Hva koster en penetrasjonstest?

Hvorfor det ikke finnes én fast pris

I NIST SP 800-115 er planlegging og avklaring av omfang og rammer første av fire faser, og i NSMs grunnprinsipper er tiltak 3.4.1 å planlegge inntrengingstester med tydelig mål og omfang. Referansemodellen Penetration Testing Execution Standard (PTES) kaller den samme fasen «pre-engagement». Hensikten er å unngå at oppdraget sklir ut underveis, og å sette tydelige grenser for hva som er innenfor og utenfor.

Konsekvensen er enkel: en test mot én liten nettside og en test mot hele den interne infrastrukturen er to helt forskjellige oppdrag. En fast pris oppgitt på forhånd, uten å kjenne omfanget, betyr derfor enten gjetting, eller at dere får en standardpakke som ikke nødvendigvis passer det dere trenger testet. Pris uten avklart omfang er i praksis gjetting.

Pris uten avklart omfang er i praksis gjetting.

Hva prøver en penetrasjonstest ut?

En penetrasjonstest prøver ut tre ting: teknologi, prosesser og personell. NSMs grunnprinsipper for IKT-sikkerhet har inntrengingstesting som eget prinsipp, 3.4, under kategorien oppdage, og målet med prinsippet er at virksomheten tester elementer i egne forsvarsmekanismer ved å simulere målene og handlingene til en angriper.

NSM peker på at en inntrengingstest gir dypere innsikt gjennom en faktisk demonstrasjon av hvilken risiko sårbarheter kan utgjøre.

NSM lister fire svakheter angripere ofte utnytter i virksomhetens rutiner:

• For langt tidsvindu fra en sårbarhet blir annonsert og leverandøren har en sikkerhetsretting klar, til den faktisk blir installert.
• Vide brukertilganger i kombinasjon med svake autentiseringsløsninger, for eksempel svake passord.
• Mangelfull etablering av sikker konfigurasjon av enheter i IKT-systemet.
• Manglende evne til å forstå egne verdikjeder og avhengigheter mellom systemer.

Dette avgjør prisen

Noen få faktorer forklarer mesteparten av forskjellen mellom et lite og et stort oppdrag:

Omfang. Hvor mye som skal testes: antall applikasjoner, systemer, IP-adresser, API-endepunkter og brukernivåer, og hva som eksplisitt holdes utenfor. Dette er den største enkeltfaktoren, fordi det styrer hvor mye arbeid som faktisk skal gjøres.

Dybde. Hvor mye av arbeidet som er manuelt kontra automatisert. En automatisert skanning er rask og rimeligere, men finner bare kjente svakheter. NIST SP 800-115 beskriver at skannere sammenholder det de finner med kjente sårbarheter i egne databaser, og at hver sårbarhet der vurderes isolert fra de andre. En reell penetrasjonstest legger til manuelt arbeid der en fagperson forsøker å utnytte funnene, kjede dem sammen og tenke som en angriper. NIST lister ferdighetene som kreves: omfattende kunnskap om nettverk og operativsystemer, om sårbarheter og utnyttelse av dem, og om å unngå å bli oppdaget. Mer dybde betyr mer spesialisert tid, og det koster mer.

Tilnærming. To ting spiller inn her. Det ene er hvor mye testeren får vite på forhånd: med black box får testeren ingen intern informasjon og må finne alt selv, som tar mer tid, mens white box gir full innsikt og lar testeren gå rett på de viktige tingene. Grey box ligger imellom. Det andre er om testen er varslet eller skjult, det NIST SP 800-115 skiller som overt og covert testing. En åpen, varslet test er rimeligere og brukes oftest. En skjult test, der IT-driften ikke er informert på forhånd, gir et mer realistisk bilde av den daglige sikkerheten, men er mer tidkrevende og dyrere, fordi testeren må jobbe forsiktig for ikke å bli oppdaget. Det spiller også inn om testen gjøres utenfra (som en angriper på internett) eller innenfra (som noen som allerede har en fot innenfor). NSMs grunnprinsipper, tiltak 3.4.4, anbefaler begge deler.

Metodikk og grundighet. En test som følger en etablert metodikk, for eksempel OWASP sin Web Security Testing Guide for web eller NIST SP 800-115 som overordnet ramme, er mer systematisk og tar mer tid enn en overflatisk gjennomgang. PTES brukes som referansemodell for faseinndelingen. Det er en kvalitetsforskjell dere betaler for.

Rapportering. NSMs grunnprinsipper, tiltak 3.4.6, sier at testene bør dokumenteres med en ledelsesoppsummering, en oversikt over funn og forslag til forbedringstiltak. En grundig rapport tar reell tid å skrive, uavhengig av hvor mange funn som gjøres.

Praktiske forhold. En intern test krever ofte at testeren er fysisk til stede, slik at reise og tid på stedet legges på. Skal testen berøre sensitive data, kreves ekstra forsiktighet og dokumentasjon, og det øker arbeidet.

Hvorfor en skanning koster mindre, men er noe annet

Det er lett å sammenligne en billig «pentest» med en dyrere og tro at det er samme vare. Det er det sjelden. En sårbarhetsskanning er automatisert og krever mindre spesialisert kompetanse, mens en penetrasjonstest legger til manuelt arbeid og faktisk utnyttelse. Er et tilbud påfallende billig, er det ofte fordi det egentlig er en skanning, ikke en reell test. Vil dere forstå forskjellen før dere bestiller, har vi forklart den i hva er sikkerhetstesting.

Slik får dere riktig pris

Målet er ikke det billigste tilbudet, men riktig omfang til riktig pris. Det får dere ved å avklare hva som faktisk bør testes først, og ved å be hver leverandør svare på det samme. Da kan dere sammenligne tilbud likt, og dere ser raskt hvem som selger en skanning til pentest-pris:

• Hvilken metodikk følger dere? (for eksempel OWASP, NIST SP 800-115 eller PTES)
• Hva er omfanget konkret? (hvilke applikasjoner, IP-adresser og systemer, og hva er holdt utenfor)
• Er det black, grey eller white box?
• Hva inngår i prisen, og hva er tillegg?
• Hvilken rapport får vi: både tekniske funn og et ledelsessammendrag?
• Kan vi avtale en re-test etter at funnene er utbedret?