Prețul unui audit de securitate variază mult de la o firmă la alta, iar două oferte pentru „un pentest pe site” pot descrie lucruri complet diferite. Diferența vine aproape întotdeauna din câțiva factori care determină câte zile de lucru sunt necesare.

Perimetrul

Primul factor este ce se testează. Un site de prezentare cu câteva pagini și un formular de contact se verifică relativ repede. O aplicație cu conturi, roluri diferite, plăți sau un API public are mult mai multe puncte de intrare. La infrastructură contează numărul de adrese IP și servicii expuse.

Tipul de test

  • Black-box: testerul pornește doar de la ce este public, ca un atacator din exterior.
  • Grey-box: primește conturi de test și informații de bază despre aplicație. Acoperă mai mult în același timp, pentru că nu consumă zile ghicind ce se află în spatele autentificării.

Pentru aplicațiile cu conturi de utilizator, testul grey-box oferă de obicei cel mai bun raport între cost și ce se descoperă.

Conturi și roluri

Fiecare tip de utilizator (client, operator, administrator) adaugă verificări: poate un client să vadă datele altui client? Poate un operator să facă acțiuni rezervate administratorului? Cu cât sunt mai multe roluri, cu atât testul durează mai mult.

Mediul de testare

Testarea pe un mediu separat, copie a producției, permite teste mai agresive fără risc pentru activitate. Testarea direct în producție impune ferestre de timp și mai multă prudență, ceea ce poate prelungi lucrarea.

Retestarea

După ce echipa repară problemele, o retestare confirmă că au fost închise corect. Unele oferte o includ, altele nu. Merită să întrebați explicit.

Ce ar trebui să conțină o ofertă

  • perimetrul exact: adrese, aplicații, roluri incluse și excluse;
  • tipul de test și numărul de zile estimat;
  • ce conține raportul și în ce limbă;
  • dacă retestarea este inclusă;
  • condițiile: acordul scris, confidențialitatea, ce se întâmplă cu datele accesate în timpul testului.

Două oferte pot fi comparate corect doar dacă descriu același perimetru și același tip de test. Altfel, oferta mai ieftină poate însemna, simplu, mai puține lucruri verificate.