Struttura del report

Un test di penetrazione ha valore solo quanto il report che produce. I risultati restano nella mente di chi esegue il test e nei suoi strumenti finché non vengono messi per iscritto con chiarezza.

Un report ben strutturato si rivolge a due pubblici molto diversi: dirigenti che decidono in merito a budget e rischi, e ingegneri che risolvono concretamente i problemi.

• I dirigenti hanno bisogno del quadro generale.
• Gli ingegneri hanno bisogno di dettagli tecnici precisi.

Se redige un unico documento tecnico e molto lungo, i dirigenti non lo leggeranno. Se redige solo riepiloghi di alto livello, gli ingegneri non potranno intervenire.

La soluzione consiste in un report suddiviso in livelli: un riepilogo per i dirigenti all'inizio, seguito da sezioni tecniche progressivamente più approfondite. Ogni lettore si ferma quando le proprie esigenze sono soddisfatte.

La maggior parte dei report professionali di pentest segue una struttura riconoscibile. Memorizzi quest'ordine.

Lo utilizzi come modello per ogni incarico.

Il riepilogo per i dirigenti occupa una pagina ed è scritto in un linguaggio aziendale semplice. Nessun nome di strumento né payload.

Risponde a tre domande:

• Quanto siamo esposti in questo momento?
• Quali sono i rischi più gravi?
• Qual è la prima cosa da fare?

Questa sezione definisce esattamente cosa è stato sottoposto a test e in che modo. Tutela sia Lei sia il cliente.

Documenti gli obiettivi inclusi nell'ambito, i sistemi esclusi, la finestra temporale dei test e lo standard seguito.

Una tabella riepilogativa dei rischi compatta consente al lettore di comprendere l'intero incarico in pochi secondi.

Elenchi ogni risultato con la relativa gravità, così che il lettore possa vedere a colpo d'occhio la distribuzione.

Questo è il cuore tecnico del report. Ogni risultato è una voce autonoma con un modello coerente.

Un modello ripetibile rende i risultati facili da leggere e da monitorare nel corso di più incarichi.

Ogni risultato deve essere riproducibile. Includa la richiesta esatta, lo screenshot o l'output del comando che lo dimostra.

Rimuova o oscuri qualsiasi dato reale del cliente dalle evidenze prima di inserirle nel report.

Raggruppi le correzioni in una roadmap ordinata per priorità, non secondo l'ordine dei risultati. Le problematiche critiche vengono prima.

In questo modo trasforma un elenco di problemi in un piano d'azione che il cliente può effettivamente attuare.

• Immediato: risultati critici e ad alta gravità.
• Breve termine: risultati di gravità media.
• Backlog: risultati di bassa gravità e informativi.

Le appendici contengono il materiale di riferimento voluminoso che appesantirebbe il corpo principale: l'output completo degli strumenti, l'elenco completo degli host e la cronologia dell'incarico.

Mantenga leggibile il corpo principale; sposti qui i dati grezzi.

Utilizzi un'unica scala di gravità, un unico modello per i risultati e un tono professionale e neutrale in tutto il report.

Eviti di attribuire colpe ed eviti l'enfasi. Esponga fatti, evidenze e impatto. Il report è un documento che potrebbe essere letto da revisori e avvocati anche anni dopo.

Verifichi la comprensione della struttura del report.

Ha appreso la struttura standard di un report di test di penetrazione.

• I report si rivolgono a due pubblici: dirigenti e ingegneri.
• La struttura: riepilogo per i dirigenti, ambito, riepilogo dei rischi, risultati, remediation, appendici.
• Ogni risultato deve essere riproducibile con evidenze oscurate.
• Una roadmap di remediation ordina le correzioni per priorità.
• Mantenga un tono neutrale e scale di gravità coerenti.

Ora imparerà a valutare il rischio con CVSS.