اختبار الاختراق الرخيص: ما الذي يشتريه فعلاً أقل من 1,000 دولار

المعقول بنية تكلفة. والرخيص خدمة ناقصة.

هناك سببان مختلفان تماماً لأن يكون اختبار الاختراق زهيد الثمن، وهما يؤدّيان إلى نتيجتين متعاكستين.

الأول بنية تكلفة منخفضة. مختبِر منفرد بلا فريق مبيعات ولا مديري حسابات ولا إدارة مشاريع ولا مقر ولا هامش يُطعَم، يستطيع طلب جزء بسيط من سعر بيت الاستشارات وقضاء العدد نفسه من الساعات أو أكثر في مهاجمة نظامك فعلياً. لم يُحذف شيء من الاختبار. المحذوف هو كل ما يلتفّ حوله.

الثاني خدمة ناقصة. السعر منخفض لأن العمل لا يحدث. تعمل أداة فحص، وتحصل المخرجات على غلاف وشعار، وتقول الفاتورة "اختبار اختراق". هذا أيضاً كلفته ضئيلة، ولهذا بالضبط يُسعَّر ليبدو صفقة.

من الخارج، على ورقة عرض، يتشابه الاثنان. الأسئلة التالية تفصل بينهما بثقة.

سبعة أسئلة تكشف الفرق

• كم يوم اختبار يدوي يشتريه هذا السعر؟ أنفع سؤال على الإطلاق. المختبِر الحقيقي يجيب برقم فوراً لأنه هكذا بنى عرضه. المراوغة هنا هي الجواب.
• من ينفّذ الاختبار وما شهاداته؟ يجب أن تحصل على اسم. إن كان العمل يُسنَد من الباطن أو يتولاه من يكون متفرّغاً تلك الأسبوع، فأنت تريد معرفة ذلك قبل الشراء لا بعده.
• هل سيتضمّن التقرير خطوات إعادة إنتاج لكل نتيجة؟ بدونها لا يستطيع مهندسوك تأكيد أو إصلاح شيء، ويصبح التقرير زينة. تصديرات أدوات الفحص نادراً ما تحمل خطوات صالحة للنتائج المهمة.
• هل الاختبار المُصادَق عليه مشمول؟ إن كان لتطبيقك تسجيل دخول ولم يختبر أحد خلفه، فقد تُخطّيت كامل المنطقة التي تسكنها النتائج الجادة. هذه أشيع طريقة يكون بها الاختبار الرخيص صادقاً شكلاً وعديم الفائدة عملاً.
• هل إعادة الاختبار مشمولة؟ إعادة الاختبار هي ما يثبت نجاح الإصلاحات. إن كانت فاتورة منفصلة، أضفها إلى العرض قبل المقارنة.
• كم سيستغرق المشروع؟ اختبار تطبيق حقيقي ينتهي في أربع ساعات لم يحدث. ثلاثة إلى خمسة أيام عمل نافذة طبيعية لتطبيق صغير.
• هل أستطيع رؤية تقرير نموذجي مُنقّح؟ هذا يحسم الأمر أسرع من أي شيء آخر. الشكل والعمق وتبرير الخطورة وجودة خطوات إعادة الإنتاج تظهر فوراً. تقريري في التقرير النموذجي.

ما يجب أن يبقى في اختبار منخفض التكلفة فعلاً

الميزانية قيد مشروع، ويجب أن تقلّص النطاق لا المعيار أبداً. حتى في أدنى نطاق سعري معقول، ينبغي أن يوجد كل ما يلي.

• اختبار يدوي بواسطة مختبِر مُسمّى ومعتمد، لا أدوات فقط.
• اختبار مُصادَق عليه لكل دور مستخدم ضمن النطاق.
• اختبار منطق الأعمال، لا قائمة OWASP العشرة وحدها.
• نتائج مصنّفة بتبرير معلن، لا لون غير مُفسَّر.
• خطوات إعادة إنتاج يتبعها مهندس دون أن يسألك.
• إبلاغ فوري بأي أمر حرج أثناء الاختبار لا في نهايته.
• دعم المعالجة أثناء الإصلاح، وإعادة اختبار بعده.
• خطاب إثبات يمكن إرساله لعميل أو مُقيِّم.

إن غاب عن عرض عدة من هذه، فهو ليس أرخص من البدائل. هو منتج مختلف وأصغر يتصادف أنه يحمل الاسم نفسه.

الحجة الصادقة للإنفاق أكثر

أفضّل قول هذا على التظاهر بغيره. ثمة حالات يكون فيها المشروع منخفض التكلفة شراءً خاطئاً، وينبغي أن تضع ميزانية لائقة بدلاً منه.

البيئات الكبيرة إحداها. إن كان لديك آلاف المضيفين وعدة نطاقات مجالية وعقد من الاستحواذات، فالعمل يحتاج فريقاً فعلاً، والفريق يكلّف ما يكلّف. ومشاريع الفريق الأحمر أخرى: محاكاة خصم حقيقي عبر أسابيع أمام قدرة كشف ناضجة ليست نشاطاً لميزانية صغيرة، وهذا العمل يُحدَّد ويُسعَّر بشكل مختلف تماماً. كما أن الأنظمة التي تفرض اختباراً موجّهاً بالاستخبارات، وبعض السياقات المالية المنظّمة، تتوقّع حجم مشروع لا ينتجه مختبِر واحد في مدة قصيرة. وإن حدّد المشتري شركة بعينها أو اعتماداً لا يتوفّر إلا من جهة واحدة، فقيدك هو المشتريات لا الأمن.

خارج هذه الحالات، ولتطبيق أو شبكة صغيرة إلى متوسطة، يشتري لك العرض الغالي نفقات عامة لا عمقاً عادةً.

أين تقع أسعاري ولماذا

اختبار تطبيقات الويب يبدأ من 500 دولار، وعمل الشبكات وActive Directory من 1,500 دولار، بسعر ثابت مقابل نطاق مكتوب، مع دعم المعالجة وإعادة الاختبار وخطاب الإثبات مشمولة لا مفوترة منفصلة. هذا رقم منخفض بمعايير السوق، وهو منخفض للسبب الأول في هذه الصفحة لا الثاني: لا توجد شركة حول الاختبار يلزم تمويلها. الساعات حقيقية، والمختبِر مُسمّى وحاصل على OSCP+، والتقرير النموذجي منشور لتحكم على المخرجات قبل أن تنفق شيئاً.

التفصيل الكامل في صفحة تكلفة اختبار الاختراق وصفحة الأسعار. وإن كان إطار تنظيمي يدفع اختبارك، يغطّي الاختبار المدفوع بالامتثال ما يتوقّعه كل نظام من أدلة.