Panduan Perbaikan

Menemukan kerentanan baru setengah dari pekerjaan. Nilai jangka panjang pengujian penetrasi adalah membantu tim memperbaiki kerentanan tersebut.

Panduan perbaikan yang baik mengubah laporan dari sekadar keluhan menjadi peta jalan.

Saran umum seperti 'bersihkan masukan' hanya membuang waktu pembaca. Hubungkan perbaikan dengan teknologi yang tepat yang digunakan.

• Lemah: validasi masukan pengguna.
• Kuat: gunakan kueri berparameter melalui antarmuka pemrograman aplikasi untuk pernyataan terparametrisasi.

Jika memungkinkan, sertakan contoh singkat pola yang telah diperbaiki. Teknisi bertindak lebih cepat ketika dapat melihat bentuk kode yang diharapkan.

Tampilkan versi rentan dan versi yang telah diperbaiki secara berdampingan.

Rekomendasikan perbaikan yang mengatasi akar penyebab, bukan hanya gejala yang Anda temukan.

Jika satu titik akhir memiliki injeksi SQL, perbaikan yang sebenarnya adalah menerapkan kueri berparameter di mana pun, bukan hanya memperbaiki satu baris tersebut.

Rekomendasikan kontrol berlapis agar satu kegagalan tidak langsung menyebabkan sistem disusupi.

• Perbaikan utama: kueri berparameter.
• Sekunder: akun basis data dengan hak istimewa minimum.
• Deteksi: peringatan untuk kueri yang tidak wajar.

Lapisan-lapisan ini memberikan waktu dan mengurangi cakupan dampak.

Terkadang perbaikan menyeluruh membutuhkan waktu berminggu-minggu. Tawarkan mitigasi cepat dan perbaikan yang tahan lama agar klien dapat mengurangi risiko mulai hari ini.

Jelaskan dengan tegas bahwa mitigasi tersebut bersifat sementara.

Bantu klien membuat rencana dengan memperkirakan upaya selain prioritas. Kesalahan kritis yang dapat diperbaiki dalam sepuluh menit merupakan langkah awal yang jelas.

Gabungkan tingkat keparahan dengan upaya untuk menyarankan urutan yang masuk akal.

Rujuk sumber tepercaya seperti Lembar Acuan OWASP, panduan penguatan dari vendor, dan catatan mitigasi CWE.

Dengan begitu, teknisi memperoleh sumber yang lebih mendalam dan melihat bahwa saran Anda selaras dengan industri.

Beri tahu klien cara memverifikasi setiap perbaikan, dan tawarkan pengujian ulang. Perbaikan yang tidak diverifikasi mungkin belum lengkap.

Gunakan kembali langkah reproduksi Anda sebagai pengujian verifikasi: jika langkah-langkah tersebut tidak lagi berhasil, berarti perbaikannya efektif.

Sampaikan panduan secara kolaboratif. Tim teknisi lebih memahami tumpukan teknologi dan batasan mereka daripada Anda.

Tawarkan beberapa pilihan jika memang memungkinkan, dan hindari nada menyalahkan. Tujuan Anda adalah membuat sistem mereka lebih aman, bukan memenangkan perdebatan.

Rekomendasikan agar klien melacak setiap temuan hingga selesai dalam pelacak masalah mereka, dengan tautan ke ID laporan.

Temuan belum selesai ketika sudah dibaca; temuan selesai ketika sudah diperbaiki, diverifikasi, dan ditutup.

Uji pemahaman Anda tentang panduan perbaikan.

Anda telah mempelajari cara memberikan panduan perbaikan yang efektif.

• Bersikap spesifik terhadap teknologinya; tunjukkan kode yang telah diperbaiki.
• Perbaiki akar penyebab, bukan hanya gejalanya.
• Rekomendasikan pertahanan berlapis serta perbaikan jangka pendek dan jangka panjang.
• Perkirakan upaya untuk membantu menentukan prioritas, dan rujuk OWASP/CWE.
• Tawarkan verifikasi dan pengujian ulang; lacak temuan hingga selesai.

Anda telah menyelesaikan kursus Pelaporan Pengujian Penetrasi.