Estrutura de Relatórios

Um teste de invasão só é tão valioso quanto o relatório que produz. Os achados permanecem na sua mente e nas ferramentas até que você os registre com clareza.

Um relatório bem estruturado atende a dois públicos muito diferentes: executivos, que decidem sobre orçamento e risco, e engenheiros, que realmente corrigem os problemas.

• Os executivos precisam da visão geral.
• Os engenheiros precisam dos detalhes técnicos exatos.

Se você escrever um único documento técnico longo, os executivos não o lerão. Se escrever apenas resumos de alto nível, os engenheiros não poderão agir com base nele.

A solução é dividir o relatório em camadas: um resumo executivo no início, seguido de seções técnicas progressivamente mais profundas. Cada leitor para quando sua necessidade é atendida.

A maioria dos relatórios profissionais de testes de invasão segue uma estrutura reconhecível. Memorize esta ordem.

Use-a como modelo para cada trabalho.

O resumo executivo ocupa uma página e é escrito em linguagem empresarial simples. Não inclua nomes de ferramentas nem cargas úteis.

Ele responde a três perguntas:

• Quão expostos estamos neste momento?
• Quais são os riscos mais graves?
• O que devemos fazer primeiro?

Esta seção define exatamente o que foi testado e como. Ela protege tanto você quanto o cliente.

Documente os alvos dentro do escopo, os sistemas fora do escopo, a janela de testes e o padrão seguido.

Uma tabela compacta de resumo dos riscos permite que o leitor compreenda toda a avaliação em segundos.

Liste cada achado com sua gravidade para que o leitor veja a distribuição de imediato.

Este é o núcleo técnico do relatório. Cada achado é um item independente com um modelo consistente.

Um modelo reutilizável torna os achados fáceis de ler e de acompanhar ao longo de vários trabalhos.

Cada achado deve ser reproduzível. Inclua a solicitação exata, a captura de tela ou a saída do comando que o comprova.

Remova ou oculte quaisquer dados reais do cliente das evidências antes de inseri-las no relatório.

Agrupe as correções em um roteiro ordenado por prioridade, não pela ordem dos achados. Os problemas críticos vêm primeiro.

Isso transforma uma lista de problemas em um plano de ação que o cliente pode realmente executar.

• Imediato: achados críticos e altos.
• Curto prazo: achados médios.
• Lista de pendências: achados baixos e informativos.

Os anexos contêm material de referência volumoso que deixaria o corpo principal desorganizado: a saída completa das ferramentas, a lista completa de máquinas e a cronologia do trabalho.

Mantenha o corpo principal legível; mova os dados brutos para cá.

Use uma única escala de gravidade, um único modelo de achado e um tom profissional e neutro em todo o relatório.

Evite atribuir culpa e evite sensacionalismo. Apresente fatos, evidências e impacto. O relatório é um registro que poderá ser lido por auditores e advogados anos depois.

Teste sua compreensão da estrutura do relatório.

Você aprendeu a estrutura padrão de um relatório de teste de invasão.

• Os relatórios atendem a dois públicos: executivos e engenheiros.
• A estrutura: resumo executivo, escopo, resumo dos riscos, achados, correções e anexos.
• Cada achado deve ser reproduzível com evidências que tenham os dados sensíveis ocultos.
• Um roteiro de correção organiza as correções por prioridade.
• Mantenha o tom neutro e as escalas de gravidade consistentes.

Em seguida, você aprenderá a pontuar o risco com CVSS.