Comparação de preços de software da DAST: Burp Suite, Nessus e muito mais
Com mais de 20 ferramentas DAST disponíveis no mercado, selecionar a mais adequada pode ser um desafio, considerando a variedade de recursos e opções de preços. Reunimos informações publicamente disponíveis sobre as estratégias de preços dos fornecedores, facilitando a obtenção de uma visão geral e a estimativa dos custos prováveis.
Preços mais altos do software DAST
Fornecedores | Teste grátis | Preço |
|---|---|---|
InsightVM Rapid7 | ✅ (30 dias) | A precificação é baseada em ativos (no mínimo 512 ativos). |
PortSwigger Burp Suite | ✅ | Edição comunitária: Gratuita Edição profissional: US$ 449 por pessoa por ano. Edição empresarial: Não compartilhada publicamente |
Nesso habitável | ✅ (7 dias) | De US$ 4.390 a US$ 6.390 anualmente |
NowSecure | ✅ | Não compartilhado publicamente |
Indusface ERA | ✅ (14 dias) | Possui um plano Avançado, com preço de US$ 59 por mês. Os planos Premium e MSSP são cobrados individualmente, anualmente. |
Avaliação de contraste | ❌ | Não compartilhado publicamente |
Checkmarx DAST | ❌ | Não compartilhado publicamente |
HCL AppScan | ✅ (30 dias) | Não compartilhado publicamente |
Os seguintes pontos são importantes a serem considerados em relação à precificação:
- Níveis de recursos: Os fornecedores geralmente dividem seus produtos em níveis com base na capacidade. O Nessus Pro e o Nessus Expert da Tenable compartilham o mesmo mecanismo de varredura, mas somente o Expert adiciona varredura de aplicativos da Web e varredura de superfície de ataque externa, razão pela qual o Expert custa aproximadamente US$ 2.000 a mais por ano.
- Modelo de licenciamento: Algumas ferramentas cobram por usuário por ano (Burp Suite Professional), outras por ativo (InsightVM). A precificação baseada em ativos, como a da Rapid7, reduz o custo unitário em volumes maiores, o que beneficia organizações maiores, mas cria um custo mínimo elevado para equipes menores.
- Versões gratuitas: O Burp Suite Community e o Indusface WAS oferecem versões gratuitas, mas com lacunas significativas em termos de funcionalidades. O Community não possui varredura automatizada, enquanto a versão gratuita do Indusface limita a frequência de varredura e remove o suporte.
Nesso habitável
O Tenable Nessus oferece duas ferramentas DAST: Nessus Pro e Nessus Expert. Cada uma possui uma assinatura anual, mas diferem em termos de custo e recursos. Embora o Nessus Pro seja mais barato, ele não oferece tantos recursos quanto a versão Expert.
O Nessus Professional tem o preço de tabela de US$ 4.390 nos EUA. Ele inclui avaliações ilimitadas de vulnerabilidades de TI, auditorias de configuração, varredura de conformidade e pontuação de vulnerabilidades, mas exclui a varredura de aplicativos da web e a descoberta de superfície de ataque externa.
O Nessus Expert custa US$ 6.390 no preço de tabela nos EUA. Ele adiciona varredura de aplicativos da web, descoberta de superfície de ataque externa e varredura de IaC a tudo o que está incluído na versão Pro. Organizações que já possuem a versão Pro podem experimentar o Expert gratuitamente por 7 dias antes de se comprometerem.
Ambas as edições oferecem suporte avançado opcional (atendimento telefônico e por chat 24 horas por dia, 7 dias por semana) como um complemento pago, e as licenças plurianuais têm desconto. Os preços variam conforme a região; verifique os valores atuais em tenable.com/buy antes de comprar.
Considere as alternativas ao Tenable Nessus se você estiver procurando um substituto para o Nessus ou se ainda estiver indeciso.
InsightVM Rapid 7
Em 2024, a Rapid7 reformulou sua linha de gerenciamento de vulnerabilidades sob a plataforma InsightVM. O InsightVM agora funciona como o mecanismo de gerenciamento de vulnerabilidades dentro do Exposure, a principal oferta atual da Rapid7 para avaliação e remediação de exposições.
O serviço Exposure Command tem preço por ativo (número médio de ativos monitorados) e é cobrado anualmente. Ele é oferecido em dois níveis, com base no nível de maturidade em nuvem da organização, ambos incluindo o Surface Command sem custo adicional. Os preços específicos de cada nível não são divulgados publicamente; as organizações recebem um orçamento com base na quantidade de ativos e no escopo da implementação.
Figura 4. Modelo de Preços do InsightVM 1
PortSwigger Burp Suite
O Burp Suite possui três edições destinadas a diferentes tipos de usuários.
O Burp Suite Community é gratuito. Ele abrange testes manuais de interceptação HTTP via Burp Proxy, manipulação de requisições via Burp Repeater e análise básica de tráfego web. A varredura automatizada não está incluída; para isso, é necessário adquirir uma versão paga.
O Burp Suite Professional custa US$ 475 por usuário por ano. Ele adiciona varredura automatizada de vulnerabilidades, o Burp Intruder para automação de ataques personalizados e o Burp AI, um assistente interativo que gera ideias de ataques e guia os testes em tempo real. É voltado para pentesters individuais e pequenas equipes de segurança de aplicativos.
O Burp Suite DAST é um scanner automatizado de nível empresarial, desenvolvido para equipes de segurança de aplicativos que gerenciam grandes portfólios de aplicações. Ele suporta usuários ilimitados, integração com pipelines de CI/CD, agendamento de varreduras, gerenciamento em lote de aplicações e implantação tanto em servidores próprios quanto na nuvem. O preço é baseado em orçamentos personalizados da PortSwigger, dependendo do volume de varreduras e do escopo da implantação.
Figura 5. Preços do Burp Suite Professional. 2
Indusface ERA
O Indusface WAS oferece um modelo de preços baseado em assinatura com diferentes níveis para atender a diversas necessidades e orçamentos. Eles oferecem um plano Avançado, cobrado a US$ 59 por aplicativo por mês ou US$ 599 por aplicativo por ano. Há também as edições Premium e MSSP, com cobrança anual personalizada. (Veja a Figura 7).
Se você quiser saber mais sobre os recursos dessas ferramentas, consulte ferramentas de varredura de vulnerabilidades .
Figura 7. Preços do Indusface WAS 3
Perguntas frequentes
Sim, existem diversas ferramentas DAST de código aberto disponíveis , como o OWASP ZAP (Zed Attack Proxy) e o Arachni. Embora essas ferramentas possam não oferecer o mesmo nível de suporte e recursos avançados que as soluções comerciais, elas podem ser uma opção econômica para organizações com orçamentos limitados.
Para maximizar o valor das ferramentas DAST, as organizações devem atualizar regularmente suas metodologias de teste para levar em conta novas ameaças e vulnerabilidades, integrar os testes DAST ao ciclo de vida de desenvolvimento de software (SDLC), priorizar e corrigir prontamente as vulnerabilidades identificadas e investir em treinamento para garantir que os membros da equipe sejam proficientes no uso eficaz da ferramenta.
Ao avaliar as opções disponíveis, as organizações devem considerar fatores como orçamento, requisitos de segurança específicos de suas aplicações, nível de especialização da equipe e a escalabilidade e flexibilidade da ferramenta DAST.
Além das taxas básicas de licenciamento, as organizações podem incorrer em custos adicionais para serviços como treinamento, implementação, integração com sistemas existentes, suporte contínuo e manutenção.
Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios.