Сколько стоит тестирование на проникновение?
Честный ответ звучит так: «зависит от объёма». Но сам по себе он мало что даёт. Поэтому ниже мы разбираем, что на самом деле определяет цену проекта, что входит в нормальное предложение и как получить точную цифру для вашей ситуации.
Почему нет единой цены
Одна фиксированная цена за «тестирование на проникновение» не может отражать то, что именно тестируется. Веб-приложение из трёх страниц и маркетинговый сайт требуют совсем другой работы, чем мультиарендная платформа с сотнями эндпоинтов API. Цена строится на трудозатратах, то есть на том, сколько времени квалифицированного тестировщика на самом деле нужно. Больше всего на эти трудозатраты влияют три вещи.
Сколько всего нужно протестировать: число приложений, эндпоинтов API, хостов, ролей пользователей и сред в согласованных границах.
Нужный уровень уверенности (точечная проверка или глубокая white-box проверка по стандарту) и тип тестирования (black, grey или white box).
Насколько сложна цель. Запутанная бизнес-логика, собственная аутентификация, много интеграций и нестандартные технологии увеличивают время тестировщика.
Что определяет цену
Эти факторы двигают цену вверх или вниз. Зная их, проще разумно определить объём и заметить, что цифра слишком низкая для настоящего ручного тестирования.
Тип и число целей
Одно веб-приложение стоит меньше, чем веб-приложение вместе с его API, мобильными клиентами и внешней сетью. Каждую цель тестируют отдельно и своим методом (веб, API, мобильные приложения, сеть, облако).
Размер поверхности атаки
Больше страниц, больше эндпоинтов API, больше хостов и больше ролей пользователей означают больше для тестирования. Особенно для API число маршрутов и число ролей/арендаторов для тестирования определяют время.
Глубина и тип коробки
Разведка при black-box отнимает время; grey-box (учётные данные плюс спецификация) остаётся эффективной нормой; white-box даёт самое глубокое покрытие, когда нужна высокая уверенность или проверка по стандартам. Больше уверенности означает больше часов работы.
Сложность приложения
Запутанная бизнес-логика, собственная аутентификация и авторизация, сторонние интеграции и нестандартные технологии требуют больше времени на тщательное тестирование, чем обычное готовое приложение.
Потребности соответствия и отчётности
Тестирование под конкретный стандарт (например, проверка сегментации по PCI DSS) предполагает особые требования и форматы отчётов. Отчёт для подтверждения соответствия и пакет доказательств требуют больше работы, чем внутреннее резюме.
Повторное тестирование и ретейнер
Проверить, что исправления действительно закрыли проблемы, тоже нужно время. В Vexaro повторное тестирование устранённых находок включено без доплат, а его срок указывается в SoW. Постоянное сотрудничество и ретейнер оцениваются иначе, чем разовый проект.
Что включает реальное предложение
Серьёзный тест на проникновение намного больше, чем запуск сканера. Сравнивая предложения, проверяйте, что цена включает настоящее ручное тестирование и отчёт, на основе которого можно принимать решения, а не просто выгрузку из автоматических инструментов. В наше предложение входит всё перечисленное ниже.
- Определение области и правила проведения работ, с NDA до любого доступа
- Тестирование с упором на ручную работу силами живого специалиста, а не просто запуск сканера
- Приоритизированный отчёт: каждая находка с влиянием, доказательствами, воспроизведением и устранением
- Серьёзность, оценённая по CVSS 3.1 и переведённая в бизнес-риск
- Краткое резюме для лиц, принимающих решения, плюс технические детали для инженеров
- Бесплатное повторное тестирование устранённых находок в срок, указанный в SoW, для подтверждения, что риски закрыты
Ориентировочные сроки
Стоимость в целом зависит от длительности работ, которая, в свою очередь, зависит от объёма. Для ориентира по нашим форматам: тестирование на проникновение (веб, мобильные приложения, API или внешний периметр) обычно занимает 1-3 недели. Аудит безопасности и документации длится 2-4 недели, а проект Red Team занимает 3-6 недель. Подготовка к соответствию идёт дольше: к ISO 27001, например, готовятся 6-9 месяцев, а для SOC 2 Type II нужен период внедрения и ещё окно наблюдения 3-12 месяцев.
Это ориентировочные сроки, а не цены. Итоговый объём и трудозатраты зависят от согласованной модели угроз и целей. Фиксированное предложение мы даём, как только объём ясен.
Частые вопросы о стоимости
Потому что для точной цены нужен объём. Один и тот же «пентест веб-приложения» может занять несколько дней или несколько недель в зависимости от размера, ролей и сложности. Мы быстро определяем объём, часто по короткому звонку, и затем даём фиксированное предложение, а не цифру, которая потом обернётся сюрпризами.
Обычно глубина. За очень низкой ценой часто стоит автоматическое сканирование с беглой ручной проверкой, а не настоящее ручное тестирование. Сравнивайте, что именно делается (ручное тестирование, покрытие бизнес-логики и авторизации, настоящий отчёт и повторное тестирование), а не только итоговую цифру.
Мы начинаем с короткой, бесплатной консультации, чтобы понять цели, роли, среды и вашу задачу. Из этого мы согласуем границу и предложим область, затем даём фиксированное предложение и сроки. NDA подписывается до любого доступа.
Да. После того как вы устраните находки, мы без дополнительной платы повторно тестируем исправленное, чтобы подтвердить, что риски закрыты. В SoW фиксируется, какие находки перепроверяются и в какой срок, так что это согласуется заранее, а не добавляется потом.
Может. Тестирование под конкретный стандарт (например, проверка сегментации по PCI DSS Requirement 11.4) предполагает особые требования и форматы отчётов, а пакет доказательств для подтверждения соответствия требует больше работы, чем внутреннее резюме. Мы оговариваем это заранее, чтобы не было сюрпризов.