Opisywanie ustaleń

Ustalenie jest podstawową jednostką wartości w raporcie z testu penetracyjnego. Dobre ustalenie jest jasne, poparte dowodami i praktyczne.

Na podstawie jednego wpisu odbiorca powinien zrozumieć problem, uwierzyć, że jest rzeczywisty, i wiedzieć, co należy zrobić.

Należy stosować jeden spójny szablon dla każdego ustalenia. Spójność buduje zaufanie i ułatwia porównywanie ustaleń.

Każde ustalenie ma te same stałe sekcje.

Tytuł powinien w kilku słowach określać klasę podatności i jej lokalizację. To pierwsza rzecz, którą odbiorca przegląda.

• Dobrze: SQL Injection w formularzu logowania
• Słabo: Problem z bazą danych

Należy pisać konkretnie, a nie ogólnikowo.

Opis w dwóch lub trzech zdaniach wyjaśnia czym jest luka i dlaczego istnieje. Należy założyć, że odbiorcą jest kompetentny inżynier, który nie widział tego błędu.

Należy wskazać przyczynę źródłową, a nie tylko objaw.

Należy wypisać dokładne, ponumerowane kroki odtworzenia. Każda osoba w zespole powinna móc je wykonać i uzyskać ten sam wynik.

Należy uwzględnić żądanie, payload i zaobserwowaną odpowiedź.

Wpływ odpowiada na pytanie, które zadaje każdy menedżer: i co z tego? Należy przełożyć techniczną lukę na konsekwencje biznesowe.

• Pełny dostęp do odczytu bazy użytkowników.
• Obejście uwierzytelniania dla dowolnego konta.
• Potencjalne naruszenie wymogów regulacyjnych.

Należy przedstawiać wyłącznie to, co zostało wykazane. Jeśli nie wyodrębniono danych, należy napisać, że luka umożliwia ich wyodrębnienie, a nie że wyeksfiltrowano rekordy.

Niezweryfikowane teorie należy wyraźnie oznaczać jako potencjalne, a nie potwierdzone.

Należy dołączyć minimalny zestaw dowodów potwierdzających ustalenie: parę żądanie/odpowiedź lub zrzut ekranu z adnotacjami.

Należy zamaskować sekrety i prawdziwe dane osobowe. Dowody budują wiarygodność, ale ich nadmiar zaciemnia przekaz.

Każde ustalenie należy powiązać z uznaną klasyfikacją, taką jak CWE lub OWASP Top 10.

Odwołania pozwalają klientowi samodzielnie zapoznać się z problemem i pokazują, że praca opiera się na standardach.

Należy używać strony czynnej, krótkich zdań i unikać niewyjaśnionego żargonu. Skrót należy objaśnić przy pierwszym użyciu.

Należy pamiętać o dwóch grupach odbiorców: podsumowanie musi być zrozumiałe dla menedżera, a kroki muszą spełniać potrzeby inżyniera.

Należy unikać tych częstych błędów przy pisaniu ustaleń.

• Wklejanie surowego wyniku skanera jako ustalenia.
• Brak jasnego opisu wpływu.
• Kroki, których nie można odtworzyć.
• Niespójna ocena dotkliwości podobnych problemów.

Nauczyłeś się pisać jasne i praktyczne opisy ustaleń.

• Należy stosować jeden spójny szablon dla każdego ustalenia.
• Konkretny tytuł, opis przyczyny źródłowej i ponumerowane kroki odtworzenia.
• Należy przekładać luki na wpływ biznesowy.
• Należy przedstawiać wyłącznie to, co zostało wykazane, i maskować dowody.
• Należy dodawać odwołania do CWE i OWASP.

Następnie nauczysz się przekazywać skuteczne zalecenia naprawcze.