說白了，就是說，在網(wǎng)站滲透測試的最后一步，應(yīng)該統(tǒng)計(jì)代碼漏洞，顯示測試結(jié)果，現(xiàn)場演示一些已經(jīng)被識(shí)別、認(rèn)證和應(yīng)用的安全漏洞。被測試公司的管理和技術(shù)精英團(tuán)隊(duì)將檢查滲透方式，并根據(jù)這些文檔中的結(jié)果修復(fù)現(xiàn)有網(wǎng)站漏洞。因此，從社會(huì)道德的角度來看，安全檢查結(jié)果所顯示的工作目標(biāo)是非常重要的。便于協(xié)助管理者和滲透工程師掌握和分析當(dāng)前網(wǎng)站系統(tǒng)程序中存在的問題，這就需要不同的部門用不同的措辭編寫書面報(bào)告。此外，這些安全測試的結(jié)果還可以用來比較網(wǎng)站滲透測試前后目標(biāo)系統(tǒng)的完整性。許多客戶發(fā)現(xiàn)我們的SINE可以安全地進(jìn)行滲透測試服務(wù)，所以在最后階段，我們都希望向客戶輸出滲透測試報(bào)告。如何寫這份報(bào)告，SINE總是向你詳細(xì)介紹。
在談了這么多之后，總結(jié)就是說，網(wǎng)站滲透測試后向客戶展示的測試結(jié)果，安全測試報(bào)告模板，有哪些規(guī)范？
每個(gè)人都會(huì)有自己合理的意見。正如業(yè)內(nèi)許多人已經(jīng)證實(shí)的那樣，有好的方法可以得出測試結(jié)果，也有一些不盡人意的方法。網(wǎng)站滲透測試的測試結(jié)果表明，沒有固定統(tǒng)一的標(biāo)準(zhǔn)。包含精英團(tuán)隊(duì)特征并能幫助客戶處理問題的測試結(jié)果是好的測試結(jié)果。
滲透測試報(bào)告的內(nèi)容是什么？
第一步是牢記“評估的最終目標(biāo)是什么？你有什么計(jì)劃？測試結(jié)果應(yīng)該表達(dá)什么？一些擁有網(wǎng)站滲透測試專業(yè)技能但缺乏經(jīng)驗(yàn)的工程師很容易犯嚴(yán)重的錯(cuò)誤，也就是說，在測試結(jié)果中過于注重專業(yè)技能，這意味著要記住網(wǎng)站滲透測試的測試結(jié)果不是明顯的技術(shù)。因此，我們應(yīng)該在一開始就清楚地看到目標(biāo)，并在編寫測試結(jié)果時(shí)記住這一點(diǎn)。
第二，誰在看測試結(jié)果？他們期望從中看到什么？誰是測試結(jié)果的對象？在大多數(shù)情況下，網(wǎng)站滲透測試結(jié)果的讀者通常與你的技術(shù)能力不在同一水平。你需要讓他們盡可能地理解測試結(jié)果。此外，有必要使用測試結(jié)果來顯示不同讀者關(guān)心的不同部分。
例如，摘要的一部分應(yīng)該是33，360個(gè)簡明的(不超過兩頁)，并簡要描述危及客戶安全狀態(tài)的漏洞和危險(xiǎn)。在大多數(shù)情況下，高層領(lǐng)導(dǎo)沒有時(shí)間關(guān)心你在網(wǎng)站滲透測試中采用的深度技術(shù)應(yīng)用，所以前幾頁非常重要，高層官員可能只關(guān)注這些頁面的內(nèi)容，所以必須對它們進(jìn)行定制。
“技術(shù)細(xì)節(jié)”是指您在目標(biāo)系統(tǒng)上執(zhí)行的所有技術(shù)測試的細(xì)節(jié)，那些需要修復(fù)您遇到的這些漏洞的人會(huì)非常關(guān)注這一部分。然而，他們不關(guān)心你的掃描測試結(jié)果。直接堆疊超過300頁的掃描結(jié)果是沒有意義的。提出以下建議：
1.漏洞掃描工具的輸出結(jié)果不能直接累積在檢測結(jié)果顯示中，除非必須使用。例如，Nmap的輸出結(jié)果顯示不一定將每一行都放入檢測結(jié)果顯示中。建議執(zhí)行以下操作，例如，當(dāng)網(wǎng)絡(luò)中有大量主機(jī)在掃描期間啟動(dòng)了SNMP服務(wù)時(shí)，建議使用-oA參數(shù)和grep過濾主機(jī)索引和SNMP端口。
2.當(dāng)發(fā)現(xiàn)漏洞時(shí)，必須截屏，但是截屏應(yīng)該適度。太多的截圖會(huì)增加頁面的數(shù)量和測試結(jié)果的大小，所以需要適當(dāng)?shù)慕貓D。截屏應(yīng)該代表關(guān)鍵問題，而不僅僅是顯示掃描工具的漂亮輸出圖像。例如，如果您獲得了Linux主機(jī)的根權(quán)限，您不必剪切20張圖片來顯示根權(quán)限可以瀏覽哪些目錄，而只需要剪切一個(gè)uid命令來顯示輸出結(jié)果。適當(dāng)?shù)慕貓D可以清楚地顯示你的工作目標(biāo)。
另一個(gè)常見的誤解是寫滲透測試結(jié)果時(shí)“長度等于質(zhì)量”。事實(shí)上，你的測試結(jié)果顯示長度應(yīng)該適中，不要太長。如果你期望有人仔細(xì)閱讀你的測試結(jié)果，太長的內(nèi)容會(huì)成為負(fù)擔(dān)。但是，如果您的測試結(jié)果顯示內(nèi)容確實(shí)很長，但是閱讀報(bào)告的客戶并沒有注意到測試結(jié)果中的所有漏洞，建議您以附件的形式顯示一小部分內(nèi)容。感興趣的讀者可以自己閱讀部分附件，不同的讀者可以根據(jù)自己的需要閱讀。在上線之前，網(wǎng)站和應(yīng)用程序必須提前發(fā)現(xiàn)網(wǎng)站和應(yīng)用程序中的漏洞，以防止在后期開發(fā)過程中出現(xiàn)重大經(jīng)濟(jì)損失。你可以找專業(yè)的網(wǎng)絡(luò)安全公司來做這項(xiàng)滲透測試服務(wù)。國內(nèi)的中國國家外匯管理局、美國國家科學(xué)基金會(huì)、金星和鷹盾都是專業(yè)的。到目前為止，這篇文章已經(jīng)記錄了報(bào)告的準(zhǔn)備和重點(diǎn)，希望對大家有所幫助。
