Penetration Testing - Scrittura di report

Non è necessario che un penetration tester esperto possa scrivere un buon report, poiché scrivere un report di penetration test è un'arte che deve essere appresa separatamente.

Che cos'è la scrittura di report?

Nei test di penetrazione, la scrittura di report è un'attività completa che include metodologia, procedure, corretta spiegazione del contenuto e del design del report, un esempio dettagliato di report di test e l'esperienza personale del tester. Una volta preparato, il report viene condiviso tra il personale direttivo e il team tecnico delle organizzazioni target. Se in futuro si presentasse un tale tipo di necessità, questo rapporto viene utilizzato come riferimento.

Fasi di scrittura del report

A causa del lavoro di scrittura completo coinvolto, la scrittura di report di penetrazione è classificata nelle seguenti fasi:

• Pianificazione dei rapporti
• Raccolta di informazioni
• Scrivere la prima bozza
• Revisione e finalizzazione

Pianificazione dei rapporti

La pianificazione del report inizia con gli obiettivi, che aiutano i lettori a comprendere i punti principali del penetration test. Questa parte descrive il motivo per cui viene condotto il test, quali sono i vantaggi del test della penna, ecc. In secondo luogo, la pianificazione del report include anche il tempo impiegato per il test.

Gli elementi principali della scrittura del rapporto sono:

• Objectives - Descrive lo scopo generale e i vantaggi del test della penna.

• Time- L'inclusione del tempo è molto importante, in quanto fornisce lo stato preciso del sistema. Supponiamo che, se in seguito si verificasse qualcosa di sbagliato, questo rapporto salverà il tester, poiché il rapporto illustrerà i rischi e le vulnerabilità nell'ambito del test di penetrazione durante il periodo di tempo specifico.

• Target Audience - Il rapporto sul test della penna deve includere anche il pubblico di destinazione, come il responsabile della sicurezza delle informazioni, il responsabile della tecnologia dell'informazione, il responsabile della sicurezza delle informazioni e il team tecnico.

• Report Classification- Poiché è altamente riservato e contiene indirizzi IP del server, informazioni sulle applicazioni, vulnerabilità, minacce, deve essere classificato correttamente. Tuttavia, questa classificazione deve essere effettuata sulla base dell'organizzazione target che ha una politica di classificazione delle informazioni.

• Report Distribution- Il numero di copie e la distribuzione del rapporto devono essere menzionati nell'ambito del lavoro. Va anche ricordato che le copie cartacee possono essere controllate stampando un numero limitato di copie allegate con il suo numero e il nome del destinatario.

Raccolta di informazioni

A causa dei processi complicati e lunghi, il Pen tester deve menzionare ogni passaggio per assicurarsi di aver raccolto tutte le informazioni in tutte le fasi del test. Insieme ai metodi, deve anche menzionare i sistemi e gli strumenti, i risultati della scansione, le valutazioni delle vulnerabilità, i dettagli dei suoi risultati, ecc.

Scrivere la prima bozza

Una volta, il tester è pronto con tutti gli strumenti e le informazioni, ora deve iniziare la prima bozza. In primo luogo, ha bisogno di scrivere la prima bozza nei dettagli, menzionando tutto, cioè tutte le attività, i processi e le esperienze.

Revisione e finalizzazione

Una volta che il rapporto è stato redatto, deve essere esaminato prima dallo stesso redattore e poi dai suoi anziani o colleghi che potrebbero averlo assistito. Durante la revisione, ci si aspetta che il revisore controlli ogni dettaglio del rapporto e trovi qualsiasi difetto da correggere.

Contenuto del rapporto sui test di penetrazione

Di seguito è riportato il contenuto tipico di un rapporto sui test di penetrazione: