Co obsahuje zpráva z penetračního testu: průvodce pro zadavatele

Zpráva je ta část penetračního testu, která přetrvá. Testování probíhá několik dní nebo týdnů; zpráva je podklad, podle kterého vaši vývojáři opravují, který čte vedení a který můžete sdílet se zákazníkem nebo partnerem. Slabá zpráva může pečlivý test zobrazit jako povrchní, zatímco jasná zpráva promění nálezy v rozhodnutí. Tento průvodce vysvětluje, co profesionální zpráva z penetračního testu obvykle obsahuje, jak ji číst a co si vyžádat ještě před zahájením zakázky.

Co to je?

Zpráva z penetračního testu je písemný záznam o tom, co bylo testováno, jak, za jakých podmínek a co bylo zjištěno. Měla by být srozumitelná dvěma skupinám čtenářů. Netechnické zainteresované strany potřebují krátké shrnutí celkového rizika, nejdůležitějších problémů a doporučených priorit. Technické týmy potřebují ke každému nálezu dost podrobností, aby mu porozuměly, mohly jej reprodukovat v bezpečném prostředí a opravit. Dobrá zpráva zaznamenává také svá vlastní omezení: co bylo mimo rozsah, co nebylo možné otestovat a jaké podmínky ovlivnily pokrytí, například nedostupné testovací účty nebo zkrácené časové okno. Bez těchto omezení mohou čtenáři předpokládat, že zpráva pokrývá víc, než ve skutečnosti pokrývá.

Pro koho to je?

Tento průvodce je užitečný pro:

Zadavatele, kteří porovnávají nabídky a chtějí vědět, jaký výstup skutečně obdrží
Vedoucí vývoje, kteří budou nálezy přebírat a musí naplánovat nápravu
Manažery, kteří musí sdílet shrnutí se zákazníkem, partnerem, auditorem nebo představenstvem, aniž by výsledek přeceňovali
Týmy, které obdržely předchozí zprávu a jen obtížně podle ní postupovaly

Co to pomůže objasnit

Znalost očekávané struktury vám pomůže ověřit:

Zda rozsah a pravidla zapojení ve zprávě odpovídají tomu, co bylo dohodnuto
Zda má každý nález důkazy, jasné hodnocení závažnosti a praktická doporučení k nápravě
Které problémy vyžadují okamžitý zásah a které lze zařadit do běžných vývojových cyklů
Která tvrzení je bezpečné sdílet navenek a která patří pouze technickým pracovníkům

Co je zahrnuto

Manažerské shrnutí: celkový obraz, nejvýznamnější nálezy a doporučené priority srozumitelným jazykem
Rozsah a pravidla zapojení: cíle, prostředí, uživatelské role, data, časové okno testu a výjimky
Shrnutí metodiky: použitý přístup a referenční rámce, například doporučení OWASP pro webové aplikace
Registr nálezů: každý problém s názvem, závažností, dotčeným aktivem, popisem, odkazem na důkaz a dopadem na podnikání
Technické podrobnosti: kroky, podle kterých váš tým může problém pochopit a bezpečně reprodukovat
Doporučení k nápravě: praktické opravy a tam, kde je to užitečné, krátkodobá zmírňující opatření
Omezení: co nebylo možné otestovat a proč
Sekce opakovaného testu: stav dohodnutých nálezů poté, co je váš tým opravil, pokud je opakovaný test zahrnut

Co není součástí

Prohlášení, že systém je po testování bezpečný nebo že v něm nezůstaly žádné zranitelnosti
Nálezy mimo dohodnutý rozsah prezentované, jako by byly testovány
Certifikace, schválení souladu nebo formální auditorský výrok
Implementace oprav, pokud není dohodnuta samostatně

Kdy si ji vybrat

Přečtěte si tohoto průvodce dříve, než podepíšete nabídku na testování, abyste si mohli vyžádat ukázkovou zprávu a ověřit její strukturu. Hodí se i ve chvíli, kdy zpráva dorazí: použijte výše uvedené části jako kontrolní seznam a zjistěte, zda něco nechybí. Pokud vás zainteresovaná strana požádala, abyste „poslali zprávu z pentestu“, rozhodněte předem, zda potřebuje celý technický dokument, nebo manažerské shrnutí a dopis o stavu nápravy. Široké sdílení všech technických podrobností zvyšuje riziko, protože popisují slabiny vašich systémů.

Náš přístup

Ještě před zahájením testování si vyjasněte hodnocení závažnosti. Mnoho poskytovatelů používá stupnici založenou na pravděpodobnosti a dopadu, někdy s odkazem na CVSS; podstatné je, aby byla konzistentní a vysvětlená. Dohodněte, jak budou důkazy uchovávány a sdíleny a kdo jsou vaše jmenované kontaktní osoby. Když zpráva dorazí, naplánujte závěrečné projednání, aby se vývojáři mohli ptát, dokud mají kontext v čerstvé paměti. Převeďte registr nálezů na úkoly s vlastníky a cílovými termíny a nejprve opravte problémy s nejvyšší závažností. Poté si vyžádejte opakovaný test dohodnutých nálezů, aby zpráva mohla zaznamenat, co bylo vyřešeno. Naše služba Penetration Testing dodává manažerské shrnutí, shrnutí rozsahu a pravidel zapojení, registr nálezů odstupňovaných podle závažnosti s odkazy na důkazy, technické podrobnosti ke každému nálezu, prioritizovaný plán nápravy a výsledek opakovaného testu, pokud je zahrnut. Ať zvolíte kteréhokoli poskytovatele, uchovávejte každou verzi zprávy, zaznamenejte, které nálezy byly přijaty jako riziko místo opravy, a poznamenejte si, kdo o tom rozhodl. Tento záznam bývá stejně cenný jako samotný test, až se vás příště někdo zeptá na vaši úroveň zabezpečení.

Penetration Testing

Zobrazit stránku služby Penetration Testing