Al momento de realizar un pentesting en equipo es muy importante ir compartiendo la información que se va obteniendo para evitar así malgastar tiempo en recursos ya analizados. Debido a que todos manejamos diferentes formas de mostrar datos, las herramientas manejan diferentes tipos de reportes, etc. puede resultar de mucha utilidad el uso de un medio en el que se pueda ir informando de los datos obtenidos a los demás integrantes de una manera rápida, fácil y entendible para todos los que los analizarán.
Tabla de Contenido
Dradis es una herramienta open source que permite organizar y compartir la información que se va obteniendo en un test de penetración. Maneja un repositorio centralizado en donde son almacenados los reportes y las cosas pendientes a realizar.
Permite el uso de plugins lo cual hace de Dradis una herramienta flexible además de pequeña y portable ya que es independiente de la plataforma debido a que hace uso de una agradable interfaz web minimizando así las posibles incompatibilidades que se puedan presentar.
La información es organizada y clasificada por categorías, permitiendo además la posibilidad de agregar categorías propias y ordenarlas de la manera que resulte más conveniente para el usuario.
Instalación de Dradis:
- Instalador para Windows: dradis-setup.exe
- Código fuente independiente de la plataforma: dradis.tar.bz2 ó dradis.tar.gz
Escrito en Ruby por lo tanto requiere estar instalado en la plataforma a usar como también la librería SQLite3. Después de una sencilla instalación (Windows, Linux) basta con configurar y ejecutar para tener disponible una interfaz web desde la cual podremos interactuar con la información a almacenar.
Para ver una demostración de Dradis puedes ver las siguientes presentaciones:
Enlaces
Por qué el reporte es parte del pentest, no un trámite final
El problema que describe este artículo no es de herramientas, es de equipo: en un pentest con varias personas, sin un repositorio común, dos auditores prueban lo mismo, un hallazgo se pierde en un chat y el informe final se arma de memoria a última hora. Dradis ataca justo eso: un lugar central donde van quedando la evidencia, las notas y las tareas pendientes, organizadas por categorías que cada equipo puede adaptar. El informe deja de ser algo que se escribe al final y pasa a ser algo que se va construyendo mientras se audita.
Los plugins son la otra mitad de la idea: cada herramienta genera su reporte en su formato, y Dradis los centraliza en uno solo. Eso sigue siendo el flujo correcto hoy, con cualquier herramienta de reporte, no solo con esta.
Dradis hoy
El proyecto sigue vivo: su sitio oficial, su documentación y su página de descarga respondían al verificarlos hoy. Si vas a instalarlo ahora, usa la descarga y la documentación vigentes en dradis.com/ce/download.html. La idea central no cambió: un repositorio compartido, una interfaz web y categorías propias para que el equipo no trabaje a ciegas.
