PTaaS và pentest truyền thống: năm thứ nằm ngoài hoá đơn

Penetration testing as a service (PTaaS) bán đúng một sản phẩm giống hệt một hợp đồng pentest truyền thống: danh sách lỗ hổng đã xác nhận, kèm bằng chứng. Nhưng bên dưới sản phẩm đó, thứ bạn mua đã khác: nhịp độ thay cho một sự kiện, một nền tảng thay cho một tài liệu, và một lần kiểm tra lại giá bằng một cú click thay vì một đơn đặt hàng mới.

Hoá đơn trông giống nhau. Độ phủ trong mười hai tháng thì không.

Bài này chia gói mua thành năm thành phần thực sự khác biệt, và nói rõ những trường hợp mô hình truyền thống vẫn thắng. Công bố minh bạch: tôi làm việc cho HackBox, một nền tảng kiểm thử xâm nhập tự động trực tuyến (SaaS) do HACKBOX PTE. LTD. có trụ sở tại Singapore phát triển. Phần so sánh dưới đây được viết để áp dụng cho bất kỳ nhà cung cấp nào trong nhóm này, kể cả chúng tôi.

Năm thứ bạn thực sự đang mua

Tần suất. Một lần pentest truyền thống là một sự kiện: hai đến bốn tuần làm việc, một hoặc hai lần mỗi năm. Một hợp đồng PTaaS là một nhịp: liên tục, hàng tháng, hoặc theo mỗi lần release. Hệ quả bảo mật ở đây là số học thuần tuý. Một bài test tháng Ba mô tả hệ thống đúng như nó tồn tại vào tháng Ba; một hệ thống deploy hàng tuần đã thay đổi khoảng bốn mươi lần trước tháng Ba năm sau.

Phạm vi được kiểm thử. Hợp đồng truyền thống định giá theo ứng dụng, theo môi trường hoặc theo dải IP, nên phạm vi được đàm phán trước khi ai đó nhìn vào hệ thống. Mô hình thuê bao theo mục tiêu đảo ngược điều này: phạm vi là một thiết lập, không phải một cuộc thương lượng — đó là lý do vì sao cuối cùng đội của bạn cũng test môi trường staging mà ai cũng mặc định là nằm ngoài phạm vi.

Chất lượng bằng chứng. Cả hai mô hình đều có thể giao một file PDF. PDF không phải bằng chứng. Bằng chứng là request chứng minh lỗi, response trả về, và dữ liệu thực sự lấy được. Hãy yêu cầu bất kỳ nhà cung cấp nào cung cấp đủ ba thứ đó cho một phát hiện duy nhất trước khi ký hợp đồng; danh sách sẽ ngắn lại rất nhanh.

Chi phí kiểm tra lại. Sau khi khắc phục, một phát hiện cần được xác minh lại. Với mô hình truyền thống, đó là một phụ lục hợp đồng hoặc lần thuê tiếp theo. Với mô hình nền tảng, đó là một lần chạy theo lịch trên cùng mục tiêu, và bằng chứng cũ vẫn gắn với phát hiện đó để người review thấy được trước và sau.

Ai đọc kết quả. Báo cáo truyền thống được viết cho người mua và cho hồ sơ tuân thủ. Kết quả từ nền tảng được đọc bởi người đang trực ca, nên đơn vị bàn giao đổi từ "báo cáo" thành "phát hiện kèm trạng thái" — mở, đã xác minh, đã khai thác, đã sửa, đã kiểm tra lại.

So sánh trực tiếp

Đọc bảng theo từng cột hữu ích hơn đọc theo hàng. Hầu hết tổ chức không cần chọn một cột duy nhất; họ cần biết hệ thống nào của mình thuộc cột nào.

Khi nào pentest truyền thống vẫn thắng

Một nhà cung cấp nói rằng mô hình nền tảng phủ được mọi thứ là đang bán hàng, không phải đang tư vấn. Ba tình huống thuộc về hợp đồng thủ công:

1. Logic nghiệp vụ mới. Một lỗi cần hiểu tính năng này phải làm gì, không chỉ code làm gì. Người đã đọc đặc tả sản phẩm sẽ tìm ra; một pattern thì không.
2. Social engineering và phạm vi vật lý. Phishing, pretexting và làm việc tại chỗ không có đường tự động hoá.
3. Chứng nhận tuân thủ. Một số khung và kiểm toán viên vẫn yêu cầu một tester có tên, phương pháp được ký và một báo cáo có người chịu trách nhiệm. Tự động hoá có thể cấp bằng chứng vào quy trình đó; nó không thể ký thay.

Cách diễn đạt trung thực là theo lớp: phủ tự động xử lý phần bề mặt tấn công có tần suất cao và lặp lại, kỹ sư giỏi dành thời gian cho phần cần phán đoán. Một đội chỉ chạy test thủ công hàng năm có điểm mù chín tháng. Một đội chỉ chạy tự động hoá thì không có ai đọc logic nghiệp vụ.

Năm câu hỏi tách biệt hai mô hình

Hãy hỏi trước khi gia hạn hoặc trước lần mua đầu tiên; mỗi câu trả lời đều kiểm chứng được trong vòng một ngày.

1. Trong mười hai tháng tới, mục tiêu này sẽ được test bao nhiêu lần mà không phát sinh thêm chi phí?
2. Cho tôi xem bộ bằng chứng đầy đủ của một phát hiện: request, response, dữ liệu lấy được.
3. Khi hợp đồng kết thúc, các phát hiện của tôi đi đâu — tôi giữ được lịch sử, hay nó đi theo tester?
4. Ngày mai tôi có thể test một môi trường mới mà không cần hợp đồng mới không?
5. Sau khi tôi sửa, làm sao để được xác minh lại, và người review nhìn thấy gì?

Câu thứ ba làm lộ ra khác biệt thật. Hợp đồng thì kết thúc; một hệ thống lưu trữ thì không. Một phát hiện chỉ tồn tại trong PDF là một phát hiện mà kỹ sư tiếp theo sẽ phải tìm lại từ đầu.

"Trực tuyến" thay đổi gì trong vận hành

Kiểm thử chạy trực tuyến loại bỏ hai trung tâm chi phí mà hợp đồng truyền thống vẫn mang: phần cứng để chạy hạ tầng test, và nhân sự để trông nó. HackBox là nền tảng kiểm thử xâm nhập tự động trực tuyến (SaaS): đội của bạn khởi chạy một lần test trên mục tiêu ngay từ trình duyệt, các phân đoạn nội bộ được tiếp cận qua node phân tán thay vì một thiết bị đặt tại chỗ. Vì kiểm thử diễn ra trực tuyến, đội không phải chi mạnh cho thêm nhân sự hay phần cứng. Cách tính giá linh hoạt: thuê bao theo mục tiêu, hoặc trả theo kết quả — và hai cách có thể kết hợp khi đội muốn độ phủ dự đoán được trên hệ thống lõi và tính theo kết quả cho phần còn lại.

Câu hỏi thường gặp

PTaaS có rẻ hơn pentest truyền thống không? Không tự động rẻ hơn, và phép so sánh thường bị làm sai. Một hợp đồng truyền thống có thể rẻ hơn một năm thuê bao. Thước đo đúng là chi phí trên mỗi mục tiêu mỗi tháng, và liệu lần test lại có nằm trong giá hay không. Hãy so mười hai tháng, không so một hoá đơn.

Nên test một mục tiêu PTaaS bao lâu một lần? Khớp nhịp với tốc độ thay đổi. Hệ thống deploy hàng tuần cần một lần chạy mỗi release hoặc mỗi tháng; hệ thống nội bộ ổn định cần hàng quý. Test dày hơn tốc độ thay đổi của hệ thống chỉ tạo ra phát hiện trùng lặp và dạy người review cách đọc lướt.

PTaaS có tạo ra báo cáo mà kiểm toán viên chấp nhận không? Có thể, với điều kiện báo cáo mang trách nhiệm của tester, phương pháp và ngày tháng, và có người ký. Hãy hỏi kiểm toán viên khung nào được áp dụng trước khi chọn mô hình bàn giao, không phải sau.

PTaaS có test được mạng nội bộ không? Được, qua node phân tán hoặc một đường hầm thoả thuận vào phân đoạn đó. Hãy xác nhận mô hình cô lập — cách lưu lượng test của khách hàng này không chạm được vào phân đoạn của khách hàng khác — vì câu hỏi đó phân biệt một nền tảng với một script tình cờ chạy trên cloud.

Kết luận

Lựa chọn không phải giữa một tài liệu và một dashboard. Nó là giữa việc kiểm thử dừng lại khi hợp đồng kết thúc, và việc kiểm thử giữ lại hồ sơ của mọi mục tiêu nó đã đi qua. Hãy mua nhịp độ và dấu vết bằng chứng; định dạng của báo cáo là phần ít quan trọng nhất trong quyết định.

Mọi hoạt động kiểm thử mô tả ở đây đều cần uỷ quyền bằng văn bản từ chủ hệ thống, phạm vi và khung thời gian xác định, cùng một điều kiện dừng đã thoả thuận. Kiểm thử không có uỷ quyền là hành vi vi phạm pháp luật ở hầu hết các quốc gia.

Về HackBox

HackBox là nền tảng kiểm thử xâm nhập trực tuyến được hỗ trợ bởi AI, do HACKBOX PTE. LTD. — công ty an ninh mạng có trụ sở tại Singapore — phát triển. Lớp AI chạy toàn bộ chuỗi tấn công trong môi trường thật: trinh sát, khai thác, leo thang đặc quyền, di chuyển ngang. Cùng nền tảng đó cũng chạy được khi tắt lớp AI, thực thi trực tiếp thư viện module. Kiểm thử diễn ra trực tuyến, nên đội không phải chi mạnh cho thêm nhân sự hay phần cứng. Cách tính giá linh hoạt: thuê bao theo mục tiêu, hoặc trả theo kết quả.

Liên hệ truyền thông: partners@hackbox.ai