渗透测试学习之报告测试参数五

实施质量保证

人非圣贤孰能无过,但客户可能不会理解这一点,而IT安全人员甚至不会理解那些微不足道的错误。所以在完成第一份报告之后——该报告基本上是一份草稿,因为它未经过质量保证流程——应自行审查该报告,或在理想的情况下,由工作团队中其他的成员进行审查。

技术质量保证可视为某种很短的渗透测试。在常规渗透测试中,可能发生各种问题,例如,渗透测试者忘记检查、误解,或是未能正确记录某些漏洞。技术质量保证就是针对这些可能问题,在技术上保证报告和项目的质量。

技术质量保证应确保渗透测试者已检查了每一个明显的攻击可能性。例如,测试人员针对某个登录页面。检查了xss攻击、暴力破解,但忘记对SQL注入攻击、用户枚举和其Web信息泄露漏洞,但未报告使用了未修补的Web服务器。在技术质量保证阶段中,应确保在给定的评估时间允许的情况下,执行了每一种可能的渗透测试。

技术质量审查应确保渗透测试者没有误解任何漏洞,没有提出错误的观点。例如,测试人员收到SQL错误时,却报告了一个跨站脚本漏洞,可能是因为测试者误解了SQL注入攻击的可能性。

技术质量审查的另一个目标是确保报告的质量。你可能拥有各种类型的客户;其中一些可能拥有深厚的技术背景,而另一些可能是业界新手。因此应当顾及每一类受众,尽可能详尽地撰写一份解释性报告。报告通常应包括可能的攻击的定义、原因、证据、风险评估、解决方案和参考信息。所有这些要点均应使用简洁的语言进行详细的解释。

本作品采用《CC 协议》,转载必须注明作者和本文链接
给我个接口,我能连通一个世界!
本帖由系统于 2周前 自动加精
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容,与人为善,比聪明更重要!