie die Anfrage, die Payload und die beobachtete Antwort ein.

Die Auswirkung beantwortet die Frage, die sich jede Führungskraft stellt: Und was bedeutet das? Übersetzen Sie die technische Schwachstelle in geschäftliche Konsequenzen.

• Vollständiger Lesezugriff auf die Benutzerdatenbank.
• Umgehung der Authentifizierung für jedes Konto.
• Möglicher Verstoß gegen regulatorische Vorgaben.

Geben Sie nur an, was Sie nachgewiesen haben. Wenn Sie keine Daten extrahiert haben, sagen Sie, dass die Schwachstelle die Datenextraktion ermöglicht, nicht, dass Sie Datensätze exfiltriert haben.

Kennzeichnen Sie ungeprüfte Theorien eindeutig als möglich, nicht als bestätigt.

Fügen Sie die minimal erforderlichen Belege bei, die den Befund nachweisen: ein Anfrage-/Antwortpaar oder einen kommentierten Screenshot.

Schwärzen Sie Geheimnisse und echte personenbezogene Daten. Belege schaffen Glaubwürdigkeit; eine übermäßige Menge an Belegen verschleiert jedoch die wesentliche Aussage.

Verknüpfen Sie jeden Befund mit einer anerkannten Klassifizierung wie CWE oder den OWASP Top 10.

Referenzen ermöglichen es dem Kunden, das Problem selbstständig zu recherchieren, und zeigen, dass Ihre Arbeit auf Standards basiert.

Verwenden Sie das Aktiv, kurze Sätze und keine ungeklärten Fachbegriffe. Erklären Sie ein Akronym bei seiner ersten Verwendung.

Denken Sie an die zwei Zielgruppen: Die Zusammenfassungszeilen müssen für eine Führungskraft verständlich sein, die Schritte müssen den Anforderungen einer Entwicklerin oder eines Entwicklers genügen.

Vermeiden Sie diese häufigen Fehler beim Schreiben von Befunden.

• Unveränderte Ausgabe eines Scanners als Befund kopieren.
• Keine klare Aussage zu den Auswirkungen.
• Schritte, die sich nicht reproduzieren lassen.
• Uneinheitlicher Schweregrad bei ähnlichen Problemen.

Sie haben gelernt, klare und umsetzbare Befunde zu schreiben.

• Verwenden Sie für jeden Befund dieselbe einheitliche Vorlage.
• Spezifische Titel, Beschreibungen der eigentlichen Ursache und nummerierte Schritte zur Reproduktion.
• Übersetzen Sie Schwachstellen in geschäftliche Auswirkungen.
• Geben Sie nur an, was Sie nachgewiesen haben, und schwärzen Sie Belege.
• Verknüpfen Sie die Befunde mit CWE- und OWASP-Referenzen.

Als Nächstes lernen Sie, wie Sie wirksame Hinweise zur Behebung geben.