Mi hanno incaricato di scrivere un report di pentest: cosa deve contenere e quale struttura funziona meglio?

Tieni sempre a mente che i dirigenti non leggono mai le sezioni tecniche. Scrivi le prime due pagine a misura di vicedirettore; per dire, anziché scrivere "è stata rilevata una SQL injection", usa "esiste il rischio concreto di esfiltrazione dei dati clienti dal database degli ordini": rende subito l'idea della gravità.

Non tirare a indovinare i livelli di rischio, basati sulla logica del punteggio CVSS. Il fatto che una vulnerabilità sia sfruttabile da remoto o richieda privilegi cambia direttamente lo score. Ricordati anche di oscurare i dati sensibili e i token di sessione negli screenshot.

Quando imposti la bozza del report, segui questa scaletta: 1) Executive summary e risk score complessivo, 2) Perimetro di test e date di esecuzione, 3) Elenco delle vulnerabilità ed evidenze dettagliate, 4) Piano di remediation con priorità, 5) Note sulla procedura di re-test.

Nel contratto con il cliente c'erano clausole o capitolati sul formato del report? Alcune aziende strutturate pretendono template allineati a standard di conformità normativi o finanziari avete verificato prima per evitare di dover rifare tutto dopo?

nel mio primo reoprt feci l'errore di tradurre in turco cento pagine di output grezzo di uno scanner automatico: il cliente si infuriò tantissimo e inserite solo ed esclusivamente vulnerabilità verificate ed effettivamente riproducibili in produzione, niente fuffa.

Il fatto che il team interno testi il software sviluppato da voi stessi potrebbe sollevare dubbi sulla trasparenza lato cliente. Dettagliate benissimo la metodologia nel report, così l'IT del cliente non penserà che abbiate cercato di nascondere qualche magagna.

Noi consegniamo una decina di report simili all'anno. Quando superano le 40 pagine, la percentuale di implementazione da parte dei team tecnici crolla. Documenti tra le 15 e le 20 pagine, sintetici e schematici, portano sempre risultati decisamente migliori.

se vicino a ogni issue ci metti pure una stima a grandi linee dell'effort per risolverla gli sviluppatori del cliente la prendono molto meglio, buon lavoro

Sì, per quanto riguarda redazione report pentest la situazione è esattamente così. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

otimo lavoro.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione. Confermato dall'esperienza.

Assolutamente. boh se devo aggiungere qualcosa: Inizia con un piccolo test, non impegnarti subito su tutto.

Lascio una nota, potrebbe servire.

se volete procedere così risolvete questo puno fin dall'inizio.. ma se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

lasscio una nota potrebbe servire.

Lascio un avvertimento. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Io seguirei questa strada.

Mi farebbe piacere se scrivesse il risultato. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Spero che le sia utile.

Argomento molto attuale.

Grazie mille, mi è stato molto utile. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Se scrivete qui il risultato sarà utile anche ad altri.

Mi farebbe piacere se scrivesse il risultato.