PTES reporting

Summary

このスクリプトは、渗透テストの報告フレームワークについて説明しています。生徒は、PTES（Penetration Testing Execution Standard）のサブセットを使用して、攻撃対象マシンの情報を収集し、脆弱性を見つけ出し、攻撃を行い、最終的には改善策を提案する報告書を作成することが求められます。報告書には、実行概要、技術報告、そして改善策の提案が含まれます。特に重要な点は、脆弱性に対する具体的な改善策を提供することです。

Takeaways

• 📝 レポートの目的は、最終レポートに関連し、Peterの指示に従うことです。
• 🔍 ペネトレーションテストの実施サマリーを含め、全ての対象マシンを1つの文書にまとめてください。
• 🎯 レポートには、目標を達成したレベルと推奨事項を簡潔に述べる必要があります。
• 🔒 報告書には、侵入できたホストとできなかったホストの両方を含めるべきです。
• 💡 情報収集やスキャンの実施を報告すると、ボーナスポイントが得られます。
• 🛠️ 脆弱性を見つけた場合、それを攻撃し、脆弱性が実際に存在することを確認することが重要です。
• 📈 脆弱性に対する攻撃が成功した場合には、どのようなエクスプロイトを使用したか、どの程度のアクセスを獲得したか、さらにアクセスを昇格させる方法についても報告する必要があります。
• 🚫 修正方法を含まないペネトレーションテストレポートは、価値がありません。
• 📋 レポートには、問題とその修正方法を明確に記載することが不可欠です。
• 📊 結論の章は必要ではありませんが、興味深い内容があれば短くまとめることができます。
• 📈 複数の脆弱性が存在する可能性があるため、全ての脆弱性を見つけることが求められます。

Q & A

Penetration testingの報告書にはどのような内容が含まれますか？

Penetration testingの報告書には、実行概要、ターゲットホストのリスト、情報収集、ホスト情報、見つかった脆弱性、実施された攻撃、脆弱性の悪用に成功したかどうか、どのような悪用手法が使用されたか、アクセスの昇格パス、そして最終的にどのように問題を修正するかの修正策が含まれます。

レポートの実行概要には何を含める必要がありますか？

実行概要には、バックグラウンド、達成された目標、推奨事項を簡潔に述べる必要があります。これは、コースの課題であるため、一般的なレベルで言及されます。

レポートでターゲットホストをリストアップする際に注意すべき点は何ですか？

レポートでターゲットホストをリストアップする際には、達成できていないホストも含めることが重要です。また、情報収集やスキャンを行ったにもかかわらず、実際に侵入できなかったホストについても報告することが求められます。

脆弱性に対する攻撃を実施する際にはどのようなことが重要ですか？

脆弱性に対する攻撃を実施する際には、脆弱性が実際に存在することを確認することが重要です。また、脆弱性が実際に活発ではない場合や、ホスト上で有効ではない場合についても報告することが求められます。

レポートで推奨される修正策を含める際に注意すべき点は何ですか？

修正策を含める際には、問題を示すだけでなく、どのようにして修正されるかのアドバイスも含める必要があります。具体的には、コードの修正方法を詳細に指示する必要はありませんが、問題点を明確にし、修正策を提案する必要があります。

レポートの技術部分にはどのような内容が含まれますか？

レポートの技術部分には、情報収集、脆弱性評価、悪用、昇格、そして修正策の詳細が含まれます。また、各ターゲットホストに対して特定のセクションを作成し、それぞれのホストに関する情報を記載することが求められます。

レポートの締めくだりや結論部分にはどのような内容が含まれますか？

締めくだりや結論部分には、テストの概要と、セキュリティ・ポスチャの改善に向けたアイデアが含まれます。ただし、この場合は結論部分が必ずしも必要ではなく、もし興味深い内容がない場合は一つか二つの文でまとめることも可能です。

PETRA標準のレポート構造についてどうやって理解できますか？

PETRA標準のレポート構造については、petrastandard.orgで技術ガイドラインをチェックすることができます。特にレポートの部分に焦点を当て、今日はレポートに関する情報のみを焦点にしています。

レポートの執筆において、どのようなポイントが評価に影響を与えますか？

レポートの執筆において、完全なレポートだけでなく、情報収集やスキャンの実施、攻撃の実施、昇格のパス、そして特に修正策の提案が評価に影響を与えます。不完全なレポートや修正策の提案が不足している場合は、評価からポイントが差し引かれる可能性があります。

レポートを提出する際に名前とコース名を含める理由は何ですか？

レポートに名前とコース名を含めることで、インストラクターはレポートを特定の学生に関連付けることができます。これは、学習プラットフォーム外でレポートを読む場合でも、インストラクターが学生とレポートを適切に関連付けることができるようにするものです。

PETRA標準でなくても、どのような一般的なPenetration Testingのレポートテンプレートを使用できますか？

PETRA標準でなくても、通常のレポートテンプレートを使用することができます。インストラクターからの要求は、レポートの表紙に名前とコース名を含めることで、レポートを特定の学生に関連付けられるようにすることです。