Pentest și audit

Ce trebuie să conțină raportul unui pentest

Dacă raportul îl înțelege doar pentesterul, nu funcționează. O listă după care puteți evalua orice raport.

3 min de citit

Raportul este produsul principal al pentestului. Pe baza lui decid directorul, dezvoltatorii și auditorul, deci trebuie să vorbească fiecăruia dintre ei.

Pentru conducere

Rezumat de o pagină: ce s-a testat, ce s-a găsit, care e nivelul general de risc.
Trei până la cinci probleme principale cu impact asupra afacerii, nu cu denumiri tehnice.
Ce trebuie făcut mai întâi și cât durează aproximativ.

Pentru dezvoltatori

Fiecare constatare: unde, cum se reproduce pas cu pas, dovada (captură, cerere, răspuns).
Nivelul de risc CVSS și explicația de ce este exact acela.
O recomandare concretă de remediere, nu „urmați bunele practici”.

Pentru auditor

Metodologia și limitele lucrărilor.
Datele, componența echipei, modul de acces.
Confirmarea reverificării după remedieri.

Articole

Pentest și audit

Ce este un pentest și prin ce diferă de un scaner de vulnerabilități

Scanerul găsește găuri cunoscute după o listă. Pentesterul gândește ca un atacator și leagă detaliile într-o spargere reală.

4 min de citit

Pentest și audit

Tipuri de pentest: web, API, aplicații mobile, infrastructură, cloud, oameni

Fiecare tip verifică propriul strat. Împreună dau imaginea completă, separat doar un fragment.

5 min de citit