Скільки коштує пентест: з чого складається ціна та інструменти тестувальників

«Скільки коштує пентест?» — питання без єдиної відповіді, як «скільки коштує ремонт»: усе залежить від обсягу й глибини. Але зрозуміти, з чого складається ціна, цілком можливо — і це вбереже від головної пастки: дешевої послуги, яка насправді є звичайним скануванням. Що взагалі відбувається під час роботи — в оглядовій статті Пентест: що це і як проходить.

Одиниця виміру — людино-день

Найкорисніше, що можна зробити з питанням про ціну, — перевести його в арифметику. Вартість роботи майже завжди зводиться до формули:

кількість людино-днів × денна ставка команди

Тож замість «скільки це коштує?» питайте інакше: скільки днів ви закладаєте — і що входить у денну ставку? Відповідь одразу показує, чи розуміє виконавець ваш обсяг, чи назвав цифру навмання.

Денна ставка теж не однакова: вона залежить від рівня фахівця й ринку, з якого його наймають. Тому двоє виконавців, які назвали ту саму суму, можуть закладати вдвічі різну кількість днів — і обидва бути чесними.

Далі — про те, що впливає на кількість днів.

З чого складається ціна

1. Обсяг (scope). Скільки систем перевіряють: один ресурс чи вся інфраструктура, кількість адрес, застосунків, ролей користувачів. Більший обсяг — більше днів.

2. Тип цілі. Перевірка мережі, перевірка сайту, мобільного застосунку, бездротових мереж чи соціальна інженерія — різна складність і різні навички.

3. Модель доступу. Чорна скринька з'їдає дні на розвідку наосліп; сіра й біла дають більше покриття за ті самі гроші.

4. Частка ручної роботи. Автоматика знаходить типове за години. Логічні хиби шукає людина — повільно й дорого. Саме ця частка й відрізняє послугу від сканера.

5. Кваліфікація команди. Досвідчені фахівці коштують дорожче, але знаходять те, чого новачок навіть не побачить. Ставка тут — не примха, а плата за роки практики.

6. Звітність. Детальний звіт із доказами й пріоритетами забирає порівнянний із польовими роботами час. Коли його «дописують за вечір», якість передбачувана.

Моделі оплати

Фіксована вартість здається безпечнішою, але має зворотний бік: виконавець закладає запас у ціну або жорстко тримається меж, навіть коли за ними видно цікаве.

Що зазвичай не входить у ціну

• Усунення знайденого. Фахівець шукає, а лагодить ваша команда. І це радше плюс: коли той самий підрядник продає перевірку та виправлення, у нього з'являється мотив знаходити побільше.
• Ретест — часто окремий рядок. Питайте про нього до підписання.
• Повторний прогін після великих змін в інфраструктурі.
• Участь у нарадах, супровід аудиту, переклад звіту.

Як порівняти дві пропозиції

1. Зведіть обидві до днів. Однакова сума за 5 і за 15 днів — це різні послуги.
2. Спитайте про частку ручного аналізу. Ухильна відповідь — уже відповідь.
3. Звірте межі. Однакова кількість адрес, ролей, застосунків — інакше ви порівнюєте різне.
4. Перевірте ретест. Без нього ви купуєте перелік проблем, а не впевненість.
5. Попросіть знеособлений зразок звіту. Шаблон із чужим логотипом і сторінками копій екрана без пояснень — усе, що потрібно знати.

Чому дешева пропозиція — тривожний сигнал

Коли ціна підозріло низька, найчастіше під нею ховається автоматичне сканування: запустили сканер, віддали його вивід «як є». Це корисна робота, але зовсім інша послуга й інша ціна. Різницю докладно розібрано у статті аналіз вразливостей проти пентесту.

Звідси й відповідь на питання, чому серйозний виконавець ніколи не має готового прайсу: ресурс із трьома ролями користувачів і ресурс із тридцятьма — різні роботи під однією назвою.

Червоні прапорці в пропозиції:

• ціну називають, навіть не спитавши про кількість ролей, адрес і застосунків;
• ніде не сказано, які саме інструменти для пентесту застосують і в якій пропорції з ручним аналізом;
• у переліку робіт ніде немає слів «ручний аналіз»;
• звіт обіцяють «наступного дня»;
• ретест не згадано взагалі;
• у зразку звіту самі лише знімки екрана зі сканера.

Інструменти пентестера: що входить у набір

Професіонали поєднують автоматичні й ручні засоби. Перелічимо категорії — без інструкцій із застосування:

• сканери вразливостей — швидко знаходять типові відомі проблеми;
• засоби розвідки — збирають відомості про доступні служби й технології;
• проксі аналізу вебтрафіку — дозволяють руками розібрати кожен запит;
• фреймворки перевірки експлуатованості — контрольовано підтверджують, що знахідка реальна;
• спеціалізовані набори під мобільні застосунки, бездротові мережі, хмарні середовища;
• засоби звітності — зводять знахідки в документ із пріоритетами.

Окремо варто згадати спеціалізовані збірки операційних систем: вони містять сотні утиліт «із коробки». Це зручно, але сама наявність такої збірки нічого не говорить про кваліфікацію — так само як ящик ключів не робить людину механіком.

Скільки коштують самі програми для пентесту

Частина інструментів безкоштовна, частина — комерційна, з річними ліцензіями на кожного фахівця. Ліцензії комерційних сканерів і фреймворків закладені в денну ставку: купуючи послугу, ви частково платите й за них. Тому питання «а чому не дешевше, ви ж просто запускаєте програми для пентесту?» має просту відповідь: програми — найдешевша частина роботи.

Інструменти для пентесту не замінюють фахівця

Ключова думка проста: інструменти для пентесту — це викрутки. Результат визначає майстер. Той самий сканер у руках новачка й досвідченого фахівця дає різну користь: перший здасть вивід «як є», другий відсіє хибні спрацювання, зіставить знахідки між собою й побачить ланцюжок, якого в жодному звіті сканера немає.

Автоматизація й моделі машинного навчання останніх років добре здешевили рутину — сортування, першу відсіювання шуму, підготовку чернетки звіту. А от бізнес-логіку досі перевіряє людина: щоб зрозуміти, чому змінена в запиті ціна товару — це проблема, треба знати, як влаштований ваш бізнес. Коли перевірка взагалі виправдана, розібрано у статті коли вона потрібна, а коли зарано.

Хочете зрозуміти вартість роботи у вашому випадку? Фахівці оцінять обсяг і запропонують формат під ваш бюджет і ризики — отримати консультацію.