Redacción de hallazgos

Un hallazgo es la unidad de valor de un informe de pentest. Un buen hallazgo es claro, está respaldado por evidencias y permite actuar.

El lector debe comprender el problema, creer que es real y saber qué hacer, todo a partir de una sola entrada.

Utilice una plantilla coherente para cada hallazgo. La coherencia genera confianza y facilita la comparación entre hallazgos.

Cada hallazgo debe tener las mismas secciones fijas.

El título debe indicar la clase de vulnerabilidad y su ubicación en pocas palabras. Es lo primero que el lector examina.

• Bueno: Inyección SQL en el formulario de inicio de sesión
• Débil: Problema de base de datos

Sea específico, no impreciso.

La descripción explica cuál es el problema y por qué existe en dos o tres frases. Suponga que se dirige a un ingeniero competente que no ha visto el error.

Indique la causa raíz, no solo el síntoma.

Enumere los pasos exactos para reproducirlo. Cualquier miembro del equipo debería poder seguirlos y observar el mismo resultado.

Incluya la solicitud, la carga útil y la respuesta observada.

El impacto responde a la pregunta que todo ejecutivo hace: ¿y qué? Traduzca el problema técnico a consecuencias empresariales.

• Acceso completo de lectura a la base de datos de usuarios.
• Omisión de la autenticación para cualquier cuenta.
• Posible incumplimiento normativo.

Indique únicamente lo que haya demostrado. Si no extrajo datos, diga que el problema permite extraer datos, no que exfiltró registros.

Marque claramente las teorías no verificadas como posibilidades, no como hechos confirmados.

Adjunte las evidencias mínimas que demuestren el hallazgo: un par de solicitud y respuesta o una captura de pantalla anotada.

Oculte los secretos y los datos personales reales. Las evidencias generan credibilidad; un exceso de evidencias oculta el punto principal.

Vincule cada hallazgo con una clasificación reconocida, como CWE u OWASP Top 10.

Las referencias permiten que el cliente investigue el problema de forma independiente y demuestran que su trabajo se basa en estándares.

Utilice la voz activa, frases breves y ningún término técnico sin explicar. Defina los acrónimos la primera vez que los utilice.

Recuerde que hay dos públicos: las líneas del resumen deben tener sentido para un responsable, y los pasos deben satisfacer a un ingeniero.

Evite estos errores frecuentes al redactar hallazgos.

• Copiar y pegar el resultado sin procesar del escáner como si fuera un hallazgo.
• No incluir una explicación clara del impacto.
• Incluir pasos que no se pueden reproducir.
• Aplicar una severidad incoherente a problemas similares.

Compruebe su comprensión de la redacción de hallazgos.

Ha aprendido a redactar hallazgos claros y prácticos.

• Utilice una plantilla coherente para cada hallazgo.
• Redacte títulos específicos, descripciones de la causa raíz y pasos numerados para reproducir el problema.
• Traduzca los problemas técnicos a impacto empresarial.
• Indique únicamente lo que haya demostrado y oculte los datos sensibles de las evidencias.
• Incluya enlaces a referencias de CWE y OWASP.

A continuación aprenderá a proporcionar orientación eficaz para la corrección.