Memeriksa temuan scan: false positive, risiko, dan retest

Apa itu false positive?

False positive adalah laporan yang menyatakan ada masalah, tetapi pemeriksaan menunjukkan kondisi masalah tersebut tidak berlaku pada objek yang dinilai. Temuan yang belum sempat diperiksa bukan false positive. Kerentanan yang sengaja ditunda juga tetap kerentanan, meskipun penundaannya disetujui.

False negative berarti masalah ada tetapi tidak terdeteksi. Karena itu, jumlah temuan yang kecil belum menunjukkan mutu pengamanan atau kelengkapan alat.

Periksa identitas temuan dahulu

Catat ID temuan, aturan alat, aset, versi kode atau paket, waktu, dan bukti awal. Pastikan laporan menunjuk rilis yang sedang dinilai. Gabungkan laporan berulang dengan hati-hati; lokasi atau kondisi berbeda bisa membutuhkan perbaikan yang berbeda.

Pada SAST, periksa alur data dan perlindungan yang benar-benar diterapkan. Pada DAST, periksa permintaan serta respons dan dampaknya. Pada SCA, cocokkan komponen, versi terpasang, rentang terdampak, dan konfigurasi. Jangan mencoba bukti konsep pada sistem pihak lain tanpa izin.

Contoh: peringatan SQL injection

Contoh fiktif: alat menandai fungsi pencarian faktur karena melihat masukan pengguna dekat kueri. Pengembang menunjukkan bahwa nilai diteruskan sebagai parameter, lalu pemeriksa menelusuri jalur yang dilaporkan dan menguji versi yang sama dengan data buatan.

Jika jalur tersebut memang tidak menyusun masukan menjadi struktur SQL, keputusan dapat dicatat sebagai false positive untuk lokasi itu. Kesimpulan ini tidak otomatis berlaku pada seluruh repositori. Pengurutan kolom dinamis, misalnya, masih perlu pemeriksaan tersendiri. Lihat panduan SQL injection.

Pisahkan status dan alasan keputusan

Status	Bukti yang dibutuhkan
Perlu verifikasi	Pertanyaan yang belum terjawab dan pemeriksa berikutnya
Dikonfirmasi	Kondisi yang berlaku, dampak, dan lokasi pada versi terkait
False positive	Alasan teknis, bukti pemeriksaan, serta batas kesimpulan
Ditunda atau dikecualikan	Penerima risiko yang berwenang, alasan, batas waktu dan kontrol sementara
Diperbaiki dan diuji ulang	Perubahan, versi baru, hasil retest serta uji fungsi sah

Tabel adalah contoh alur kerja Kompli, bukan status baku semua alat. Pembatasan sementara tidak sama dengan menghilangkan penyebab. Jangan menyembunyikan temuan global hanya agar pemeriksaan otomatis berwarna hijau.

Retest harus menjawab temuan awal

Ulangi kondisi yang relevan pada versi perbaikan, lalu periksa bahwa fungsi yang sah tetap berjalan. Tambahkan uji regresi bila memungkinkan supaya masalah tidak muncul kembali. Catat pemeriksa, waktu, lingkungan, hasil, serta bagian yang belum tercakup.

Untuk pengecualian, tentukan kapan ditinjau lagi, misalnya saat komponen, konfigurasi, atau paparan berubah. Gunakan pengelolaan kerentanan untuk penanggung jawab dan tenggat. Bukti penutupan harus menjelaskan perubahan risiko, bukan hanya hilangnya baris dari dashboard.