Relatar achados e conduzir a remediação

Estrutura de um relatório

• Resumo executivo: para leitores não técnicos. O que foi testado, o risco geral em linguagem simples, as poucas coisas que mais importam e o que fazer primeiro.
• Escopo e método: o que estava dentro e fora do escopo, as datas, a abordagem e quaisquer limitações (o que você não conseguiu testar).
• Achados: uma entrada para cada um, ordenados por severidade, com um id único.
• Recomendações estratégicas: os padrões por trás dos achados (por exemplo, ausência de uma camada central de autorização) e como corrigir a causa, não apenas as instâncias.
• Apêndices: evidências, saída das ferramentas e detalhes da metodologia.

Um bom achado

## F-01  Autorização quebrada em nível de objeto em /api/invoices/{id}

**Severidade:** Alta (CVSS v3.1 8.1, AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N)
**Afetado:** https://api.example.com/v2/invoices/{id}
**Categoria:** OWASP API Security: Broken Object Level Authorization

### Resumo
Qualquer usuário autenticado pode ler e modificar as faturas de qualquer cliente alterando o id.

### Impacto
Um atacante com uma conta gratuita pode ler os dados de cobrança de todos os clientes e alterar os totais das faturas. Afeta todos os clientes.

### Passos para reproduzir
1. Faça login como tester-a e anote o id de uma fatura (1041).
2. Faça login como tester-b e envie `GET /api/invoices/1041`.
3. A resposta é 200 com a fatura do tester-a.

### Evidências
evidence/F-01-request.txt, evidence/F-01-response.txt

### Remediação
Autorize no servidor por propriedade em cada requisição (restrinja a consulta ao usuário autenticado). Retorne o mesmo 404 para "não encontrado" e "não é seu". Adicione um teste de regressão com dois usuários.

### Referências
OWASP Top 10 A01 Broken Access Control

Classificando o risco

Depois do relatório

• Apresente os achados críticos aos engenheiros do cliente; uma conversa esclarece dúvidas mais rápido do que um documento.
• Combine responsáveis e datas, e acompanhe as correções no próprio issue tracker do cliente.
• Reteste: verifique se cada correção realmente fecha o problema e reporte o resultado. É comum que correções bloqueiem apenas o caso de teste exato.
• Trate os dados: entregue o relatório com segurança e apague ou devolva os dados do cliente conforme combinado.
• Realimente as lições: causas-raiz recorrentes devem virar orientação de design, testes e treinamento.