Rapor bir bulgu listesi değildir
Sızma testi raporunun temel görevi, tespit edilen riski düzeltilebilir bir karara dönüştürmektir. Yalnızca araç adı, zafiyet başlığı ve genel açıklama içeren bir çıktı teknik ekibin doğrulama ve düzeltme sürecini tamamlamasına yetmez.
Her bulgu; etkilenen varlık, ön koşullar, adım adım kanıt, gözlenen sonuç, iş etkisi ve somut düzeltme önerisiyle birlikte sunulmalıdır.
Her bulguda bulunması gereken alanlar
CVSS puanı tek başına öncelik değildir; varlığın iş kritiklik seviyesi ve mevcut güvenlik kontrolleriyle birlikte yorumlanmalıdır. Aynı teknik açık, internete açık bir üretim sisteminde ve izole bir test ortamında farklı iş etkileri oluşturabilir.
- Bulgu başlığı ve benzersiz kimlik
- Etkilenen varlık ve kullanıcı rolü
- CVSS vektörü ve skoru
- İstek/yanıt veya ekran kanıtı
- Tekrar üretim adımları
- İş etkisi ve öncelik
- Somut düzeltme ve doğrulama yöntemi
Teknik ekip ve yönetim için iki okuma katmanı
Yönetici özeti, teknik ayrıntıya boğulmadan risk dağılımını, kritik saldırı yollarını ve önerilen aksiyon sırasını açıklar. Teknik bölüm ise geliştirici ve sistem yöneticilerinin bulguyu yeniden üretip düzeltebilmesi için yeterli ayrıntıyı taşımalıdır.
Retest neden ayrı raporlanır?
Bir görevin kapatılmış olması güvenlik açığının giderildiğini kanıtlamaz. Retest sırasında aynı saldırı yolu tekrar denenmeli, yan etkiler kontrol edilmeli ve sonuç tarih/sürüm bilgisiyle belgelenmelidir. Kısmen giderilen veya farklı biçimde devam eden riskler açıkça belirtilmelidir.