# AXION — навчальний зразок звіту з безпеки

**Статус: демонстраційні дані.** Це вигаданий навчальний сценарій, який показує формат документа. Це не відгук, не клієнтський кейс і не результат перевірки реального сайту.

## Обсяг прикладу

Умовний застосунок: AXION Security Lab. Один REST-запит, дві демонстраційні особи — власник запису і сторонній користувач. Ідентифікатори умовні. Реальне середовище не сканувалося.

## LAB-01 — недостатня перевірка власника запису

**Умова:** користувач увійшов до системи, але не є власником запитаного запису.

**Навчальне спостереження:** зміна ідентифікатора у GET /api/records/other повертає HTTP 200 із чужими даними.

**Очікувана поведінка:** сервер відмовляє в доступі до чужого запису. Власний запис залишається доступним.

**Можливий вплив:** розкриття даних іншого користувача. У реальному звіті пріоритет визначається з урахуванням фактичних даних, доступності атаки та погодженої моделі ризику.

## Послідовність перевірки в навчальному середовищі

1. Створити двох тестових користувачів та по одному запису для кожного.
2. Авторизуватися як перший користувач.
3. Перевірити доступ до власного запису.
4. Запитати запис другого користувача.
5. Зафіксувати код відповіді та мінімально необхідний доказ, вилучивши зайві персональні дані й токени.

## Рекомендація

Перевіряти автентифікацію та належність запису користувачеві на сервері до повернення даних. Не покладатися на приховування кнопки в інтерфейсі або складність ідентифікатора.

## Критерії приймання після виправлення

| Перевірка | Очікуваний результат |
| --- | --- |
| Чужий запис | HTTP 403 або погоджена відповідь без розкриття даних |
| Власний запис | HTTP 200 і лише дозволені дані |
| Відсутня авторизація | Відмова в доступі |

У реальному звіті до ретесту додаються дата, версія застосунку, середовище, фактичні результати й статус кожної знахідки. Цей зразок не є підтвердженням фактичного ретесту.

## Що входить у передачу повного звіту

Погоджений перелік активів; методика й межі; підтверджені знахідки; докази; рекомендації; перелік неперевіреного; підсумок для бізнесу; результати ретесту, якщо він включений у пакет.

AXION Digital — https://axiondigitalua.com/poslugy/kiberbezpeka