Conseils de remédiation

La découverte des vulnérabilités ne représente que la moitié du travail. La valeur durable d’un test d’intrusion consiste à aider l’équipe à les corriger.

De bonnes recommandations de correction transforment un rapport de récriminations en feuille de route.

Une recommandation générique comme « nettoyer l’entrée » fait perdre du temps au lecteur. Adaptez la correction à la technologie exacte utilisée.

• Faible : valider les entrées utilisateur.
• Solide : utiliser des requêtes paramétrées via l’API des instructions préparées.

Lorsque c’est possible, incluez un court exemple du modèle corrigé. Les ingénieurs agissent plus rapidement lorsqu’ils peuvent voir la forme cible du code.

Montrez côte à côte le code vulnérable et le code corrigé.

Recommandez des corrections qui s’attaquent à la cause fondamentale, et pas seulement au symptôme découvert.

Si un point de terminaison présente une injection SQL, la véritable correction consiste à imposer les requêtes paramétrées partout, et non à corriger cette seule ligne.

Recommandez des contrôles en couches afin qu’une seule défaillance n’entraîne pas une compromission.

• Correction principale : requêtes paramétrées.
• Correction secondaire : compte de base de données doté des privilèges minimaux.
• Détection : alertes en cas de requêtes anormales.

Les couches gagnent du temps et réduisent l’ampleur de l’incident.

Une correction complète prend parfois plusieurs semaines. Proposez à la fois une mesure d’atténuation rapide et une correction durable afin que le client puisse réduire le risque dès aujourd’hui.

Précisez que la mesure d’atténuation est temporaire.

Aidez le client à planifier en estimant l’effort en plus de la priorité. Un bogue critique qui demande dix minutes de correction constitue une première action évidente.

Combinez la gravité et l’effort pour suggérer un ordre raisonnable.

Orientez le lecteur vers des sources fiables, comme les fiches pratiques OWASP, les guides de sécurisation des éditeurs et les notes d’atténuation de CWE.

Cela fournit aux ingénieurs une ressource plus approfondie et montre que vos conseils sont conformes aux pratiques du secteur.

Expliquez au client comment vérifier chaque correction et proposez une réévaluation. Une correction qui n’est pas vérifiée peut être incomplète.

Réutilisez vos étapes de reproduction comme essai de vérification : si les étapes ne fonctionnent plus, la correction est effective.

Formulez vos recommandations dans un esprit de collaboration. L’équipe d’ingénierie connaît mieux que vous sa pile technique et ses contraintes.

Proposez des options lorsque cela est raisonnable et évitez tout ton accusateur. Votre objectif est de rendre ses systèmes plus sûrs, et non de gagner un débat.

Recommandez au client de suivre chaque constat jusqu’à sa clôture dans son outil de suivi des problèmes, en le reliant à l’ID du rapport.

Un constat n’est pas terminé lorsqu’il est lu ; il l’est lorsqu’il est corrigé, vérifié et clôturé.

Vous avez appris à fournir des recommandations de correction efficaces.

• Adaptez vos recommandations à la technologie et montrez le code corrigé.
• Corrigez les causes fondamentales, et pas seulement les symptômes.
• Recommandez une défense en profondeur ainsi que des corrections à court et à long terme.
• Estimez l’effort pour faciliter la priorisation et faites référence à OWASP et CWE.
• Proposez une vérification et une réévaluation, puis suivez les constats jusqu’à leur clôture.

Vous avez terminé le cours sur la rédaction de rapports de tests d’intrusion.