安全測試與弱點掃描報告範本（Security Scan Report Template）

適用標準：OWASP Testing Guide v4.2、CVSS 3.1（Common Vulnerability Scoring System）、CWE
適用階段：測試驗證階段（Testing Phase）
負責角色：AppSec 工程師、資安測試人員、QA Lead

📑 章節目錄

1. 文件資訊
2. 測試摘要
3. 測試範圍與方法
4. 弱點總覽
5. 弱點詳細報告
6. 合規檢核結果
7. 修復計畫
8. 結論與建議
9. 附錄

📝 範本

1. 文件資訊

2. 測試摘要

弱點統計

3. 測試範圍與方法

3.1 測試範圍

3.2 測試方法

3.3 測試依據

4. 弱點總覽

4.1 依嚴重度分佈

4.2 依類型分佈

4.3 依 OWASP Top 10 分佈

5. 弱點詳細報告

VULN-[NNN]: [弱點標題]

描述：

[詳細描述弱點的性質與成因]

影響：

[描述此弱點被利用後可能造成的危害]

重現步驟：

1. [步驟 1]
2. [步驟 2]
3. [步驟 3]

證據：

[Request/Response 片段或截圖參考]

修復建議：

[具體的修復方法與安全程式碼範例]

// 修復前（不安全）
[insecure code snippet]

// 修復後（安全）
[secure code snippet]

參考資源：

• [相關 CVE / CWE / OWASP 頁面連結]

6. 合規檢核結果

6.1 OWASP ASVS 合規

7. 修復計畫

7.1 修復優先順序

7.2 風險接受記錄

8. 結論與建議

9. 附錄

9.1 工具掃描完整報告

9.2 測試環境細節

[補充測試環境配置細節]

📖 使用說明

CVSS 嚴重度定義

弱點管理流程

graph LR
    A[掃描發現] --> B[驗證確認]
    B -->|True Positive| C[分級評估]
    B -->|False Positive| D[標記 FP]
    C --> E{嚴重度}
    E -->|Critical/High| F[立即修復]
    E -->|Medium/Low| G[排入 Backlog]
    F --> H[驗證修復]
    G --> H
    H -->|Pass| I[關閉]
    H -->|Fail| F

💡 範例（以 HRMS 人力資源管理系統為例）

範例：弱點報告

VULN-001: IDOR - 員工薪資資訊未授權存取

描述：
一般員工角色可透過修改 URL 中的 employeeId 參數，存取其他員工的薪資資訊，API 未驗證當前用戶是否有權限存取目標員工資料。

重現步驟：

1. 以一般員工帳號 (EMP-001) 登入系統
2. 正常查詢自己的薪資 GET /api/salary/EMP-001 → 200 OK
3. 修改 URL 為 GET /api/salary/EMP-042 → 200 OK（應為 403）

修復建議：

// 修復前
@GetMapping("/api/salary/{employeeId}")
public SalaryDto getSalary(@PathVariable String employeeId) {
    return salaryService.findByEmployeeId(employeeId);
}

// 修復後 - 加入權限檢查
@GetMapping("/api/salary/{employeeId}")
@PreAuthorize("hasRole('HR') or #employeeId == authentication.principal.employeeId")
public SalaryDto getSalary(@PathVariable String employeeId) {
    return salaryService.findByEmployeeId(employeeId);
}

VULN-002: 第三方套件高風險 CVE

📌 審閱重點

• 所有 Critical/High 弱點是否都有修復計畫或接受風險記錄？
• False Positive 是否有驗證依據？
• 修復建議是否具體可行（非僅描述問題）？
• SCA 掃描是否涵蓋所有直接與間接依賴？
• 合規結果是否滿足上線的最低門檻？