Menulis Temuan

Temuan adalah unit nilai dalam laporan pengujian penetrasi. Temuan yang baik bersifat jelas, didukung bukti, dan dapat ditindaklanjuti.

Pembaca harus dapat memahami masalahnya, yakin bahwa masalah itu nyata, dan mengetahui tindakan yang harus dilakukan hanya dari satu entri.

Gunakan satu templat yang konsisten untuk setiap temuan. Konsistensi membangun kepercayaan dan membuat temuan dapat dibandingkan.

Setiap temuan memiliki bagian tetap yang sama.

Judul harus menyebutkan kelas dan lokasi kerentanan dalam beberapa kata. Judul adalah hal pertama yang dipindai oleh pembaca.

• Baik: Injeksi SQL pada Formulir Masuk
• Lemah: Masalah Basis Data

Jelaskan secara spesifik, bukan secara samar.

Deskripsi menjelaskan apa kelemahannya dan mengapa kelemahan itu ada dalam dua atau tiga kalimat. Anggap pembacanya seorang teknisi kompeten yang belum melihat kesalahan tersebut.

Sampaikan akar penyebabnya, bukan hanya gejalanya.

Daftarkan langkah-langkah untuk mereproduksi secara tepat dan bernomor. Siapa pun dalam tim harus dapat mengikutinya dan melihat hasil yang sama.

Sertakan permintaan, muatan, dan tanggapan yang diamati.

Dampak menjawab pertanyaan yang selalu diajukan setiap eksekutif: lalu apa? Terjemahkan kelemahan teknis menjadi konsekuensi bisnis.

• Akses baca penuh ke basis data pengguna.
• Melewati autentikasi untuk akun apa pun.
• Kemungkinan pelanggaran peraturan.

Sampaikan hanya hal yang telah Anda buktikan. Jika Anda tidak mengekstrak data, katakan bahwa kelemahan tersebut memungkinkan ekstraksi data, bukan bahwa Anda telah mengambil catatan keluar dari sistem.

Tandai teori yang belum diverifikasi dengan jelas sebagai kemungkinan, bukan sebagai sesuatu yang telah dikonfirmasi.

Lampirkan bukti minimal yang membuktikan temuan tersebut: pasangan permintaan dan tanggapan atau tangkapan layar beranotasi.

Samarkan rahasia dan data pribadi nyata. Bukti membangun kredibilitas; bukti yang berlebihan justru mengaburkan inti masalah.

Tautkan setiap temuan ke klasifikasi yang diakui, seperti CWE atau OWASP Top 10.

Rujukan memungkinkan klien meneliti masalah tersebut secara mandiri dan menunjukkan bahwa pekerjaan Anda berlandaskan standar.

Gunakan kalimat aktif, kalimat pendek, dan jangan gunakan jargon yang tidak dijelaskan. Jelaskan akronim saat pertama kali menggunakannya.

Ingatlah adanya dua kelompok pembaca: baris ringkasan harus dapat dipahami oleh manajer, sedangkan langkah-langkahnya harus memenuhi kebutuhan teknisi.

Hindari kesalahan yang sering terjadi saat menulis temuan berikut.

• Menyalin-tempel keluaran pemindai mentah sebagai temuan.
• Tidak ada pernyataan dampak yang jelas.
• Langkah-langkah yang tidak dapat direproduksi.
• Tingkat keparahan yang tidak konsisten untuk masalah serupa.

Uji pemahaman Anda tentang penulisan temuan.

Anda telah mempelajari cara menulis temuan yang jelas dan dapat ditindaklanjuti.

• Gunakan satu templat yang konsisten untuk setiap temuan.
• Gunakan judul yang spesifik, deskripsi akar penyebab, dan langkah reproduksi bernomor.
• Terjemahkan kelemahan menjadi dampak bisnis.
• Sampaikan hanya hal yang telah Anda buktikan; samarkan bukti.
• Tautkan temuan ke rujukan CWE dan OWASP.

Selanjutnya, Anda akan mempelajari cara memberikan panduan perbaikan yang efektif.