Raportul este singurul lucru care rămâne după un test de penetrare. Un raport bun este citit de două tipuri de oameni: conducerea, care decide bugete și priorități, și echipa tehnică, care repară. Fiecare are nevoie de altceva din el.
Rezumatul pentru conducere
Una sau două pagini, fără jargon: cât de expusă este firma, care sunt cele mai grave probleme, ce impact ar avea asupra activității și ce trebuie făcut urgent. Dacă citiți o singură parte a raportului, aceasta este.
Perimetrul și metodologia
Ce s-a testat, în ce interval, cu ce tip de acces și ce a fost exclus. Această secțiune arată limitele raportului: o aplicație care nu a fost în perimetru nu a fost verificată, chiar dacă raportul arată bine.
Constatările
Fiecare problemă găsită are, de regulă:
- gravitatea: critică, ridicată, medie, scăzută sau informativă, adesea calculată cu un sistem standard precum CVSS;
- descrierea: ce este problema și unde apare;
- impactul: ce ar putea face un atacator;
- dovezile: pașii de reproducere și capturi de ecran;
- remedierea: ce trebuie schimbat concret.
Cum interpretați gravitatea
Gravitatea tehnică nu ține cont întotdeauna de contextul firmei. O problemă „medie” pe aplicația prin care vin toate comenzile poate conta mai mult decât una „ridicată” pe un server de test uitat. Discuția de după raport servește tocmai la ajustarea priorităților la realitatea firmei.
De la raport la plan de lucru
- Problemele critice și ridicate se tratează imediat, cu un responsabil și un termen pentru fiecare.
- Cele medii intră în planificarea obișnuită.
- Cele scăzute și informative se grupează în îmbunătățiri de fond.
- După remediere, o retestare confirmă ce a fost închis.
Raportul conține informații sensibile despre punctele slabe ale firmei. Tratați-l ca pe un document confidențial și distribuiți-l doar celor care au nevoie de el.