Pruebas de penetración: redacción de informes
No es necesario que un probador de penetración experimentado pueda escribir un buen informe, ya que escribir un informe de las pruebas de penetración es un arte que debe aprenderse por separado.
¿Qué es la redacción de informes?
En las pruebas de penetración, la redacción de informes es una tarea integral que incluye metodología, procedimientos, explicación adecuada del contenido y diseño del informe, ejemplo detallado de informe de prueba y la experiencia personal del evaluador. Una vez que se prepara el informe, se comparte entre el personal directivo superior y el equipo técnico de las organizaciones objetivo. Si surge alguna necesidad de este tipo en el futuro, se utiliza este informe como referencia.
Etapas de redacción de informes
Debido al trabajo de redacción integral involucrado, la redacción de informes de penetración se clasifica en las siguientes etapas:
- Planificación de informes
- Recolección de información
- Redacción del primer borrador
- Revisión y finalización
Planificación de informes
La planificación de informes comienza con los objetivos, que ayudan a los lectores a comprender los puntos principales de las pruebas de penetración. Esta parte describe por qué se realizan las pruebas, cuáles son los beneficios de las pruebas de penetración, etc. En segundo lugar, la planificación del informe también incluye el tiempo necesario para las pruebas.
Los elementos principales de la redacción de informes son:
Objectives - Describe el propósito general y los beneficios de las pruebas de penetración.
Time- La inclusión de tiempo es muy importante, ya que proporciona el estado exacto del sistema. Supongamos que, si ocurre algo incorrecto más adelante, este informe salvará al evaluador, ya que el informe ilustrará los riesgos y vulnerabilidades en el alcance de las pruebas de penetración durante el período de tiempo específico.
Target Audience - El informe de prueba de la pluma también debe incluir la audiencia objetivo, como el gerente de seguridad de la información, el gerente de tecnología de la información, el director de seguridad de la información y el equipo técnico.
Report Classification- Dado que es altamente confidencial y contiene direcciones IP de servidor, información de aplicación, vulnerabilidad, amenazas, debe clasificarse adecuadamente. Sin embargo, esta clasificación debe realizarse sobre la base de la organización objetivo que tiene una política de clasificación de información.
Report Distribution- El número de copias y la distribución del informe deben mencionarse en el alcance del trabajo. También es necesario mencionar que las copias impresas se pueden controlar imprimiendo un número limitado de copias adjuntas con su número y el nombre del destinatario.
Recolección de información
Debido a los procesos complicados y prolongados, el probador de pluma debe mencionar cada paso para asegurarse de que recopiló toda la información en todas las etapas de la prueba. Junto con los métodos, también debe mencionar los sistemas y herramientas, los resultados del escaneo, las evaluaciones de vulnerabilidad, los detalles de sus hallazgos, etc.
Redacción del primer borrador
Una vez, el probador está listo con todas las herramientas e información, ahora necesita comenzar el primer borrador. Principalmente, necesita escribir el primer borrador en los detalles, mencionando todo, es decir, todas las actividades, procesos y experiencias.
Revisión y finalización
Una vez redactado el informe, debe ser revisado primero por el redactor mismo y luego por sus superiores o colegas que puedan haberlo ayudado. Durante la revisión, se espera que el revisor verifique cada detalle del informe y encuentre cualquier defecto que deba corregirse.
Contenido del informe de pruebas de penetración
A continuación se muestra el contenido típico de un informe de prueba de penetración:
Resumen Ejecutivo
Metodología
Hallazgos detallados
Referencias
|