Test de pénétration - Rédaction de rapports
Il n'est pas nécessaire qu'un testeur de pénétration expérimenté puisse rédiger un bon rapport, car la rédaction d'un rapport de test de pénétration est un art qui doit être appris séparément.
Qu'est-ce que la rédaction de rapports?
Dans les tests d'intrusion, la rédaction de rapports est une tâche complète qui comprend une méthodologie, des procédures, une explication appropriée du contenu et de la conception du rapport, un exemple détaillé de rapport de test et l'expérience personnelle du testeur. Une fois le rapport préparé, il est partagé entre les cadres supérieurs et l'équipe technique des organisations cibles. Si un tel besoin survient à l'avenir, ce rapport est utilisé comme référence.
Étapes de rédaction du rapport
En raison du travail de rédaction complet impliqué, la rédaction du rapport de pénétration est classée dans les étapes suivantes -
- Planification des rapports
- Collecte d'informations
- Rédaction du premier brouillon
- Révision et finalisation
Planification des rapports
La planification du rapport commence par les objectifs, qui aident les lecteurs à comprendre les principaux points des tests d'intrusion. Cette partie décrit pourquoi le test est effectué, quels sont les avantages du test au stylo, etc. Deuxièmement, la planification du rapport comprend également le temps nécessaire pour le test.
Les principaux éléments de la rédaction de rapports sont -
Objectives - Il décrit l'objectif général et les avantages du test au stylo.
Time- L'inclusion du temps est très importante, car elle donne l'état exact du système. Supposons que si quelque chose de mal se produit plus tard, ce rapport sauvera le testeur, car le rapport illustrera les risques et les vulnérabilités dans la portée des tests de pénétration pendant la période de temps spécifique.
Target Audience - Le rapport de test du stylet doit également inclure le public cible, tel que le responsable de la sécurité de l'information, le responsable de la technologie de l'information, le responsable de la sécurité de l'information et l'équipe technique.
Report Classification- Étant donné qu'il est hautement confidentiel qui porte les adresses IP des serveurs, les informations sur les applications, la vulnérabilité, les menaces, il doit être correctement classé. Cependant, cette classification doit être effectuée sur la base de l'organisation cible qui a une politique de classification des informations.
Report Distribution- Le nombre d'exemplaires et la distribution du rapport doivent être mentionnés dans la portée des travaux. Il doit également mentionner que les copies papier peuvent être contrôlées en imprimant un nombre limité de copies jointes avec son numéro et le nom du destinataire.
Collecte d'informations
En raison des processus compliqués et longs, le stylo testeur doit mentionner chaque étape pour s'assurer qu'il a collecté toutes les informations à toutes les étapes du test. En plus des méthodes, il doit également mentionner les systèmes et les outils, les résultats d'analyse, les évaluations de vulnérabilité, les détails de ses découvertes, etc.
Rédaction du premier brouillon
Une fois, le testeur est prêt avec tous les outils et informations, il doit maintenant commencer la première ébauche. Principalement, il a besoin d'écrire le premier projet dans les détails - en mentionnant tout, c'est-à-dire toutes les activités, processus et expériences.
Révision et finalisation
Une fois le rapport rédigé, il doit être revu d'abord par le rédacteur lui-même, puis par ses seniors ou collègues qui peuvent l'avoir aidé. Lors de la révision, le réviseur doit vérifier chaque détail du rapport et trouver toute faille qui doit être corrigée.
Contenu du rapport de test de pénétration
Voici le contenu typique d'un rapport de test d'intrusion -
Résumé
Méthodologie
Résultats détaillés
Références
|