O que obténs no final.
Sete secções, as mesmas sempre, num PDF que podes entregar a um auditor ou à equipa de compras de um cliente. Metade é o que encontrámos; a outra metade é o que testámos e o que resistiu.
Cada relatório, a mesma forma.
- 01
Resumo executivo
A postura, os principais riscos e os números-chave, em termos claros. Escrito para que uma administração ou a equipa de compras de um cliente o leia sem um engenheiro a traduzir.
- 02
Âmbito e metodologia
Exatamente o que estava no âmbito, o que foi excluído, quando correu e que metodologia se seguiu. A fronteira é declarada, não subentendida.
- 03
Constatações
Agrupados por severidade, os críticos primeiro. Cada um traz provas, passos de reprodução e uma recomendação sobre a qual os teus engenheiros podem agir.
- 04
Prioridade de remediação
O que corrigir primeiro e porquê — ordenado pela exposição real, não apenas pela pontuação. O que está a ser ativamente explorado passa para a frente.
- 05
Conformidade e frameworks
As constatações agregadas em categorias OWASP, técnicas MITRE ATT&CK e funções NIST CSF, para que o relatório entre diretamente num processo de auditoria.
- 06
Controlos verificados
O que foi testado e resistiu. Esta é a metade que a maioria dos relatórios omite — sem ela não consegues distinguir um resultado limpo de um teste incompleto.
- 07
Assinatura
Quem o executou, sob que autorização, e o registo do retest depois de aplicadas as correções.
Dez campos, nenhum opcional.
A plataforma recusa uma constatação à qual falte algum deles, por isso nunca recebes uma linha que diga apenas “problema de SSL”.
severitycritical / high / medium / low / infocvss_scoreCVSS v3.1, 0.0–10.0affected_componento host, endpoint ou ficheiro exatoevidenceo pedido/resposta ou saída que o provaowaspcategoria do OWASP Top 10cweidentificador CWEmitre_attacktécnica ATT&CKnist_csffunção NIST CSFcveconfirmado por uma ferramenta, ou marcado como não confirmadorecommendationo que mudar, em concretoQueres ler um real?
Enviamos-te um relatório editado de um projeto anterior — um real, sem o cliente nem os seus sistemas.