Kiek kainuoja įsilaužimų testas ir kas lemia jo kainą

„Kiek kainuoja įsilaužimų testas?“ Į šį klausimą dauguma paslaugų teikėjų atsako, kad kaina – individuali. Atsakymas sąžiningas, tik biudžeto pagal jį neparašysi.

Viso kainoraščio neskelbiame, ir tai nėra išsisukinėjimas. Dviejų elektroninių parduotuvių, kurias užklausoje aprašo tas pats sakinys, darbo sąnaudos gali skirtis tris kartus. Skelbiame tai, kas šiame darbe iš tikrųjų išmatuojama: vienetą, kuriuo darbas planuojamas, ir sąrašą to, kas tą vienetą judina. Su juo jau galima apskaičiuoti savo apimtį ir sąžiningai palyginti svetimą pasiūlymą.

Lietuvos rinkoje tą patį darbą vadina skirtingai: įsilaužimų testas arba pentestas, įsilaužimų testavimas, kai kur – ir penetracinis testavimas. Kainos pavadinimas nekeičia – ją keičia tai, kas įeina į pasiūlymą.

Kodėl „kaina už aplikaciją“ – blogas klausimas

„Aplikacija“ nėra darbo vienetas. Tuo pačiu žodžiu vadinama ir svetainė su kontaktų forma, ir portalas, kuriame yra trys paskyrų tipai, mokėjimai, failų įkėlimas ir keturiasdešimt API galinių taškų. Pirmoji pabaigiama per dvi dienas. Antrajam reikia daugiau nei dešimties žmogaus dienų, ir pabaigoje vis tiek tenka spręsti, ką palikti už apimties ribų.

Kas kainą įvardija nežinodamas apimties, daro vieną iš dviejų dalykų: arba įskaičiuoja atsargą blogiausiam scenarijui, arba skaičiuoja geriausią ir darbo eigoje apimtį apkarpo. Abu keliai veda į tą patį pokalbį apie sutarties pakeitimus projekto viduryje.

Klausimas, į kurį galima atsakyti, skamba kitaip: kiek žmogaus dienų reikia šiai apimčiai ir kas tiksliai į ją įeina. Apie tai – visas likęs straipsnis.

Vienetas – žmogaus diena

Žmogaus diena – tai vieno testuotojo viena darbo diena (angl. man-day). Ja planuojamas darbas, ja skaičiuoja komanda, ir tik ja du pasiūlymus galima padėti greta. Lentelėje – orientacinės darbo sąnaudos ir trukmė tipinėms apimtims.

Abu skaitiniai stulpeliai matuoja skirtingus dalykus, todėl juos verta laikyti atskirai. Darbo sąnaudos – tai testuotojų darbas. Į trukmę papildomai įeina apimties derinimas, prieigų perdavimas (paprastai užsakovo pusėje) ir ataskaitos parengimas. Ką tiksliai už tas dienas gaunate, aprašėme įsilaužimų testavimo puslapyje.

Ką rodo Lietuvos rinkos kainos

Lietuvoje kainos nėra paslaptis, ir tuo ši rinka skiriasi nuo daugelio kitų. Dalis vietos paslaugų teikėjų skelbia dienos įkainį, dar keli – pradinę kainą. Skelbiami dienos įkainiai sukasi apie 700–1 500 € už žmogaus dieną, paprasto išorinio testo kainos prasideda ties maždaug 3 000 €, o plačioms apimtims (kelios tarpusavyje susietos sistemos, vidinis tinklas, debesijos aplinka) siekia 15 000–40 000 € ir daugiau.

Tai rinkos duomenys, o ne mūsų kainoraštis. Patys skelbiame vieną skaičių, kuris ką nors reiškia ir be apimties: vienos web aplikacijos testo kaina prasideda maždaug nuo 2 000 €. Visa kita – po pokalbio, nes skaičius be apimties nieko nepasako.

Būtent čia ir slypi spąstai. Dvi paskelbtos pradinės kainos nėra palyginamos tol, kol nežinoma, kiek žmogaus dienų už kiekvienos jų stovi ir kas į jas įeina. Pradinė kaina – tai žemiausia riba paprasčiausiam įmanomam darbui, o ne prognozė konkrečiam projektui.

Vienu atžvilgiu šie skaičiai vis dėlto naudingi: jie parodo dydžio eilę. Jei pasiūlymas dėl vidutinio sudėtingumo aplikacijos kelis kartus mažesnis už žemiausią rinkos ribą, atsakymas paprastai toks, kad pirkėjas gaus spragų skenavimą, o ne rankinį testą.

Kas didina darbo sąnaudas

Rolių skaičius

Aplikacijose tai svariausias kainos veiksnys. Aplikacija su trimis paskyrų tipais nėra tas pat, kas aplikacija su vienu: prieigos teisių patikros atliekamos kiekvienai rolei atskirai, o paskui dar kryžmai. Trys rolės reiškia šešias prieigos kryptis – ar vienas naudotojas mato kito duomenis, ar kasdienė paskyra prieina prie administratoriaus funkcijų, ar po atsijungimo sesija lieka gyva.

Todėl užklausoje rolių skaičius sveria daugiau nei ekranų skaičius. Įvardykite jį iš karto ir parenkite testinę paskyrą kiekvienai rolei.

API galinių taškų ir funkcijų skaičius

Dešimt formų nėra dešimt kartų daugiau darbo nei viena, bet nėra ir tiek pat. API atveju vienetas yra ne ekranas, o galinis taškas: kiekvienas turi savo metodus, parametrus ir prieigos taisykles.

Čia sutaupoma lengviausiai, be to, apimties nekarpant: pateikite dokumentaciją. OpenAPI aprašas arba Postman kolekcija nuima valandas, kurios kitaip būtų išleistos galinių taškų spėliojimui. Tas pats laikas grįžta į verslo logikos patikrą, tai yra ten, kur paprastai slypi sunkiausios klaidos.

IP adresų ir veikiančių sistemų skaičius

Infrastruktūroje svarbu ne adresų diapazono dydis, o tai, kiek įrenginių atsako ir kas juose veikia. Vienas /24 diapazonas su dvylika veikiančių serverių yra mažesnis darbas nei šešiasdešimt įrenginių trijose vietose.

Todėl į užklausą įtraukite IP adresų ir diapazonų sąrašą su nuoroda, kas juose veikia. Domeno valdiklis, pašto serveris ir gamybos įrenginių tinklas reiškia tris skirtingus atsargumo lygius ir trejopas darbo sąnaudas.

Testavimo modelis ir pirminis kodas

Čia intuicija klaidina labiausiai: kuo mažiau apie sistemą žinoma pradžioje, tuo darbas brangesnis.

• Juodosios dėžės principas. Brangiausias variantas. Testuotojas pradeda nuo nulio, todėl dalį biudžeto suvalgo žvalgyba, dar nė nepradėjus pačios patikros.
• Pilkosios dėžės principas. Dažniausias pasirinkimas. Naudotojų paskyrų ir trumpo sistemos aprašo pakanka, kad būtų galima iš karto pradėti nuo esminių dalykų.
• Baltosios dėžės principas. Duoda daugiausia radinių vienai žmogaus dienai. Turėdamas pirminį kodą, architektūros schemą ir administratoriaus paskyrą, testuotojas prieina prie klaidų, prie kurių iš išorės būtų einama savaitę arba nebūtų prieita apskritai.

Modelis renkamas pagal tai, ko organizacija bijo, o ne pagal biudžetą. Visus tris būdus išdėstėme straipsnyje apie tai, kas yra įsilaužimų testavimas.

Gamybinė ar testinė aplinka

Gamybinėje aplinkoje dirbama atsargiai, o atsargumas – tai laikas: laiko langas ne piko valandomis, derinimas su prižiūrėtojais, kai kurių būdų atsisakymas, atkūrimo planas. Testinė aplinka didžiąją dalį to nuima, su viena sąlyga: ji turi būti gamybinės aplinkos kopija, o ne pusmečio senumo versija su išjungta mokėjimų integracija. Patikra aplinkoje, kuri su gamybine nesutampa, yra pigesnė ir bevertė.

Rankinio darbo dalis

Būtent čia du pasiūlymai skiriasi labiausiai ir būtent čia juos palyginti sunkiausia.

Automatinis įrankis pereina per sistemą ir išrašo tai, ką randa savo duomenų bazėje. Tai pigu ir greita, ir žinomas klaidas jis pagauna. Aplikacijos logikos jis nesupranta: įrankis nepastebi, kad viena paskyra mato kitos užsakymus, nes nežino, kad neturėtų.

Rankinę patikrą atlieka žmogus, kuris šią logiką supranta ir sąmoningai bando ją apeiti. Jis randa klaidas prieigos teisėse ir verslo taisyklėse ir sudėlioja atskirai nereikšmingas smulkmenas į vieną rimtą scenarijų. Tai kainuoja kelis kartus daugiau, nes ir darbo yra kelis kartus daugiau. Abu būdus palyginome straipsnyje pažeidžiamumų skenavimas ar įsilaužimų testas.

Jei vienas pasiūlymas juntamai pigesnis už kitus, pirmas klausimas aiškus: kiek jame rankinio darbo?

Ataskaitos forma ir atitikties reikalavimas

Ataskaita – tai produktas, o ne šalutinis produktas. Iš įrankio eksportuotas sąrašas tokiu dar netampa: nuo dokumento, pagal kurį galima parašyti šalinimo planą, jį skiria kelios žmogaus dienos darbo – ir būtent šis skirtumas nulemia, ar auditorius jį priims kaip įrodymą.

Darbo sąnaudas didina ir užduotis kiekvieną radinį susieti su konkrečiu reikalavimu: ISO 27001 A priedo kontrolės priemone, PCI DSS punktu arba Kibernetinio saugumo reikalavimų aprašo papunkčiu. Šis susiejimas nėra formalumas. Būtent dėl jo ataskaita tampa įrodymu.

Pakartotinis patikrinimas ir pasikartojantys ciklai

Įdiegus pataisymus reikia įsitikinti, kad jie iš tikrųjų veikia. Pakartotinis patikrinimas nėra viso testo kartojimas: dar kartą peržiūrimos tik tos vietos, kuriose būta radinių. Į savo darbą jį įskaičiuojame, o ne rašome atskira eilute; bet kurio kito paslaugų teikėjo verta paklausti tiesiai, nes pasiūlyme jis dažnai būna atskira eilutė.

Pasikartojantys ciklai veikia priešinga kryptimi: jie darbo sąnaudas mažina. Antrą ir trečią kartą tikrinant tą pačią aplinką žvalgyba trumpesnė, o komanda architektūrą ir ankstesnius radinius jau pažįsta. Susitarimas dėl kelių ciklų kainuoja mažiau nei trys atskiri užsakymai tiems patiems trejiems metams.

Kaip apskaičiuoti savo apimtį

Tarkime, kalbama apie elektroninę parduotuvę: trys rolės (svečias, klientas, administratorius), maždaug keturiasdešimt API galinių taškų, mokėjimų integracija, pilkosios dėžės principas, o patikra atliekama gamybinės aplinkos kopijoje. Štai kaip pasiskirsto darbas.

Tai reiškia 2–3 savaičių trukmę. Skaičiai orientaciniai: ta pati apimtis kitoje komandoje pasiskirstys kitaip, bet dydžio eilę patikrinti galima. Nuo čia savo apimtį jau galima suskaičiuoti patiems, nes matyti ir tai, kas galutinę sumą pajudina:

• dvi papildomos rolės: +1–1,5 žmogaus dienos, nes kryžminių patikrų skaičius auga kvadratiškai;
• juodosios dėžės principas vietoj pilkosios: +1–2 žmogaus dienos žvalgybai;
• gamybinė aplinka vietoj kopijos: +0,5–1 žmogaus diena derinimui ir laiko langams;
• trūkstama API dokumentacija: +0,5–1 žmogaus diena spėliojimams;
• pirminio kodo perdavimas: darbo sąnaudų nedidina, bet perkelia jas nuo žvalgybos prie gilesnės patikros.

Kas kainos nekeičia

Įmonės dydis. Tikrinama sistema, o ne metinė ataskaita. Maža įmonė su sudėtingu portalu moka daugiau nei didelė įmonė už paprastą svetainę.

Rastų pažeidžiamumų skaičius. Mokama už darbą, o ne už rezultatą. Kas skaičiuoja pagal radinių skaičių, tas suinteresuotas išpūsti pavojingumo lygį.

Tai, ar organizacija – „patrauklus taikinys“. Tai pardavimo argumentas, o ne planavimo kriterijus. Užpuolikai eina mažiausio pasipriešinimo keliu ir aukų pagal įmonės dydį nesirenka.

Kiek trunka įsilaužimų testas

Projektą sudaro trys etapai, ir tik vidurinis iš jų – pati patikra.

1. Pasirengimas – apimties, testavimo taisyklių ir išimčių užrašymas, paskyrų ir prieigų perdavimas. Kelios dienos, paprastai užsakovo pusėje.
2. Patikra – priklausomai nuo apimties, 3–15 žmogaus dienų.
3. Ataskaita – maždaug penktadalis (apie 20 proc.) projekto laiko. Ataskaita rašoma po testų, o ne jų metu.

Nuo pradžios iki ataskaitos iš viso susidaro 1–3 savaitės. Pakartotinis patikrinimas atliekamas vėliau, jau perdavus pataisymus, ir užima dalį pradinių sąnaudų.

Praktikoje ilgiausiai užtrunka ne pati patikra, o laukimas, kol prasidės darbas. Gerų komandų kalendorius užimtas kelias savaites į priekį, todėl, jei ataskaitos reikia atitikties vertinimui ar viešajam pirkimui, pokalbį dėl apimties verta pradėti laiku.

Ar kainą nustato teisės aktai

Komercinės paslaugos kainos Lietuvoje nenustato joks teisės aktas – dėl jos susitaria šalys. Netiesiogiai reguliavimas kainą vis dėlto veikia, ir šį ryšį verta suprasti anksčiau, negu gimsta pirkimo užklausa.

Pradėti reikia nuo to, ko teisė nereikalauja. Įsilaužimų testavimas Lietuvoje neprivalomas: tokios pareigos nėra nei Kibernetinio saugumo įstatyme (NIS2 į Lietuvos teisę perkelta jį išdėstant nauja redakcija – įstatymu Nr. XIV-2902, priimtu 2024 m. liepos 11 d. ir įsigaliojusiu 2024 m. spalio 18 d.), nei Vyriausybės nutarimu Nr. 945 patvirtintame Kibernetinio saugumo reikalavimų apraše. Testuotojų licencijavimo ar registro Lietuvoje taip pat nėra. Todėl pasiūlymas, kurio kaina grindžiama formuluote „privaloma pagal NIS2“, remiasi tuo, ko teisės aktuose nėra.

Ką reguliavimas iš tikrųjų nustato – tai kitų, reguliariai pasikartojančių pareigų ritmą, apie kurį sukasi biudžetas. Apraše jų yra trys, ir nė viena iš jų nėra įsilaužimų testas.

• Spragų skenavimas. Išsamus pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius (45.8 papunktis). Biudžete tai cikliška, o ne vienkartinė eilutė.
• Atitikties vertinimas. Kartą per metus; jį subjektas atlieka pats sau (48.1 papunktis). Tai vidaus darbas, kuriam reikia techninės medžiagos, o ne pirkimas.
• Kibernetinio saugumo auditas. Ne rečiau kaip kas 3 metus (48.3 papunktis, Kibernetinio saugumo įstatymo 14 str. 8 d.). Atskira procedūra su atskiru įkainiu.

Terminai skaičiuojami ne nuo visai rinkai bendros datos, o nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje: organizaciniams reikalavimams – 12 mėnesių, Apraše išvardytiems techniniams – 24 mėnesiai (Aprašo 71 ir 72 punktai). Planuojant tai svarbu labiau, nei atrodo: dvi to paties sektoriaus įmonės savo pirmuosius patikrinimus atlieka skirtingu metu, todėl viena visai rinkai skelbiama data biudžeto sudaryti nepadeda.

Vieną kainą reguliavimas vis dėlto siaurina, tik ne testo. Kibernetinio saugumo auditą atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, papildomai baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą. Šios paslaugos neteikiame, o jos įkainis įsilaužimų testo kainai nėra atskaitos taškas. Mūsų dalis šioje procedūroje – techninė medžiaga: ataskaita, radinių įrodymai, rizikos vertinimas ir pakartotinio patikrinimo rezultatas. Kas ir kokiomis sąlygomis gali atlikti auditą, atskirai išnagrinėjome straipsnyje kas gali atlikti kibernetinio saugumo auditą, o ko auditorius paprašys ir ką parengti iš anksto – straipsnyje apie tai, kaip pasiruošti kibernetinio saugumo auditui. Kam ir kada testas iš tikrųjų reikalingas, atsekėme straipsnyje ar įsilaužimų testavimas privalomas.

Užklausa, kurią galima įkainoti

Be apimties kaina – spėjimas, o dviejų spėjimų palyginimas nieko nepasako. Palyginamus atsakymus gauna ta užklausa, kurioje yra:

• taikinių sąrašas: domenų vardai, IP adresai ir diapazonai, aplikacijų pavadinimai, mobiliosios versijos;
• rolių skaičius ir testinė paskyra kiekvienai rolei;
• API galinių taškų skaičius kartu su dokumentacija (OpenAPI aprašas, Postman kolekcija);
• testavimo modelis: juodosios, baltosios ar pilkosios dėžės principas, ir ar kartu perduodamas pirminis kodas;
• aplinka: gamybinė sistema ar kopija, laiko langai, iš patikros išbraukti būdai;
• metodika ir laukiama aprėptis – OWASP WSTG, ASVS ir kiti standartai gylį aprašo konkrečiai ir patikrinamai;
• laukiama ataskaitos forma ir kalba;
• pakartotinis patikrinimas: ar jis įeina ir kiek laiko po pataisymų perdavimo jį galima iškviesti;
• terminas ir susisiekimo tvarka darbo metu.

Su šiuo sąrašu gaunami palyginami pasiūlymai. Be jo gaunami dvigubi skirtumai, kuriuose nė vienas pasiūlymas nėra klaidingas.

Viešojo pirkimo vykdytojui tas pats sąrašas – techninės specifikacijos juodraštis. Jei specifikacijoje apimties nėra, mažiausios kainos kriterijus išrinks tą pasiūlymą, kuriame bus patikrinta mažiausiai.

Kaip palyginti du pasiūlymus

Jei ant stalo guli du pasiūlymai dėl tos pačios sistemos ir vienas dvigubai didesnis už kitą, beveik neabejotinai kalbama ne apie tą patį darbą. Penki klausimai tai išsiaiškina.

1. Kiek žmogaus dienų? Jei pasiūlyme šio skaičiaus nėra, palyginti nėra ko.
2. Kokia rankinio darbo dalis? Klauskite tiesiai; šioje srityje tai įprastas klausimas.
3. Pagal kokią metodiką ir kaip giliai? OWASP Top 10 – tai visai kita aprėptis nei OWASP ASVS antrasis lygis.
4. Kas atliks patikrą ir kokia jo kvalifikacija? Techniniame darbe skirtumas tarp patyrusio ir pradedančio testuotojo yra tas, ką jie randa, o ne kiek laiko tai daro. Kaip patikrinti vykdytoją, apžvelgėme straipsnyje etinis hakeris.
5. Ar pakartotinis patikrinimas įeina ir kiek laiko jį galima iškviesti? Jei neįeina, pridėkite jį prie kainos.

Dvi žmogaus dienos aplikacijai su penkiomis rolėmis nieko nesutaupo. Tai kita apimtis, aprašyta tuo pačiu sakiniu.

Kada įsilaužimų testas – ne tas atsakymas

Sąžiningas atsakymas toks, kad kartais reikia ko kito.

• Jei tikslas – nuolat sekti žinomus pažeidžiamumus daugelyje sistemų vienu metu, geresnis įrankis – reguliariai kartojamas pažeidžiamumų vertinimas.
• Jei klausimas – ar darbuotojai atpažįsta fišingą (angl. phishing), reikia socialinės inžinerijos testavimo, o ne aplikacijos testo.
• Jei norima žinoti, ar tikras užpuolikas prieitų prie duomenų ir ar tai kas nors pastebėtų, kalbama apie Red Team atakos simuliaciją. Kitas žanras, kitas biudžetas, ir prasmės jis turi tada, kai akivaizdžios klaidos jau pašalintos.

Brangiausias testas – tas, kuris užsakytas ne tam tikslui.

Ar dėl atitikties užsakytas testas kainuoja daugiau

Pati patikra – ne. Kainą lemia apimtis, o ne priežastis, dėl kurios testas atliekamas. Keičiasi įrodymo forma: ataskaitos sandara, radinių susiejimas su konkrečiais reikalavimais ir rašytinis pakartotinio patikrinimo patvirtinimas, kuris uždaro giją. Tai įskaičiuota į paslaugą, o ne imama kaip priemoka.

Vienam teiginiui vis dėlto verta skirti dėmesio, nes rinkoje jis skamba dažnai ir neteisingai: kasmetinio įsilaužimų testo visoms sistemoms nereikalauja nei Kibernetinio saugumo įstatymas, nei Kibernetinio saugumo reikalavimų aprašas. Testavimo pagrindus pasirengimui aprašėme NIS2 ir ISO 27001 puslapiuose, o klausimą, ar ISO 27001 pakanka NIS2 reikalavimams, atsekėme atskirai.

Kas įeina į mūsų darbą

• Apimties derinimas ir raštu užrašytos testavimo taisyklės.
• Rankinė patikra pagal pripažintas metodikas, o ne tik automatinis paleidimas.
• Ataskaita su santrauka vadovybei ir technine dalimi, kurioje kiekvienas radinys įrodytas.
• Konkretūs šalinimo žingsniai, o ne nuorodos į gamintojo dokumentaciją.
• Pakartotinis patikrinimas įdiegus pataisymus.
• Baigiamasis pokalbis su jūsų komanda ir tuo testuotoju, kuris patikrą atliko.

Konkretų ir neįpareigojantį pasiūlymą parengiame po trumpo pokalbio dėl apimties – užsisakykite konsultaciją.

Įsilaužimų testo kaina – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: web aplikacijų ir IT infrastruktūros įsilaužimų testavimas