Предаваният документ
Отчетът е продуктът. Ето какво съдържа.
Докладът е основният резултат от теста за проникване. Много доставчици показват само съдържанието му. Тук представяме пълната структура на докладите на PXLSec, предназначението на всеки раздел и ограниченията на изводите в документа.
Ръководството може да прочете раздели 1 до 4 и да действа. Инженерите могат да работят от раздел 5 нататък, без да четат нищо друго. Това разделение е умишлено и затова структурата не се променя между ангажиментите.
| Раздел | Защо го има | |
|---|---|---|
| 1 | Резюме за ръководствотоКакво е тествано, какви са основните рискове и кои три проблема трябва да се отстранят първо. | Предназначено е за хора, които трябва да вземат решение, без да четат целия доклад. Без имена на инструменти, номера на CVE или специализиран жаргон: какво е изложено на риск, колко сериозен е той и какви действия са нужни тази седмица. Това е страницата за ръководството или клиента. |
| 2 | Обхват на ангажиментаЦели, вид на оценката, период на тестване, стандарти, изключения и допусканията, от които зависи резултатът. | Обхватът определя какво може да се заключи от доклада. Затова описваме както проверените системи и функции, така и изрично изключените. Изводите за сигурността са валидни само в тези граници. |
| 3 | МетодологияПетте етапа на теста, резултатът от всеки, използването на инструменти и спазените правила за безопасност. | Описваме и разпределението на работата: инструментите картографират атакуваната повърхност и откриват потенциални проблеми, а специалистите ги проверяват. Обявената версия или оценката на скенер сами по себе си не са достатъчни за констатация. |
| 4 | Оценки на критичносттаСкалата за критичност, практическото значение на всяко ниво и ролята на CVSS при оценяването. | Същата скала, която публикуваме открито. Когато CVSS е приложим, констатацията включва базова оценка и вектор по CVSS, както и нашата оценка на критичността. Ако двете се различават, обясняваме причината. |
| 5 | Обобщение на констатациитеВсяка констатация с нейния идентификатор, критичност и текущ статус, в реда на отстраняване. | Таблица с констатациите, подредени по приоритет за отстраняване. Техническият ръководител може да я използва като отправна точка за плана за корекции. |
| 6 | Подробни констатацииПо един раздел за всяка констатация: описание, доказателство, възпроизвеждане, въздействие и конкретна препоръка. | Това е основната част на доклада и най-добрият начин да оцените качеството на работата. Всяка констатация съдържа доказателства, точни стъпки за възпроизвеждане, въздействието върху вашия бизнес и конкретна препоръка за корекция, вместо общи указания като „валидирайте входните данни“. |
| 7 | Повторен тест и приключванеКакво покрива включеният повторен тест и точно какво заявява писмото за приключване. | Включително какво умишлено не заявява. Писмото за приключване потвърждава, че конкретни констатации са били тествани повторно и затворени на определена дата. То не е сертификат и не казва, че вашите системи са сигурни, защото никой честен документ не би могъл. |
| A | Приложение А — Използвани инструментиИнструментите в ангажимента и разделението на труда между автоматизацията и ръчната работа. | Списъкът показва какви инструменти са използвани и позволява на друг доставчик да повтори проверките за сравнение. |
| B | Приложение Б — Извън обхватаКакво беше изрично изключено и какво означава това за увереността, която този отчет дава. | Описваме изрично изключените проверки и как те ограничават изводите от теста. Така докладът не създава впечатление за по-широко покритие от действително провереното. |
| C | Приложение В — Как да четете този отчетКои раздели са полезни за различните читатели и как да използвате доклада за план за корекции. | Защото отчет, по който никога не се действа, е бил загуба на времето на всички. |
Също толкова важно
Какво не е отчетът
- Той не е сертификатНикой отчет от тест за проникване не сертифицира нищо. Той описва какво сме намерили, в определен обхват, през определен период. Всеки, който го представя като гаранция за сигурност, го представя погрешно — включително ние.
- Той не е одиторско мнениеНие сме фирма за тестване, не одитор, оценител или сертифициращ орган. Извършваме тестването и предоставяме доказателствата; вашият одитор или оценител решава какво приема.
- Той не е експорт от скенер с титулна страницаВсяка констатация е проверена ръчно. Когато е безопасно, уязвимостта се експлоатира, за да се докаже реалното ѝ въздействие. Потенциални проблеми, които не могат да бъдат експлоатирани в конкретната среда, не се добавят само за да увеличат обема на доклада.
- Обемът не се увеличава изкуственоКогато открием малко проблеми, докладът го посочва и показва извършените проверки. Кратък списък с доказани констатации при подробно тестване е по-полезен от дълъг списък с маловажни наблюдения.
Прочетете самия доклад
Най-добре е да разгледате самия документ. Нашият примерен отчет е публикуван изцяло — 26 страници. Предлагаме и примерен отчет за AI и LLM, с обем 35 страници — рядко публикуван вид документ. Нашата скалата за критичност и правилата на ангажимента за двата доклада също са публикувани в пълния си вид.
Често задавани въпроси
Въпроси за крайния доклад
Може ли да видим действителен отчет?
Да. примерен отчет е пълен примерен доклад от 26 страници със седем подробно описани констатации, доказателства, стъпки за възпроизвеждане и препоръки за отстраняване. Съставен е по анонимизирани ангажименти с измислени примерни данни. Не описва конкретен клиент, но показва структурата и нивото на детайлност на докладите ни.
Съобразявате ли структурата с нас?
Структурата на разделите остава същата, защото именно последователността ви позволява да сравните отчета от тази година с миналогодишния и помага на оценителя да намери каквото му трябва. Променят се съдържанието и акцентът — отчет, чийто обхват е определен спрямо регулаторна клауза, извежда на преден план различни неща от отчет, определен спрямо издание на продукт.
В какъв формат го получаваме?
PDF, предаден по канал, договорен с вас, плюс разговор по резултатите с тестерите, които са свършили работата. Ако ви трябват констатациите във вашата система за проследяване вместо документ, кажете го при определянето на обхвата и ще договорим формата, преди тестването да започне, а не след това.
Какво се случва, след като поправим нещата?
Проверяваме отново коригираните уязвимости и издаваме доклада с обновен статус. Добавяме писмо за приключване, което посочва какво е проверено и потвърдено като отстранено. Корекции, които не можем да проверим, се отбелязват като непотвърдени.
Искате такъв документ за вашите системи?
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност