Vincular técnicas e editar achados

O editor

Um achado é escrito no editor de achado: título, resumo executivo, descrição técnica, recomendação, severidade e seu vetor CVSS, disposição, evidências, e as técnicas que ele cobre. O editor grava uma cópia de trabalho; publicá-la é um passo separado e deliberado (ver Achados).

Vincular técnicas é o que conduz os mapeamentos

Vincular um achado a uma ou mais técnicas é a edição mais consequente, porque os mapeamentos técnicos (WSTG, ASVS, CWE) e, pelo crosswalk, os controles de conformidade relacionados são derivados das técnicas vinculadas, vivos. Você não tagueia mapeamento à mão; vincula as técnicas que cobrem o achado e o card Mapeamentos se preenche sozinho, atualizando se você mudar os vínculos ou o catálogo. Um achado sem técnica vinculada não carrega mapeamento nem compliance, o que a lista de achados agora mostra de relance, para as lacunas ficarem visíveis.

Controles de conformidade, derivados e curados

Os controles de conformidade de um achado são derivados dos seus códigos CWE pelo crosswalk congelado. Um especialista pode adicionar, remover ou refinar um controle num achado; um achado curado mostra um marcador, e as sobreposições curadas congelam enquanto a linha de base derivada fica viva. O checkpoint do relatório na liberação apresenta isso para uma última revisão. Nada disso pede que o pentester tagueie algo; pega carona nos vínculos de técnica.

Quando não há controle nenhum, o card diz por quê, porque as três razões pedem reação diferente. O achado pode não ter CWE classificada, e aí não há o que derivar; pode ter CWEs que o crosswalk embarcado não cobre, e aí a classificação está certa e é a derivação que não alcança aqueles códigos; ou pode carregar um código escrito numa forma que a derivação nunca procura, e esse caso é marcado no próprio chip, porque é o único em que a tela parecia classificada sem estar.

Excluir um mapeamento que não se aplica

A técnica declara o que ela investiga, e o achado que nasceu dela pode realizar só parte disso. Por isso um código herdado de uma técnica vinculada pode ser excluído no achado: o cartão de mapeamentos marca que ele não se aplica ali, o relatório para de citá-lo, e os controles de conformidade derivados dele acompanham. A exclusão não muda nada no catálogo, e desvincular a técnica deixa de ser a única forma de manter um código errado fora do relatório. O cartão mostra quantos estão excluídos, então a decisão continua visível.

Editar o mesmo achado que outra pessoa

Entrar no modo de edição toma uma trava curta sobre o achado, renovada enquanto você trabalha e liberada quando você sai do editor, troca de achado ou fecha a página. Quem abrir o mesmo achado vê que ele está sendo editado, e por quem, em vez de sobrescrever seu trabalho em silêncio. Trava abandonada expira sozinha em quinze minutos, e um administrador pode liberá-la explicitamente, o que fica registrado na auditoria. As liberações automáticas nunca tomam a trava de outra pessoa, seja quem for que esteja logado.

Salvar e publicar

Salvar grava sua cópia de trabalho, e você não precisa lembrar de fazer isso: enquanto a edição está aberta, o editor grava sozinho, por pausa na digitação e por um teto de tempo para quem digita sem parar, pelo mesmo caminho do botão. O indicador de "tudo salvo" diz a verdade por consequência. A gravação automática existe enquanto você detém a trava; se ela se perder, a gravação para e o que estiver na tela volta a existir só ali, que é o momento de copiar o texto antes de sair.

Publicar valida os campos obrigatórios e cria uma revisão imutável que o cliente vê; ele faz flush das suas alterações pendentes primeiro, então um resumo que você acabou de digitar é considerado, em vez de recusado como faltante. Uma vez publicado, um achado não pode ser excluído, só substituído por uma nova revisão.

O botão de publicar só se oferece quando há motivo, e diz qual: "publicar" para um achado que o cliente nunca viu, "publicar alterações" para um que ele já tem e que mudou desde então. Quando o cliente já tem exatamente aquilo, o botão fica inerte e explica, em vez de levar você pelo aviso de ação irreversível para informar no fim que nada mudou.