Teste de penetração - redação de relatório
Não é necessário que um testador de penetração experiente possa escrever um bom relatório, pois escrever um relatório de teste de penetração é uma arte que precisa ser aprendida separadamente.
O que é a redação de relatórios?
Em testes de penetração, a redação de relatórios é uma tarefa abrangente que inclui metodologia, procedimentos, explicação adequada do conteúdo e design do relatório, exemplo detalhado de relatório de teste e experiência pessoal do testador. Uma vez que o relatório é preparado, ele é compartilhado entre a equipe de gerenciamento sênior e a equipe técnica das organizações-alvo. Se tal tipo de necessidade surgir no futuro, este relatório é usado como referência.
Estágios de redação de relatórios
Devido ao trabalho de escrita abrangente envolvido, a escrita do relatório de penetração é classificada nas seguintes fases -
- Planejamento de Relatório
- Coleta de informações
- Escrevendo o primeiro rascunho
- Revisão e finalização
Planejamento de Relatório
O planejamento do relatório começa com os objetivos, que ajudam os leitores a entender os principais pontos do teste de penetração. Esta parte descreve por que o teste é realizado, quais são os benefícios do teste de caneta, etc. Em segundo lugar, o planejamento do relatório também inclui o tempo gasto para o teste.
Os principais elementos da redação de relatórios são -
Objectives - Descreve o propósito geral e os benefícios do teste de caneta.
Time- A inclusão do tempo é muito importante, pois dá o status preciso do sistema. Suponha que, se algo errado acontecer mais tarde, este relatório salvará o testador, pois o relatório ilustrará os riscos e vulnerabilidades no escopo do teste de penetração durante o período específico de tempo.
Target Audience - O relatório do teste de caneta também deve incluir o público-alvo, como gerente de segurança da informação, gerente de tecnologia da informação, diretor de segurança da informação e equipe técnica.
Report Classification- Uma vez que é altamente confidencial que carrega endereços IP de servidor, informações de aplicativos, vulnerabilidade, ameaças, ele precisa ser classificado corretamente. No entanto, essa classificação precisa ser feita com base na organização-alvo que possui uma política de classificação de informações.
Report Distribution- Número de cópias e distribuição do relatório devem ser mencionados no escopo do trabalho. Também é necessário mencionar que as cópias impressas podem ser controladas imprimindo um número limitado de cópias anexadas com seu número e o nome do destinatário.
Coleta de informações
Devido aos processos complicados e demorados, o pen tester deve mencionar todas as etapas para garantir que coletou todas as informações em todas as etapas do teste. Junto com os métodos, ele também precisa mencionar sobre os sistemas e ferramentas, resultados de varredura, avaliações de vulnerabilidade, detalhes de suas descobertas, etc.
Escrevendo o primeiro rascunho
Antes, o testador está pronto com todas as ferramentas e informações, agora ele precisa iniciar o primeiro rascunho. Primeiramente, ele precisa escrever o primeiro rascunho nos detalhes - mencionando tudo, ou seja, todas as atividades, processos e experiências.
Revisão e finalização
Depois de redigido o relatório, ele deve ser revisado primeiro pelo próprio redator e, em seguida, por seus superiores ou colegas que podem tê-lo auxiliado. Durante a revisão, espera-se que o revisor verifique todos os detalhes do relatório e encontre qualquer falha que precise ser corrigida.
Conteúdo do relatório de teste de penetração
A seguir está o conteúdo típico de um relatório de teste de penetração -
Sumário executivo
Metodologia
Detalhadas descobertas
Referências
|