Ana sayfa Yazılar CWE numarası sızma testi raporunda ne anlatır
CWE numarası sızma testi raporunda ne anlatır
CWE numarası, sızma testi bulgusunun hangi zayıflık sınıfına girdiğini söyler. “Başka kullanıcının kaydına yazılabiliyor” ile “oturum çerezi betiğe açık” aynı sınıf değildir. Penetrasyon testi raporunda numara, önem, CVSS, sorumlu ve etkinin yanındadır. Numara, düzeltmenin kendisi değildir.
Kısa sonuç
- CWE bir sözlüktür. CVE gibi tek bir ürün açığının kaydı değildir.
- Yanlış sınıf, yanlış ekibe iş açar.
- Numara yoksa sınıf, serbest cümleyle de yazılır. Uydurma numara konmaz.
- Aynı numara, iki bulguda aynı etki demek değildir.
Sözlük ne işe yarar
MITRE, CWE’yi yazılım ve donanımdaki zayıflık türlerinin listesi olarak tutar. Liste, sizin sisteminizde o türün var olduğunu iddia etmez. Test eden kişi, doğruladığı davranışa uyan maddeyi seçer. Uymayan maddeyi “yakın duruyor” diye yapıştırmaz.
Seçim, sorumlu tarafı da etkiler. Platformun davranışı ile kurumun kendi ayarı aynı CWE altında görünebilir. Sorumlu yine ayrı yazılır. Ayar kurumdaysa yama notu platforma gidemez.
Numara etkiyi taşımaz
Aynı CWE, bir yerde kayıt değiştirir, başka yerde yalnızca bir başlık eksiktir. Etki cümlesi bu yüzden kartta ayrıca durur. CVSS de ayrıca durur. İkisini birbirinin yerine okumayın. Puanın işi CVSS yazısında anlatılır.
Araç, aday sınıfa bir numara önerebilir. Satır elle kapanmadan o numara rapora geçmez. Kapanmayan satır, tarama yazısındaki gibi aday olarak kalır.
Okurken ne sorarsınız
Numara, CWE sitesindeki maddeyle açılıyor mu. Başlık, sizin bulgunuzun cümlesine uyuyor mu. Sorumlu, numaranın yanında mı. Düzeltme, o sınıfa mı yoksa sizin akışınıza mı bakıyor. Uymuyorsa numara değiştirilir. Etki cümlesi numaraya kurban edilmez.
Kartın yeri rapor yazısında durur.