Structure d’un rapport

Un test d’intrusion n’a de valeur qu’à hauteur du rapport qu’il produit. Les résultats restent dans votre tête et vos outils jusqu’à ce que vous les consigniez clairement.

Un rapport bien structuré s’adresse à deux publics très différents : les cadres dirigeants, qui décident du budget et du risque, et les ingénieurs, qui corrigent réellement les problèmes.

• Les cadres dirigeants ont besoin d’une vue d’ensemble.
• Les ingénieurs ont besoin de détails techniques précis.

Si vous rédigez un long document technique unique, les cadres dirigeants ne le liront pas. Si vous rédigez uniquement des synthèses de haut niveau, les ingénieurs ne pourront pas agir.

La solution consiste à diviser le rapport en couches : un résumé destiné à la direction au début, puis des sections techniques progressivement plus approfondies. Chaque lecteur s’arrête lorsque ses besoins sont couverts.

La plupart des rapports professionnels de test d’intrusion suivent une structure reconnaissable. Retenez cet ordre.

Utilisez-la comme modèle pour chaque mission.

Le résumé exécutif tient sur une page et est rédigé dans un langage professionnel clair. Aucun nom d’outil ni aucune charge utile.

Il répond à trois questions :

• Dans quelle mesure sommes-nous exposés actuellement ?
• Quels sont les risques les plus graves ?
• Que devons-nous faire en premier ?

Cette section définit précisément ce qui a été testé et de quelle manière. Elle vous protège, ainsi que le client.

Documentez les cibles incluses dans le périmètre, les systèmes hors périmètre, la période du test et la norme que vous avez suivie.

Un tableau récapitulatif des risques compact permet au lecteur de comprendre l’ensemble de la mission en quelques secondes.

Répertoriez chaque constat avec son niveau de gravité afin que le lecteur puisse voir immédiatement leur répartition.

C’est le cœur technique du rapport. Chaque constat constitue une entrée autonome fondée sur un modèle cohérent.

Un modèle reproductible rend les constats faciles à lire et à suivre au fil de plusieurs missions.

Chaque constat doit être reproductible. Incluez la requête exacte, la capture d’écran ou la sortie de commande qui le prouve.

Supprimez ou masquez toute donnée réelle du client dans les preuves avant de les intégrer au rapport.

Regroupez les corrections dans une feuille de route classée par priorité, et non selon l’ordre des constats. Les problèmes critiques passent en premier.

Vous transformez ainsi une liste de problèmes en plan d’action que le client peut réellement mettre en œuvre.

• Immédiat : constats critiques et de gravité élevée.
• Court terme : constats de gravité moyenne.
• À traiter ultérieurement : constats de faible gravité et constats informatifs.

Les annexes contiennent les documents de référence volumineux qui encombreraient le corps principal : sortie complète des outils, liste complète des hôtes et chronologie de la mission.

Gardez le corps principal lisible ; placez-y les données brutes.

Utilisez partout une même échelle de gravité, un même modèle de constat et un ton professionnel et neutre.

Évitez les reproches et l’exagération. Présentez les faits, les preuves et l’impact. Le rapport constitue une archive que des auditeurs et des avocats pourront consulter plusieurs années plus tard.

Vérifiez votre compréhension de la structure d’un rapport.

Vous avez appris la structure standard d’un rapport de test d’intrusion.

• Les rapports s’adressent à deux publics : les cadres dirigeants et les ingénieurs.
• La structure : résumé exécutif, périmètre, récapitulatif des risques, constats, corrections, annexes.
• Chaque constat doit être reproductible à l’aide de preuves dont les données sensibles ont été masquées.
• Une feuille de route de correction classe les corrections par priorité.
• Conservez un ton neutre et des échelles de gravité cohérentes.

Vous apprendrez ensuite à évaluer le risque avec CVSS.