Zafiyeti bulmak başka, kanıtlamak başka.
Bir güvenlik testinde teknik gösterge, sömürülebilirlik ve risk anlatımı arasındaki fark.
Bir tarama çıktısında şüpheli bir işaret görmek, doğrudan doğrulanmış bir güvenlik açığına ulaştığım anlamına gelmiyor. Teknik işaret, istismar koşulları ve iş etkisi birbirinden ayrı değerlendirilmeli.
Üç ayrı soru#
- Gösterge var mı? Yapılandırma, sürüm, yanıt veya davranış bir riske işaret ediyor mu?
- Koşullar sağlanıyor mu? Gerekli yetki, erişim yolu ve diğer ön koşullar gerçekten mevcut mu?
- Etkisi ne? Bu durumun kuruma olası etkisini kanıt düzeyimle tutarlı biçimde açıklayabiliyor muyum?
Örneğin bir hesabın Kerberoasting için uygun olması, elde edilen biletin parolasının mutlaka kırılabileceğini göstermez. Bu iki tespit aynı cümlede anlatılmamalı.
Raporlamada kullandığım ayrım#
Bulgunun gözlemlenen durumu, test edilen adımları, elde edilen kanıtı ve doğrulanamayan kısmı açıkça ayrılırsa sonuç daha güvenilir olur. Doğrulayamadığım etkiyi olmuş gibi yazmak yerine belirsizliği not etmek, raporun değerini artırır.
Bu yazı bir teknik değerlendirme yaklaşımıdır; belirli bir müşteriye ait test sonucunu içermez.