Goedkope penetratietest: wat onder $1.000 werkelijk koopt

Betaalbaar is een kostenstructuur. Goedkoop is een ontbrekende dienst.

Er zijn twee volledig verschillende redenen waarom een penetratietest weinig kan kosten, en ze leiden tot tegengestelde uitkomsten.

De eerste is een lage kostenstructuur. Een zelfstandige tester zonder salesteam, zonder accountmanagers, zonder projectmanagement, zonder panden en zonder marge om te voeden kan een fractie van de prijs van een adviesbureau vragen en toch evenveel uren, of meer, besteden aan het daadwerkelijk aanvallen van uw systeem. Er is niets uit de test gehaald. Wat eruit is gehaald, is alles eromheen.

De tweede is een ontbrekende dienst. De prijs is laag omdat het werk niet plaatsvindt. Er draait een scanner, de uitvoer krijgt een voorblad en een logo, en op de factuur staat "penetratietest". Ook dit kost weinig om te maken, en precies daarom wordt het geprijsd als een koopje.

Van buitenaf, op een offerte, lijken deze twee op elkaar. De vragen hieronder scheiden ze betrouwbaar.

Zeven vragen die het verschil blootleggen

• Hoeveel dagen handmatig testen koopt deze prijs? Veruit de nuttigste vraag. Een echte tester antwoordt onmiddellijk met een getal, want zo heeft hij de offerte opgebouwd. Ontwijken is het antwoord.
• Wie voert het testen uit en welke certificeringen heeft die persoon? U hoort een naam te krijgen. Als het werk wordt uitbesteed of wordt gedaan door wie die week vrij is, wilt u dat weten vóór de aankoop, niet erna.
• Bevat het rapport reproductiestappen voor elke bevinding? Zonder die stappen kunnen uw engineers niets bevestigen of oplossen, en is het rapport decoratie. Scannerexports hebben bijna nooit bruikbare stappen voor de bevindingen die ertoe doen.
• Is geauthenticeerd testen inbegrepen? Heeft uw applicatie logins en test niemand erachter, dan is het hele gebied overgeslagen waar de serieuze bevindingen zitten. Dit is de meest voorkomende manier waarop een goedkope test technisch eerlijk en praktisch nutteloos is.
• Is een hertest inbegrepen? De hertest bewijst dat de oplossingen werkten. Is het een aparte factuur, tel hem er dan bij op voordat u vergelijkt.
• Hoe lang duurt de opdracht? Een test van een echte applicatie die in vier uur klaar is, heeft niet plaatsgevonden. Drie tot vijf werkdagen is een normaal venster voor een kleine applicatie.
• Mag ik een geschoond voorbeeldrapport zien? Dit beslist het sneller dan wat ook. Opmaak, diepgang, onderbouwing van de ernst en de kwaliteit van de reproductiestappen zijn meteen zichtbaar. Het mijne staat op voorbeeldrapport.

Wat een echt goedkope test nog steeds moet bevatten

Budget is een legitieme beperking en het hoort de scope te verkleinen, nooit de standaard. Zelfs aan de onderkant van een redelijke prijsrange hoort dit allemaal aanwezig te zijn.

• Handmatig testen door een met naam genoemde, gecertificeerde tester, niet alleen gereedschap.
• Geauthenticeerd testen op elke gebruikersrol in scope.
• Testen van bedrijfslogica, niet alleen de OWASP Top 10-checklist.
• Bevindingen met onderbouwde classificatie, niet een onverklaarde kleur.
• Reproductiestappen die een engineer kan volgen zonder u iets te vragen.
• Onmiddellijke melding van iets kritieks, tijdens de test en niet aan het eind.
• Ondersteuning bij remediatie tijdens het herstellen, en een hertest daarna.
• Een attestatiebrief die u naar een klant of auditor kunt sturen.

Ontbreken er meerdere van deze in een offerte, dan is hij niet goedkoper dan de alternatieven. Het is een ander en kleiner product dat toevallig dezelfde naam draagt.

Het eerlijke argument om meer uit te geven

Ik zeg dit liever dan het tegendeel voor te wenden. Er zijn situaties waarin een goedkope opdracht de verkeerde aankoop is en u beter fatsoenlijk kunt begroten.

Grote omgevingen horen daarbij. Met duizenden hosts, meerdere domeinen en een decennium aan overnames vergt het werk echt een team, en een team kost wat het kost. Red-teamopdrachten ook: wekenlang een echte tegenstander simuleren tegen een volwassen detectiecapaciteit is geen activiteit voor een klein budget, en dat werk wordt heel anders gescoped en geprijsd. Regimes die intelligence-led testen voorschrijven, en sommige gereguleerde financiële contexten, verwachten eveneens een schaal die één tester op korte termijn niet kan leveren. En heeft uw afnemer een specifiek bureau of een accreditatie voorgeschreven die maar op één plek te krijgen is, dan is uw beperking inkoop en geen beveiliging.

Buiten die gevallen koopt de dure offerte u bij een kleine tot middelgrote applicatie of een netwerk meestal overhead in plaats van diepgang.

Waar mijn prijzen liggen, en waarom

Webapplicatietesten beginnen bij $500 en netwerk- en Active Directory-werk bij $1.500, tegen een vaste prijs met een schriftelijke scope, met ondersteuning bij remediatie, een hertest en een attestatiebrief inbegrepen in plaats van apart gefactureerd. Dat is een laag bedrag naar marktmaatstaven, en het is laag om de eerste reden op deze pagina, niet om de tweede: er is geen bureau rond het testen dat gefinancierd moet worden. De uren zijn echt, de tester is met naam genoemd en OSCP+-gecertificeerd, en het voorbeeldrapport is gepubliceerd zodat u het resultaat kunt beoordelen voordat u iets uitgeeft.

De volledige uitsplitsing staat op de pagina over kosten van een penetratietest en de prijspagina. Drijft een raamwerk uw test aan, dan behandelt compliancegedreven testen welk bewijs elk regime verwacht.