Quanto custa um teste de intrusão?
A resposta curta é «depende do âmbito», mas isso, por si só, não ajuda muito. Por isso explicamos aqui o que realmente determina o preço de um projeto, o que inclui um orçamento a sério e como obter um número rigoroso para a sua situação.
Por que não há um preço único
Um preço fixo único para «um teste de intrusão» não consegue refletir o que está a ser testado. Uma aplicação web com três páginas e um site de marketing não são o mesmo trabalho que uma plataforma multi-inquilino com centenas de endpoints de API. O preço é baseado no esforço: acompanha quanto tempo de testador qualificado o trabalho genuinamente exige. Três fatores determinam esse esforço mais do que tudo.
Quanto há para testar: número de aplicações, endpoints de API, anfitriões, funções de utilizador e ambientes dentro da fronteira acordada.
O nível de garantia de que precisa (uma verificação focada ou uma verificação white-box profunda face a um padrão) e o tipo de caixa (black, grey ou white).
A complexidade do alvo. Lógica de negócio intrincada, autenticação personalizada, integrações pesadas e tecnologia feita à medida acrescentam tempo de teste.
O que determina o preço
Estas são as alavancas que fazem subir ou descer um orçamento. Conhecê-las ajuda-o a delimitar o âmbito com bom senso e a detetar um número demasiado baixo para corresponder a um verdadeiro teste manual.
Tipo e número de alvos
Uma única aplicação web custa menos do que uma aplicação web mais a sua API, os clientes móveis e a rede externa. Cada alvo é um projeto distinto com o seu próprio método (web, API, mobile, rede, cloud).
Dimensão da superfície de ataque
Mais páginas, mais endpoints de API, mais anfitriões e mais funções de utilizador significam mais para testar. Para as APIs em especial, o número de rotas e o número de funções/inquilinos a testar determinam o tempo.
Profundidade e tipo de caixa
A descoberta black-box consome tempo; o grey-box (credenciais mais uma especificação) é a norma eficiente; o white-box permite a cobertura mais profunda para garantia elevada ou verificação de padrões. Mais garantia significa mais horas.
Complexidade da aplicação
Lógica de negócio intrincada, autenticação e autorização personalizadas, integrações de terceiros e tecnologia à medida demoram, todas, mais tempo a testar a fundo do que uma aplicação padrão e pronta a usar.
Necessidades de conformidade e de relatório
Os testes ligados a um padrão (por exemplo, o teste de segmentação do PCI DSS) trazem requisitos e formatos de relatório específicos. Uma entrega de nível de conformidade e um pacote de evidências dão mais trabalho do que um resumo interno.
Reteste e avença
Verificar que as correções fecharam realmente os problemas também leva tempo. Na Vexaro, um reteste dos achados remediados está incluído sem custos adicionais, dentro do prazo fixado no Statement of Work (SoW). Os acordos contínuos ou de avença têm um preço diferente do de um projeto pontual.
O que inclui um orçamento a sério
Um teste de intrusão credível é muito mais do que correr um scanner. Quando comparar orçamentos, verifique se o preço cobre testes manuais a sério e um relatório que sirva para tomar decisões, e não apenas resultados automatizados. O nosso inclui tudo o que se segue.
- Definição do âmbito e regras de atuação, com um NDA antes de qualquer acesso
- Testes sobretudo manuais, feitos por um testador humano, e não apenas a execução de um scanner
- Um relatório priorizado: cada achado com impacto, evidência, reprodução e remediação
- Severidade pontuada com CVSS 3.1 e traduzida em risco de negócio
- Um resumo executivo para os decisores mais o detalhe técnico para os engenheiros
- Um reteste gratuito dos achados remediados, dentro do prazo fixado no SoW, para confirmar que os riscos ficam fechados
Prazos indicativos
O custo acompanha, em traços largos, a duração, e a duração acompanha o âmbito. Como guia aproximado, a partir dos nossos formatos de projeto: um teste de intrusão (web, mobile, API ou perímetro externo) dura tipicamente 1 a 3 semanas, uma auditoria de segurança e documentação 2 a 4 semanas e um projeto de Red Team 3 a 6 semanas. A preparação para a conformidade demora mais: por exemplo, 6 a 9 meses para a ISO 27001 e, para o SOC 2 Type II, um período de implementação mais uma janela de observação de 3 a 12 meses.
Estas são durações indicativas, não preços. O âmbito e o esforço finais dependem do modelo de ameaças e dos alvos acordados. Damos um orçamento fixo assim que o âmbito está claro.
Perguntas comuns sobre custos
Porque um preço exato precisa de um âmbito. O mesmo «pentest de aplicação web» pode levar uns dias ou várias semanas, consoante a dimensão, as funções e a complexidade. Delimitamos o âmbito rapidamente, muitas vezes a partir de uma breve chamada, e depois damos-lhe um orçamento fixo, em vez de um número que mais tarde traz surpresas.
Normalmente, a profundidade. Um orçamento muito baixo significa muitas vezes uma análise automatizada com uma passagem manual ligeira, e não um verdadeiro teste sobretudo manual. Compare o que está realmente a ser feito (testes manuais, cobertura de lógica de negócio e de autorização, um relatório a sério e um reteste), e não apenas o número final.
Começamos com uma breve consulta gratuita para perceber os alvos, as funções, os ambientes e o seu objetivo. A partir daí, acordamos uma fronteira e propomos um âmbito, depois damos um orçamento e um prazo fixos. Assina-se um NDA antes de qualquer acesso.
Sim. Depois de remediar, voltamos a testar os achados corrigidos sem custos adicionais para confirmar que os riscos ficam fechados. O SoW regista que achados são retestados e em que prazo, por isso fica tudo acordado à partida e não é acrescentado depois.
Pode alterar. Os testes ligados a um padrão (como o teste de segmentação do Requisito 11.4 do PCI DSS) têm requisitos e formatos de relatório específicos, e um pacote de evidências de nível de conformidade dá mais trabalho do que um resumo interno. Delimitamos isso explicitamente para que não haja surpresas.