24.3.5. Prezentációs sablonok

A gondosan dokumentált technikai jelentés a munka gerince, de a döntéshozókat ritkán egy 80 oldalas PDF győzi meg. A felfedezéseid hatása ott dől el, ahogyan azt prezentálod. Egy erős prezentáció nem a jelentés kivonata, hanem annak célzott, narratívára épülő, vizuálisan meggyőző átirata a megfelelő célközönség számára.

Ez a fejezet nem egy merev PowerPoint sablont ad, hanem egy gondolkodásmódot és egy rugalmas vázat, amivel bármilyen red teaming eredményt hatásosan tudsz kommunikálni, legyen szó C-szintű vezetőkről vagy a fejlesztői csapatról.

A célközönség-dilemma: Egy prezentáció mind felett?

A legnagyobb hiba, amit elkövethetsz, ha ugyanazt a diacsomagot mutatod be a felsővezetőknek és a mélytechnikai szakembereknek. Az egyik a „miért” és a „mennyibe kerül” kérdésekre keresi a választ, a másik a „hogyan” és a „hol” részletekre kíváncsi.

Megoldás: A moduláris diacsomag (Core Deck + Appendix)

Készíts egy központi, „mag” prezentációt, ami mindenki számára érthető, és egészítsd ki egy technikai függelékkel. A struktúra így néz ki:

• Core Deck (kb. 10-15 dia): Ez a felsővezetői szintű történet. Fókuszban az üzleti kockázat, a legfontosabb 3-5 megállapítás, a stratégiai ajánlások és a javasolt következő lépések. Magas szintű, vizuális, lényegre törő.
• Technical Appendix (kb. 10-50+ dia): Ez a mélyvíz. Ide kerülnek a részletes exploit láncok, kódrészletek, logelemzések, PoC videók linkjei és minden, ami a technikai validációhoz szükséges.

A megbeszélésen a „Core Deck”-et prezentálod. Amikor egy technikai kérdés merül fel, egyszerűen átugrasz a függelék megfelelő diájára, megválaszolod a kérdést, majd visszatérsz a fő narratívához. Ezzel a módszerrel egyszerre vagy stratégiai és felkészült a legmélyebb technikai kérdésekre is.

A prezentáció narratívájának sablonja

Egy jó prezentáció történetet mesél. Ennek a történetnek van eleje, közepe és vége. Az alábbi struktúra egy bevált vázat ad ehhez.

1. Címlap (1 dia): Projekt neve, dátum, prezentáló(k) neve, „Bizalmas” jelzés.
2. Vezetői összefoglaló (1 dia): A teljes történet egyetlen dián. Mi volt a cél? Mi a legfőbb felfedezés? Mi a legnagyobb kockázat? Mi a legfontosabb teendő? Ha a közönség csak ezt az egy diát látná, már akkor is értenie kellene a lényeget.
3. A küldetés: Célok és keretek (1 dia): Mit teszteltünk, mit nem, és miért? Itt kell tisztázni a scope-ot, hogy elkerüljük a későbbi „de mi van a…” típusú kérdéseket.
4. Kulcsfontosságú megállapítások (3-5 dia): Minden fontos megállapítás kap egy saját diát. Használd az „Egy dia, egy gondolat” elvét.
5. A „koronaékszer”: A legütősebb támadási lánc (1-2 dia): Mutasd be a leglátványosabb, legnagyobb üzleti hatással bíró támadási útvonalat. Ez az a pont, ahol a közönség megérti a probléma súlyát. A vizualizáció itt kulcsfontosságú.
6. Rendszerszintű problémák és gyökérokok (1 dia): Lépj hátra egyet. A konkrét sebezhetőségeken túl mik azok a mélyebb, rendszerszintű hiányosságok (pl. hiányos logolás, gyenge authentikáció, elégtelen monitorozás), amik lehetővé tették a támadásokat?
7. Priorizált ajánlások (1-2 dia): Ne csak a problémákat sorold! Mutass megoldásokat. Csoportosítsd az ajánlásokat (pl. azonnali, rövid távú, stratégiai) és rendelj hozzájuk felelőst és becsült erőforrásigényt, ha lehetséges.
8. Következő lépések (1 dia): Mi történjen a prezentáció után? Ki mit csinál? Legyen egyértelmű „call to action”.
9. Kérdések és válaszok (1 dia): Egy egyszerű dia, ami jelzi a diszkusszió kezdetét.
10. Függelék (Appendix): A technikai mélység.

A „szövegfal” elkerülése: Vizuális elemek

A leggyorsabb módja a közönség elvesztésének, ha egy teleírt diát vetítesz ki, amit aztán felolvasol. A diáidnak vizuális támaszt kell nyújtaniuk, nem pedig egy mankót neked.

Kerülendő (Szövegfal)

Javasolt (Vizuális és lényegre törő)

„A rendszer prompt injection támadásokkal szemben sebezhető, mert az LLM-nek adott felhasználói input nincs megfelelően szanitálva. Egy támadó speciálisan kialakított promptokkal képes lehet arra, hogy az eredeti rendszerutasításokat felülbírálja, és olyan műveleteket hajtasson végre a modellel, amelyek nem megengedettek, például érzékeny adatokat szerezzen meg a mögöttes adatbázisból, amihez a modellnek van hozzáférése. Ezt a ‘DAN’ (Do Anything Now) típusú jailbreak technikával demonstráltuk.”

Cím: Kritikus sebezhetőség: Prompt Injection Kockázat: Teljes rendszer-kompromittálás

A demó konzerválása

Nem mindig van lehetőség élőben demózni egy exploitot. Ilyenkor a „konzervált bizonyítékok” a legjobb barátaid:

• Animált GIF-ek: Rövid, ismétlődő folyamatok (pl. egy XSS támadás lefutása) bemutatására tökéletesek.
• Rövid videók (képernyőfelvételek): Komplexebb, több lépésből álló támadási láncok bemutatására. Némán, feliratozva vagy rövid narrációval.
• Annotált képernyőképek: Egy-egy kritikus pont kiemelésére (pl. a sebezhető kódrészlet és a támadó input egymás mellett).

Egy egyszerű parancssori eszközzel, mint az `ffmpeg`, könnyen készíthetsz jó minőségű, kis méretű GIF-et egy képernyőfelvételből:

Egy ilyen „konzerv” sokkal hatásosabb, mint egy bonyolult folyamat szóbeli leírása, és kiküszöböli az élő demó kockázatait (pl. technikai problémák).