После пентеста компания, которая его провела, обязана отправить некоторые документы: технические и исполнительные отчеты.
Они чрезвычайно важны в контексте кибербезопасности и всегда необходимы. Итак, давайте изучим эти документы и поймем, почему они актуальны.
Что такое технические и исполнительные отчеты?
Технические и исполнительные отчеты — это более подробные документы, описывающие этапы пентеста, от этапа планирования до предоставления результатов.
Они включают информацию о методологиях, использованных при тестировании, выявленных уязвимостях, рисках, связанных с каждым найденным недостатком, рекомендации по исправлению обнаруженных проблем и другую информацию, соответствующую контексту.
Разница между ними в том, что тех. отчет предоставляет широкий обзор уязвимостей, обнаруженных в анализируемых в ходе теста системах.
В нем представлены технические данные, необходимые специалистам, отвечающим за безопасность, для понимания потенциальных угроз инфраструктуре компании.
Исполнительный отчет больше ориентирован на менеджеров и лидеров организации, предлагая подход, более связанный с бизнесом, чтобы люди, не осведомленные в теме кибербезопасности, могли более точно понять значение проверки.
Почему эти документы важны?
Отчеты дают точное представление о выявленных пробелах в безопасности. На основе этой информации команда примет упреждающие меры по снижению рисков, пока не стало слишком поздно.
Благодаря этим документам технические группы получат материалы с соответствующими данными о текущем состоянии кибербезопасности компании. Это помогает принимать стратегические решения по усилению защиты от внешних угроз.
Другими словами, хорошие отчеты необходимы для эффективности пентеста.
Как должны выглядеть отчеты о пентестах?
Помимо отправки этих документов, важно, чтобы их качество было удовлетворительным – чтобы они были четкими, объективными, содержали определенную информацию и некоторые другие моменты.
Отчеты о пентестах (пенетрационных тестах) должны быть детально структурированными, чтобы предоставить четкое и полное представление о состоянии безопасности тестируемой системы. Они обычно начинаются с введения, где описываются цели пентеста. Это может включать, например, оценку безопасности конкретных систем или приложений. Далее, в этом разделе указывается объем работ, что включает перечень систем, приложений и сетевых сегментов, охваченных тестированием. Также здесь описывается методология, используемая в ходе пентеста, например, стандарты OWASP, NIST или PTES.
После введения следует обзор, который предоставляет краткое изложение основных результатов. Здесь указываются количество обнаруженных уязвимостей, классифицированных по уровням критичности, таких как высокая, средняя и низкая. Общие выводы обобщают состояние безопасности системы, выявленные тенденции и основные проблемы.
Основная часть отчета посвящена подробным результатам. В этом разделе детально описывается каждая обнаруженная уязвимость. Для каждой уязвимости приводится ее идентификатор или номер, дается подробное объяснение проблемы и ее потенциального воздействия на систему. Также здесь указываются методы, использованные для обнаружения уязвимости, и приводятся доказательства концепции (PoC), такие как примеры или скриншоты, подтверждающие наличие уязвимости. Кроме того, для каждой уязвимости оценивается ее критичность.
Завершающая часть отчета обычно посвящена анализу влияния уязвимостей на бизнес. В этом разделе оцениваются потенциальные риски для бизнеса, связанные с обнаруженными уязвимостями, и даются рекомендации по их устранению. Такой подход позволяет не только техническим специалистам, но и руководству компании понять важность выявленных проблем и предпринять соответствующие меры для их решения.
