Orientación para la corrección

Encontrar vulnerabilidades es solo la mitad del trabajo. El valor duradero de un pentest consiste en ayudar al equipo a corregirlas.

Una buena orientación para la corrección convierte un informe de una queja en una hoja de ruta.

Un consejo genérico como «sanitizar la entrada» hace perder tiempo al lector. Relacione la solución con la tecnología exacta que se utiliza.

• Débil: valide la entrada del usuario.
• Sólida: utilice consultas parametrizadas mediante la API de sentencias preparadas.

Cuando sea posible, incluya un breve ejemplo del patrón corregido. Los ingenieros actúan más rápido cuando pueden ver cómo debe quedar el código.

Muestre el código vulnerable y el corregido uno junto al otro.

Recomiende soluciones que aborden la causa raíz, no solo el síntoma que haya encontrado.

Si un endpoint presentaba una inyección SQL, la solución real es imponer el uso de consultas parametrizadas en todas partes, no corregir únicamente esa línea.

Recomiende controles por capas para que un único fallo no provoque una intrusión.

• Solución principal: consultas parametrizadas.
• Secundaria: cuenta de base de datos con privilegios mínimos.
• Detectiva: alertas sobre consultas anómalas.

Las capas proporcionan tiempo de reacción y reducen el alcance del impacto.

A veces una solución completa tarda semanas. Ofrezca tanto una mitigación rápida como una solución duradera para que el cliente pueda reducir el riesgo hoy mismo.

Indique explícitamente que la mitigación es temporal.

Ayude al cliente a planificar estimando el esfuerzo junto con la prioridad. Un error crítico que tarda diez minutos en corregirse es claramente la primera acción que debe realizarse.

Combine la severidad con el esfuerzo para sugerir un orden razonable.

Remita a fuentes fiables, como las OWASP Cheat Sheets, las guías de refuerzo de seguridad de los proveedores y las notas de mitigación de CWE.

Esto proporciona a los ingenieros un recurso más detallado y demuestra que su orientación está alineada con el sector.

Indique al cliente cómo verificar cada solución y ofrézcase a realizar nuevas pruebas. Una solución que no se verifica puede estar incompleta.

Reutilice los pasos de reproducción como prueba de verificación: si los pasos ya no funcionan, la solución se ha mantenido.

Plantee la orientación de forma colaborativa. El equipo de ingeniería conoce su stack y sus limitaciones mejor que usted.

Ofrezca opciones cuando sea razonable y evite un tono acusatorio. Su objetivo es hacer que sus sistemas sean más seguros, no ganar una discusión.

Recomiende al cliente hacer seguimiento de cada hallazgo hasta su cierre en su gestor de incidencias, vinculándolo al ID del informe.

Un hallazgo no está terminado cuando se lee; lo está cuando se corrige, se verifica y se cierra.

Ha aprendido a proporcionar orientación eficaz para la corrección.

• Sea específico para la tecnología y muestre el código corregido.
• Corrija las causas raíz, no solo los síntomas.
• Recomiende defensa en profundidad y soluciones a corto y largo plazo.
• Estime el esfuerzo para ayudar a priorizar y consulte OWASP/CWE.
• Ofrezca verificación y nuevas pruebas, y haga seguimiento de los hallazgos hasta su cierre.

Ha completado el curso de elaboración de informes de pruebas de penetración.