در حال بارگذاری...
آموزش ساختار استاندارد یافته‌های امنیتی شامل عنوان، شدت، توضیحات فنی، تأثیر و راه‌حل.
اهداف این درس
هر یافته امنیتی باید ساختار استانداردی داشته باشد تا تیم توسعه بتواند آن را درک کند و رفع کند. ساختار استاندارد شامل اجزای مختلفی است که هر کدام نقش مهمی دارند.
مستندی که یک آسیب‌پذیری امنیتی را با جزئیات کامل توصیف می‌کند.
| بخش | توضیح | اهمیت |
|---|---|---|
| عنوان | نام آسیب‌پذیری | بسیار بالا |
| شدت | سطح خطر (بحرانی، بالا، متوسط، پایین) | بسیار بالا |
| توضیحات فنی | جزئیات فنی آسیب‌پذیری | بالا |
| شواهد | اسکرین‌شات، لاگ، کد | بسیار بالا |
| تأثیر | پیامدهای بهره‌برداری | بالا |
| ریسک | احتمال و شدت تأثیر | بالا |
| مراحل بازتولید | نحوه تکرار آسیب‌پذیری | بسیار بالا |
| راه‌حل | پیشنهادات رفع | بسیار بالا |
| سطح | امتیاز CVSS | توضیح | مثال |
|---|---|---|---|
| بحرانی | 9.0 - 10.0 | تأثیر فوری و جدی | Remote Code Execution |
| بالا | 7.0 - 8.9 | تأثیر قابل توجه | SQL Injection |
| متوسط | 4.0 - 6.9 | تأثیر متوسط | XSS بازتابی |
| پایین | 0.1 - 3.9 | تأثیر کم | اطلاعات‌دهی کم |
| اطلاعاتی | 0.0 | بدون تأثیر مستقیم | فاش شدن نسخه سرور |
نمونه یافته: SQL Injection در فرم ورود
عنوان: SQL Injection در فرم ورود شدت: بحرانی (CVSS: 9.8) توضیحات: فرم ورود در endpoint /api/login آسیب‌پذیر به SQL Injection است. ورودی username بدون اعتبارسنجی در query SQL استفاده می‌شود. تأثیر: دسترسی کامل به پایگاه داده، استخراج اطلاعات کاربران، تغییر داده‌ها. مراحل بازتولید: 1. به /api/login مراجعه کنید 2. در فیلد username وارد کنید: ' OR 1=1 -- 3. هر رمز عبوری وارد کنید 4. مشاهده دسترسی غیرمجاز راه‌حل: استفاده از Prepared Statements.
هشدار
هرگز شدت آسیب‌پذیری را بیش‌ازحد یا کم‌تر از حد واقعی گزارش نکنید. این کار اعتبار شما را خدشه‌دار می‌کند.
توصیه عملی
از قالب‌های استاندارد مثل OWASP Testing Guide یا PTES برای مستندسازی یافته‌ها استفاده کنید.
هر یافته باید شامل عنوان، شدت، توضیحات فنی، تأثیر و راه‌حل باشد.
شدت بر اساس CVSS یا ماتریس ریسک تعیین می‌شود.
توضیحات فنی باید دقیق و قابل فهم باشد.
راه‌حل باید عملی و قابل پیاده‌سازی باشد.
کدام مورد جزء اصلی یک یافته امنیتی نیست؟
ساختار استاندارد یک یافته امنیتی شامل چه مواردی است؟
عنوان، شدت، توضیحات فنی، شواهد، تأثیر، ریسک، مراحل بازتولید و راه‌حل.
چگونه شدت یک آسیب‌پذیری را تعیین می‌کنید؟
با استفاده از CVSS (Common Vulnerability Scoring System) یا ماتریس ریسک که تأثیر و احتمال بهره‌برداری را ارزیابی می‌کند.