Berichtsstruktur

Der Wert eines Penetrationstests hängt maßgeblich von dem Bericht ab, den er hervorbringt. Die Ergebnisse bleiben in Ihrem Kopf und in Ihren Werkzeugen, bis Sie sie klar dokumentieren.

Ein gut strukturierter Bericht richtet sich an zwei sehr unterschiedliche Zielgruppen: Führungskräfte, die über Budget und Risiken entscheiden, und Ingenieure, die die Probleme tatsächlich beheben.

• Führungskräfte benötigen den Gesamtüberblick.
• Ingenieure benötigen genaue technische Details.

Wenn Sie ein langes technisches Dokument schreiben, werden Führungskräfte es nicht lesen. Wenn Sie nur Zusammenfassungen auf hoher Ebene schreiben, können Ingenieure nicht danach handeln.

Die Lösung ist ein in Ebenen gegliederter Bericht: zunächst eine Zusammenfassung für Führungskräfte, gefolgt von zunehmend detaillierteren technischen Abschnitten. Jeder Leser liest nur so weit, wie es sein Bedarf erfordert.

Die meisten professionellen Penetrationstestberichte folgen einem erkennbaren Grundaufbau. Prägen Sie sich diese Reihenfolge ein.

Verwenden Sie sie als Vorlage für jeden Auftrag.

Die Zusammenfassung für Führungskräfte umfasst eine Seite und ist in klarer Geschäftssprache verfasst. Keine Werkzeugnamen, keine Payloads.

Sie beantwortet drei Fragen:

• Wie stark sind wir derzeit exponiert?
• Welche Risiken sind am schwerwiegendsten?
• Was sollten wir zuerst tun?

Dieser Abschnitt legt genau fest, was getestet wurde und wie. Er schützt sowohl Sie als auch den Kunden.

Dokumentieren Sie Ziele innerhalb des Testumfangs, Systeme außerhalb des Testumfangs, das Testfenster und den angewendeten Standard.

Anhand einer kompakten Risikozusammenfassungstabelle kann ein Leser den gesamten Auftrag innerhalb weniger Sekunden erfassen.

Führen Sie jeden Befund mit seinem Schweregrad auf, damit der Leser die Verteilung auf einen Blick erkennen kann.

Dies ist das technische Herzstück des Berichts. Jeder Befund ist ein eigenständiger Eintrag mit einer einheitlichen Vorlage.

Eine wiederverwendbare Vorlage macht Befunde leicht lesbar und über mehrere Aufträge hinweg einfach nachzuverfolgen.

Jeder Befund muss reproduzierbar sein. Fügen Sie die genaue Anfrage, einen Screenshot oder die Befehlsausgabe ein, die ihn belegt.

Entfernen oder schwärzen Sie alle echten Kundendaten aus den Belegen, bevor diese in den Bericht aufgenommen werden.

Fassen Sie die Behebungen in einem nach Priorität geordneten Fahrplan zusammen, nicht in der Reihenfolge der Befunde. Kritische Probleme kommen zuerst.

So wird aus einer Problemliste ein Aktionsplan, den der Kunde tatsächlich umsetzen kann.

• Sofort: kritische und hohe Befunde.
• Kurzfristig: mittlere Befunde.
• Rückstand: niedrige und informative Befunde.

In den Anhängen befindet sich umfangreiches Referenzmaterial, das den Hauptteil überladen würde: vollständige Werkzeugausgaben, die komplette Hostliste und der Zeitplan des Auftrags.

Halten Sie den Hauptteil übersichtlich und verschieben Sie Rohdaten hierher.

Verwenden Sie im gesamten Bericht eine einheitliche Skala für Schweregrade, eine einheitliche Vorlage für Befunde und einen professionellen, neutralen Ton.

Vermeiden Sie Schuldzuweisungen und Übertreibungen. Stellen Sie Fakten, Belege und Auswirkungen dar. Der Bericht ist eine Dokumentation, die möglicherweise noch Jahre später von Prüfern und Juristen gelesen wird.

Prüfen Sie Ihr Verständnis der Berichtsstruktur.

Sie haben die Standardstruktur eines Penetrationstestberichts kennengelernt.

• Berichte richten sich an zwei Zielgruppen: Führungskräfte und Ingenieure.
• Der Grundaufbau: Zusammenfassung für Führungskräfte, Umfang, Risikozusammenfassung, Befunde, Behebung und Anhänge.
• Jeder Befund muss anhand geschwärzter Belege reproduzierbar sein.
• Ein Behebungsfahrplan ordnet die Behebungen nach Priorität.
• Halten Sie die Tonalität neutral und die Skalen für Schweregrade einheitlich.

Als Nächstes lernen Sie, wie Sie Risiken mit CVSS bewerten.