Struktura raportu

Test penetracyjny jest wartościowy tylko w takim stopniu, w jakim wartościowy jest tworzony przez niego raport. Ustalenia pozostają w pamięci testera i narzędziach, dopóki nie zostaną jasno zapisane.

Dobrze uporządkowany raport służy dwóm bardzo różnym grupom odbiorców: kadrze zarządzającej, która decyduje o budżecie i ryzyku, oraz inżynierom, którzy faktycznie usuwają problemy.

• Kadra zarządzająca potrzebuje ogólnego obrazu.
• Inżynierowie potrzebują dokładnych szczegółów technicznych.

Jeśli raport będzie jednym długim dokumentem technicznym, kadra zarządzająca go nie przeczyta. Jeśli zawrze się w nim tylko podsumowania wysokiego poziomu, inżynierowie nie będą mogli podjąć działań.

Rozwiązaniem jest podzielenie raportu na warstwy: na początku należy umieścić podsumowanie dla kadry zarządzającej, a następnie coraz bardziej szczegółowe sekcje techniczne. Każdy czytelnik może zakończyć lekturę w miejscu, w którym kończy się jego potrzeba.

Większość profesjonalnych raportów z testów penetracyjnych ma rozpoznawalny szkielet. Warto zapamiętać tę kolejność.

Należy używać jej jako szablonu przy każdym zleceniu.

Podsumowanie dla kadry zarządzającej zajmuje jedną stronę i jest napisane prostym językiem biznesowym. Nie należy umieszczać w nim nazw narzędzi ani payloadów.

Odpowiada ono na trzy pytania:

• W jakim stopniu jesteśmy obecnie narażeni?
• Jakie są najpoważniejsze rodzaje ryzyka?
• Co należy zrobić w pierwszej kolejności?

Ta sekcja dokładnie określa co zostało przetestowane i w jaki sposób. Chroni to zarówno wykonawcę, jak i klienta.

Należy udokumentować cele objęte zakresem, systemy wyłączone z zakresu, okno testowe oraz zastosowany standard.

Zwarta tabela podsumowania ryzyka pozwala czytelnikowi w kilka sekund zrozumieć cały zakres zlecenia.

Należy wymienić każde ustalenie wraz z poziomem ważności, aby czytelnik mógł od razu zobaczyć rozkład wyników.

To techniczne centrum raportu. Każde ustalenie jest samodzielnym wpisem opartym na spójnym szablonie.

Powtarzalny szablon ułatwia czytanie ustaleń i śledzenie ich w kolejnych zleceniach.

Każde ustalenie musi być możliwe do odtworzenia. Należy dołączyć dokładne żądanie, zrzut ekranu lub wynik polecenia, które je potwierdzają.

Przed umieszczeniem dowodów w raporcie należy usunąć z nich wszelkie rzeczywiste dane klienta lub je zanonimizować.

Poprawki należy pogrupować w plan działań naprawczych uporządkowany według priorytetu, a nie kolejności ustaleń. Najpierw należy zająć się problemami krytycznymi.

W ten sposób lista problemów staje się planem działania, który klient może rzeczywiście zrealizować.

• Natychmiast: ustalenia krytyczne i o wysokim poziomie ważności.
• Krótki termin: ustalenia o średnim poziomie ważności.
• Backlog: ustalenia o niskim poziomie ważności i informacyjne.

Załączniki zawierają obszerne materiały referencyjne, które zaśmiecałyby główną treść: pełne wyniki narzędzi, kompletną listę hostów oraz harmonogram zlecenia.

Należy zachować czytelność głównej treści, a surowe dane przenieść tutaj.

W całym raporcie należy stosować jedną spójną skalę ważności, jeden szablon ustaleń oraz profesjonalny, neutralny ton.

Należy unikać obwiniania i przesadnych sformułowań. Trzeba przedstawiać fakty, dowody i wpływ. Raport jest dokumentem, z którym po latach mogą zapoznawać się audytorzy i prawnicy.

Należy sprawdzić zrozumienie struktury raportu.

Poznali Państwo standardową strukturę raportu z testu penetracyjnego.

• Raporty służą dwóm grupom odbiorców: kadrze zarządzającej i inżynierom.
• Szkielet obejmuje: podsumowanie dla kadry zarządzającej, zakres, podsumowanie ryzyka, ustalenia, działania naprawcze i załączniki.
• Każde ustalenie musi dać się odtworzyć na podstawie zanonimizowanych dowodów.
• Plan działań naprawczych porządkuje poprawki według priorytetu.
• Należy zachować neutralny ton i spójne skale ważności.

W następnej części poznają Państwo sposób oceniania ryzyka za pomocą CVSS.