Rapor Yapısı

Bir sızma sınaması, ürettiği rapor kadar değerlidir. Bulgular, onları açıkça yazıya dökene kadar zihninizde ve araçlarınızda kalır.

İyi yapılandırılmış bir rapor iki çok farklı kitleye hizmet eder: bütçe ve risk konusunda karar veren yöneticilere ve sorunları gerçekten gideren mühendislere.

• Yöneticiler genel görünümü bilmek ister.
• Mühendisler kesin teknik ayrıntılara ihtiyaç duyar.

Tek uzun bir teknik belge yazarsanız yöneticiler bunu okumaz. Yalnızca üst düzey özetler yazarsanız mühendisler harekete geçemez.

Çözüm, raporu katmanlara ayırmaktır: başta bir yönetici özeti, ardından giderek derinleşen teknik bölümler. Her okuyucu ihtiyacı bittiği yerde durur.

Profesyonel sızma sınaması raporlarının çoğu tanınabilir bir iskeleti izler. Bu sırayı ezberleyin.

Bunu her çalışma için şablon olarak kullanın.

Yönetici özeti bir sayfadır ve sade iş diliyle yazılır. Araç adı yok, yük yok.

Üç soruya yanıt verir:

• Şu anda ne kadar savunmasızız?
• En ciddi riskler nelerdir?
• Önce ne yapmalıyız?

Bu bölüm tam olarak neyin sınandığını ve bunun nasıl yapıldığını tanımlar. Hem sizi hem müşteriyi korur.

Kapsama dahil hedefleri, kapsam dışı sistemleri, sınama zaman aralığını ve izlediğiniz standardı belgeleyin.

Kısa bir risk özeti tablosu, okuyucunun tüm çalışmayı saniyeler içinde kavramasını sağlar.

Her bulguyu önem derecesiyle listeleyin; böylece okuyucu dağılımı tek bakışta görebilir.

Bu bölüm raporun teknik kalbidir. Her bulgu, tutarlı bir şablona sahip, kendi içinde bütün bir kayıt olarak sunulur.

Tekrarlanabilir bir şablon, bulguların okunmasını ve birden çok çalışma boyunca izlenmesini kolaylaştırır.

Her bulgu tekrarlanabilir olmalıdır. Bunu kanıtlayan tam isteği, ekran görüntüsünü veya komut çıktısını ekleyin.

Gerçek müşteri verilerini kanıt rapora girmeden önce çıkarın veya sansürleyin.

Düzeltmeleri bulgu sırasına göre değil, önceliğe göre sıralanmış bir yol haritasında gruplayın. Kritik sorunlar önce gelir.

Bu, sorunlar listesini müşterinin gerçekten uygulayabileceği bir eylem planına dönüştürür.

• Hemen: kritik ve yüksek önem dereceli bulgular.
• Kısa vadede: orta önem dereceli bulgular.
• Bekleyen işler: düşük önem dereceli ve bilgilendirici bulgular.

Ekler, ana gövdeyi karmaşıklaştıracak hacimli başvuru malzemelerini içerir: araçların tam çıktısı, eksiksiz ana bilgisayar listesi ve çalışmanın zaman çizelgesi.

Ana gövdeyi okunabilir tutun; ham verileri buraya taşıyın.

Baştan sona tek bir tutarlı önem derecesi ölçeği, tek bir bulgu şablonu ve profesyonel, tarafsız bir üslup kullanın.

Suçlamalardan ve abartıdan kaçının. Gerçekleri, kanıtı ve etkiyi belirtin. Rapor, yıllar sonra denetçiler ve hukukçular tarafından okunabilecek bir kayıttır.

Rapor yapışını anlayıp anlamadığınızı sınayın.

Bir sızma sınaması raporunun standart yapısını öğrendiniz.

• Raporlar iki kitleye hizmet eder: yöneticiler ve mühendisler.
• İskelet: yönetici özeti, kapsam, risk özeti, bulgular, düzeltme, ekler.
• Her bulgu, sansürlenmiş kanıtla tekrarlanabilir olmalıdır.
• Düzeltme yol haritası, düzeltmeleri önceliğe göre sıralar.
• Üslubu tarafsız, önem derecesi ölçeklerini tutarlı tutun.

Daha sonra CVSS ile risk puanlamayı öğreneceksiniz.