Как читать отчёт пентеста и закрывать находки

Статья «Как заказать пентест» доводит процесс до получения отчёта. Здесь — что делать с самим документом: как не утонуть в тридцати страницах технических деталей и превратить их в понятный план работ.

Статья опирается на логику направления «Тесты на проникновение» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
2. Гигиенический	Находки пентеста превращаются в задачи со сроками и владельцами, а не остаются файлом PDF, который прочитали один раз

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Из чего состоит отчёт

Краткое резюме для руководства (executive summary) — одна-две страницы без технических деталей: что проверяли, что нашли по критичности, общий вывод. Читается первым, но не заменяет разбор деталей.
Описание методологии и границ — что именно было в рамках работ, какие ограничения действовали. Сверьте с заданием: если здесь описано не то, что заказывали, это повод для вопроса исполнителю до принятия отчёта.
Находки — отдельная карточка на каждую: описание, шаги воспроизведения, доказательство (скриншот, фрагмент запроса), оценка критичности, рекомендация по устранению.
Приложения — список проверенных целей, использованные инструменты, иногда сырые данные сканирования.

Как оценить критичность, не полагаясь только на исполнителя

Исполнитель оценивает находку по общей шкале (часто CVSS), но критичность для конкретной компании зависит от контекста, которого у внешнего исполнителя может не быть. Для каждой находки с высокой или средней оценкой задайте три вопроса:

Что реально произойдёт, если этим воспользуются? Утечка персональных данных клиентов — не то же самое, что доступ к тестовому стенду без данных.
Насколько система доступна для атаки? Уязвимость во внутренней системе без доступа из интернета требует сначала получить доступ в сеть — это не снимает проблему, но меняет срочность.
Есть ли уже компенсирующая мера? Например, уязвимость в редко используемом административном интерфейсе, доступ к которому и так ограничен файрволом, не равна той же уязвимости на публичном сайте.

Итоговый приоритет может отличаться от оценки в отчёте в обе стороны — и это нормально при условии, что расхождение зафиксировано с обоснованием, а не тихо занижено, чтобы не заниматься находкой.

Проверка воспроизводимости

Перед тем как закрывать находку как «исправлено», воспроизведите шаги из отчёта на своей стороне, если это возможно без риска для продуктива. Это ловит две вещи: ложные срабатывания (находка воспроизводится только в специфичных условиях теста, которых в продуктиве нет) и находки, описанные недостаточно подробно, чтобы разработчик мог их исправить без дополнительных вопросов исполнителю.

План устранения

Критичность	Типовой срок
Критическая — доступна из интернета, ведёт к компрометации данных или системы целиком	Дни, с немедленной компенсирующей мерой, если полное исправление требует больше времени
Высокая	Недели, по общему процессу управления уязвимостями
Средняя и низкая	В рамках обычного планирования работ, со сроком, а не «когда-нибудь»

Каждая находка переносится в тот же трекер задач, где ведётся остальная работа команды, с владельцем и сроком — не остаётся отдельным списком в PDF, который никто больше не откроет. Если находка не будет устраняться (принятый риск), это оформляется так же явно, как любой другой риск, с обоснованием и сроком пересмотра.

Повторная проверка (ретест)

Закрытая разработчиком находка не равна подтверждённо устранённой. Для критичных и высоких находок закажите повторную проверку у того же исполнителя (обычно дешевле и быстрее полного теста) или проверьте воспроизводимость сами по тем же шагам из отчёта. Нередко первое исправление закрывает конкретный пример из отчёта, но не первопричину, и находка воспроизводится повторно другим способом.

Диагностика

Симптом	Причина и что делать
Отчёт прочитан один раз и забыт	Находки не перенесены в рабочий трекер задач. Перенесите в тот же инструмент, где ведётся остальная работа, сразу после приёмки отчёта
Исполнитель и компания расходятся в оценке критичности	У исполнителя нет контекста компании. Обсудите расхождение прямо и зафиксируйте итоговую оценку с обоснованием, не выбирайте молча более удобную цифру
Находка не воспроизводится при проверке своими силами	Либо условия теста отличались от продуктива, либо шаги в отчёте неполные. Уточните у исполнителя, не закрывайте как «не актуально» без разбора
Находка, которую «исправили», всплыла снова при ретесте	Исправили симптом, а не первопричину. Вернитесь к анализу, почему конкретное исправление не закрыло проблему целиком

Где это в модели зрелости

Материал относится к направлению «Тесты на проникновение» (материалы направления, карта зрелости). Уровень 2 требует, чтобы находки пентеста доводились до устранения с проверкой результата, а не оставались отчётом для архива: план устранения со сроками и обязательный ретест критичных находок превращают разовую проверку в часть постоянного процесса.

Как проверить

Каждая находка перенесена в рабочий трекер задач с владельцем и сроком или оформлена как принятый риск.
Итоговая критичность находок обсуждена и при необходимости скорректирована с обоснованием, а не взята из отчёта без разбора.
Критичные и высокие находки проверены повторно (ретест) после заявленного устранения.
Находки, не устранённые к заявленному сроку, видны в плане работ, а не потеряны.