ما تكلفة اختبار الاختراق فعلياً

الأسعار

هذه نقاط انطلاق لا قائمة طعام. كل مشروع يُثبَّت سعره مقابل نطاق مكتوب قبل أن يبدأ أي شيء، ولا توجد محاسبة بالساعة، ويُؤكَّد الرقم كتابةً خلال 24 ساعة من مكالمة مجانية لتحديد النطاق.

• اختبار تطبيقات الويب - من 500 دولار. فحص يدوي لقائمة OWASP العشرة، والمصادقة والتفويض، ومنطق الأعمال وإساءة استخدام سير العمل، واختبار واجهات REST وGraphQL. عادةً من ثلاثة إلى خمسة أيام عمل. يُحدَّد النطاق بعدد أدوار المستخدمين، وحجم سطح نقاط النهاية، وما إذا كانت واجهة برمجية مشمولة.
• اختبار الشبكات وActive Directory - من 1,500 دولار. اختبار داخلي وخارجي للشبكة، وADCS وKerberoasting وإساءة استخدام قوائم التحكم، ومسارات هجوم مرسومة بـBloodHound، والتحقق من العزل. يُحدَّد النطاق بحجم النطاق المجالي وعدد المضيفين وعلاقات الثقة.
• اختبار السحابة - من 1,500 دولار. Azure والبنية السحابية تقع ضمن الشريحة نفسها للبنية التحتية وتُحدَّد بالطريقة ذاتها.
• الاختبار المدفوع بالامتثال - من 500 دولار. يتبع عمل الأطر التنظيمية المنطق السعري نفسه: من 500 دولار لنطاق تطبيقي فقط، ومن 1,500 دولار متى دخلت البنية التحتية. الإطار يغيّر الأدلة التي تحتاجها، لا كلفة الاختبار نفسه.

كل مشروع يتضمّن ما يُباع كثيراً كإضافات: دعم المعالجة أثناء الإصلاح، وإعادة اختبار للتأكد من ثبات الإصلاحات، وخطاب إثبات يمكن تسليمه لعميل أو مُقيِّم. التفصيل الكامل في صفحة الأسعار.

لماذا يختلف عرضان للعمل نفسه بعشرة أضعاف

هذا أكثر سؤال يصلني، والجواب الصادق أن معظم الفارق لا علاقة له بجودة الاختبار.

١. أيام العمل، لا الميزات

اختبار الاختراق يُباع بأيام من انتباه شخص ماهر. تطبيق صغير بدور واحد وأربعين نقطة نهاية عمل مختلف فعلاً عن منصّة بستة أدوار وتدفّق دفع وواجهة برمجية عامة. حوّل كل عرض إلى أيام عمل وسينكمش الفارق غالباً. وإن رفضت شركة أن تخبرك بعدد الأيام التي تشتريها، فتلك هي النتيجة.

٢. نفقات عامة تموّلها

عرض من بيت استشارات كبير يحمل فريق مبيعات وإدارة حسابات ومدير مشروع ومقراً وهامشاً قبل إرسال حزمة بيانات واحدة. لا شيء من ذلك يجعل الاختبار أفضل. هي كلفة حقيقية للشراء من شركة كبيرة، وهي معظم الفجوة بين مشروع بـ2,000 دولار وآخر بـ18,000 للتطبيق نفسه.

٣. من يؤدي العمل فعلاً

الشركات الكبيرة تسند المشاريع الصغيرة لمختبِرين مبتدئين ويراجع شخص أقدم المخرجات. تُسعَّر بمعدل مختلط وتُختبَر بمستوى مبتدئ. مع مختبِر منفرد، من يحدّد النطاق هو من ينفّذ ويكتب، وهو سؤال يستحق أن تطرحه صراحةً على أي جهة تشتري منها.

٤. العمل اليدوي مقابل الأدوات

أداة الفحص تجد ترويسات ناقصة ومكتبات قديمة وثغرات معروفة. لا تجد خللاً في التحكم بالوصول بين مستأجرَين، ولا سير عمل يمكن تخطّي خطوة فيه، ولا حقل سعر يثق به الخادم. هذه هي النتائج المهمة ولا تأتي إلا من إنسان. أرخص العروض في السوق غالباً مخرجات أداة فحص بغلاف، ولهذا لا يخبرك السعر وحده بالكثير.

٥. الحماية من تمدّد النطاق

العرض الذي يبدو منخفضاً ثم يحاسب بالساعة على كل غير متوقع ليس عرضاً منخفضاً. السعر الثابت مقابل نطاق مكتوب هو الصيغة الوحيدة التي يكون فيها الرقم المعروض هو الرقم المدفوع.

٦. إعادة الاختبار والمعالجة

كثير من الشركات تفوتر إعادة الاختبار منفصلة، وهي بالضبط الجزء الذي يثبت أنك أصلحت شيئاً. إن استثناها عرض، أضفها قبل المقارنة.

٧. الموعد النهائي

العمل الذي يجب أن يبدأ هذا الأسبوع أغلى في كل مكان، عندي أيضاً. إن كان عقد عميل أو موعد تدقيق هو الدافع، فأرخص ما تفعله هو بدء الحديث مبكراً.

ما لا ينبغي أن تدفع مقابله أبداً

تتكرّر أشياء في العروض ولا تستحق مالاً. تصدير خام من أداة فحص مهما طال. تقرير بلا خطوات إعادة إنتاج، لأن مهندسيك لا يستطيعون التصرّف بناءً عليه. قائمة نتائج بلا تبرير للخطورة، ما يجعل الفرز مستحيلاً. و"اختبار اختراق" بلا اختبار مُصادَق عليه لتطبيق فيه تسجيل دخول، وهو ما يتخطّى كامل المنطقة التي تسكنها النتائج الحقيقية. وأي مشروع يرفض فيه أحد ذكر اسم المختبِر أو شهاداته.

كيف تقدّر رقمك بنفسك

إن أردت الوصول إلى المكالمة وأنت تعرف تقريباً أين ستستقر، أجب عن خمسة: ما نوع النظام، وما حجمه تقريباً، وكم دوراً مختلفاً للمستخدمين، وهل واجهة برمجية ضمن النطاق، وهل يفرض إطار تنظيمي أو عميل الموعد. هذه الأجوبة الخمسة تحدّد معظم السعر. هناك شرح أطول في كم تكلفة اختبار الاختراق، والتقرير النموذجي يوضّح ما ينتجه المال.

حسب الحالة

تختلف التكلفة بحسب ما يدفع إلى الاختبار. إن كانت جولة تمويل أو عميل مؤسسي هي السبب، انظر تكلفة اختبار الاختراق للشركات الناشئة. وإن كان مدقّقاً، انظر تكلفة اختبار SOC 2 أو تكلفة اختبار PCI DSS. وإن كنت توازن عرضاً من أدنى السوق، فاقرأ أولاً ما الذي يشتريه الاختبار الرخيص فعلاً.