Sådan kommunikerer du sikkerhedsvurderingsresultater - dummies

Du skal muligvis organisere dine sårbarhedsoplysninger i et formelt dokument til ledelse eller din klient, så de kan vurdere risikoen for hacking i deres eget firma. Dette er ikke altid tilfældet, men det er ofte den professionelle ting at gøre og viser at du tager dit arbejde seriøst. Frigør de kritiske fund og dokumenter dem, så andre kan forstå dem.

Grafer og diagrammer er et plus. Skærmbilleder af dine resultater - især når det er svært at gemme dataene i en fil - kan føje et godt strejf til dine rapporter og vise konkrete tegn på, at problemet eksisterer.

Dokumentér sårbarhederne på en kortfattet, ikke-teknologisk måde. Hver rapport skal indeholde følgende oplysninger:

• Dato (er) testen blev udført

• Test udført

• Oversigt over de opdagede sårbarheder

• Prioriteret liste over sårbarheder, der skal behandles

• Anbefalinger og specifikke trin til, hvordan du tilslutter de sikkerhedshuller, der findes

Hvis det vil tilføre værdi til ledelsen eller din klient (og det gør ofte) kan du tilføje en liste over generelle observationer omkring svage forretningsprocesser, ledelsens support af it og sikkerhed og så videre med anbefalinger til adressering af hvert problem.

De fleste vil have, at den endelige rapport indeholder et resume af resultaterne - ikke alt. Det sidste, som de fleste mennesker vil gøre, er at sejle gennem en 5-tommer-tykk stak papir, der indeholder teknisk jargon, der betyder meget lidt for dem. Mange konsulentfirmaer har været kendt for at oplade en arm og et ben for denne meget type rapport, men det gør det ikke den rigtige måde at rapportere.

Mange ledere og klienter modtager rårapporter fra sikkerhedsværktøjerne. På den måde kan de henvise dataene senere, hvis de ønsker det, men er ikke forkælet i hundredvis af eksemplarer af teknisk gobbledygook. Bare sørg for at inkludere de rå data i tillægget til din rapport eller andetsteds og henvis til læseren.

Din liste over handlinger i din rapport kan omfatte følgende:

• Aktiver Windows-sikkerhedsrevision på alle servere - især for logoner og logoffs.

• Sæt en sikker lås på serverrummets dør.

• Hærder operativsystemer baseret på stærke sikkerhedspraksis fra den nationale sårbarhedsdatabase og Center for Internet Security Benchmarks / Scoring Tools.

• Brug en tværskåret papirstop til destruktion af fortrolige oplysninger om hard copy.

• Kræv stærke pinkoder eller passphrases på alle mobile enheder og tving brugerne til at ændre dem med jævne mellemrum.

• Installer personlig firewall / IPS-software på alle bærbare computere.

• Valider input i alle webapplikationer for at eliminere cross-site scripting og SQL injection.

• Anvend de nyeste leverandørpletter til databaseserveren.

Som en del af slutrapporten vil du måske dokumentere medarbejderreaktioner, som du observerer, når du udfører dine etiske hackingstest. For eksempel er medarbejderne helt uvidende eller endda krigsførende, når du udfører et indlysende socialteknisk angreb? Er IT- eller sikkerhedspersonalet fuldstændig savnet af tekniske tip-offs, som f.eks. Ydelsen af ​​netværket, der nedbrydes under testen eller forskellige angreb, der vises i systemlogfiler?

Du kan også dokumentere andre sikkerhedsproblemer, du observerer, f.eks. Hvor hurtigt IT-personale eller administrationsudbydere reagerer på dine tests, eller om de reagerer overhovedet.

Bevar den endelige rapport for at holde den sikker fra personer, der ikke er autoriserede til at se den. En etisk hacking rapport og tilhørende dokumentation og filer i hænderne på en konkurrent, hacker eller ondsindet insider kunne stave problemer for organisationen. Her er nogle måder at forhindre dette på:

• Lever kun rapporten og tilhørende dokumentation og filer til dem, der har en virksomhed, skal vide.

• Når du sender den endelige rapport, krypterer du alle vedhæftede filer, f.eks. Dokumentation og testresultater, ved hjælp af PGP, krypteret zip-format eller sikker cloud-fildelingstjeneste. Selvfølgelig er håndlevering det mest sikre bet.

• Forlad de faktiske teststrin, som en ondsindet person kunne misbruge ud af rapporten. Besvar eventuelle spørgsmål om dette emne efter behov.