Làm thế nào để truyền đạt kết quả đánh giá an toàn - núm vú

Bạn có thể cần phải tổ chức thông tin dễ bị tổn thương của mình thành một tài liệu chính thức để quản lý hoặc khách hàng của bạn để họ có thể đánh giá nguy cơ bị tấn công trong công ty của họ. Điều này không phải lúc nào cũng đúng, nhưng thường là điều chuyên nghiệp để làm và cho thấy rằng bạn thực hiện công việc của mình một cách nghiêm túc. Phơi bày những phát hiện quan trọng và ghi lại các kết quả quan trọng để các bên khác có thể hiểu chúng.

Đồ thị và biểu đồ là một điểm cộng. Chụp màn hình các phát hiện của bạn - đặc biệt là khi bạn lưu dữ liệu vào một tệp tin - có thể thêm một liên lạc tốt đẹp vào báo cáo của bạn và cho thấy bằng chứng hữu hình rằng vấn đề tồn tại.

Ghi lại các lỗ hổng một cách ngắn gọn và phi kỹ thuật. Mỗi báo cáo phải bao gồm các thông tin sau:

• Ngày thử nghiệm được thực hiện

• Các kiểm tra đã được thực hiện

• Tóm tắt các lỗ hổng được phát hiện

• Danh sách các lỗ hổng ưu tiên cần được giải quyết

• Các khuyến nghị và các bước cụ thể về cách cắm các lỗ hổng bảo mật tìm thấy

Hầu hết mọi người muốn báo cáo cuối cùng bao gồm

bản tóm tắt của những phát hiện - không phải tất cả mọi thứ. Điều cuối cùng mà hầu hết mọi người đều muốn làm là lướt qua một chồng giấy dày 5 inch có chứa những thuật ngữ kỹ thuật có nghĩa là rất ít đối với họ. Nhiều công ty tư vấn đã được biết đến để tính một cánh tay và một chân cho loại báo cáo này, nhưng điều đó không làm cho nó đúng cách để báo cáo.

Nhiều người quản lý và khách hàng như nhận các báo cáo dữ liệu thô từ các công cụ bảo mật. Bằng cách đó, họ có thể tham khảo dữ liệu sau này nếu họ muốn nhưng không bị sa lầy trong hàng trăm trang giấy cứng của kỹ thuật gobbledygook. Chỉ cần chắc chắn rằng bạn bao gồm các dữ liệu thô trong Phụ lục của báo cáo của bạn hoặc ở nơi khác và giới thiệu người đọc nó.

Các mục trong mục báo cáo của bạn có thể bao gồm:

Kích hoạt tính năng kiểm tra bảo mật Windows trên tất cả các máy chủ - đặc biệt đối với đăng nhập và đăng xuất.

• Đặt một khóa an toàn vào cửa phòng của máy chủ.

• Harden hệ điều hành dựa trên thực hành bảo mật mạnh mẽ từ cơ sở dữ liệu các quốc gia dễ bị tổn thương và Trung tâm Công cụ Điểm chuẩn / Công cụ đánh giá an ninh Internet.

• Sử dụng máy cắt giấy cắt ngang để phá hủy thông tin bí mật.

• Yêu cầu mã PIN hoặc mật khẩu mạnh trên tất cả các thiết bị di động và buộc người dùng phải thay đổi định kỳ.

• Cài đặt phần mềm tường lửa cá nhân / phần mềm IPS trên tất cả các máy tính xách tay.

• Xác nhận đầu vào trong tất cả các ứng dụng web để loại bỏ kịch bản chéo và chèn SQL.

• Áp dụng bản vá lỗi của nhà cung cấp mới nhất vào máy chủ cơ sở dữ liệu.

• Là một phần của báo cáo cuối cùng, bạn có thể muốn ghi lại những phản ứng của nhân viên mà bạn quan sát khi tiến hành thử nghiệm hacking đạo đức của bạn. Ví dụ, nhân viên hoàn toàn quên hoặc thậm chí hiếu chiến khi bạn thực hiện một cuộc tấn công kỹ thuật xã hội rõ ràng? Nhân viên CNTT hoặc nhân viên an ninh có thể hoàn toàn bỏ lỡ các ưu điểm kỹ thuật, chẳng hạn như hiệu năng của mạng làm suy giảm trong quá trình thử nghiệm hoặc các cuộc tấn công khác xuất hiện trong tệp nhật ký hệ thống?

Bạn cũng có thể ghi lại các vấn đề bảo mật khác mà bạn quan sát, chẳng hạn như nhân viên CNTT hoặc nhà cung cấp dịch vụ quản lý nhanh như thế nào đáp ứng các bài kiểm tra của bạn hoặc họ có đáp ứng hay không.

Bảo vệ bản báo cáo cuối cùng để giữ an toàn cho những người không được phép xem. Báo cáo về hành vi lừa đảo có đạo đức và các tài liệu và tệp liên quan trong tay của đối thủ cạnh tranh, hacker hoặc người nội gián độc hại có thể gây khó chịu cho tổ chức. Dưới đây là một số cách để ngăn chặn điều này xảy ra:

Cung cấp báo cáo và tài liệu liên quan và tệp cho những người có kinh doanh cần biết.

• Khi gửi báo cáo cuối cùng, hãy mã hóa tất cả các tệp đính kèm, chẳng hạn như tài liệu và kết quả kiểm tra, sử dụng PGP, định dạng Zip được mã hóa hoặc dịch vụ chia sẻ tệp tin trên đám mây an toàn. Tất nhiên, giao hàng bằng tay là cược an toàn nhất của bạn.

• Rời khỏi các bước kiểm tra thực tế mà một người độc hại có thể lạm dụng trong báo cáo. Trả lời bất kỳ câu hỏi nào về chủ đề đó nếu cần.