Цената ја одредува трудот
Пенетрацискиот тест се пресметува според трудот: колку работни денови им се потребни на искусни тестери. Најголемо влијание има опфатот, односно што точно се тестира:
- бројот на надворешни IP-адреси и сервери;
- веб-апликациите и нивните кориснички улоги;
- API-интерфејсите и мобилните апликации;
- внатрешната мрежа и Active Directory;
- облак-сметките и безжичните мрежи.
Видот на тест
- Надворешен мрежен тест: она што напаѓачот го гледа од интернет.
- Внатрешен тест: што може да направи некој што веќе е во мрежата, на пример преку заразен лаптоп.
- Веб-апликации и API: тестовите со најава и повеќе кориснички улоги бараат повеќе време.
- Облак: преглед на конфигурацијата и правата на пристап.
- Социјален инженеринг и фишинг: ги тестира луѓето и процесите, а не само системите.
- Red teaming: напад насочен кон цел, кој трае подолго и ги тестира и детекцијата и одговорот.
Колку информации добиваат тестерите
Black box (без информации) го имитира надворешниот напаѓач, но троши време на откривање. Grey box (корисничка сметка и дел од документацијата) обично наоѓа повеќе за ист број денови. White box (изворен код и архитектура) е најтемелен.
Термини и ограничувања
Тестирањето надвор од работно време, периодите во кои се забранети промени, тестирањето само врз продукциски системи и построгите правила на ангажман бараат повеќе координација.
Повторниот тест по поправките обично е посебен, пократок чекор, па проверете дали е вклучен во понудата. Кај нас повторниот тест на поправените наоди е вклучен, под условите од нашата понуда.
Што треба да содржи добрата понуда
- Точен опфат: кои сервери, апликации и кориснички улоги.
- Методологија, на пример OWASP Web Security Testing Guide за веб-апликации.
- Број на работни денови и кој ја врши работата.
- Содржина на извештајот: резиме за раководството, технички наоди оценети по CVSS, докази и препораки за поправка.
- Дали е вклучен повторен тест.
- Термини, правила на ангажман и писмено овластување за тестирањето.
- Како се чуваат и бришат вашите податоци по тестот.
Скенирањето не е пенетрациски тест
Автоматското скенирање на ранливости е корисно и евтино, но пријавува можни проблеми без да ги докаже или поврзе. Во пенетрацискиот тест луѓе ги потврдуваат наодите, ги комбинираат слабостите како што би направил напаѓач и ги отстрануваат лажните аларми. Ако многу брзо добиете многу ниска понуда, прашајте колкав дел од работата е рачен.
Тестирањето и законот за сајбер безбедност
Меѓу десетте мерки за управување со ризик, законот за безбедност на мрежни и информациски системи бара од опфатените субјекти да проценуваат дали нивните мерки функционираат. Пенетрацискиот тест е еден од вообичаените начини тоа да се покаже.
Како помагаме
Пенетрациско тестирање и red teaming: Рачно тестирање на мрежи, апликации, облак и луѓе, со наоди оценети по CVSS, јасни извештаи и повторен тест на поправките.