Findings et preuves
Lire un finding publié : sévérité CVSS, classification CWE, description, impact, recommandation et preuves HTTP expurgées. Suivre sa correction dans l'application.
Ce qu'est un finding#
Un finding est une faiblesse démontrée pendant le pentest. Il n'est publié que si une preuve l'accompagne et s'il a passé les contrôles automatiques de périmètre, de rédaction et de cohérence de la tentative. Dans l'application, la page Vulnérabilités les liste pour l'espace client ; la page d'un pentest montre les siens.
Les champs d'un finding#
| Champ | Contenu |
|---|---|
| Sévérité | Le niveau (critique, élevée, moyenne, faible, information) et le score CVSS. |
| Classification | Le CWE de la faiblesse. |
| Description | Ce qui a été démontré, où, et comment. |
| Impact | Ce qu'un attaquant obtiendrait. |
| Recommandation | Les pistes de correction. |
| Preuves | Les requêtes et réponses HTTP expurgées, la preuve de concept ou les artefacts. |
| Confiance | L'appréciation de la fiabilité de la démonstration. |
| Cible et date | La cible autorisée exacte et la date de détection. |
Un même finding retrouvé dans plusieurs pentests de la même cible est présenté avec ses occurrences. Un finding absent du dernier rapport est signalé comme tel.
Les preuves#
Les preuves sont expurgées avant leur persistance : secrets, jetons et comptes de test en sont retirés. Les requêtes et réponses se lisent dans l'application avec un lecteur de code ; un artefact (par exemple une capture) est joint quand il existe.
Les traces brutes d'exécution, les chemins de travail internes et les identifiants techniques ne sont jamais exposés.
Suivre la correction#
Chaque finding dispose d'un suivi de correction : un statut, une note, un responsable, une échéance et, pour un risque accepté, une date de réexamen (au plus tard dans un an). Les commentaires et l'historique des actions sont conservés. Votre rôle détermine si vous pouvez modifier ce suivi ou seulement le lire.
| Statut | Signification |
|---|---|
| À corriger | La vulnérabilité reste à corriger. |
| Corrigé | Le correctif est déployé. Si un prochain pentest retrouve la vulnérabilité, elle repasse « À corriger ». |
| Risque accepté | Le risque est assumé en connaissance de cause, avec une date de réexamen. |
| Faux positif | La preuve ne s'applique pas à votre contexte ; la raison est obligatoire. |
Une notification rappelle une échéance de correction atteinte et une date de réexamen atteinte.
Un finding retrouvé après avoir été déclaré corrigé est signalé comme réouvert, avec le nombre de fois où cela s'est produit.
Faire vérifier une correction#
Préparez un lot de retests à partir des findings corrigés : voir Retests de correction. Le résultat du contre-test apparaît dans le suivi du finding : « la vulnérabilité n'a pas été reproduite » ou « la vulnérabilité est toujours présente ».
Exporter#
La vue courante des findings s'exporte en Markdown depuis la page Vulnérabilités. Le rapport final, lui, s'exporte en PDF (voir Le rapport).