| 骨架 | 摘要 → 范围 → 方法 → 发现 → 附录 |
|---|---|
| 读者 | 管理层/技术团队/合规三类 |
| 篇幅 | 摘要 1-2 页，发现逐条展开 |
| 一致 | 等级口径与术语全篇统一 |
推荐目录
推荐目录
1. 封面与保密声明（版本号、分发等级）
2. 执行摘要（总体结论 + 关键发现 + 优先级）
3. 范围与方法（资产、时间窗、工具与限制）
4. 发现清单（逐条：证据/影响/修复建议）
5. 附录（资产清单、工具清单、日志索引、脱敏说明）每章开头写一句导读，让非技术读者能快速定位所需信息。
报告总体结构
报告按固定骨架组织：执行摘要、范围与方法、发现清单、附录；结构同时服务管理层（摘要与风险）与技术读者（复现与修复），全篇等级与命名统一。
易错点
- 目录混乱，管理层找不到摘要与结论
- 同一漏洞在摘要与正文中的定级不一致
数据来源与参考
- PTES（报告章节）
- OWASP WSTG（报告建议）