Πόσο κοστίζει ένα penetration test και από τι εξαρτάται
Δημοσιεύθηκε:
Σύντομη απάντηση: δεν υπάρχει μία σταθερή τιμή. Το κόστος ενός penetration test εξαρτάται από το τι ελέγχεται (εύρος), από τον τύπο του ελέγχου, από το μέγεθος και την πολυπλοκότητα του συστήματος, και από το βάθος. Γι' αυτό σοβαρή προσφορά δίνεται μόνο μετά από έναν σύντομο καθορισμό εύρους (scoping), όχι με έναν αριθμό στον αέρα.
Από τι εξαρτάται το κόστος;
- Εύρος: μία εφαρμογή, ένα δίκτυο, το cloud, ή όλα μαζί — όσο μεγαλύτερο το εύρος, τόσο περισσότερος χρόνος.
- Τύπος: black box (χωρίς πληροφορίες), grey box (με λογαριασμό χρήστη) ή white box (με πρόσβαση και κώδικα).
- Μέγεθος/πολυπλοκότητα: αριθμός συστημάτων, ρόλων, ενσωματώσεων.
- Βάθος και συχνότητα: εφάπαξ έλεγχος ή επαναλαμβανόμενος, με επανέλεγχο διορθώσεων.
Τι περιλαμβάνει ένα σωστό penetration test;
Ένας σοβαρός έλεγχος δεν είναι μόνο ένα αυτόματο scan. Περιλαμβάνει χειροκίνητη διερεύνηση, προσπάθεια εκμετάλλευσης ευπαθειών με ελεγχόμενο τρόπο, και —το πιο σημαντικό— μια αναφορά που εξηγεί τι βρέθηκε, πόσο σοβαρό είναι και πώς διορθώνεται, με προτεραιότητες. Ιδανικά περιλαμβάνει και επανέλεγχο αφού κάνεις τις διορθώσεις.
Τι να ζητήσεις σε μια προσφορά;
- Σαφές εύρος και τύπο ελέγχου, γραπτώς.
- Παράδειγμα αναφοράς, για να δεις το επίπεδο τεκμηρίωσης.
- Αν περιλαμβάνεται επανέλεγχος των διορθώσεων.
- Εμπειρία και πιστοποιήσεις της ομάδας.
Στην ITHACA ξεκινάμε με έναν σύντομο καθορισμό εύρους, δίνουμε σταθερή προσφορά για το συμφωνημένο αντικείμενο, και παραδίδουμε αναφορά με προτεραιότητες και προτάσεις διόρθωσης.
Συχνές ερωτήσεις
Penetration test ή vulnerability assessment;
Το vulnerability assessment εντοπίζει και κατατάσσει ευπάθειες, κυρίως με εργαλεία. Το penetration test πάει ένα βήμα παραπέρα: προσπαθεί να τις εκμεταλλευτεί ελεγχόμενα για να δείξει τον πραγματικό κίνδυνο. Συχνά ξεκινά κανείς με το πρώτο.
Κάθε πότε χρειάζεται;
Τυπικά μία φορά τον χρόνο και μετά από μεγάλες αλλαγές (νέα εφαρμογή, μετάπτωση). Κάποια πρότυπα και πελάτες το ζητούν ετησίως.