レポートの構成

ペネトレーションテストの価値は、作成するレポートの質に左右されます。調査結果は、明確に書き留めるまで、頭の中やツールの中にあるだけです。

適切に構成されたレポートは、性質の大きく異なる2つの読者層に対応します。予算とリスクを決定する経営層と、実際に問題を修正するエンジニアです。

• 経営層には全体像が必要です。
• エンジニアには正確な技術的詳細が必要です。

長大な技術文書を1つ作成すると、経営層は読んでくれません。概要だけを記載すると、エンジニアは行動に移せません。

解決策は、レポートを階層に分けることです。最初にエグゼクティブサマリーを置き、その後に技術的な詳細を段階的に深めていきます。読者は、自分に必要なところまで読めばよいのです。

プロフェッショナルなペネトレーションテストのレポートの多くは、見慣れた構成に従っています。この順序を覚えてください。

すべての案件で、この構成をテンプレートとして使用してください。

エグゼクティブサマリーは1ページで、平易なビジネス用語を使って記述します。ツール名やペイロードは記載しません。

次の3つの質問に答えます。

• 現在、私たちはどの程度さらされているか。
• 最も深刻なリスクは何か。
• 最初に何をすべきか。

このセクションでは、何をテストしたかと、その方法を正確に定義します。これは、あなたとクライアントの双方を守ります。

対象範囲内のターゲット、対象範囲外のシステム、テスト期間、準拠した標準を記録してください。

簡潔なリスクサマリーテーブルを使うと、読者は案件全体を数秒で把握できます。

各調査結果を深刻度とともに一覧にし、分布をひと目で確認できるようにしてください。

ここがレポートの技術的な中心です。各調査結果は、一貫したテンプレートを使用した自己完結型の項目にします。

繰り返し使えるテンプレートにより、調査結果を読みやすく、複数の案件にわたって追跡しやすくできます。

すべての調査結果は再現可能でなければなりません。それを証明する正確なリクエスト、スクリーンショット、またはコマンド出力を含めてください。

証拠をレポートに掲載する前に、実際の顧客データを削除またはマスキングしてください。

修正内容は、調査結果の順番ではなく、優先度順のロードマップにまとめてください。重大な問題を最初に扱います。

これにより、問題の一覧をクライアントが実際に実行できるアクションプランに変えられます。

• 即時：重大および高の調査結果。
• 短期：中の調査結果。
• バックログ：低および情報提供目的の項目。

付録には、本文に含めると読みにくくなる大量の参考資料を収めます。完全なツール出力、ホストの全一覧、案件のタイムラインなどです。

本文の読みやすさを保ち、生データはここに移してください。

レポート全体で、深刻度の尺度、調査結果のテンプレート、専門的で中立的なトーンを統一してください。

非難や誇張は避けてください。事実、証拠、影響を述べます。レポートは、何年も後に監査人や弁護士が読む可能性のある記録です。

レポートの構成について理解度を確認してください。

ペネトレーションテストのレポートにおける標準的な構成を学びました。

• レポートは、経営層とエンジニアという2つの読者層に対応します。
• 構成は、エグゼクティブサマリー、スコープ、リスクサマリー、調査結果、修正、付録です。
• すべての調査結果は、マスキング済みの証拠によって再現可能にする必要があります。
• 修正ロードマップでは、修正内容を優先度順に並べます。
• トーンを中立に保ち、深刻度の尺度を統一してください。

次は、CVSSを使ったリスクのスコアリングについて学びます。