Blog / Testy penetracyjne
Manualne testy penetracyjne czy automatyczne i który pentest kupić
Test ręczny wykonuje specjalista i sprawdza logikę aplikacji, a automatyczny skanuje ekspozycję z zewnątrz co tydzień i taniej. Większość firm kupuje oba, w różnym czasie. Poniżej zasady wyboru, widełki kosztów i sytuacje, w których jedna opcja nie wystarczy.
Krótka odpowiedź
Jeśli odbiorca raportu pyta o częstotliwość testów, wystarczy zwykle test automatyczny w abonamencie. Jeśli pyta o niezależny test aplikacji z kontem użytkownika, potrzebujesz ręcznego. Gdy system przetwarza płatności lub dane klientów B2B, rozsądny wybór to jeden ręczny pentest rocznie i cykliczny test pomiędzy nimi.
Nie ma jednej odpowiedzi dla wszystkich, bo oba testy odpowiadają na inne pytania. Automat mówi, co jest widoczne i błędnie skonfigurowane dziś. Człowiek mówi, co da się nadużyć w sposobie działania aplikacji.
Co sprawdza test manualny
- czy użytkownik jednego klienta zobaczy dane drugiego (autoryzacja na poziomie obiektów)
- czy da się obejść płatność, limit planu lub kolejność kroków w procesie
- czy zwykłe konto może podnieść sobie uprawnienia do administratora
- łańcuchy kilku drobnych słabości, które razem dają włamanie
- logikę API, której żaden skaner nie zrozumie bez kontekstu biznesowego
Taki test trwa zwykle od kilku dni do kilku tygodni, wymaga konta testowego, uzgodnienia zakresu i umowy o poufności. Wynik to jeden raport z datą wykonania.
Co sprawdza test automatyczny
- otwarte porty i usługi, które nie powinny być widoczne z internetu
- certyfikaty TLS, nagłówki bezpieczeństwa, ciasteczka sesji
- ujawnione wersje oprogramowania ze znanymi podatnościami
- panele administracyjne, pliki konfiguracyjne i kopie zapasowe dostępne publicznie
- zmiany względem poprzedniego testu, czyli nowe subdomeny i nowe luki po wdrożeniu
Zaletą jest powtarzalność. Test wykonany co tydzień wyłapuje błąd konfiguracji w kilka dni, a nie przy kolejnym rocznym audycie. Wadą jest brak zrozumienia logiki biznesowej. Jak wygląda taki cykl w praktyce, opisuje strona pentest w abonamencie.
Porównanie kosztów i terminów
Test ręczny pojedynczej aplikacji webowej kosztuje na polskim rynku zwykle od kilku do kilkunastu tysięcy złotych netto, zależnie od zakresu, i bywa dostępny dopiero za kilka tygodni. Test automatyczny w abonamencie zaczyna się od 590 zł netto miesięcznie, a pierwszy raport dostajesz po potwierdzeniu własności domeny. Szersze zestawienie widełek jest w artykule ile kosztują testy penetracyjne.
Ceny testów ręcznych różnią się między wykonawcami, dlatego traktuj powyższe jako rząd wielkości i porównaj co najmniej trzy oferty z identycznym zakresem.
Kiedy wystarczy test automatyczny
- strona firmowa lub sklep na gotowej platformie bez własnej logiki biznesowej
- odbiorca raportu pyta o częstotliwość i naprawy, a nie o metodykę ręczną
- potrzebujesz dowodu ciągłości na potrzeby NIS2, ubezpieczyciela lub operatora płatności
- budżet nie pozwala na test ręczny, a ryzyko dotyczy głównie konfiguracji
Kiedy musisz zamówić test ręczny
- aplikacja SaaS z kontami wielu klientów i podziałem uprawnień
- własny system płatności, rezerwacji lub rozliczeń
- ankieta bezpieczeństwa dużego klienta wprost wymaga niezależnego testu ręcznego
- po dużej zmianie architektury lub przed premierą nowego modułu
Przed rozpoczęciem prac podpisz z wykonawcą umowę o poufności. Dokumenty można podpisać elektronicznie, na przykład w systemie podpisu dokumentów ze ścieżkami akceptacji, co skraca start testu o kilka dni.
Jak zamówić test ręczny, żeby nie przepłacić
Największy rozrzut cen bierze się z niejasnego zakresu. Oferta za aplikację bez opisu liczby ról, endpointów API i środowisk jest nieporównywalna z ofertą, która je wylicza. Przed zapytaniem ofertowym spisz: adresy produkcyjne i testowe, liczbę ról użytkowników, integracje zewnętrzne oraz to, czy test ma obejmować panel administracyjny.
Poproś każdego wykonawcę o przykładowy raport po zanonimizowaniu danych. Dobry raport ma opis kroków odtworzenia luki, ocenę wpływu i konkretne zalecenie naprawy, a nie samą listę numerów CVE. Zapytaj też, czy w cenie jest test weryfikacyjny po naprawach, bo to on daje Ci dokument zamykający sprawę przed klientem.
- ustal środowisko: test na produkcji bywa szybszy, ale na stagingu jest bezpieczniejszy dla danych
- sprawdź, kto zapewnia konta testowe i w jakich rolach
- wymagaj terminu dostarczenia raportu na piśmie
- zapytaj o certyfikaty i doświadczenie zespołu w podobnych systemach
Najczęstsze błędy przy wyborze
- kupowanie skanu automatycznego pod nazwą pentestu ręcznego, bez sprawdzenia metodyki w ofercie
- zamawianie testu ręcznego raz na kilka lat i traktowanie go jako dowodu na bieżący stan
- brak naprawy uwag przed kolejnym testem, przez co raport pokazuje te same luki dwa razy
- wysyłanie klientowi surowego raportu technicznego zamiast dokumentu z podsumowaniem i statusem napraw
- pominięcie subdomen i środowisk pomocniczych, które często są najsłabszym punktem
Dobra praktyka to potraktowanie obu testów jako jednego programu: ręczny test ustala bazę i poprawki, a cykliczny pilnuje, żeby po kolejnych wdrożeniach nic nie wróciło.
Najrozsądniejszy układ dla większości firm
Praktyczny podział to jeden test ręczny rocznie albo przed ważnym wdrożeniem oraz cykliczny test automatyczny przez cały rok. Pierwszy odpowiada za głębię, drugi za ciągłość. W raporcie dla kontrahenta pokazujesz oba, co opisaliśmy w artykule o raporcie z testów dla kontrahenta.
Zaczynasz od sprawdzenia, co widać z zewnątrz. Wpisz domenę w formularzu na stronie głównej, a zobaczysz wynik pasywny bez zakładania konta, i dopiero wtedy zdecyduj o planie z cennika.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.