Penetration test economico: cosa compra davvero meno di 1.000 $

Accessibile è una struttura di costi. Economico è un servizio mancante.

Ci sono due ragioni completamente diverse per cui un penetration test può costare poco, e producono esiti opposti.

La prima è una struttura di costi bassa. Un tester indipendente senza team commerciale, senza account manager, senza project management, senza sedi e senza margine da alimentare può chiedere una frazione del prezzo di una società di consulenza e dedicare le stesse ore, o di più, ad attaccare davvero il vostro sistema. Dal test non è stato tolto nulla. Quello che è stato tolto è tutto ciò che lo avvolge.

La seconda è un servizio mancante. Il prezzo è basso perché il lavoro non sta avvenendo. Gira uno scanner, l'output riceve una copertina e un logo, e la fattura dice "penetration test". Anche questo costa pochissimo da produrre, ed è esattamente per questo che viene prezzato come un affare.

Dall'esterno, su un preventivo, i due si somigliano. Le domande che seguono li separano in modo affidabile.

Sette domande che rivelano la differenza

• Quanti giorni di test manuale compra questo prezzo? Di gran lunga la domanda più utile. Un tester vero risponde subito con un numero, perché è così che ha costruito il preventivo. Schivarla è la risposta.
• Chi esegue il test e quali certificazioni ha? Dovreste ottenere un nome. Se il lavoro viene subappaltato o affidato a chi è libero quella settimana, volete saperlo prima di comprare, non dopo.
• Il report includerà passi di riproduzione per ogni risultato? Senza di essi i vostri ingegneri non possono confermare né correggere nulla, e il report è decorazione. Gli export di scanner quasi mai hanno passi utilizzabili per i risultati che contano.
• I test autenticati sono inclusi? Se la vostra applicazione ha dei login e nessuno testa dietro, è stata saltata tutta l'area dove vivono i risultati seri. È il modo più comune in cui un test economico è tecnicamente onesto e praticamente inutile.
• Il retest è incluso? Il retest è ciò che dimostra che le correzioni hanno funzionato. Se è una fattura separata, aggiungetelo al preventivo prima di confrontare.
• Quanto durerà l'incarico? Un test di un'applicazione reale che finisce in quattro ore non è avvenuto. Tre-cinque giorni lavorativi è una finestra normale per un'applicazione piccola.
• Posso vedere un report di esempio oscurato? Questo chiude la questione più in fretta di qualsiasi altra cosa. Formato, profondità, motivazione della gravità e qualità dei passi di riproduzione si vedono subito. Il mio è a report di esempio.

Cosa deve comunque contenere un test davvero a basso costo

Il budget è un vincolo legittimo e dovrebbe ridurre il perimetro, mai lo standard. Anche in fondo a una fascia di prezzo sensata, tutto questo dovrebbe esserci.

• Test manuale da parte di un tester nominato e certificato, non solo strumenti.
• Test autenticati su ogni ruolo utente nel perimetro.
• Test di logica di business, non solo la checklist OWASP Top 10.
• Risultati valutati con motivazione dichiarata, non un colore non spiegato.
• Passi di riproduzione che un ingegnere possa seguire senza farvi domande.
• Notifica immediata di qualsiasi criticità, durante il test e non alla fine.
• Supporto alla remediation mentre correggete, e un retest dopo.
• Una lettera di attestazione da inviare a un cliente o a un valutatore.

Se a un preventivo ne mancano diversi, non è più economico delle alternative. È un prodotto diverso e più piccolo che per caso condivide il nome.

L'argomento onesto per spendere di più

Preferisco dirlo piuttosto che fingere il contrario. Ci sono situazioni in cui un incarico a basso costo è l'acquisto sbagliato e conviene mettere a budget come si deve.

I parchi grandi sono una. Con migliaia di host, più domini e un decennio di acquisizioni, il lavoro richiede davvero un team, e un team costa quello che costa. Gli ingaggi red team sono un'altra: simulare un avversario reale per settimane contro una capacità di detection matura non è un'attività da budget piccolo, e quel lavoro si dimensiona e si prezza in modo molto diverso. Anche i regimi che impongono test guidati dall'intelligence, e alcuni contesti finanziari regolamentati, si aspettano una scala che un singolo tester in tempi brevi non può produrre. E se il vostro acquirente ha indicato una società specifica o un accreditamento ottenibile in un solo posto, il vostro vincolo è il procurement e non la sicurezza.

Fuori da questi casi, per un'applicazione o una rete di dimensioni piccole o medie, il preventivo caro di solito vi compra struttura anziché profondità.

Dove si collocano i miei prezzi, e perché

Il test di applicazioni web parte da 500 $ e il lavoro su rete e Active Directory da 1.500 $, a prezzo fisso contro un perimetro scritto, con supporto alla remediation, retest e lettera di attestazione inclusi anziché fatturati a parte. È una cifra bassa per gli standard di mercato ed è bassa per la prima ragione di questa pagina, non per la seconda: non c'è una società attorno al test da finanziare. Le ore sono reali, il tester è nominato e certificato OSCP+, e il report di esempio è pubblicato perché possiate giudicare il risultato prima di spendere qualsiasi cosa.

Il dettaglio completo è nella pagina sul costo del penetration test e nella pagina prezzi. Se è un framework a spingere il vostro test, il test guidato dalla compliance tratta quali evidenze si aspetta ciascun regime.