Sintesi per il management
Rischio complessivo, metodologia e risultati in una pagina leggibile da chi non è tecnico.
home / risorse
guida
Come leggere un report di penetration test
Un report utile dice cosa è stato provato, come riprodurre ogni vulnerabilità e cosa fare. Un elenco di codici non basta.
report campione
Guarda un report reale, prima di commissionarne uno.
Un report di 69 pagine generato dal motore ExploitFinder su un'applicazione di prova pubblica e volutamente vulnerabile (testphp.vulnweb.com). Mostra struttura, livello di dettaglio e tracciabilità di un report completo.
Evidenze e riproduzione
Registro delle evidenze e schede tecniche per ogni vulnerabilità, con i passi per ripeterla.
Piano di correzione
Tracciamento delle correzioni, rischio residuo e dichiarazione di accettazione del rischio.
Scarica il report campione (PDF, 69 pagine)
Nota. Il bersaglio è un'applicazione di test pubblica, non un cliente. Il report è in inglese ed è stato prodotto dal motore automatico; i report consegnati ai clienti passano dalla revisione umana descritta nella pagina Come funziona.
cosa deve contenere
Otto elementi che ogni report dovrebbe avere.
Perimetro
Cosa è stato testato e cosa no.
Date e metodo
Quando, con quali ruoli e con quale approccio.
Vulnerabilità rilevate
Un elenco con un titolo univoco per ciascuna vulnerabilità.
Passi di riproduzione
Abbastanza dettagli perché un tecnico ripeta la prova.
Gravità
Motivata, non solo un numero.
Impatto
Cosa può fare un attaccante con quella vulnerabilità.
Correzione
Cosa cambiare e dove.
Limiti
Cosa non è stato verificato, e perché.
un segnale
Quando diffidare.
Un report con cento vulnerabilità della stessa gravità, senza passi di riproduzione, è spesso l'output non verificato di uno scanner.
Un report che non dichiara il perimetro o i limiti non permette di capire cosa è stato davvero provato.