Propor uma técnica ou metodologia

Os catálogos de técnicas e de metodologias são dados, não código, e são deles que um relatório acaba derivando, então uma contribuição a eles passa pela mesma disciplina de qualquer conteúdo de catálogo.

O formato

Uma técnica nova é uma entrada num catálogo de técnicas, com objetivo, procedimento, evidência esperada, comportamento seguro, remediação, referências e seus mapeamentos (WSTG, ASVS, CWE). Uma metodologia nova é um conjunto ordenado de passos ligando técnicas. Siga o formato YAML de catálogo; os arquivos no repositório são os exemplos vivos.

Procedência e licença são parte da contribuição

Como os catálogos declaram a própria procedência e licença, uma contribuição precisa dizer de onde o conteúdo vem e sob quais termos. Conteúdo autoral do PEART é CC-BY-SA-4.0; conteúdo que referencia ou adapta um padrão externo (OWASP, MITRE) tem de carregar a atribuição e a versão, e registrar que foi modificado. Um mapeamento é um fato que você pode citar, não um palpite: ligue a técnica ao identificador real do padrão, na versão que o catálogo declara.

O que faz um bom mapeamento

Os mapeamentos são a parte de maior valor, porque tudo que vem depois (os mapeamentos de um achado, o crosswalk de compliance) deriva deles. Um mapeamento deve ser defensável sem discussão: o item WSTG ou ASVS que de fato cobre a técnica, o CWE que de fato nomeia a fraqueza. Um mapeamento frouxo ou aspiracional é pior que nenhum, porque um código errado corrói a confiança do auditor no relatório inteiro. Quando uma técnica não tem mapeamento limpo para um padrão, deixe-a sem mapear em vez de forçar um.