W trakcie kursu nauczyliśmy się wielu metod wykrywania błędów i
luk w różnych typach oprogramowania i infrastruktury, zwykle pod koniec testu będziesz musiał poinformować klienta o
wszystkich znalezionych lukach lub o wszystkich Wyniki.
Odbywa się to za pomocą raportu z testu.
Więc zasadniczo to, co rozumiemy przez raport z testu, jest to po prostu dokument,
który zawiera wszystko, co znalazłeś podczas swojego zaangażowania, aby klient lub administrator mógł kontynuować i naprawić wszystkie znalezione
luki i słabości.
Te raporty są również często czytane przez kierownictwo.
Dlatego musiałbyś to uwzględnić.
Tak więc dobry raport powinien być łatwy.
Ale teraz łatwo jest zrozumieć, jeśli pracujesz jako tester, to firma, dla której pracujesz, prawdopodobnie
będzie miała swój własny szablon i własne standardy, których musisz przestrzegać podczas pisania
raportu.
A w wielu przypadkach nawet tego nie zrobisz.
Po prostu przekażesz swoje wyniki innemu członkowi swojego zespołu, a oni odpowiednio wypełnią
puste pola w raporcie.
Dlatego prawdopodobnie nie będziesz musiał pisać od zera.
A w wielu przypadkach nie napiszesz nawet raportu, który widzi klient.
Mając to na uwadze, nadal chcę pokazać, jak to się robi, tylko po to, aby dać wyobrażenie o tym,
jak wygląda raport z testu.
Teraz, po pierwsze, zanim pokażę wam próbkę, którą mam, dołączę
to repozytorium, które zasadniczo zawiera dużą liczbę raportów Pantazis.
Możesz więc przejrzeć je w poszukiwaniu inspiracji i po prostu zobaczyć różne style, którymi kierują się
różne firmy podczas sporządzania raportu z testu.
Możesz więc kliknąć na którykolwiek z nich, a znajdziesz raport i możesz go przejrzeć, aby dowiedzieć
się, jak ta konkretna firma, piszesz jej raporty i może znajdziesz coś, co ci się podoba, a
co chcesz zacząć uwzględniać we własnym raporcie .
Zamieszczę to więc w zasobach wykładu, abyście mogli do niego wrócić po inspirację.
Ale to, co naprawdę chcę zrobić, to przeprowadzić cię przez próbkę raportów, których używamy tutaj w dziedzinie bezpieczeństwa.
Tylko po to, aby dać ci wyobrażenie o głównych sekcjach, które zawiera większość raportów.
To również uwzględnię w zasobach.
Nie krępuj się więc go modyfikować i używać lub wziąć niektóre jego elementy, jeśli chcesz.
W repozytorium można zauważyć, że każda firma ma swój własny styl pisania raportów,
ale ogólnie w każdym raporcie jest zawsze kilka głównych sekcji.
Więc zaczynając od pierwszej strony tutaj, mamy stronę tytułową.
Więc znowu możesz to sprzedać, jak chcesz.
Zazwyczaj masz logo firmy, tytuł, a następnie datę raportu i
wersję.
To jest bardzo ważne.
A potem mamy firmę, informacje o naszej firmie.
Więc ten raport jest napisany przez nas.
To są informacje o naszej firmie.
A potem jesteś w polu siłowym, masz firmę, dla której piszesz ten raport.
Więc masz nazwę firmy, będziesz miał konkretny identyfikator dla tej firmy.
To jest pomysł, że zidentyfikowałeś tę firmę we własnych rejestrach.
Ponownie, prawdopodobnie nie jest to coś, co będziesz robić sam.
Ten pomysł podsunie Ci Twoja własna firma.
A potem mamy dane kontaktowe do obu firm.
Widać więc, że w tej firmie mamy ten jeden, a następnie tester dwóch z ich adresami e-mail.
Może to być oczywiście większa lista z całym zespołem przeprowadzającym test i podobna do
firmy, dla której wykonujesz test.
Znowu masz ich nazwiska, ich stanowisko w firmie i dane kontaktowe.
Pamiętaj, że nie zawsze musisz stylizować pierwszą stronę w ten sposób, ale mniej
więcej zazwyczaj na pierwszej stronie będzie tytuł, data, wersja i dane kontaktowe.
Tak to robimy.
Ale znowu, możesz zrobić to tak, jak chcesz i możesz czerpać inspirację z zasobu, który zamierzam
tutaj zawrzeć.
Następnie zwykle znowu mamy spis treści, jak widać, proste rzeczy zwykle znajdują
się w dowolnym dokumencie.
Pomoże ci to poruszać się po całym dokumencie.
I jak powiedziałem tutaj, możemy zobaczyć główne sekcje każdego raportu protestacyjnego.
Dlatego bardzo ważne jest, aby mieć streszczenie.
To jest podsumowanie całego zaangażowania, które jest przeznaczone dla mniej technicznych osób.
Ma więc dać im wyobrażenie o twoich odkryciach bez zbytniego zagłębiania się w szczegóły techniczne.
Następnie mamy podsumowanie zaangażowania, w którym szczegółowo opisujemy zakres.
To jest to, co przetestowałeś, które części ich systemu przetestowałeś, oceny ryzyka,
których użyłeś i przegląd wszystkiego, co znalazłeś.
Więc znowu, jak na razie, nie nurkujemy głęboko lub po prostu jest to tylko podsumowanie całego zaangażowania.
Lepiej zrozumiesz to wszystko, kiedy będę przeglądać raport.
A potem w sekcji szczegółów technicznych, tutaj zanurzasz się naprawdę głęboko we wszystkim, co znalazłeś.
Więc w zasadzie mamy sekcję dla każdego znaleziska.
Jak widać, to tylko próbka.
Więc dokonałem tylko trzech ustaleń.
Mamy wstępny wtrysk, fałszerstwo żądania krzyżowego.
Tak.
SRF i ujawnienie informacji.
Jak widać w pierwszej sekcji, w zasadzie mieliśmy tylko podsumowanie wszystkiego,
co znaleźliśmy, podczas gdy w szczegółach technicznych w zasadzie rozbijaliśmy każde znalezisko.
Porozmawiamy o tym, jak to znaleźliśmy w szczegółach, jak to powielać.
Jeśli możesz, dołącz zrzuty ekranu, aby zespół techniczny mógł dokładnie zrozumieć powagę
tej luki i jak ją naprawić.
Zauważysz, że inne firmy dodadzą załącznik na końcu, będą zawierać zalecenia, w których
dokładnie powiedzą Ci, jak naprawić luki.
Tak jak powiedziałem, to naprawdę zależy od firmy.
Każda firma ma swój własny styl, a każda firma ma swój własny format.
Więc to, co wam tutaj pokazuję, to tylko próbka tego, jak to robimy.
Możesz czerpać inspirację z zasobów, a w wielu przypadkach wystarczy postępować zgodnie z szablonem, który ma
Twoja firma, ponieważ nie chcą, abyś robił to po swojemu.
Przejdźmy więc do następnej strony, a zobaczysz, że na tej stronie mamy informacje prawne.
I właśnie dlatego powiedziałem, że prawdopodobnie sam tego nie zrobisz.
Nigdy nie będziesz musiał tego robić sam, ponieważ będziesz mieć takie części raportu.
Nigdy nie będziesz musiał modyfikować, a tak naprawdę zostaną napisane przez zespół prawny w Twojej firmie.
Więc uwzględnią wszystko, co może wymknąć się spod kontroli, aby upewnić się, że nie zostaniesz pozwany.
Jeśli coś pójdzie nie tak, będzie zawierać takie informacje, jak zastrzeżenia, PKB, nasza prywatność, kwestie prawne i wszystkie te rzeczy,
których tak naprawdę nie znamy zbyt dobrze.
Zwykle piszę testerzy i prawnicy, a potem mamy listę zmian dokumentu.
Tak więc za każdym razem, gdy wprowadzana jest zmiana w dokumencie, widać, że mamy datę,
wersję i komentarz.
Dlaczego wprowadziliśmy tę zmianę lub co jest w tej zmianie tak istotnego?
Więc to był pierwszy raport, kiedy zrobiliśmy go 1 stycznia, a 10 stycznia stworzyliśmy drugą
wersję, w której skończyliśmy z drugim etapem.
Ponownie, to tylko próbki.
Ale żeby dać wam wyobrażenie, że prowadzenie dziennika zmian wszystkich zmian, przez które przechodzi ten
dokument, jest bardzo, bardzo ważne.
Nie wszystkie firmy to robią.
Ale znowu, to tylko nasz własny wybór, aby dodać go do naszego raportu.
Powtarzam to tylko po to, aby dać wam wyobrażenie, że nie ma ustalonych zasad tworzenia tego rodzaju dokumentów.
Możesz dodać lub usunąć wszystko, co chcesz, ale główne części to część prawna, streszczenie,
a następnie część techniczna.
To będą główne części raportu.
Więc teraz mamy streszczenie i możesz je przeczytać.
To nie powinno potrwać długo.
Więc moim zdaniem musi to być strona maksymalnie dwie strony, jeśli naprawdę musisz.
I po prostu mówi, że zostaliśmy poinstruowani, aby przetestować system.
Wyjaśni, w jaki sposób zorganizowany jest ten dokument, gdzie pierwsza sekcja jest mniej szczegółowa, aby dać
ci wyobrażenie o ryzyku.
Drugi jest szczegółowy dla pracowników technicznych, aby zrozumieć te zagrożenia i je naprawić, a następnie
otrzymali ocenę ryzyka.
Zakładamy więc, że jest to zagrożone wysokim ryzykiem w oparciu o wykryte luki.
Opisze szczegółowo metodologię, którą zastosowaliśmy.
A potem mamy tutaj kilka wykresów.
Pamiętaj, ta część jest czytana przez kierownictwo.
Są to ludzie, którzy przez większość czasu nie są zbyt techniczni, a także nie mają dużo czasu.
Dlatego dołączamy tutaj wykresy, aby pokazać im liczbę znalezionych luk w zabezpieczeniach.
Widzimy więc, że mamy pięć luk, które są wysokie.
Mamy 10, które są średnie i osiem, które są niskie.
To da im naprawdę dobre zrozumienie zagrożeń, z którymi się borykają.
A potem znowu przejdziemy do podsumowania.
Będzie to nadal czytane przez mniej technicznych ludzi.
Przede wszystkim więc szczegółowo opisujemy zakres, aby upewnić się, że powiemy im, co przetestowaliśmy, mimo że już
powiedzieli nam, co testować, tylko po to, aby w przyszłości, gdyby coś zostało odkryte poza naszym
zakresem i oni wracają do nas, możemy powiedzieć, no cóż, to było poza zakresem.
Nie testowaliśmy tego w przyszłym roku, w tym oceny ryzyka.
Więc będziesz miał to w każdym dokumencie.
Chcesz, żebym to zmodyfikował.
W zasadzie mówimy tylko, jak sklasyfikowalibyśmy określoną lukę jako niską, średnią, wysoką lub
krytyczną.
I mówimy, naszym zdaniem, jak powinieneś poradzić sobie z niskimi, średnimi, wysokimi i krytycznymi podatnościami, które widzisz w przypadku
krytycznych, o których mówimy, że musisz je naprawić natychmiast, podczas gdy w przypadku prawa
musisz naprawić w następnym cykl aktualizacji.
Ponownie, to tylko nasza własna opinia.
Następnie mamy wyniki przeglądu.
Więc wciąż jesteśmy w sekcji pierwszej.
To wciąż jest dla kadry kierowniczej.
Nie musimy nurkować zbyt głęboko.
Więc po prostu podaliśmy pomysł luki.
Jak widać, pierwsza luka jest krytyczna.
To zastrzyk Ezechiela.
I w wielu przypadkach, w wielu raportach, faktycznie to powstrzymują, mówiąc, że to tylko zastrzyk ESKIL.
Lubimy pokazywać wpływ w tej sekcji, ponieważ jak powiedziałem, ci goście nie są techniczni.
Więc jeśli jest to zastrzyk, mogą nie wiedzieć, czym jest zastrzyk ESKIL.
To, na czym im zależy, to wpływ tej luki.
Znowu nie mają dużo czasu, więc musisz być prosto do sedna.
Mówimy więc, że jest to naturalny zastrzyk, który może prowadzić do autoryzowanego dostępu do bazy
danych.
Więc teraz wiedzą, że dzięki tej luce haker może uzyskać dostęp do ich bazy danych.
To prawdopodobnie jest bardzo złe.
Inna usterka, którą znaleźliśmy, jest średnia i nadmierna.
SRF znowu, wiele raportów zatrzyma się tutaj, tak naprawdę nie wyjaśnia niczego osobom nietechnicznym.
Mówimy więc, że klienci mogą zostać zmuszeni do przesyłania pewnych niekrytycznych żądań.
Dlatego jest to prośba medialna, a nie niekrytyczna.
Ale mogą być zmuszeni do składania rzeczy.
A potem mamy jedną lukę, w której ujawniono wersję HP.
Nie jest to więc bardzo ważne, ponieważ nie jest to rzeczywista luka, którą można wykorzystać
do uzyskania dostępu lub ujawnienia danych użytkownika.
Ale te informacje mogą być przydatne dla hakerów do łączenia się z innymi atakami lub odkrywania
luk w tej konkretnej wersji.
I dlatego jest niski.
Dlatego nie trzeba się tym pilnie zajmować, jak te krytyczne, jak wspomnieliśmy powyżej
i tutaj.
I nie krępuj się przeczytać tekst tutaj, zobaczysz, że wiele z tego jest w zasadzie tylko po to, aby oczyścić
nasze plecy i upewnić się, że rozumieją wszystko, co jest w raporcie.
I to byłby koniec lata.
A teraz przejdźmy do szczegółów technicznych.
Więc w tej sekcji mamy, jak powiedziałem, podsekcję dla każdego pojedynczego odkrycia, które
mamy.
I naprawdę zagłębiamy się w szczegóły tego odkrycia.
Widać więc, że jest to rzeczywisty zastrzyk, o którym wspomnieliśmy wcześniej w podsumowaniu.
Ale tym razem podajemy im adres URL, który jest podatny na ataki.
Podajemy im podatny parametr.
Dajemy im odniesienia, aby zrozumieć, czym jest zastrzyk Eskil.
Jeśli tego nie rozumieją, przekazujemy im dokładną prośbę i dokładną odpowiedź, którą otrzymaliśmy, co
skłoniło nas do ustalenia, że ta konkretna strona jest podatna na wstrzyknięcie.
Następnie przedstawiamy im szczegółowo wpływ, a nie tylko mówimy, że mogą uzyskać dostęp do bazy danych.
Więc mówimy, że mogą uzyskać dostęp do bazy danych.
Mogą pobierać dane, do których uzyskaliśmy dostęp do tabeli użytkownika.
Więc zagłębisz się w szczegóły i powinieneś nawet dołączyć tutaj zrzuty ekranu.
Jeśli uważasz, że przydadzą się w sekcji łagodzenia.
Po prostu dajemy im szybką rekomendację.
Jak powiedziałem, niektóre firmy dają szczegółowe rekomendacje.
To naprawdę zależy również od zaangażowania.
W tym przykładzie mówimy po prostu, że użyj instrukcji przygotowania z zapytaniami sparametryzowanymi i dajemy im odniesienie,
aby dowiedzieć się, jak to zrobić lub zrozumieć, jak to działa.
I to prawie wszystko.
Więc zamierzasz to powtórzyć dla każdej znalezionej luki?
Resztę zostawiam pustą, ponieważ to tylko próbka, ale rozumiesz.
Tak więc będziesz mieć podsekcję dla każdego odkrycia, w którym wyjaśniłeś wszystko szczegółowo,
aby zrozumieli lukę, a następnie mogli ją naprawić.
Na koniec wiele firm miałoby załącznik i może mieć większą sekcję rekomendacji, tak
jak powiedziałem, to jest nasz styl pisania raportów, jaki styl ma każda firma, jeśli chcesz.
Może to zająć trochę czasu, przeglądając przykładowe raporty, które mamy w tym repozytorium.
Oczywiście dołączę zarówno linki do mojej próbki, jak i do innych próbek oraz zasobów, dzięki
czemu można je samodzielnie przejrzeć i zorientować się, jak wyglądają raporty Pennhurst.
Ale tak jak powiedziałem, w wielu przypadkach po prostu wypełnisz próbkę podobną do tej, którą mamy tutaj.
Więc nigdy nie zostaniesz poproszony o wymyślenie jednego od zera.