Hvad en penetrationstestrapport indeholder: en købervejledning

Hvad det er

En penetrationstestrapport er en skriftlig registrering af, hvad der blev testet, hvordan, under hvilke betingelser, og hvad der blev fundet. Den bør kunne læses af to målgrupper. Ikke-tekniske interessenter har brug for et kort resumé af den samlede risiko, de vigtigste problemer og anbefalede prioriteter. Tekniske teams har brug for tilstrækkelig detaljering af hvert fund til at forstå det, genskabe det i et sikkert miljø og rette det. En god rapport registrerer også sine egne begrænsninger: hvad der var uden for omfanget, hvad der ikke kunne testes, og eventuelle forhold, der påvirkede dækningen, f.eks. utilgængelige testkonti eller et forkortet vindue. Uden disse begrænsninger kan læserne antage, at rapporten dækker mere, end den gør.

Hvem er det for?

Denne vejledning er nyttig for:

• Købere, der sammenligner tilbud og vil vide, hvilket leverancemateriale de faktisk modtager
• Tekniske ledere, der modtager fund og skal planlægge afhjælpning
• Ledere, der skal dele et resumé med en kunde, partner, revisor eller bestyrelse uden at overdrive resultatet
• Teams, der har modtaget en tidligere rapport og fandt det svært at handle på den

Hvad det hjælper med at afklare

Når I kender den forventede struktur, kan I kontrollere:

• Om omfanget og de aftalte testregler i rapporten svarer til det, der blev aftalt
• Om hvert fund har beviser, en klar vurdering af alvorlighed og praktisk vejledning i afhjælpning
• Hvilke problemer der kræver øjeblikkelig handling, og hvilke der kan planlægges ind i de normale udviklingscyklusser
• Hvilke udsagn der trygt kan deles eksternt, og hvilke der kun hører hjemme hos det tekniske personale

Hvad er inkluderet

• Ledelsesresumé: samlet billede, de væsentligste fund og anbefalede prioriteter i et letforståeligt sprog
• Omfang og aftalte testregler: mål, miljøer, brugerroller, datoer, testvindue og undtagelser
• Resumé af metoden: den anvendte tilgang og referencerammer, f.eks. OWASP-vejledning for webapplikationer
• Register over fund: hvert problem med titel, alvorlighed, berørt aktiv, beskrivelse, bevisreference og forretningsmæssig konsekvens
• Tekniske detaljer: trin, som jeres team kan bruge til at forstå og sikkert genskabe problemet
• Vejledning i afhjælpning: praktiske rettelser og, hvor det er nyttigt, kortsigtede afbødende tiltag
• Begrænsninger: hvad der ikke kunne testes, og hvorfor
• Afsnit om gentest: status for aftalte fund, efter at jeres team har rettet dem, hvor en gentest er inkluderet

Hvad er ikke inkluderet?

• En erklæring om, at systemet er sikkert eller ikke har nogen tilbageværende sårbarheder efter testen
• Fund uden for det aftalte omfang præsenteret, som om de var blevet testet
• Certificering, godkendelse af compliance eller en formel revisionserklæring
• Implementering af rettelser, medmindre det aftales særskilt

Hvornår du skal vælge det

Læs denne vejledning, før I underskriver et testtilbud, så I kan bede om en eksempelrapport og bekræfte strukturen. Den er også nyttig, når en rapport ankommer: brug afsnittene ovenfor som en tjekliste for at se, om noget mangler. Hvis en interessent har bedt jer om at „sende pentestrapporten“, så beslut på forhånd, om vedkommende har brug for hele det tekniske dokument eller et ledelsesresumé og et brev om afhjælpningsstatus. Bred deling af alle tekniske detaljer øger risikoen, fordi de beskriver svagheder i jeres systemer.

Vores tilgang

Bed om klarhed over alvorlighedsgrader, før testen begynder. Mange udbydere bruger en skala baseret på sandsynlighed og konsekvens, nogle gange med henvisning til CVSS; det vigtige er, at den er konsekvent og forklaret. Aftal, hvordan beviser skal opbevares og deles, og hvem jeres navngivne kontaktpersoner er. Når rapporten ankommer, så planlæg en gennemgang, så udviklerne kan stille spørgsmål, mens konteksten er frisk. Omsæt registeret over fund til opgaver med ejere og måldatoer, og ret problemerne med højest alvorlighed først. Bed derefter om en gentest af de aftalte fund, så rapporten kan registrere, hvad der blev løst. Vores tjeneste Penetration Testing leverer et ledelsesresumé, et resumé af omfang og aftalte testregler, et register over fund graderet efter alvorlighed med bevisreferencer, tekniske detaljer for hvert fund, en prioriteret køreplan for afhjælpning og et resultat af gentesten, hvor en gentest er inkluderet. Uanset hvilken udbyder I vælger, så gem hver version af rapporten, registrér, hvilke fund der blev accepteret som risici i stedet for at blive rettet, og notér, hvem der traf den beslutning. Den registrering er ofte lige så værdifuld som selve testen, næste gang nogen spørger til jeres sikkerhedsposition.

Penetration Testing

Ofte stillede spørgsmål

Relaterede artikler