Hvordan du kommuniserer resultater for sikkerhetsvurdering - dummies

Du må kanskje organisere informasjonen om sårbarhet i et formelt dokument for ledelse eller klienten, slik at de kan vurdere risikoen for hacking i eget firma. Dette er ikke alltid tilfelle, men det er ofte den profesjonelle tingen å gjøre og viser at du tar jobben din på alvor. Gjør ut de kritiske funnene og dokumenter dem slik at andre parter kan forstå dem.

Grafer og diagrammer er et pluss. Skjermfanger av funnene dine - spesielt når det er vanskelig å lagre dataene i en fil - kan legge til en fin berøring til rapportene dine og vise konkrete bevis på at problemet eksisterer.

Dokumentere sårbarhetene på en kort, ikke-teknisk måte. Hver rapport skal inneholde følgende opplysninger:

• Dato (er) testen ble utført

• Tester som ble utført

• Sammendrag av de oppdagede sårbarhetene

• Prioriterte liste over sårbarheter som må tas opp

• Anbefalinger og spesifikke trinn på hvordan du kobler sikkerhetshullene som er funnet

Hvis det vil gi verdier til ledelsen eller klienten din (og det gjør det ofte), kan du legge til en liste over generelle observasjoner rundt svake forretningsprosesser, ledelsens støtte til IT og sikkerhet, og så videre med anbefalinger for adressering av hvert problem.

De fleste vil at sluttrapporten inneholder en oppsummering av funnene - ikke alt. Det siste de fleste ønsker å gjøre er å sile gjennom en 5-tommers tykk bunke med papir som inneholder teknisk sjargong som betyr lite for dem. Mange konsulentfirmaer har vært kjent for å lade en arm og et ben for denne typen rapport, men det gjør det ikke den rette måten å rapportere.

Mange ledere og kunder som å motta rapdata rapporter fra sikkerhetsverktøyene. På den måten kan de referere til dataene senere hvis de vil, men er ikke opptatt i hundrevis av eksemplarer av teknisk gobbledygook. Bare vær sikker på at du inkluderer de røde dataene i vedlegget til rapporten eller andre steder og referer leseren til den.

Listen over handlingsobjekter i rapporten din kan inneholde følgende:

• Aktiver Windows-sikkerhetsrevisjon på alle servere - spesielt for logoer og logger.

• Sett en sikker lås på serverrommet døren.

• Herd operativsystemene basert på sterk sikkerhetspraksis fra den nasjonale sikkerhetsdatabasen og senteret for Internett-sikkerhetsbenchmarks / Scoring Tools.

• Bruk en kryssskårer for å ødelegge konfidensiell informasjon.

• Krev sterke PIN-koder eller passord på alle mobilenheter og tving brukere til å endre dem med jevne mellomrom.

• Installer personlig brannmur / IPS-programvare på alle bærbare datamaskiner.

• Valider inngang i alle webapplikasjoner for å eliminere cross-site scripting og SQL-injeksjon.

• Bruk de nyeste leverandørpatchene til databaseserveren.

Som en del av sluttrapporten vil du kanskje dokumentere ansattes reaksjoner som du observerer når du utfører dine etiske hackingstester. For eksempel er ansatte helt uvitende eller enda krigsførende når du utfører et åpenbart samfunnsteknisk angrep? Blir IT- eller sikkerhetspersonalet helt glipp av tekniske tips, for eksempel ytelsen til nettverket som forringes under testingen eller ulike angrep som vises i systemloggfiler?

Du kan også dokumentere andre sikkerhetsproblemer du observerer, for eksempel hvor raskt IT-ansatte eller ledertjenester leverandørene svarer på testene dine eller om de reagerer i det hele tatt.

Vakt sluttrapporten for å holde den sikker fra personer som ikke er autorisert til å se den. En etisk hacking rapport og tilhørende dokumentasjon og filer i hendene på en konkurrent, hacker eller ondsinnet insider kan stave problemer for organisasjonen. Her er noen måter å forhindre at dette skjer på:

• Lever rapporten og tilhørende dokumentasjon og filer bare til de som har en bedrift, trenger å vite.

• Når du sender den endelige rapporten, krypterer du alle vedlegg, for eksempel dokumentasjon og testresultater, ved hjelp av PGP, kryptert zip-format eller sikker skyfildelingstjeneste. Selvfølgelig er håndlevering den mest sikre innsatsen din.

• La de faktiske teststrinnene som en ondsinnet person kunne misbruke ut av rapporten. Svar på eventuelle spørsmål om dette emnet etter behov.