Предложение на пентест формируется с учётом согласованной поверхности атаки, глубины проверки, модели доступа, числа сред, ограничений по расписанию и состава результатов.
До оценки трудозатрат пентест отделяется от автоматизированного сканирования уязвимостей. На объём работ влияют количество активов и приложений, роли пользователей, число учётных записей и сред, глубина проверки, окна изменений и требования к доказательствам.
Изучите технические руководства, упрощающие решение о покупке, чтобы уточнить объём вашего проекта.
Контекст «Стоимость услуги пентеста»: Услуга предназначена организациям, которым нужно сопоставимое предложение на санкционированную проверку возможности эксплуатации, а не только перечень потенциальных уязвимостей из сканера. В основании предложения фиксируются допустимые цели, глубина проверки и требуемые доказательства.
Контекст «Стоимость услуги пентеста»: До расчёта трудозатрат подтверждаются цели, роли в приложениях, тестовые учётные записи, способы аутентификации, рабочие и тестовые среды, интеграции, ограничения по данным и исключённые действия. Недостающие сведения остаются явными допущениями или исключениями и не считаются включёнными работами.
Контекст «Стоимость услуги пентеста»: Автоматизированные средства могут использоваться для первичного поиска, однако пентест сосредоточен на ручной проверке и контролируемой эксплуатации в пределах ROE. Разрушающие методы, доступ к рабочим данным, социальная инженерия, тестирование отказа в обслуживании и анализ исходного кода исключаются, если они прямо не разрешены в предложении.
Контекст «Стоимость услуги пентеста»: Для клиентского портала и административного интерфейса трудозатраты могут различаться в зависимости от ролей, API, единого входа, подготовки тестовых учётных записей и доступа к рабочей либо тестовой среде. Эти параметры учитываются до согласования предложения.
Трудозатраты зависят от числа и типа целей, ролей в приложениях, аутентифицированных сценариев, сред, интеграций, глубины проверки, формата доказательств и условий координации. Неизвестные параметры фиксируются как допущения и уточняются по согласованной процедуре изменения объёма.
В предложении указываются исходные адреса, разрешённые и запрещённые методы, тестовые учётные записи, правила работы с данными, аварийные контакты, условия остановки, окна тестирования и зависимость от окон изменений. Действия вне утверждённого ROE не выполняются.
Сканирование позволяет массово выявлять потенциальные слабые места; предложение на пентест охватывает санкционированную ручную проверку и анализ цепочек атак в пределах согласованных целей и ограничений. Результаты сканера сами по себе не представляются как пентест.
Если требуется ретест, в предложении указываются подходящие для него находки, предварительные условия, число циклов проверки, формат доказательств и окно планирования. При отсутствии этих условий ретест не считается включённым.
До расчёта подтверждаются количество активов и приложений, роли и аутентификация, внешняя или внутренняя доступность, API, среды, глубина теста, чувствительность данных, график, отчёт и границы retest.
Системы третьих сторон, denial-of-service, социальная инженерия, физический доступ, разрушительные действия, ограничения production, обработка чувствительных данных и отсутствующие учётные данные явно включаются или исключаются.
Они не предполагаются автоматически. Консультации, допустимые находки, среда retest, доказательства, срок и ограничение активности должны быть записаны в предложении.
