Rédaction des constatations

Un constat est l’unité de valeur d’un rapport de test d’intrusion. Un bon constat est clair, étayé par des preuves et exploitable.

Le lecteur doit comprendre le problème, être convaincu qu’il est réel et savoir quoi faire, le tout à partir d’une seule entrée.

Utilisez un modèle unique et cohérent pour chaque constat. La cohérence inspire confiance et facilite la comparaison des constats.

Chaque constat comporte les mêmes sections fixes.

Le titre doit nommer la classe et l’emplacement de la vulnérabilité en quelques mots. C’est la première chose que le lecteur parcourt.

• Bon : Injection SQL dans le formulaire de connexion
• Faible : Problème de base de données

Soyez précis, pas vague.

La description explique quelle est la faille et pourquoi elle existe, en deux ou trois phrases. Imaginez un ingénieur compétent qui n’a pas encore vu le problème.

Indiquez la cause fondamentale, et pas seulement le symptôme.

Énumérez les étapes de reproduction exactes et numérotées. Toute personne de l’équipe doit pouvoir les suivre et observer le même résultat.

Incluez la requête, la charge utile et la réponse observée.

L’impact répond à la question que pose tout dirigeant : et alors ? Traduisez la faille technique en conséquences métier.

• Accès complet en lecture à la base de données des utilisateurs.
• Contournement de l’authentification pour n’importe quel compte.
• Violation potentielle de la réglementation.

Indiquez uniquement ce que vous avez démontré. Si vous n’avez pas extrait de données, indiquez que la faille permet l’extraction de données, et non que vous avez exfiltré des enregistrements.

Présentez clairement les théories non vérifiées comme potentielles, et non comme confirmées.

Joignez les preuves minimales qui établissent le constat : une paire requête/réponse ou une capture d’écran annotée.

Masquez les secrets et les données personnelles réelles. Les preuves renforcent la crédibilité ; des preuves trop abondantes noient l’essentiel.

Associez chaque constat à une classification reconnue, telle que CWE ou les 10 principales vulnérabilités OWASP.

Les références permettent au client d’étudier le problème de manière indépendante et montrent que votre travail repose sur des normes.

Utilisez la voix active, des phrases courtes et aucun jargon inexpliqué. Définissez un acronyme la première fois que vous l’utilisez.

N’oubliez pas le double public : les lignes de synthèse doivent être compréhensibles par un responsable, tandis que les étapes doivent satisfaire un ingénieur.

Évitez ces erreurs fréquentes de rédaction des constats.

• Copier-coller la sortie brute d’un analyseur dans un constat.
• Ne pas présenter clairement l’impact.
• Fournir des étapes impossibles à reproduire.
• Attribuer une gravité incohérente à des problèmes similaires.

Vérifiez votre compréhension de la rédaction des constats.

Vous avez appris à rédiger des constats clairs et exploitables.

• Utilisez un modèle unique et cohérent pour chaque constat.
• Rédigez des titres précis, des descriptions de la cause fondamentale et des étapes de reproduction numérotées.
• Traduisez les failles en conséquences métier.
• Indiquez uniquement ce que vous avez démontré et masquez les éléments sensibles des preuves.
• Ajoutez des références à CWE et OWASP.

Ensuite, vous apprendrez à fournir des recommandations de correction efficaces.