Sızma testi fiyatını ne belirler

Sızma testi fiyatı, bakılacak yerlerin sayısı ve test eden kişiye önceden verilen bilgiyle belirlenir. Sabit bir paket fiyatı yoktur. Penetrasyon testi teklifi de aynı satırlarla okunur: kaç adres, kaç rol, kara kutu mu gri kutu mu, yeniden test var mı.

Elinizde iki teklif varsa ve ikisi de “kurumsal sızma testi” diyorsa, alt satırları yan yana koyun. Adı aynı olan iki iş, gün olarak aynı iş değildir.

Kısa sonuç

Fiyat, paket adından değil kapsam satırından çıkar.
Aynı gün sayısı, kara kutu ile gri kutuda aynı derinliği vermez.
Tarama çıktısını sızma testi diye fiyatlayan teklif, elle kapanan satır içermez.
Teklifte raporun içinde ne olduğu ve yeniden testin aynı maddeye bakıp bakmadığı yazılmalıdır.
Lira bandı yayınlamıyoruz. Kapsam netleşmeden tutar konuşulmaz.

Paket adıyla teklif kıyaslanmaz

“Temel, profesyonel, kurumsal” gibi etiketler, bakılacak sistemi söylemez. Bir etiket tek formu olan bir siteyi, diğeri aynı etikette ödeme adımı olan bir uygulamayı anlatıyor olabilir. İkisini aynı ürün sanmak, teklifin geri kalanını okumamaktır.

Sızma testinde iş, imzalı kapsam formundaki adreslerde yapılır. Formda olmayan adrese istek gitmez. Bu yüzden teklifin ilk işi adres listesidir. Liste yoksa fiyat da yoktur. Varsa, listenin kaç satır olduğu ve her satırın üretim mi test mi olduğu yazılır.

Penetrasyon testi teklifinde de aynı kapı vardır. İsim değişir, iş değişmez. Yazılı izin ve kilitli kapsam olmadan gün başlamaz. İzin satırının nasıl doldurulduğu izin kâğıdı yazısında durur.

Sayılı kapsam fiyatı değiştirir

Teklifte şu sayılar ayrı ayrı durmalıdır.

Adres ve ortam

Dışarıya açık adres, iç ağ parçası, üretim ve test ortamı aynı satırda toplanmaz. Test ortamında bakılan bir uygulama, üretimdeki verinin kopyası değilse sonuç da aynı değildir. Bulut hesabı, barındıran firmanın izni yoksa kapsama yazılmaz. O izin teklifte “sonra bakarız” diye duruyorsa, o ortamın günü fiyata girmemelidir.

Rol ve hesap

Giriş yapılmadan bakılan bir site ile üç rolle bakılan bir uygulama aynı iş değildir. Yönetici, sıradan kullanıcı ve sınırlı bir üçüncü rol varsa, her rol ayrı bir yetki kümesidir. Hesap verilmezse günün bir kısmı kapıda kalır. Girişin arkasındaki kayıt, sepet veya sipariş o turda açık kalan satır olur. Açık kalan satır, raporda temiz diye kapanmaz.

Sistem türü

Web uygulaması, API, ağ, bulut ve mobil uygulama ayrı iş kalemleridir. Mobil tarafta iOS ve Android iki kurulumdur. Arkalarındaki API üçüncü kalemdir. “Uygulama testi” deyip üçünü tek satıra sıkıştırmak, ikisini kapsam dışı bırakır. Hangi yüzeyin nasıl ele alındığı web uygulaması sızma testi sayfasında, genel sıra ise sızma testi sürecinde yazılıdır.

Bu sayıları siz de çıkarabilirsiniz. Teklif istemeden önce kapsam formunun örneğini indirip adres, ortam ve hesap kutularını doldurun. Kutusu boş kalan iş için gelen fiyat, tahmindir.

Kara kutu, gri kutu ve beyaz kutu aynı gün değildir

Üçü, test eden kişinin işe başlarken ne bildiğini söyler. Fiyat etiketi değildir.

Kara kutuda hesap ve mimari verilmez. Dışarıdan gelen birinin nereye kadar gittiği görülür. Günün bir bölümü keşfe gider. Girişin arkası, hesap olmadığı için daha az yer kaplar.

Gri kutuda rol başına hesap ve kısa bir tanıtım verilir. Gün, oturum açmış birinin yapabildiklerine harcanır. Secawise tarafında ağırlık kara kutudadır. Hesap verilirse iş gri kutu ile derinleşir. Bunu “herkese uyan yöntem” diye satmıyoruz. Hesabın verilip verilmeyeceği formda seçilir.

Beyaz kutuda kaynak, yapılandırma veya mimari de paylaşılır. Aynı sürede daha çok satır kapanabilir. Karşılığında sizin tarafta hazırlık ve kodu okuyacak bir çalışma vardır. Teklif “beyaz kutu” diyorsa, hangi dosyanın paylaşılacağı yazılmalıdır. Dosya yoksa ad kalır, iş kara kutu olarak kalır.

İki teklifin gün sayısı eşit olsa bile biri kara kutu, diğeri gri kutu varsayıyorsa kıyas bitmiştir. Önce bu satırı eşitleyin, sonra tutara bakın.

Tarama, sızma testi fiyatı değildir

Tarama, aracın bildiği kontrolleri dolaşıp aday liste dökmesidir. Liste işin başında kullanılır. Sızma testinde her satır elle kapanır. Kapanan satır bulgu, elendi, temiz, uygulanamaz veya açık kalan diye kayda girer. Kanıtı bitmeyen satır temiz yazılmaz.

“IP başına sabit fiyat” çoğu zaman bu listenin fiyatıdır. Penetrasyon testi, listenin yerine geçmez. Ayrım sızma testi ile tarama yazısında durur. Teklifte şunu sorun: araç çıktısı mı teslim ediliyor, yoksa elle kapanmış bir kayıt mı?

Yöntem adları da fiyat koymaz. NIST SP 800-115, OWASP test rehberi ve PTES işin sırasını anlatır. Kaç lira tutacağını söylemez. Teklif “OWASP’a uygun” deyip hangi kontrollerin bu kapsamda uygulanacağını saymıyorsa, cümle süslemedir.

Rapor ve yeniden test ayrıca yazılır

Müşteriye giden iki dosya vardır. Yönetici özeti, neye bakıldığını ve bunun ne anlama geldiğini söyler. Teknik rapor geliştirici içindir. Her bulguda önem, CVSS, CWE, sorumlu, etki, maskeli istek ve yanıt, kanıt kodu ve düzeltme sırası bulunur. Sıra 30 gün, 1–3 ay ve 3–12 aydır. Dosyada ne aranacağı rapor yazısında anlatılır. Örnek düzen için örnek sızma testi raporu sayfasına bakın. Orası bir müşteri dosyası değildir.

Yeniden test, düzeltmeden sonra aynı maddeye aynı ortamda bakar. Yeni keşif bu tura eklenmez. Teklif “rapor dahil” deyip yeniden testi söylemiyorsa, kapanış o teklifin dışındadır. Nasıl bakıldığı yeniden test yazısında durur.

Teklifte şunlar yan yana durmalı

Karşılaştırırken her sağlayıcıdan aynı listeyi isteyin.

Adres, ortam, rol ve sistem türü sayıları.
Kara kutu, gri kutu veya beyaz kutu ve verilecek hesaplar.
Hangi satırın elle kapanacağı. Tarama dosyasının rapor yerine geçmediği.
Yönetici özeti ve teknik raporun ayrı teslim olduğu.
Yeniden testin aynı madde numarasına bakıp bakmadığı.
Üçüncü taraf izni gereken sistemin, izin yoksa dışarıda kaldığı.
Hizmet engelleme, veri çıkarma, sosyal mühendislik ve fiziksel girişin formda ayrıca açılmadıkça kapalı olduğu.

Bu liste dolmadan gelen tutar, tahmindir. Dolduktan sonra tutarlar konuşulur. İşin kendisi sızma testi nedir sayfasında, teklif için iletişim formunda toplanır. Kapsamı birlikte netleştirmek isterseniz ücretsiz penetrasyon testi başvurusu da açıktır.