Pen Testing отчет

[Nikolay_Fo]

Доброе время суток, уважаемые античатовцы.

Впервые участвуя в мероприятии по тестированию на проникновение, я столкнулся с проблемой составления отчета. Все надо сделать в минимальные сроки. Кто-нибудь владеет информацией (ссылочкой или файликом) как составить отчет или хотя бы форму его составления? Будет классно, если у кого либо есть примеры отчета пентестинга.

С уважением,

Николай

[Jup1ter_]

Я делал на основе этого

http://rghost.ru/6zV85SZqx

[Rebz]

Ну, если это не одноразовая работа, то начни как сам считаешь нужным, далее сам увидишь какую информацию будут у тебя дополнительно запрашивать, в след.раз включи её в отчет.

Юра Гольцев в журнале Хакер про это писал, погугли.

[Jup1ter_]

Забыл как то про его (Гольцева) статью

Вот тот самый выпуск.

http://rghost.ru/797shzJ85

[ZodiaX]

В принципе все достаточно стандартно...

- Введение

...зачем проверяли?

...как проверяли?

- Что проверяли (описать объект)

- Общая оценка на основе найденного

- Тут можно расписывать найденные уязвимости начиная с критичных

желательно включать уязвимый участок, вектор, пример эксплуатации, из за чего возникает

- Как устранить

[Jup1ter_]

Ну вот внутренние отчеты у меня в виде

что проверяли

тип уязвимости

PoC

как лечить.

Но руководство сказало, что для внешних отчетов такой формат не солиден потому, что маленький объем документа получается. Все зависит от того, для кого ты проводить тестирование.

[Ditss]

Тоже интересна тема составления официальных отчетов... Нужно ли давать ссылки и расшифровывать понятия? Есть ли готовые примеры на Google.Doc? Заранее спасибо!

[Jup1ter_]

Я привожу ссылки на CVE или описание OWASP и ничего не сокращаю.