滲透測試報告包含哪些內容：採購指南

報告是滲透測試中留存下來的部分。測試可能持續幾天或幾週；而報告是開發人員據以修正問題的依據，是管理階層閱讀的內容，也可能需要與客戶或合作夥伴分享。一份薄弱的報告會讓細緻的測試顯得單薄，而一份清晰的報告則能將發現項目轉化為決策。本指南說明專業滲透測試報告通常包含的內容、如何閱讀，以及在專案開始前應提出哪些要求。

服務簡介

滲透測試報告是一份書面紀錄，說明測試了什麼、如何測試、在何種條件下測試以及發現了什麼。它應能被兩類讀者理解。非技術的利害關係人需要一份簡短摘要，說明整體風險、最重要的問題以及建議的優先事項。技術團隊則需要每個發現項目的足夠細節，以便理解問題、在安全環境中重現並加以修正。好的報告也會記錄自身的侷限：哪些內容不在範圍內、哪些無法測試，以及影響涵蓋範圍的任何條件，例如測試帳號無法使用或時段縮短。缺少這些說明，讀者可能會以為報告涵蓋的內容比實際更多。

適用對象

本指南適用於：

正在比較提案、想了解實際將收到何種交付成果的採購方
將接收發現項目並需要規劃修復工作的工程負責人
需要與客戶、合作夥伴、稽核人員或董事會分享摘要，又不誇大結果的管理者
曾收到報告但發現難以據此採取行動的團隊

有助釐清的問題

了解報告的預期結構，有助於您檢查：

報告中的範圍與測試規則是否與約定內容一致
每個發現項目是否附有證據、明確的嚴重程度評等與可執行的修復建議
哪些問題需要立即處理，哪些可以排入正常開發週期中規劃
哪些陳述可以安全地對外分享，哪些只應留給技術人員

包含內容

執行摘要：以淺白語言說明整體情況、最重要的發現項目與建議的優先事項
範圍與測試規則：目標、環境、使用者角色、日期、測試時段及排除項目
方法概述：所採用的方法與參考框架，例如針對 Web 應用程式的 OWASP 指引
發現項目登記表：每個問題的標題、嚴重程度、受影響資產、描述、證據參照與業務影響
技術細節：團隊可用於理解並安全重現問題的步驟
修復建議：切實可行的修正方式，並在有用時提供短期緩解措施
侷限性：哪些內容無法測試及其原因
複測部分：在包含複測的情況下，記錄團隊修正後約定發現項目的狀態

不包含內容

宣稱系統在測試後是安全的或已不存在漏洞
將約定範圍之外的發現項目描述得如同已經過測試
認證、合規核准或正式稽核意見
實施修正，除非另行約定

適用時機

請在簽署測試提案前閱讀本指南，以便要求查看範例報告並確認其結構。報告交付時，本指南同樣有用：可將上述各部分作為檢查清單，看看是否有遺漏。如果有利害關係人要求您「寄送滲透測試報告」，請事先確定對方需要的是完整的技術文件，還是執行摘要加上修復狀態說明函。廣泛分享完整的技術細節會增加風險，因為其中描述了您系統中的弱點。

我們的方法

在測試開始前，要求明確定義嚴重程度。許多服務商使用以可能性與影響為基礎的評等標準，有時會參考 CVSS；重要的是標準前後一致並有說明。約定證據的儲存與分享方式，以及您的指定聯絡人。報告交付後，安排一次說明會，讓開發人員在印象猶新時提出問題。將發現項目登記表轉化為有負責人與目標日期的工單，並優先修正嚴重程度最高的問題。接著申請對約定的發現項目進行複測，讓報告能記錄哪些問題已解決。我們的 Penetration Testing 服務提供執行摘要、範圍與測試規則摘要、依嚴重程度分級並附證據參照的發現項目登記表、每個發現項目的技術細節、依優先順序排列的修復路線圖，以及在包含複測時的複測結果。無論選擇哪家服務商，請保留每個版本的報告，記錄哪些發現項目被當作風險接受而未修正，並註明由誰做出該決定。下次有人詢問您的安全狀況時，這份紀錄往往與測試本身同樣有價值。

Penetration Testing

查看 Penetration Testing 服務頁面