Hvor lang tid tager en penetrationstest?

Der findes ikke ét tal for, hvor lang tid en penetrationstest tager. Tiden afhænger af, hvad der skal testes, hvor dybt testeren skal gå, og hvor godt virksomheden er forberedt. To test med samme betegnelse kan derfor have meget forskellig varighed.

Det, der kan siges, er, hvilke forhold der styrer tidsforbruget, og at der er forskel på den tid, testeren arbejder, og den tid, der går fra første henvendelse til færdig rapport. Den første afhænger mest af opgaven. Den anden afhænger i høj grad af virksomheden selv.

Arbejdstid og kalendertid er to forskellige ting

Når et tilbud angiver et omfang, handler det typisk om den tid, testeren bruger på opgaven. Det er ikke det samme som den periode, forløbet strækker sig over. Mellem tilbud og rapport ligger der planlægning, ventetid på adgang, selve testen, rapportskrivning og en gennemgang af resultatet.

For bestilleren er kalendertiden tit den vigtigste, fordi det er den, der skal passe med en lancering, en kundefrist eller en audit. Spørg derfor både om testerens tidsforbrug og om den forventede tidsplan fra start til slut. Forløbets faser er beskrevet i → Penetrationstest fra start til slut.

Også perioden før testen tæller med. Omfanget skal afklares, tilbuddet godkendes, og en kontrakt eller en fortrolighedsaftale skal måske underskrives. Hos jer kan det kræve en beslutning fra ledelsen eller en godkendelse fra indkøb. Den del styres af virksomhedens egne procedurer og bør med i planen, når der er en frist.

Omfanget styrer arbejdstiden

Den største enkeltfaktor er, hvor meget der skal undersøges, og hvor grundigt. En kundeportal med mange roller og funktioner kræver mere tid end en enkel side med ét login. Et kontornet med flere steder og mange net kræver mere end et lille kontor med én forbindelse.

Forhold, der typisk påvirker arbejdstiden:

Antal systemer og adresser · hvert system eller hver adresse skal undersøges for sig.
Funktioner og roller · i en webapplikation skal hver relevant rolle afprøves.
Integrationer · forbindelser til ERP-systemet eller eksterne tjenester tilføjer flere områder.
Testerens forhåndsviden · dokumentation og adgang kan gøre det muligt at nå længere på samme tid.
Krav til dokumentation · en rapport, der skal bruges over for en kunde eller en auditor, kan kræve mere arbejde.

Jo mere præcist omfanget er beskrevet, jo bedre kan testeren vurdere tiden. → Scope i en penetrationstest

De samme forhold påvirker også, hvad opgaven koster, fordi tiden er en stor del af det, der prissættes. Sammenhængen er beskrevet i → Hvad påvirker omfanget og prisen?

Forberedelsen styrer kalendertiden

Et forløb kan gå i stå, før selve testen begynder. Testkonti, der ikke er oprettet, en driftsleverandør, der ikke er orienteret, eller en tilladelse fra hostingfirmaet, der mangler, kan skubbe starten. Hver dag, testeren venter, forlænger forløbet uden at give mere test.

Det er virksomheden, der har mest indflydelse på denne del. Sørg for, at adgang, kontaktpersoner og tilladelser er på plads, før testperioden begynder. Tænk også på interne godkendelser. Hvis IT-sikkerheden, ledelsen eller en systemejer skal give grønt lys, bør det ske i god tid, så testen ikke venter på en underskrift den dag, den skulle være begyndt. → Før penetrationstesten

Testvinduet sætter rammer

Hvis testen kun må foregå på bestemte tidspunkter, for eksempel uden for arbejdstiden eller i weekenden, strækker den samme mængde arbejde sig over en længere periode. Det kan være nødvendigt af hensyn til driften, men det har betydning for tidsplanen.

Afvej driftshensynet mod behovet for et hurtigt resultat. Et testvindue, der er for snævert, kan også betyde, at testeren ikke når alt det, der var planlagt. Det samme gælder, hvis systemet skal lukkes for kunderne under testen. Så skal tidspunktet aftales med dem, der har kontakten til kunderne, og det kan i sig selv tage tid at finde. → Test i arbejdstiden eller uden for?

Undervejs kan der opstå pauser

Hvis testeren finder noget alvorligt midt i testen, kan det være aftalt, at virksomheden får besked med det samme. Nogle gange fører det til en pause, mens fundet håndteres, eller til at en del af testen ændres. Det er en god grund til at aftale på forhånd, hvordan alvorlige fund meldes, og hvem der træffer beslutningen om at fortsætte. → Kritisk fund under testen

Driftsforstyrrelser kan også give pauser. En opdatering, som driftsleverandøren installerer midt i testperioden, kan for eksempel ændre de forhold, testeren arbejder under. Hvis et system reagerer uventet, kan testen blive stoppet, indtil årsagen er fundet. Det forlænger forløbet, men det er bedre end at fortsætte i blinde.

Efter testen: rapport, gennemgang og retest

Rapporten skrives efter testen, og den tid skal med i planen. Derefter følger typisk en gennemgang af resultatet, hvor fundene forklares, og spørgsmål kan stilles. Hvis rettelser skal efterprøves, kommer en retest til senere, og dens tidspunkt afhænger af, hvor hurtigt virksomheden retter. → Retest efter penetrationstest

Hvis der er en fast frist, bør planen regne baglæns fra den. Det giver tid til rettelser og eventuel retest, før dokumentationen skal bruges.

Regn også med tid hos jer selv. Rapporten skal læses, fundene fordeles til de rette personer, og der skal træffes beslutninger om, hvad der rettes først. Hvis rapporten lander i en travl periode, kan der gå længere tid, før den bliver brugt, end testen selv tog.

Det skal I lade være med

At spørge om et standardtal · tiden afhænger af omfanget og skal vurderes for jeres opgave.
At forveksle arbejdstid med kalendertid · spørg om begge, når tidsplanen skal holde.
At starte uden adgang og tilladelser · ventetid forlænger forløbet uden at give mere test.
At presse testen sammen · en for kort periode kan betyde, at vigtige områder ikke bliver undersøgt.
At glemme tiden efter testen · rapport, gennemgang og retest skal med i planen.

Hvad kan og ikke kan konkluderes

En tidsplan kan give et realistisk bud på forløbet, når omfang, forberedelse og testvindue er kendt. Den kan ikke garantere, at forløbet holder, hvis forudsætningerne ændrer sig, eller hvis testen finder forhold, der kræver en pause. Længere tid betyder heller ikke i sig selv en bedre test. Det afgørende er, om tiden passer til det, der skal undersøges. Et tilbud, der lover samme opgave på kortere tid, bør derfor læses med spørgsmålet om, hvad der er udeladt.