Estructura de informes

Una prueba de penetración solo es tan valiosa como el informe que produce. Los hallazgos permanecen en su memoria y en sus herramientas hasta que los documenta con claridad.

Un informe bien estructurado está dirigido a dos públicos muy diferentes: los ejecutivos, que toman decisiones sobre presupuesto y riesgo, y los ingenieros, que realmente corrigen los problemas.

• Los ejecutivos necesitan una visión general.
• Los ingenieros necesitan detalles técnicos exactos.

Si escribe un documento técnico extenso, los ejecutivos no lo leerán. Si escribe únicamente resúmenes de alto nivel, los ingenieros no podrán actuar.

La solución es dividir el informe en capas: un resumen ejecutivo al principio y, después, secciones técnicas progresivamente más detalladas. Cada lector se detiene cuando deja de necesitar más información.

La mayoría de los informes profesionales de pentest siguen un esquema reconocible. Memorice este orden.

Utilícelo como plantilla para cada trabajo.

El resumen ejecutivo ocupa una página y está escrito en un lenguaje empresarial claro. No incluye nombres de herramientas ni payloads.

Responde a tres preguntas:

• ¿Qué nivel de exposición tenemos ahora mismo?
• ¿Cuáles son los riesgos más graves?
• ¿Qué debemos hacer primero?

Esta sección define exactamente qué se probó y cómo. Protege tanto a usted como al cliente.

Documente los objetivos incluidos en el alcance, los sistemas excluidos, la ventana de pruebas y la norma que siguió.

Una tabla resumen de riesgos concisa permite al lector comprender todo el trabajo en cuestión de segundos.

Enumere cada hallazgo junto con su gravedad para que el lector pueda ver la distribución de un vistazo.

Este es el núcleo técnico del informe. Cada hallazgo es una entrada independiente con una plantilla coherente.

Una plantilla repetible facilita la lectura de los hallazgos y su seguimiento a lo largo de varios trabajos.

Todo hallazgo debe ser reproducible. Incluya la solicitud exacta, la captura de pantalla o la salida del comando que lo demuestra.

Elimine o redacte cualquier dato real del cliente en las evidencias antes de incorporarlas al informe.

Agrupe las correcciones en una hoja de ruta ordenada por prioridad, no por el orden de los hallazgos. Los problemas críticos deben aparecer primero.

Así, una lista de problemas se convierte en un plan de acción que el cliente puede ejecutar realmente.

• Inmediato: hallazgos críticos y altos.
• A corto plazo: hallazgos medios.
• Backlog: hallazgos bajos e informativos.

Los apéndices contienen material de referencia voluminoso que recargaría el cuerpo principal: la salida completa de las herramientas, la lista completa de hosts y la cronología del trabajo.

Mantenga legible el cuerpo principal y coloque aquí los datos sin procesar.

Utilice una única escala de gravedad coherente, una única plantilla para los hallazgos y un tono profesional y neutral en todo el informe.

Evite culpar y evite exagerar. Exponga los hechos, las evidencias y el impacto. El informe es un registro que los auditores y abogados podrían leer años más tarde.

Compruebe su comprensión de la estructura de un informe.

Ha aprendido la estructura estándar de un informe de prueba de penetración.

• Los informes se dirigen a dos públicos: ejecutivos e ingenieros.
• El esquema es: resumen ejecutivo, alcance, resumen de riesgos, hallazgos, correcciones y apéndices.
• Todo hallazgo debe ser reproducible mediante evidencias redactadas.
• Una hoja de ruta de corrección ordena las soluciones por prioridad.
• Mantenga un tono neutral y escalas de gravedad coherentes.

A continuación aprenderá a puntuar el riesgo con CVSS.