指摘事項の記述

検出事項は、ペネトレーションテストレポートにおける価値の単位です。優れた検出事項は、明確で、証拠に裏付けられ、実行可能です。

読者は、1つの項目を読むだけで問題を理解し、それが実在すると納得し、何をすべきか把握できなければなりません。

すべての検出事項に、統一された1つのテンプレートを使用してください。一貫性によって信頼が生まれ、検出事項同士を比較しやすくなります。

各検出事項には、同じ固定セクションを設けます。

タイトルには、脆弱性の種類と場所を数語で示します。読者が最初に目を通す部分です。

• 良い例: ログインフォームのSQLインジェクション
• 弱い例: データベースの問題

曖昧にせず、具体的に書いてください。

説明では、脆弱性の内容と発生原因を2～3文で説明します。対象のバグをまだ見ていない、十分な知識を持つエンジニアを想定してください。

単なる症状ではなく、根本原因を示してください。

正確で番号付きの再現手順を列挙してください。チームの誰が読んでも手順に従い、同じ結果を確認できるようにします。

リクエスト、ペイロード、観測されたレスポンスを含めてください。

影響では、すべての経営幹部が尋ねる「だから何か」という問いに答えます。技術的な脆弱性を、ビジネス上の結果に置き換えて説明してください。

• ユーザーデータベースへの完全な読み取りアクセス。
• 任意のアカウントに対する認証のバイパス。
• 規制違反につながる可能性。

実証した内容だけを記載してください。データを抽出していない場合は、この脆弱性によってデータを抽出できると書き、レコードを持ち出したとは書かないでください。

検証していない仮説は、確認済みではなく可能性であることを明確に示してください。

検出事項を証明するために必要最小限の証拠、つまりリクエストとレスポンスの組み合わせ、または注釈付きのスクリーンショットを添付してください。

秘密情報と実在する個人データはマスキングしてください。証拠は信頼性を高めますが、過剰な証拠は要点を埋もれさせます。

各検出事項を、CWEやOWASP Top 10などの認知された分類に関連付けてください。

参照情報があれば、クライアントは問題を自力で調査でき、作業が標準に基づいていることも示せます。

能動態、短い文、説明のない専門用語を使わない表現を心がけてください。略語は最初に使用するときに定義してください。

読者が2種類いることを忘れないでください。概要の文章は管理者にも意味が通り、手順はエンジニアの要件も満たす必要があります。

検出事項の記述で頻繁に起きる、次の誤りを避けてください。

• スキャナーの生の出力を検出事項としてコピー＆ペーストする。
• 影響が明確に説明されていない。
• 再現できない手順になっている。
• 類似する問題の深刻度が一貫していない。

検出事項の書き方の理解度を確認します。

明確で実行可能な検出事項の書き方を学びました。

• すべての検出事項に、統一された1つのテンプレートを使用します。
• 具体的なタイトル、根本原因の説明、番号付きの再現手順を記載します。
• 脆弱性をビジネス上の影響に置き換えて説明します。
• 実証した内容だけを記載し、証拠をマスキングします。
• CWEとOWASPの参照情報を関連付けます。

次は、効果的な是正ガイダンスの提供方法を学びます。