A lo largo del curso, aprendimos una serie de métodos para descubrir errores
y vulnerabilidades en diferentes tipos de software e infraestructura, generalmente al final de la prueba, deberá informar al cliente con todas
las vulnerabilidades que encontró o con todas las recomendaciones.
Esto se hace mediante un informe de prueba.
Entonces, básicamente, lo que queremos decir con un informe de prueba es solo un documento que incluye todo
lo que encontró a través de su participación para que el cliente o el administrador puedan seguir adelante y corregir todas las
vulnerabilidades y debilidades que encontró.
Los ejecutivos también leen estos informes la mayor parte del tiempo.
Por lo tanto, deberías tenerlo en cuenta.
Por tanto, un buen informe debería ser bastante fácil.
Pero también es fácil de entender ahora si está trabajando como evaluador, entonces la empresa para la que
está trabajando probablemente tendrá su propia plantilla y sus propios estándares que debe seguir al escribir un
informe.
Y en muchos casos, ni siquiera lo hará.
Simplemente enviará sus hallazgos a otro miembro de su propio equipo y ellos completarán los espacios en
blanco correctamente en el informe.
Por lo tanto, probablemente no necesitará escribir uno desde cero.
Y en muchos casos ni siquiera escribirás el informe real que ve el cliente.
Dicho esto, todavía quiero mostrarle cómo se hace esto, solo para darle una idea de cómo se
ve un informe de prueba.
Ahora, en primer lugar, antes de mostrarles la muestra que tengo, voy a incluir
este repositorio, que básicamente contiene una gran cantidad de informes de Pantazis.
Por lo tanto, podría mirarlos en busca de inspiración y solo para ver los diferentes estilos que siguen las
diferentes empresas al hacer un informe de prueba.
Entonces puede hacer clic en cualquiera de estos y encontrará el informe y podrá revisarlo para
saber cómo esta empresa específica, escribe sus informes y tal vez encuentre algo que le guste que
comenzaría a incluir en su propio informe. .
Así que voy a incluir esto en los recursos de la conferencia para que puedas volver a él en busca de inspiración.
Pero lo que realmente quiero hacer es guiarlos a través de una muestra de informes que usamos aquí en seguridad.
Solo para darle una idea de las secciones principales que tienen la mayoría de los informes.
También incluiré esto en los recursos.
Así que siéntase libre de modificarlo y usarlo o tomar algunos elementos si lo desea.
Así que notarás en el repositorio aquí, cada compañía tiene su propio estilo de redacción de informes,
pero en general siempre hay algunas secciones principales que encontrarás en cada informe.
Entonces, comenzando con la primera página aquí, tenemos la página de portada.
De nuevo, puedes vender esto como quieras.
Por lo general, tiene el logotipo de la empresa, tiene el título y luego tendrá la fecha del informe y
la versión.
Esto es muy importante.
Y luego tenemos la empresa, la información de nuestra empresa.
Así que este informe está escrito por nosotros.
Esta es la información de nuestra empresa.
Y luego está en el campo de fuerza, tiene la empresa para la que está escribiendo este informe.
Entonces tendrías el nombre de la empresa, tendrás una identificación específica para esta empresa.
Esta es la idea de que identificó a esta empresa dentro de sus propios registros.
Una vez más, probablemente esto no sea algo que usted mismo hará.
Su propia empresa le dará esta idea.
Y luego tenemos la información de contacto de ambas empresas.
Como puede ver, en esta empresa tenemos este allí uno y luego el Tester dos con sus direcciones de correo electrónico.
Obviamente, esta podría ser una lista más grande con todo el equipo que está haciendo la prueba y similar a la
empresa para la que estás haciendo la prueba.
Una vez más, tiene sus nombres, su puesto en la empresa y su información de contacto.
Ahora, nuevamente, tenga en cuenta que no siempre tiene que diseñar la primera página de esta manera, pero más o
menos generalmente en la primera página, tendrá el título, la fecha, la versión y la información de contacto.
Así es como lo hacemos.
Pero nuevamente, puede hacerlo de la manera que desee y puede inspirarse en el recurso que voy a
incluir aquí.
A continuación, normalmente volvemos a tener la tabla de contenido, como puede ver, las cosas simples normalmente tendrían
en cualquier tipo de documento.
Esto le ayudará a navegar por todo este documento.
Y como dije aquí, podemos ver las secciones principales de cualquier informe de protesta.
Por eso es muy importante tener un resumen ejecutivo.
Este es un resumen de todo el compromiso que está diseñado para personas menos técnicas.
Así que se supone que debe darles una idea de sus hallazgos sin profundizar demasiado en los detalles técnicos.
Luego tenemos un resumen del compromiso donde detallamos el alcance.
Entonces, esto es lo que probó, qué partes de su sistema probó, las calificaciones de riesgo que
usó y una descripción general de todo lo que encontró.
Entonces, nuevamente, hasta ahora, no estamos profundizando o simplemente esto es solo un resumen de todo el compromiso.
Obtendrá una mejor idea de todo esto a medida que avance en el informe.
Y luego, en la sección de detalles técnicos, aquí es donde se sumerge realmente en todo lo que
encontró.
Así que básicamente tenemos una sección para cada hallazgo.
Como puede ver, esto es solo una muestra.
Así que solo hice tres hallazgos.
Tenemos una inyección inicial, una falsificación de solicitud entre sitios.
Si.
SRF y una divulgación de información.
Entonces, como puede ver en la primera sección, básicamente solo teníamos un resumen
de todo lo que encontramos, mientras que en los detalles técnicos básicamente desglosamos cada hallazgo.
Y vamos a hablar sobre cómo lo encontramos en detalle, cómo replicarlo.
Incluirá capturas de pantalla, si puede, para que el equipo técnico pueda comprender exactamente la
gravedad de esta vulnerabilidad y cómo solucionarla.
Notará que otras compañías incluirán un apéndice al final, incluirán recomendaciones donde le
dirán exactamente cómo solucionar las vulnerabilidades.
Como dije, realmente depende de la empresa.
Cada empresa tiene su propio estilo y cada empresa tiene su propio formato.
Entonces, lo que les estoy mostrando aquí es solo una muestra de cómo lo hacemos.
Puedes inspirarte en los recursos y, en muchos casos, solo tendrás que seguir la plantilla que tiene
tu empresa porque no quieren que lo hagas a tu manera.
Así que vayamos a la página siguiente y verá que en esta página tenemos la información legal.
Y es por eso que en realidad dije que probablemente no lo harás tú mismo.
Nunca necesitará hacer esto usted mismo porque tendrá partes del informe como esta.
Nunca tendrá que modificarlos y, de hecho, los redactará el equipo legal de su empresa.
Por lo tanto, darán cuenta de cualquier cosa que pueda salirse de control para asegurarse de que no lo demandarán.
Si algo sale mal, contendrá cosas como exenciones de responsabilidad, PIB, nuestra privacidad, asuntos legales y todas esas
cosas que realmente no conocemos muy bien.
Los probadores y las personas jurídicas suelen escribir, y luego tenemos el registro de cambios del documento.
Entonces, cada vez que se realiza un cambio en el documento, puede ver que tenemos la fecha, tenemos la versión
y tenemos un comentario.
¿Por qué hicimos este cambio o qué tiene de importante este cambio?
Así que este fue el informe inicial cuando lo hicimos el 1 de enero y luego el 10 de enero hicimos
una segunda versión donde terminamos con la segunda etapa.
Nuevamente, esto son solo ejemplos.
Pero solo para darle una idea de que mantener un registro de cambios de todos los cambios por los que
pasa este documento es muy, muy importante.
No todas las empresas lo hacen.
Pero nuevamente, esa es nuestra propia elección para agregarlo en nuestro informe.
Sigo diciendo esto solo para darle una idea de que no hay reglas establecidas para hacer este tipo de documentos.
Puedes agregar o quitar lo que quieras, pero las partes principales serían la parte legal, el resumen ejecutivo
y luego la parte técnica.
Éstas serán las partes principales del informe.
Así que ahora tenemos el resumen ejecutivo y puede leerlo.
Se supone que esto no debe ser largo.
Entonces, en mi opinión, debe ser una página como máximo dos páginas si realmente es necesario.
Y básicamente dice que se nos ordenó probar un sistema.
Explicará cómo está organizado este documento, donde la primera sección es menos detallada, solo para darle
una idea del riesgo.
Y el segundo se detalla para que los técnicos comprendan estos riesgos y los solucionen y luego se les dio
la calificación de riesgo.
Por lo tanto, asumimos que esto es de alto riesgo según las vulnerabilidades que encontramos.
Detallará la metodología que seguimos.
Y luego tenemos algunos gráficos aquí.
Recuerde, esta parte la están leyendo los ejecutivos.
Son personas que la mayor parte del tiempo no son muy técnicas y tampoco tienen mucho tiempo.
Así que incluimos gráficos aquí para mostrarles la cantidad de vulnerabilidades que encontramos.
Entonces podemos ver que tenemos cinco vulnerabilidades que son altas.
Tenemos 10 que son medianos y ocho que son bajos.
Así que esto les dará una muy buena comprensión de las amenazas a las que se enfrentan.
Y luego volveremos al resumen.
Esto todavía lo leerán las personas menos técnicas.
Entonces, en primer lugar, estamos detallando el alcance para asegurarnos de decirles lo que probamos, aunque ya nos
dijeron qué probar, solo para que, en caso de que en el futuro, se descubra algo fuera
de nuestro alcance y regresan a nosotros, podemos decir, bueno, esto estaba fuera del alcance.
No probamos esto el próximo año, incluida la calificación de riesgo.
Entonces tendrás esto en cada documento.
Quieres que lo modifique.
Básicamente, solo estamos diciendo cómo clasificaríamos una determinada vulnerabilidad como baja, media, alta o
crítica.
Y estamos diciendo, en nuestra opinión, cómo debe manejar las vulnerabilidades bajas, medias, altas y críticas que puede ver para
las críticas, decimos que debe corregirlas de inmediato, mientras que para la ley debe corregirlas
en el próximo. ciclo de actualización.
Nuevamente, esta es solo nuestra propia opinión.
A continuación, tenemos los hallazgos de la revisión.
Entonces todavía estamos en la sección uno.
Esto todavía es para los ejecutivos.
No necesitamos sumergirnos demasiado.
Así que solo se nos ha dado la idea de la vulnerabilidad.
Y puede ver que la primera vulnerabilidad es crítica.
Es una inyección de Ezekial.
Y en muchos casos, en muchos informes, realmente lo detendrán, diciendo que es solo una inyección de ESKIL.
Nos gusta mostrar el impacto en esta sección porque, como dije, estos tipos no son técnicos.
Entonces, si es una inyección, es posible que no sepan qué es una inyección de ESKIL.
Lo que les importa es el impacto de esta vulnerabilidad.
Una vez más, no tienen mucho tiempo, por lo que debe ir directo al grano.
Entonces, lo que estamos haciendo es decir que es una inyección natural que podría conducir al acceso autorizado a la base
de datos.
Entonces, ahora saben que con esta vulnerabilidad, un pirata informático puede acceder a su base de datos.
Probablemente esto sea bastante malo.
Otra vulnerabilidad que encontramos es media y excesiva.
SRF nuevamente, muchos informes se detendrán aquí, realmente no explica nada a las personas no técnicas.
Por lo tanto, estamos diciendo que los clientes pueden verse obligados a enviar ciertas solicitudes no críticas.
Por eso es una solicitud de los medios, no no crítica.
Pero pueden verse obligados a enviar cosas.
Y luego tenemos una vulnerabilidad en la que se revela la versión de HP.
Por lo tanto, esto no es realmente muy crítico porque no es una vulnerabilidad real que pueda explotarse
para obtener acceso o exponer los datos del usuario.
Pero esta información podría ser útil para que los piratas informáticos se encadenen con otros ataques o descubran
vulnerabilidades para esta versión específica.
Y es por eso que es bajo.
Por eso no hay que atenderlo con mucha urgencia, como los críticos, como mencionamos
arriba y aquí.
Y siéntase libre de leer el texto aquí, verá que gran parte de él es básicamente solo para despejarnos las
espaldas y asegurarnos de que comprendan todo lo que está en el informe.
Y ese sería el final del verano.
Y ahora estamos en los detalles técnicos.
Entonces, en esta sección, básicamente tenemos, como dije, una subsección para cada hallazgo que
tenemos.
Y estamos profundizando mucho en los detalles de este hallazgo.
Entonces puede ver que esta es la inyección real que mencionamos anteriormente en el resumen.
Pero esta vez les estamos dando la URL que es vulnerable.
Les estamos dando el parámetro vulnerable.
Les estamos dando referencias para entender qué es la inyección de Eskil.
En caso de que no lo entiendan, les estamos dando la solicitud exacta y la respuesta exacta que
obtuvimos, lo que nos hizo determinar que esta página en particular es vulnerable a una inyección.
Entonces les estamos dando el impacto aquí en detalles, no solo diciendo que pueden acceder a la base de datos.
Entonces decimos que pueden acceder a la base de datos.
Pueden recuperar datos a los que obtuvimos acceso a la tabla del usuario.
Así que vas a profundizar en los detalles e incluso deberías incluir capturas de pantalla aquí.
Si cree que serán útiles en la sección de mitigación.
Solo les estamos dando una recomendación rápida.
Como dije, algunas empresas dan recomendaciones detalladas.
Esto también depende del compromiso.
Entonces, en este ejemplo, básicamente solo estamos diciendo que use instrucciones de preparación con consultas parametrizadas y les
estamos dando una referencia para aprender cómo hacerlo o para comprender cómo funciona.
Y eso es todo.
Entonces, ¿vas a repetir eso para cada vulnerabilidad que encontraste?
Dejo el resto vacío ya que esto es solo una muestra, pero entiendes la idea.
Por lo tanto, tendrá una subsección para cada hallazgo en el que haya explicado todo en detalle para
que comprendan la vulnerabilidad y luego puedan seguir adelante y solucionarlo.
Al final, muchas empresas tendrían un apéndice y podrían tener una sección de recomendaciones más grande, como dije,
este es nuestro estilo de redacción de informes, lo que cada empresa tiene su propio estilo, si lo desea.
Es posible que dedique algún tiempo a revisar los informes de muestra que tenemos en este repositorio.
Obviamente, incluiré enlaces para mi muestra y para las otras muestras y los recursos para que pueda
revisarlos usted mismo y tener una idea de cómo son los informes de Pennhurst.
Pero como dije, en muchos casos, simplemente completará una muestra similar a la que tenemos aquí.
Por lo tanto, nunca se le pedirá que cree uno desde cero.