Metodologias e catálogos

Catálogos são globais

Técnicas e frameworks de metodologia vivem num catálogo global à instalação, não por engajamento. Você importa um catálogo uma vez e todo engajamento pode adotar dele. É por isso que editar o mapeamento de uma técnica no catálogo flui para todo achado que a vincula: há uma fonte, não uma cópia por engajamento.

Importar um catálogo

Um catálogo é importado de um arquivo no formato que a ferramenta sob tools/ produz (os catálogos de técnica e de metodologia, e a procedência de framework que declaram). A importação registra a procedência e a licença do próprio catálogo, então um relatório pode citar de qual versão de cada padrão externo os códigos vêm. Como as técnicas carregam mapeamentos para WSTG, ASVS e CWE, um catálogo bem-formado é o que torna a derivação de conformidade possível adiante.

Adotar um framework num engajamento

Um engajamento adota um ou mais frameworks de metodologia. Adotar um framework é o que popula o navegador de metodologia do cockpit com suas etapas e técnicas, em ordem de execução, para o pentester ter um plano a seguir. Um engajamento pode carregar mais de um framework quando o escopo pede (por exemplo um baseline web mais um conjunto específico de API).

Manter o catálogo honesto

O catálogo é dado, versionado, com procedência declarada. Quando você propõe uma técnica ou metodologia nova, ela passa pela mesma disciplina de qualquer conteúdo de catálogo: ver Propor uma técnica ou metodologia. O ponto é que o que conduz um relatório é um catálogo citável e versionado, não texto ad-hoc digitado num engajamento.