Vad en rapport från ett penetrationstest innehåller: en guide

Rapporten är den del av ett penetrationstest som består. Testningen pågår under några dagar eller veckor; rapporten är det som utvecklarna åtgärdar utifrån, det som ledningen läser och det som ni eventuellt delar med en kund eller partner. En svag rapport kan få ett noggrant test att se tunt ut, medan en tydlig rapport omvandlar fynd till beslut. Den här guiden förklarar vad en professionell rapport från ett penetrationstest vanligtvis innehåller, hur den ska läsas och vad ni bör be om innan ett uppdrag startar.

Vad det är

En rapport från ett penetrationstest är en skriftlig redogörelse för vad som testades, hur, under vilka förutsättningar och vad som hittades. Den ska kunna läsas av två målgrupper. Icke-tekniska intressenter behöver en kort sammanfattning av den samlade risken, de viktigaste problemen och rekommenderade prioriteringar. Tekniska team behöver tillräckligt med detaljer om varje fynd för att förstå det, återskapa det i en säker miljö och åtgärda det. En bra rapport redovisar också sina egna begränsningar: vad som låg utanför omfattningen, vad som inte kunde testas och eventuella förhållanden som påverkade täckningen, till exempel testkonton som inte fanns tillgängliga eller ett förkortat testfönster. Utan dessa begränsningar kan läsarna anta att rapporten täcker mer än den gör.

Vem det är för

Guiden är användbar för:

Beställare som jämför anbud och vill veta vilken leverans de faktiskt får
Tekniska ledare som ska ta emot fynd och behöver planera åtgärder
Chefer som måste dela en sammanfattning med en kund, partner, revisor eller styrelse utan att överdriva resultatet
Team som har fått en tidigare rapport och haft svårt att agera på den

Vad det hjälper till att klargöra

Att känna till den förväntade strukturen hjälper er att kontrollera:

Om omfattningen och testreglerna i rapporten stämmer med det som avtalats
Om varje fynd har belägg, en tydlig klassning av allvarlighetsgrad och praktisk vägledning för åtgärder
Vilka problem som kräver omedelbar åtgärd och vilka som kan planeras in i ordinarie utvecklingscykler
Vilka uttalanden som kan delas externt och vilka som bara hör hemma hos teknisk personal

Vad ingår

Ledningssammanfattning: helhetsbild, de mest betydande fynden och rekommenderade prioriteringar på klarspråk
Omfattning och testregler: mål, miljöer, användarroller, datum, testfönster och undantag
Sammanfattning av metodik: tillvägagångssätt och referensramverk som använts, till exempel OWASP-vägledning för webbapplikationer
Fyndregister: varje problem med rubrik, allvarlighetsgrad, berörd tillgång, beskrivning, beläggsreferens och affärspåverkan
Teknisk detalj: steg som teamet kan använda för att förstå och återskapa problemet på ett säkert sätt
Vägledning för åtgärder: praktiska åtgärder och, där det är användbart, kortsiktiga riskreducerande åtgärder
Begränsningar: vad som inte kunde testas och varför
Avsnitt om omtest: status för överenskomna fynd efter att teamet har åtgärdat dem, där omtest ingår

Vad som inte ingår

Ett uttalande om att systemet är säkert eller saknar kvarvarande sårbarheter efter testningen
Fynd utanför den överenskomna omfattningen som presenteras som om de hade testats
Certifiering, godkännande av regelefterlevnad eller ett formellt revisionsutlåtande
Genomförande av åtgärder, om det inte avtalats separat

När det passar att välja den

Läs guiden innan ni skriver under ett testanbud, så att ni kan be om en exempelrapport och bekräfta strukturen. Den är också användbar när rapporten kommer: använd avsnitten ovan som checklista för att se om något saknas. Om en intressent har bett er att ”skicka pentestrapporten”, avgör i förväg om de behöver hela det tekniska dokumentet eller en ledningssammanfattning och ett brev om åtgärdsstatus. Att sprida alla tekniska detaljer brett ökar risken, eftersom de beskriver svagheter i era system.

Vår strategi

Be om klarhet kring klassning av allvarlighetsgrad innan testningen börjar. Många leverantörer använder en skala baserad på sannolikhet och konsekvens, ibland med hänvisning till CVSS; det viktiga är att den är konsekvent och förklarad. Kom överens om hur belägg ska lagras och delas och vilka som är namngivna kontaktpersoner. När rapporten kommer, boka en genomgång så att utvecklarna kan ställa frågor medan sammanhanget är färskt. Omvandla fyndregistret till ärenden med ansvariga och måldatum, och åtgärda de allvarligaste problemen först. Begär sedan omtest av de överenskomna fynden så att rapporten kan redovisa vad som har lösts. Vår tjänst Penetration Testing levererar en ledningssammanfattning, en sammanfattning av omfattning och testregler, ett fyndregister klassat efter allvarlighetsgrad med beläggsreferenser, teknisk detalj för varje fynd, en prioriterad åtgärdsplan och resultatet av omtest där omtest ingår. Oavsett vilken leverantör ni väljer, spara varje rapportversion, notera vilka fynd som accepterades som risker i stället för att åtgärdas och vem som fattade det beslutet. Den dokumentationen är ofta lika värdefull som själva testet nästa gång någon frågar om er säkerhetsposition.

Penetration Testing

Visa tjänstesidan för Penetration Testing