Spis treści
1. Podsumowanie dla właściciela
Pierwsza strona jest przeznaczona dla osoby, która nie musi znać szczegółów technicznych. Opisuje ogólny stan zabezpieczeń, najważniejsze problemy, ich wpływ na serwis i zalecaną kolejność działań. Jeśli przeczytasz tylko jedną część raportu, powinna to być ta.
2. Zakres i metodyka
Raport wskazuje, co zostało sprawdzone, w jakim terminie i jakimi metodami. Dzięki temu wiesz, czego dotyczą wnioski, a czego nie obejmują. Przy planowaniu testów korzysta się z uznanych materiałów, takich jak przewodnik OWASP WSTG, a dla aplikacji także standard ASVS.
3. Lista podatności
Każdy problem powinien być opisany w ten sam sposób:
- opis: na czym polega problem i gdzie występuje,
- skutek: co może zrobić atakujący i czym to grozi serwisowi,
- waga: ocena w skali CVSS wraz z kategorią,
- zalecenie: jak problem naprawić, najlepiej konkretnie, tak aby mógł to zrobić programista lub administrator.
4. Jak czytać ocenę CVSS
CVSS to powszechnie używana skala oceny wagi podatności. Wynik od 0,1 do 10 przekłada się na kategorie:
| Wynik CVSS | Kategoria |
|---|---|
| 0,1–3,9 | niska |
| 4,0–6,9 | średnia |
| 7,0–8,9 | wysoka |
| 9,0–10,0 | krytyczna |
Podstawowy wynik CVSS opisuje techniczną wagę błędu, ale sam nie jest pełną oceną ryzyka. O tym, co naprawić najpierw, decyduje także to, czy podatność dotyczy ważnej części serwisu, czy chroni dane klientów i ile pracy wymaga poprawka. Dlatego dobry raport łączy ocenę CVSS z własnym uzasadnieniem priorytetów. Szczegóły skali opisuje CVSS User Guide organizacji FIRST.
5. Plan napraw i priorytety
Najbardziej praktyczna część raportu to kolejność działań. Pokazuje, które poprawki są pilne, które można zaplanować na później i ile pracy każda z nich wymaga. To na jej podstawie można zlecić prace programiście lub agencji.
6. Omówienie i ponowne sprawdzenie
Raport warto omówić z wykonawcą, punkt po punkcie. Rozmowa pozwala zadać pytania i ustalić, które poprawki wdrożysz samodzielnie. W pakiecie rozszerzonym audytu jest także jedno ponowne sprawdzenie po wdrożeniu poprawek.
Chcesz zobaczyć, jak to wygląda w praktyce? Pobierz przykładowy raport (PDF) z opisanymi podatnościami, oceną CVSS i planem napraw.
Pobierz przykładowy raport (PDF)Jak przekazać raport programiście lub agencji?
Raport pisany jest tak, aby osoba wdrażająca poprawki mogła z niego korzystać bez dodatkowych wyjaśnień. Przekaż jej całość, a nie tylko podsumowanie, i wskaż kolejność z planu napraw. Jeśli pojawią się wątpliwości, wykonawca audytu może odpowiedzieć na pytania zespołu.
Szczegóły audytu i zakresy znajdziesz na stronie audyt bezpieczeństwa strony lub sklepu oraz audyt bezpieczeństwa aplikacji webowych.
