Conferencista:
A lo largo del curso, aprendimos varios
métodos para descubrir errores y vulnerabilidades en diferentes
tipos de software e infraestructura.
Por lo general, al final del pentest,
deberá informar al cliente con
todas las vulnerabilidades que encontró o
con todos los hallazgos,
esto se hace mediante un pentest informe.
Entonces, básicamente, lo que queremos decir con
un informe pentest, es solo un documento que incluye
todo lo que encontró a través de
su participación para que el cliente
o el administrador puedan seguir adelante y corregir todas
las vulnerabilidades y debilidades que encontró.
Estos informes también son leídos por los ejecutivos la mayor parte del tiempo,
por lo tanto, debería tener en
cuenta eso, por lo que un buen informe
debería ser bastante fácil, pero también fácil de entender.
Ahora, si está trabajando como pentester, entonces
la empresa para la que
está trabajando probablemente tendrá su propia plantilla y
sus propios estándares que debe seguir al
escribir un informe.
Y en muchos
casos, ni siquiera hará
eso, simplemente enviará sus hallazgos a otro miembro de su
propio equipo,
y ellos completarán los espacios en blanco correctamente en el informe.
Por lo tanto, probablemente no necesitará escribir
uno desde
cero y, en muchos casos, ni siquiera redactará el informe real que
ve el cliente.
Habiendo dicho eso, todavía quiero mostrarte
cómo se hace esto solo para darte una idea
de cómo se ve un informe pentest.
Primero que nada, antes de mostrarles la
muestra que tengo, voy
a incluir este repositorio que básicamente contiene una gran cantidad de informes pentest.
Por lo tanto, podría mirarlos en busca de inspiración y solo
para ver los diferentes estilos
que siguen las diferentes
empresas al hacer un informe pentest.
Entonces, puede hacer clic en cualquiera de estos y
encontrará el informe, y
podrá revisarlo para saber cómo esta empresa específica escribe sus informes,
y tal vez encuentre algo que le
guste y que comenzaría a incluir en sus propios informes. .
Voy a incluir esto en los recursos de la conferencia para
que puedas volver a él en busca de inspiración.
Pero lo que realmente
quiero hacer es guiarlo a través de
un informe de muestra que usamos aquí en
ZSecurity solo para darle una idea de las secciones principales
que tienen la mayoría de los informes.
También incluiré esto en los recursos, así que
siéntase libre de modificarlo y usarlo,
o tomar algunos elementos si lo desea.
Así que notarás en el
repositorio aquí, cada empresa tiene su propio estilo de redacción
de informes, pero en general, siempre hay algunas secciones
principales que encontrarás en cada informe.
Entonces, comenzando con la primera página aquí,
tenemos la página de portada.
De nuevo, puedes vender esto
como quieras, normalmente tendrás el logo de la
empresa, tienes el
título, y luego tendrás la fecha del informe y la
versión, esto es muy importante.
Y luego, tenemos la empresa, la información de nuestra empresa, por lo que
este informe escrito por nosotros, esta es
la información de nuestra empresa.
Y luego está en el campo de,
tiene la empresa para la que está escribiendo este informe.
Entonces tendrías el nombre de
la empresa, tendrás una identificación específica para esta empresa.
Esta es la identificación que identifica a esta empresa dentro
de sus propios registros.
Una vez más, probablemente esto
no sea algo
que usted mismo hará, su propia empresa le proporcionará esta identificación.
Y luego tenemos la información de contacto de ambas empresas.
Como pueden ver en esta empresa, tenemos pentester
1 y pentester 2 con sus direcciones de correo electrónico,
obviamente, esta podría ser una lista
más grande con todo el equipo que está haciendo
el pentest, y
similar a la empresa que está
haciendo el pentest. porque, nuevamente, tiene
sus nombres, su puesto en la empresa y su información de contacto.
Ahora, nuevamente, tenga en
cuenta que no siempre tiene que diseñar la primera página de esta
manera, pero más o menos, generalmente en la
primera página, tendrá el título, la fecha, la versión
y la información de contacto.
, así
es como lo hacemos, pero nuevamente, puede
hacerlo de la manera que desee
y puede inspirarse en el recurso que voy a incluir aquí.
A continuación, normalmente tenemos la tabla de contenido.
Nuevamente, como
puede ver, cosas simples, generalmente las tendremos en cualquier tipo de documento.
Esto le ayudará a navegar por todo este documento.
Y como dije, aquí
podemos ver las secciones principales de cualquier informe de pentest.
Por lo tanto, es muy importante tener un resumen ejecutivo, este
es un resumen de todo el
compromiso que está diseñado para personas menos técnicas.
Por lo tanto, se supone que debe darles una
idea de sus hallazgos sin profundizar demasiado en los detalles técnicos.
Luego, tenemos un resumen de participación
donde detallamos el
alcance, por lo que esto es
lo que probó, qué partes de su
sistema probó, las calificaciones de riesgo
que usó y una descripción general de todo lo que encontró.
Nuevamente, hasta ahora no estamos profundizando
o simplemente, esto es solo un resumen de todo el compromiso.
Obtendrá una mejor idea de todo
esto a medida que avance en el informe.
Y luego, en la sección de detalles técnicos, aquí
es donde se sumerge realmente en
todo lo que encontró.
Así que básicamente tenemos una sección para cada hallazgo.
Como puede ver, esto es
solo una muestra, por lo que
solo hice tres hallazgos, tenemos una inyección SQL, una falsificación
de solicitud entre sitios, un CSRF y una divulgación de información.
Entonces, como puede ver en
la primera sección, básicamente solo
tenemos
el resumen de todo
lo que encontramos, mientras que en los detalles
técnicos, básicamente estamos desglosando cada hallazgo, y hablaremos
sobre cómo lo
encontramos en detalles, cómo replicarla, si
puede, incluirá capturas de pantalla para que el equipo
técnico pueda comprender exactamente la gravedad de esta vulnerabilidad
y cómo solucionarla.
Notará que otras compañías incluirán un
apéndice
al final, incluirán recomendaciones donde le
dirán exactamente cómo solucionar las vulnerabilidades.
Como dije, realmente depende de la empresa,
cada empresa tiene su propio
estilo y cada empresa tiene su propio formato.
Entonces, lo que le
estoy mostrando aquí es solo una muestra
de cómo lo hacemos, puede inspirarse en los recursos
y, en muchos casos,
solo tendrá que seguir la plantilla que
tiene su empresa porque no es así. quiero que lo hagas a
tu manera.
Así que vayamos a la página
siguiente, y verá que
en esta página tenemos la información legal.
Y es por eso
que en realidad dije, probablemente
no lo hará usted mismo, nunca
necesitará hacerlo usted mismo porque tendrá partes del informe como esta
que nunca tendrá que modificar,
y en realidad serán redactado por el equipo legal
de su empresa.
Por lo tanto, tendrán en cuenta cualquier cosa que pueda
salirse de control para
asegurarse de que no lo demandarán
si algo sale mal, contendrá cosas como exenciones de responsabilidad, GDPR,
privacidad, asuntos legales y todo
lo que hacemos. Realmente no sé muy bien como
los pentesters y las personas jurídicas suelen escribir.
Y luego tenemos el registro de cambios del documento.
Entonces, cada vez que se realiza un cambio en el
documento, puede ver, tenemos la fecha,
tenemos la versión y tenemos un comentario, ¿por qué
hicimos este cambio?
¿O qué tiene de significativo este cambio?
Así que este fue el informe inicial cuando
lo hicimos el 1 de enero,
y luego, el 10 de
enero, hicimos la segunda
versión en la que terminamos con el Recon Stage.
Nuevamente, estos son solo ejemplos,
pero solo para darle una idea de que mantener un
registro de cambios de todos los cambios por los que
pasa este documento es muy, muy importante.
No todas las empresas
lo hacen, pero nuevamente, esa es nuestra propia
elección para agregarlo en nuestro informe.
Sigo diciendo esto solo para darle una idea
de que no hay reglas
establecidas para hacer este tipo de documentos.
Puedes agregar o quitar lo que
quieras, pero las partes principales serían la
parte legal, el resumen ejecutivo y luego la
parte técnica, estas serían las partes principales del informe.
Así que ahora tenemos el resumen ejecutivo
y puede leerlo.
Se supone que esto no debe
ser largo, por
lo que en mi opinión, debe ser una página, máximo
dos páginas si realmente es necesario.
Y básicamente dice,
se nos ordenó probar el sistema X, explicará cómo
está organizado este documento, dónde la primera sección
es menos detallada, solo para
darle una idea del riesgo,
y luego la segunda se detalla para
el personal técnico para comprender estos riesgos y solucionarlos.
Y luego nos dan
la calificación de riesgo, por lo
que asumimos que esto es de alto
riesgo según las vulnerabilidades que encontramos, detallará la metodología que seguimos.
Y luego, tenemos algunos gráficos aquí.
Recuerde, esta parte ha sido leída por los
ejecutivos, son personas que la mayor
parte del tiempo no son muy técnicos y tampoco tienen mucho tiempo.
Así que incluimos gráficos aquí
para mostrarles la cantidad de vulnerabilidades que encontramos.
Entonces podemos ver, tenemos cinco vulnerabilidades que son
altas, tenemos 10 que son medias y ocho son bajas.
Así que esto les dará una muy buena comprensión
de las amenazas a las que se enfrentan.
Y luego entraremos en el resumen.
Nuevamente, esto todavía lo leerán las personas menos técnicas.
Entonces, en primer lugar, estamos detallando el
alcance para asegurarnos de decirles lo que probamos,
aunque ya nos dijeron qué probar, solo
para que, en el futuro, si
se descubriera algo fuera de nuestro alcance. y
vuelven a
nosotros, podemos decir, bueno, esto estaba fuera del
alcance, no lo probamos.
A continuación, incluimos las calificaciones de riesgo.
Así que tendrá esto
en cada documento que
quiera que lo modifique, básicamente solo estamos diciendo
cómo clasificaríamos una cierta vulnerabilidad como baja, media, alta o crítica.
Y estamos diciendo, en nuestra
opinión, cómo debe manejar las vulnerabilidades bajas,
medias, altas y críticas.
Puede ver lo crítico,
estamos diciendo que necesita arreglarlo inmediatamente, mientras
que para lo bajo, necesita arreglarlo
en el próximo ciclo de actualización.
Nuevamente, esta es solo nuestra propia opinión.
A continuación, tenemos la descripción general de los hallazgos.
Así que todavía estamos en
la sección uno, esto todavía es
para los ejecutivos, no necesitamos profundizar demasiado.
Así que solo nos dieron el ID de vulnerabilidad.
Y puede ver, para la primera vulnerabilidad, es crítica,
es una inyección de SQL.
Y en muchos casos, en muchos
informes, se detendrán en decir que es solo una inyección de SQL.
Nos gusta mostrar el impacto en esta sección, porque como dije,
estos tipos no son técnicos, por lo
que si leen la inyección
de SQL, es posible que no sepan qué es una
inyección de SQL, lo que les importa es el impacto de esta vulnerabilidad.
Nuevamente, no tienen mucho tiempo, por
lo que debe ir directo al grano, así que
lo que estamos haciendo es decir que es una inyección SQL
que podría conducir a un acceso autorizado a la base de datos.
Entonces, ahora saben que con esta vulnerabilidad,
un pirata informático puede acceder
a su base de datos, esto probablemente sea bastante malo.
Otra vulnerabilidad que encontramos es media, y el
CSRF nuevamente, muchos informes se detendrán aquí, realmente no explica
nada a las personas no técnicas.
Entonces, estamos diciendo que los clientes pueden verse obligados
a enviar ciertas solicitudes no críticas, por eso es
un medio, no son solicitudes
no críticas, pero pueden verse obligados a enviar cosas.
Y luego tenemos una vulnerabilidad baja
en la que se divulga la versión de
PHP, por lo que esto no
es realmente muy crítico porque no
es una vulnerabilidad real que pueda explotarse para obtener acceso o exponer los datos
del usuario, pero esta información podría ser útil para
que los piratas informáticos
se encadenen con otros ataques o descubrir vulnerabilidades para esta versión específica
de PHP,
y por eso está permitido, por eso
no necesita ser atendido con tanta
urgencia como las críticas como mencionamos anteriormente aquí.
Y siéntase libre de leer el
texto aquí, verá que gran parte de él es básicamente para borrar
nuestros errores y asegurarse de que comprendan todo lo que
hay en el informe.
Y ese sería el final del resumen, y
ahora estamos en los detalles técnicos.
Entonces, en esta sección, básicamente tenemos, como dije, una
subsección para cada hallazgo que tenemos, y estamos
profundizando mucho en los detalles
de este hallazgo.
Puede ver que esta es
la inyección SQL que mencionamos anteriormente en
el resumen, pero esta vez les estamos
dando la
URL que es vulnerable, les estamos dando el
parámetro vulnerable, les estamos dando referencias
para entender qué La inyección de SQL es en caso de que
no lo entiendan, les estamos
dando la solicitud exacta y la respuesta exacta que
obtuvimos, lo que nos hizo determinar que esta página en particular
es vulnerable a una inyección de SQL.
Entonces les estamos dando el impacto aquí en detalles, no
solo diciendo que pueden acceder a la base de datos,
por lo que estamos diciendo que pueden
acceder a la base de datos,
que pueden recuperar datos, tenemos acceso a la tabla
del usuario, por lo que
está Voy a profundizar en los detalles e incluso deberías incluir
capturas de pantalla aquí si crees que serán útiles.
En la
sección de mitigación, solo les estamos
dando una recomendación rápida, como dije, algunas empresas dan recomendaciones
detalladas, esto realmente depende del compromiso también.
Entonces, en este ejemplo, básicamente
solo estamos diciendo, use declaraciones preparadas con consultas parametrizadas,
y les estamos dando una referencia para aprender
cómo hacerlo o para comprender cómo funciona.
Y eso es todo.
Así que vas a repetir eso
para cada vulnerabilidad que
encontraste, dejaré el resto vacío ya que esto es solo una muestra, pero
entiendes la idea.
Entonces, tendrá una subsección para cada hallazgo que
tenga, explique todo en detalle para que comprendan
la vulnerabilidad y luego
puedan seguir adelante y solucionarlo.
Al final, muchas empresas tendrían un apéndice y podrían
tener una sección de recomendaciones más grande, como dije,
este es nuestro estilo de redacción de informes,
pero cada empresa tiene su propio estilo.
Si le gusta esto, tal vez dedique
algún tiempo a revisar los informes
de muestra que tenemos en este repositorio.
Obviamente, incluiré ambos enlaces para mi muestra y para las
otras muestras en los recursos para que
pueda revisarlos usted mismo y
tener una idea de cómo son los informes de pentest.
Pero como dije, en muchos casos,
simplemente completará una muestra similar a la
que tenemos aquí, por
lo que nunca se le pedirá que cree una desde cero.