Struktur Laporan

Nilai sebuah pengujian penetrasi hanya sebesar nilai laporan yang dihasilkannya. Temuan hanya tersimpan dalam ingatan dan alat Anda sampai dituliskan dengan jelas.

Laporan yang terstruktur dengan baik melayani dua audiens yang sangat berbeda: eksekutif yang memutuskan anggaran dan risiko, serta insinyur yang benar-benar memperbaiki masalah.

• Eksekutif membutuhkan gambaran umum.
• Insinyur membutuhkan detail teknis yang tepat.

Jika Anda menulis satu dokumen teknis yang panjang, eksekutif tidak akan membacanya. Jika Anda hanya menulis ringkasan tingkat tinggi, insinyur tidak dapat menindaklanjutinya.

Solusinya adalah membagi laporan menjadi lapisan: ringkasan eksekutif di bagian awal, lalu bagian teknis yang semakin mendalam. Setiap pembaca dapat berhenti saat kebutuhannya telah terpenuhi.

Sebagian besar laporan pengujian penetrasi profesional mengikuti kerangka yang mudah dikenali. Hafalkan urutan ini.

Gunakan kerangka ini sebagai templat untuk setiap penugasan.

Ringkasan eksekutif terdiri dari satu halaman dan ditulis dalam bahasa bisnis yang mudah dipahami. Tanpa nama alat dan tanpa muatan.

Ringkasan ini menjawab tiga pertanyaan:

• Seberapa terbuka kita terhadap serangan saat ini?
• Apa risiko yang paling serius?
• Apa yang harus kita lakukan terlebih dahulu?

Bagian ini menjelaskan dengan tepat apa yang diuji dan bagaimana caranya. Bagian ini melindungi Anda dan klien.

Dokumentasikan target dalam cakupan, sistem di luar cakupan, jangka waktu pengujian, dan standar yang Anda ikuti.

Tabel ringkasan risiko yang ringkas memungkinkan pembaca memahami keseluruhan penugasan dalam hitungan detik.

Cantumkan setiap temuan beserta tingkat keparahannya agar pembaca dapat melihat distribusinya secara sekilas.

Bagian ini merupakan inti teknis laporan. Setiap temuan adalah entri mandiri dengan templat yang konsisten.

Templat yang dapat digunakan berulang kali membuat temuan mudah dibaca dan dilacak di berbagai penugasan.

Setiap temuan harus dapat direproduksi. Sertakan permintaan, tangkapan layar, atau keluaran perintah yang tepat sebagai bukti.

Hapus atau samarkan data pelanggan nyata dari bukti sebelum memasukkannya ke laporan.

Kelompokkan perbaikan ke dalam peta jalan yang diurutkan berdasarkan prioritas, bukan berdasarkan urutan temuan. Masalah kritis harus didahulukan.

Dengan demikian, daftar masalah berubah menjadi rencana tindakan yang benar-benar dapat dijalankan oleh klien.

• Segera: temuan kritis dan tinggi.
• Jangka pendek: temuan menengah.
• Daftar tunggu: temuan rendah dan informatif.

Lampiran memuat materi referensi berukuran besar yang akan memenuhi isi utama, seperti keluaran alat lengkap, daftar komputer lengkap, dan lini masa penugasan.

Jaga agar isi utama tetap mudah dibaca; pindahkan data mentah ke sini.

Gunakan satu skala tingkat keparahan yang konsisten, satu templat temuan, serta nada yang profesional dan netral di seluruh laporan.

Hindari menyalahkan pihak lain dan hindari melebih-lebihkan. Nyatakan fakta, bukti, dan dampaknya. Laporan ini merupakan catatan yang mungkin dibaca oleh auditor dan pengacara bertahun-tahun kemudian.

Uji pemahaman Anda tentang struktur laporan.

Anda telah mempelajari struktur standar laporan pengujian penetrasi.

• Laporan melayani dua audiens: eksekutif dan insinyur.
• Kerangkanya: ringkasan eksekutif, cakupan, ringkasan risiko, temuan, perbaikan, dan lampiran.
• Setiap temuan harus dapat direproduksi dengan bukti yang telah disamarkan.
• Peta jalan perbaikan mengurutkan perbaikan berdasarkan prioritas.
• Pertahankan nada yang netral dan skala tingkat keparahan yang konsisten.

Selanjutnya, Anda akan mempelajari cara menilai risiko dengan CVSS.