渗透测试报告包含哪些内容：采购指南

服务简介

渗透测试报告是一份书面记录，说明测试了什么、如何测试、在何种条件下测试以及发现了什么。它应能被两类读者理解。非技术利益相关方需要一份简短摘要，说明整体风险、最重要的问题以及建议的优先事项。技术团队则需要每个发现项的足够细节，以便理解问题、在安全环境中复现并加以修复。好的报告还会记录自身的局限：哪些内容不在范围内、哪些无法测试，以及影响覆盖面的任何条件，例如测试账户不可用或时间窗口缩短。缺少这些说明，读者可能会以为报告涵盖的内容比实际更多。

适用对象

本指南适用于：

• 正在比较方案、想了解实际将收到何种交付成果的采购方
• 将接收发现项并需要规划修复工作的工程负责人
• 需要与客户、合作伙伴、审计方或董事会共享摘要，又不夸大结果的管理者
• 曾收到过报告但发现难以据此采取行动的团队

帮助厘清的问题

了解报告的预期结构，有助于您核查：

• 报告中的范围和测试规则是否与约定内容一致
• 每个发现项是否附有证据、明确的严重程度评级和可操作的修复建议
• 哪些问题需要立即处理，哪些可以纳入正常开发周期中规划
• 哪些表述可以安全地对外共享，哪些只应留给技术人员

包含内容

• 执行摘要：以通俗语言说明整体情况、最重要的发现项和建议的优先事项
• 范围和测试规则：目标、环境、用户角色、日期、测试时间窗口及排除项
• 方法概述：所采用的方法和参考框架，例如针对 Web 应用程序的 OWASP 指南
• 发现项登记表：每个问题的标题、严重程度、受影响资产、描述、证据引用和业务影响
• 技术细节：团队可用于理解并安全复现问题的步骤
• 修复建议：切实可行的修复方法，并在有用时提供短期缓解措施
• 局限性：哪些内容无法测试及其原因
• 复测部分：在包含复测的情况下，记录团队修复后约定发现项的状态

不包含内容

• 声称系统在测试后是安全的或已不存在漏洞
• 将约定范围之外的发现项描述得如同已经过测试
• 认证、合规批准或正式审计意见
• 实施修复，除非另行约定

适用时机

请在签署测试方案前阅读本指南，以便要求查看样本报告并确认其结构。报告交付时，本指南同样有用：可将上述各部分作为检查清单，看看是否有遗漏。如果有利益相关方要求您“发送渗透测试报告”，请事先确定对方需要的是完整的技术文档，还是执行摘要加修复状态说明函。广泛分享完整的技术细节会增加风险，因为其中描述了您系统中的弱点。

我们的方法

在测试开始前，要求明确严重程度的定义。许多服务商使用基于可能性和影响的评级标准，有时会参考 CVSS；重要的是标准前后一致并有说明。约定证据的存储与共享方式，以及您的指定联系人。报告交付后，安排一次讲解会，让开发人员在印象尚新时提出问题。将发现项登记表转化为有负责人和目标日期的工单，并优先修复严重程度最高的问题。然后申请对约定的发现项进行复测，使报告能够记录哪些问题已解决。我们的 Penetration Testing 服务提供执行摘要、范围和测试规则摘要、按严重程度分级并附证据引用的发现项登记表、每个发现项的技术细节、按优先级排列的修复路线图，以及在包含复测时的复测结果。无论选择哪家服务商，请保留每个版本的报告，记录哪些发现项被作为风险接受而未修复，并注明由谁做出该决定。下次有人询问您的安全状况时，这份记录往往与测试本身同样有价值。

Penetration Testing

常见问题

相关文章