Abordable · Pas cher · Les distinguer

Test d'intrusion pas cher : ce qu'achète vraiment moins de 1 000 $

Abordable et pas cher ne sont pas la même chose, et c'est dans cet écart que la plupart des acheteurs se brûlent. Un prix bas peut signifier l'absence de frais de structure, ou l'absence de test. Voici comment savoir lequel on vous vend, avec des questions auxquelles tout testeur honnête répond en une phrase.

Abordable est une structure de coûts. Pas cher est un service absent.

Il existe deux raisons complètement différentes pour qu'un test d'intrusion coûte peu, et elles produisent des résultats opposés.

La première est une structure de coûts légère. Un testeur indépendant sans équipe commerciale, sans chargés de clientèle, sans gestion de projet, sans locaux et sans marge à nourrir peut demander une fraction du prix d'un cabinet et consacrer autant d'heures, voire plus, à réellement attaquer votre système. Rien n'a été retiré du test. Ce qui a été retiré, c'est tout ce qui l'entoure.

La seconde est un service absent. Le prix est bas parce que le travail n'a pas lieu. Un scanner tourne, la sortie reçoit une page de garde et un logo, et la facture indique « test d'intrusion ». Cela coûte également très peu à produire, et c'est exactement pour cela que c'est affiché comme une bonne affaire.

Vus de l'extérieur, sur un devis, les deux se ressemblent. Les questions ci-dessous les séparent de façon fiable.

Sept questions qui révèlent la différence

  • Combien de jours de test manuel ce prix achète-t-il ? De loin la question la plus utile. Un vrai testeur répond immédiatement par un nombre, parce que c'est ainsi qu'il a construit son devis. L'esquive est la réponse.
  • Qui réalise le test et quelles sont ses certifications ? Vous devriez obtenir un nom. Si le travail est sous-traité ou confié à qui est disponible cette semaine-là, vous voulez le savoir avant d'acheter, pas après.
  • Le rapport inclura-t-il des étapes de reproduction pour chaque constat ? Sans elles, vos ingénieurs ne peuvent rien confirmer ni corriger, et le rapport est décoratif. Les exports de scanner n'ont presque jamais d'étapes exploitables pour les constats qui comptent.
  • Les tests authentifiés sont-ils inclus ? Si votre application a des connexions et que personne ne teste derrière, toute la zone où vivent les constats sérieux a été sautée. C'est la façon la plus courante dont un test pas cher est techniquement honnête et pratiquement inutile.
  • Le contre-test est-il inclus ? Le contre-test est ce qui prouve que les correctifs ont fonctionné. S'il fait l'objet d'une facture séparée, ajoutez-le au devis avant de comparer.
  • Combien de temps durera la mission ? Un test d'une application réelle qui se termine en quatre heures n'a pas eu lieu. Trois à cinq jours ouvrés est une fenêtre normale pour une petite application.
  • Puis-je voir un rapport type expurgé ? C'est ce qui tranche le plus vite. Le format, la profondeur, la justification de gravité et la qualité des étapes de reproduction sont immédiatement visibles. Le mien se trouve à rapport type.

Ce qu'un test réellement peu coûteux doit quand même contenir

Le budget est une contrainte légitime et il doit réduire le périmètre, jamais le niveau d'exigence. Même en bas d'une fourchette raisonnable, tout ceci doit être présent.

  • Des tests manuels par un testeur nommé et certifié, pas seulement de l'outillage.
  • Des tests authentifiés sur chaque rôle utilisateur du périmètre.
  • Des tests de logique métier, pas seulement la liste OWASP Top 10.
  • Des constats notés avec une justification explicite, pas une couleur inexpliquée.
  • Des étapes de reproduction qu'un ingénieur peut suivre sans vous poser de question.
  • Une notification immédiate de tout élément critique, pendant le test et non à la fin.
  • Un accompagnement à la remédiation pendant les corrections, et un contre-test ensuite.
  • Une lettre d'attestation transmissible à un client ou à un évaluateur.

S'il manque plusieurs de ces éléments à un devis, il n'est pas moins cher que les alternatives. C'est un produit différent et plus petit qui porte simplement le même nom.

L'argument honnête pour dépenser davantage

Je préfère le dire plutôt que de prétendre le contraire. Il existe des situations où une mission à bas coût est le mauvais achat et où il faut budgéter correctement.

Les grands parcs en font partie. Avec des milliers d'hôtes, plusieurs domaines et une décennie d'acquisitions, le travail demande réellement une équipe, et une équipe coûte ce qu'elle coûte. Les missions red team aussi : simuler un adversaire réel pendant des semaines face à une capacité de détection mature n'est pas une activité à petit budget, et ce travail se cadre et se tarifie très différemment. Les régimes qui imposent des tests pilotés par le renseignement, et certains contextes financiers réglementés, attendent également une ampleur qu'un testeur seul sur un délai court ne peut pas produire. Et si votre acheteur a imposé un cabinet précis ou une accréditation disponible à un seul endroit, votre contrainte relève des achats et non de la sécurité.

En dehors de ces cas, pour une application ou un réseau de taille petite à moyenne, le devis cher vous achète généralement de la structure plutôt que de la profondeur.

Où se situent mes tarifs, et pourquoi

Les tests d'applications web démarrent à 500 $ et le travail réseau et Active Directory à 1 500 $, au forfait contre un périmètre écrit, avec accompagnement à la remédiation, contre-test et lettre d'attestation inclus plutôt que facturés à part. C'est un chiffre bas selon les standards du marché, et il est bas pour la première raison de cette page, pas pour la seconde : il n'y a pas de cabinet autour du test à financer. Les heures sont réelles, le testeur est nommé et certifié OSCP+, et le rapport type est publié pour que vous jugiez le résultat avant de dépenser quoi que ce soit.

Le détail complet figure sur la page coût d'un test d'intrusion et la page tarifs. Si un référentiel motive votre test, le test piloté par la conformité traite des preuves attendues par chaque régime.

Questions sur les tests à bas coût

Il peut l'être, comme il peut ne rien valoir. Le prix seul ne dit rien. Ce qui compte, c'est de savoir si vous achetez de vrais jours-testeur sur un petit périmètre, ou un scan automatisé avec une page de garde. Une mission à 500 $ représentant trois à cinq jours de test manuel sur une petite application à un ou deux rôles est un travail honnête à un prix honnête. Une mission à 500 $ qui est un passage de scanner, ce sont 500 $ perdus. Demandez combien de jours de test manuel le prix achète et qui les réalise.
Parce que l'essentiel de l'écart est de la structure, pas du travail de test. Le devis d'un grand cabinet porte du commercial, de la gestion de comptes, de la gestion de projet, des locaux et une marge avant que quiconque ne commence, et sur les petites missions le test est souvent réalisé par un junior. Un testeur indépendant sans frais de structure peut demander une fraction du prix tout en consacrant autant d'heures, voire plus, au système lui-même.
Les plus nets : un devis sans nombre de jours-testeur annoncé, un rapport sans étapes de reproduction, des constats sans justification de gravité, un délai exprimé en heures, un refus de nommer le testeur ou ses certifications, l'absence de tests authentifiés sur une application qui a des connexions, et aucun contre-test inclus. Deux de ces signaux ensemble, et vous achetez presque certainement une sortie de scanner.
Seulement s'il produit les preuves demandées. La plupart des revues veulent un rapport avec périmètre défini, une liste de constats avec gravité, une remédiation documentée et des preuves de contre-test, et dans certains régimes les qualifications du testeur. Ce n'est pas le prix qui fait échouer ces revues, ce sont les preuves manquantes. Demandez directement au testeur si la lettre d'attestation et le contre-test sont inclus avant d'acheter.
Utilisez-en un, absolument, et en continu plutôt qu'une fois par an. Mais comprenez ses limites. Un scanner trouve des vulnérabilités connues dans des logiciels connus. Il ne trouve pas un contrôle d'accès défaillant entre deux comptes clients, une étape de paiement que l'on peut sauter, ni un serveur qui fait confiance à un prix soumis par le navigateur. Cela demande un humain, et ce sont généralement les constats qui comptent vraiment. Une comparaison plus complète figure dans test d'intrusion contre scan de vulnérabilités.

Vous voulez savoir si un devis en main est sérieux ?

Apportez-le à un appel de cadrage. Je vous dirai franchement s'il est correctement dimensionné, même si la réponse est de l'accepter.

Contact