Εβδομάδα 13 — Αναφορά και συστάσεις

Παιδαγωγικοί στόχοι

Δόμηση μιας αναφοράς που διαβάζεται από διαφορετικά κοινά: διοίκηση, τεχνική ομάδα, έλεγχο.
Σύνταξη αναπαραγώγιμων διαπιστώσεων και εφαρμόσιμων συστάσεων.
Ιεράρχηση με βάση τον επιχειρηματικό αντίκτυπο, όχι μόνο το CVSS.

Περίληψη για τη διοίκηση — 1 έως 2 σελίδες, χωρίς ορολογία, με το συμπέρασμα στην αρχή.
Πεδίο εφαρμογής και μεθοδολογία — υπενθύμιση του RoE, παράθυρα παρέμβασης, χρησιμοποιημένα εργαλεία.
Επισκόπηση — χάρτης θερμότητας των διαπιστώσεων, γενικός δείκτης στάσης ασφαλείας.
Λεπτομερείς διαπιστώσεις — μία ανά ευπάθεια, σε σταθερό πρότυπο.
Ιεραρχημένες συστάσεις — ομαδοποιημένες κατά θέμα (ταυτότητα, δίκτυο, εφαρμοστικό, cloud).
Παραρτήματα — αρχεία καταγραφής, αιτήματα, στιγμιότυπα.

Κάθε διαπίστωση ακολουθεί ακριβώς την ίδια δομή. Η αναγνωσιμότητα προκύπτει από την επανάληψη.

Σύντομος τίτλος — ενέργεια + επιφάνεια, π.χ. «Έγχυση SQL στο /api/recherche».
Σοβαρότητα — P1 έως P4, με αιτιολόγηση (πραγματικός αντίκτυπος, όχι ακατέργαστο σκορ).
Πλαίσιο — τι κάνει ο στόχος, σε μία φράση.
Απόδειξη — αίτημα που στάλθηκε, παρατηρηθείσα απάντηση, χρονοσημασμένο στιγμιότυπο.
Επιχειρηματικός αντίκτυπος — τι αποκτά συγκεκριμένα ένας επιτιθέμενος.
Αποκατάσταση — ακριβής ενέργεια, δοκιμασμένη αν είναι δυνατόν, εκτιμώμενη προσπάθεια.
Αναφορές — CWE, CVE, OWASP, έγγραφα πελάτη.

Μία αποκατάσταση ανά διαπίστωση. Χωρίς σύσταση, δεν είναι αναφορά, είναι λίστα.
Αναπαραγώγιμες αποδείξεις. Ένα στιγμιότυπο οθόνης δεν αρκεί: δώστε το αίτημα curl ή το βήμα προς βήμα.
Υπερασπίσιμη ιεράρχηση. Ο πελάτης πρέπει να μπορεί να παρουσιάσει το P1 σας στη διοίκησή του και να γίνει κατανοητός.
Καμία υπονοούμενη απειλή. Τεκμηριώνουμε· δεν τρομοκρατούμε για να πουλήσουμε.

Τελικό παραδοτέο, προς παράδοση την εβδομάδα 14:

Μια πλήρης αναφορά σε PDF (20 έως 30 σελίδες), σε μια προσομοιωμένη αποστολή που παρέχεται.
Τουλάχιστον έξι διαπιστώσεις, εκ των οποίων δύο P1, δύο P2, δύο P3+.
Ένα σχέδιο αποκατάστασης σε τρεις μήνες, έξι μήνες, δώδεκα μήνες.