Penetration Testing Report Generator

Bc. Ondřej Borýsek

Master's thesis

Abstract:

Cílem této práce je porozumět pracovnímu procesu penetračního testování a jeho specifikům a vytvořit nástroj pro zefektivnění tohoto procesu. Důraz je kladen na potřeby malých týmů penetračních testerů, kteří potřebují pro různé zákazníky psát reporty v různých jazycích. V rámci práce jsme spolupracovali s takovým týmem z Trusted Network Solutions, průmyslového partnera fakulty. V práci představujeme vylepšený pracovní proces a nově vyvinutý nástroj, který usnadňuje práci analytiků, a to pomocí vícejazyčné databáze šablon nálezů, automatického generování nálezů z výsledků automatických skenů zranitelností a použitím softwaru s podporou pro simultánní spolupráci. Průmyslový parter již začal produkt používat a nový proces zhodnotil jako celkově pohodlnější, vedoucí ke zvýšení kvality popisů zranitelností a umožňující rozdělit práci mezi testery a projektového manažera.

Abstract:

This thesis aims to understand the workflow of penetration tests, their challenges, and to build tooling to make the process more efficient. The focus is on the needs of small penetration test teams who need to write reports in different languages for different customers, in particular a faculty’s industrial partner Trusted Network Solutions. We present an improved workflow and tooling that makes the analysts’ job easier by using a database of vulnerability templates in multiple languages, auto-generating drafts of findings from vulnerability scan reports, and using software with support for simultaneous collaboration. The industrial partner already started using the product and reported that the improvement to their workflow was significant – it is overall more convenient, it already lead to an increase in the quality of several vulnerability descriptions, and allows separation of work between several testers and a project manager.

Keywords

cybersecurity, penetration testing, report generation, process automation, web application, real-time collaboration

Language used: English

Date on which the thesis was submitted / produced: 13. 12. 2022

Thesis defence

• Date of defence: 25. 1. 2023
• Supervisor: RNDr. Jan Vykopal, Ph.D.
• Reader: Mgr. Andrej Tomči

Masaryk University

Faculty of Informatics

Master programme / field:
Computer systems, communication and security / Information security