Metodologias e técnicas

Técnica

Uma técnica é uma coisa que você testa, com um objetivo, um procedimento, a evidência que espera, uma descrição de comportamento seguro, e orientação de remediação. Técnicas são globais à instalação: vivem num catálogo compartilhado entre engajamentos, não copiadas em cada um. Cada técnica carrega mapeamentos para padrões externos (OWASP WSTG, OWASP ASVS, MITRE CWE), e são esses mapeamentos que permitem a um achado herdar códigos CWE e, pelo crosswalk de conformidade, os frameworks de controle relacionados. Uma técnica sem mapeamento não contribui nada para compliance, o que é um sinal que vale enxergar.

Metodologia

Uma metodologia é um conjunto ordenado de etapas, e cada etapa vincula um conjunto de técnicas em ordem de posição. É o plano do que testar e em que sequência. Um engajamento adota um ou mais frameworks de metodologia, e o cockpit renderiza as etapas e técnicas nessa ordem de execução.

Cobertura

Cobertura é o registro do que você de fato testou. Para cada técnica contra cada ativo, a cobertura carrega um status: not_tested, tested_no_finding, tested_with_finding, ou not_applicable. Marcar algo como not_tested ou not_applicable fora do padrão exige um motivo, então uma lacuna de cobertura é sempre explicada, não silenciosa. A cobertura é o que o cockpit conduz e contra o que o progresso do engajamento é medido.

Por que a técnica é o eixo

Porque as técnicas carregam os mapeamentos, e cobertura e achados são registrados contra elas, a técnica é o eixo entre execução e relatório. Trabalhar uma técnica produz cobertura; um achado vincula técnicas; os vínculos carregam os mapeamentos; os mapeamentos conduzem os controles de conformidade no relatório. Acerte os vínculos de técnica e o resto se deriva sozinho.