Bevindingen formuleren

De titel moet in enkele woorden de klasse en locatie van de kwetsbaarheid benoemen. Het is het eerste wat een lezer scant.

• Goed: SQL-injectie in inlogformulier
• Zwak: probleem met database

Wees specifiek, niet vaag.

De beschrijving legt in twee of drie zinnen uit wat de fout is en waarom die bestaat. Ga uit van een ervaren ontwikkelaar die de fout nog niet heeft gezien.

Benoem de hoofdoorzaak, niet alleen het symptoom.

Geef de exacte, genummerde stappen om het probleem te reproduceren. Iedereen in het team moet ze kunnen volgen en hetzelfde resultaat kunnen zien.

Neem het verzoek, de payload en het waargenomen antwoord op.

Impact beantwoordt de vraag die elke bestuurder stelt: wat betekent dat? Vertaal de technische fout naar gevolgen voor het bedrijf.

• Volledige leestoegang tot de gebruikersdatabase.
• Omzeiling van authenticatie voor elk account.
• Mogelijke schending van regelgeving.

Beschrijf alleen wat je hebt aangetoond. Als je geen gegevens hebt uitgelezen, schrijf dan dat de fout het uitlezen van gegevens mogelijk maakt, niet dat je records hebt geëxfiltreerd.

Markeer niet-geverifieerde theorieën duidelijk als mogelijk, niet als bevestigd.

Voeg het minimale bewijs toe dat de bevinding aantoont: een paar van een verzoek en antwoord of een geannoteerde schermafbeelding.

Maak geheimen en echte persoonsgegevens onleesbaar. Bewijs vergroot de geloofwaardigheid; te veel bewijs verbergt de kern.

Koppel elke bevinding aan een erkende classificatie, zoals CWE of de OWASP Top 10.

Met verwijzingen kan de klant het probleem zelfstandig onderzoeken en laat je zien dat je werk op standaarden is gebaseerd.

Gebruik actieve zinnen, korte zinnen en geen onverklaarde vaktermen. Leg een afkorting uit wanneer je die voor het eerst gebruikt.

Vergeet de twee doelgroepen niet: de samenvattingsregels moeten begrijpelijk zijn voor een manager, terwijl de stappen aan de eisen van een ontwikkelaar moeten voldoen.

Vermijd deze veelvoorkomende fouten bij het schrijven van bevindingen.

• Onbewerkte uitvoer van een scanner kopiëren en plakken als bevinding.
• Geen duidelijke beschrijving van de impact.
• Stappen die niet kunnen worden gereproduceerd.
• Inconsistente ernst bij vergelijkbare problemen.

Je hebt geleerd hoe je duidelijke, uitvoerbare bevindingen schrijft.

• Gebruik voor elke bevinding één consistent sjabloon.
• Specifieke titels, beschrijvingen van de hoofdoorzaak en genummerde stappen om het probleem te reproduceren.
• Vertaal fouten naar impact voor het bedrijf.
• Beschrijf alleen wat je hebt aangetoond en maak bewijs onleesbaar.
• Verwijs naar CWE- en OWASP-referenties.

Vervolgens leer je hoe je effectief hersteladvies geeft.