Описание результатов

Результат проверки — основная ценность отчёта о тестировании на проникновение. Качественный результат проверки понятен, подтверждён доказательствами и позволяет действовать.

Из одной записи читатель должен понять проблему, убедиться, что она реальна, и узнать, что делать дальше.

Используйте единый шаблон для каждого результата проверки. Последовательность повышает доверие и облегчает сравнение результатов.

Каждый результат проверки должен содержать один и тот же набор фиксированных разделов.

В заголовке в нескольких словах следует указать класс уязвимости и расположение. Это первое, что просматривает читатель.

• Хорошо: SQL-инъекция в форме входа
• Слабо: Проблема с базой данных

Будьте конкретны, а не расплывчаты.

В описании в двух или трёх предложениях объясняется, в чём состоит ошибка и почему она существует. Представьте компетентного инженера, который ещё не видел эту ошибку.

Укажите первопричину, а не только симптом.

Перечислите точные пронумерованные шаги воспроизведения. Любой сотрудник команды должен суметь выполнить их и увидеть тот же результат.

Включите запрос, полезную нагрузку и наблюдаемый ответ.

Описание последствий отвечает на вопрос, который задаёт каждый руководитель: и что с того? Переведите техническую ошибку в последствия для бизнеса.

• Полный доступ на чтение базы данных пользователей.
• Обход аутентификации для любой учётной записи.
• Возможное нарушение нормативных требований.

Указывайте только то, что Вы продемонстрировали. Если Вы не извлекали данные, напишите, что ошибка позволяет извлекать данные, а не что Вы выгрузили записи.

Ясно помечайте непроверенные предположения как возможные, а не подтверждённые.

Приложите минимальный набор доказательств, подтверждающий результат проверки: пару запрос/ответ или снимок экрана с пояснениями.

Маскируйте секреты и реальные персональные данные. Доказательства повышают доверие, а их избыток скрывает суть.

Свяжите каждый результат проверки с признанной классификацией, например CWE или OWASP Top 10.

Ссылки позволяют клиенту самостоятельно изучить проблему и показывают, что Ваша работа основана на стандартах.

Используйте действительный залог, короткие предложения и не употребляйте непояснённый жаргон. Расшифруйте сокращение при первом использовании.

Помните о двух аудиториях: строки сводки должны быть понятны руководителю, а шаги — удовлетворять требованиям инженера.

Избегайте этих частых ошибок при написании результатов проверки.

• Копирование необработанного вывода средства сканирования в качестве результата проверки.
• Отсутствие ясного описания последствий.
• Шаги, которые невозможно воспроизвести.
• Непоследовательная критичность схожих проблем.

Вы научились писать понятные результаты проверки, по которым можно действовать.

• Используйте единый шаблон для каждого результата проверки.
• Пишите конкретные заголовки, описывайте первопричины и добавляйте пронумерованные шаги воспроизведения.
• Переводите описание ошибок в последствия для бизнеса.
• Указывайте только то, что Вы продемонстрировали; маскируйте доказательства.
• Добавляйте ссылки на CWE и OWASP.

Далее вы научитесь давать эффективные рекомендации по устранению проблем.