Facturation IAST

Il est important que vous sachiez comment vous serez facturé lorsque vous utilisez des tests interactifs de sécurité des applications (IAST). Cette fonctionnalité vous est facturée via un module complémentaire facultatif appelé calculer Add On. Il s'agit du troisième des trois facteurs de facturation chez New Relic :

• La quantité de données que vous ingérez
• Le nombre d'utilisateurs facturables dont vous disposez
• Les modules complémentaires optionnels que vous avez achetés

Une fois que vous disposez de ce module complémentaire, New Relic calcule vos coûts IAST en fonction de l' unité de capacité de calcul (CCU) que vous consommez.

En savoir plus sur les coûts de l'IAST

Les CCU sont consommés lorsque vous utilisez la fonctionnalité IAST pour analyser une application à la recherche de vulnérabilités exploitables. Afin d'évaluer les vulnérabilités potentielles de votre application, des simulations d'attaques sont utilisées pour générer des réponses de l'application.

Chaque réponse est analysée pour déterminer la nature du comportement. Si le comportement n’est pas sécurisé, le statut de l’exécution du test sera défini sur Exploitable. Cela signifie que dans un environnement de production, un attaquant pourrait utiliser l’une de ces vulnérabilités pour exploiter vos applications, votre infrastructure ou vos données. Il est important de prendre en compte ces facteurs lors de l'utilisation d'IAST pour garantir une consommation optimale des CCU : la complexité de votre application, l'efficacité de vos tests et le nombre d'exécutions de tests.

Découvrez comment l'IAST génère des CCU

L'IAST analyse les applications pour détecter les vulnérabilités exploitables. Il observe le comportement des API, les appels de méthodes et les traces exercées pendant les tests tout en analysant l'exécution de simulations d'attaques réelles. Chaque simulation génère une réponse en fonction du nombre de paramètres testés. Plus les API et les appels de méthodes sont utilisés, plus le nombre de paramètres à tester pour une évaluation précise des risques est élevé. Plus une application est complexe et plus l'efficacité de votre couverture de test est élevée, plus d'unités de capacité de calcul seront consommées pour chaque exécution de test.

Comprenez votre utilisation de l'IAST et optimisez vos coûts

L'IAST dispose de contrôles de gouvernance intégrés à la configuration de l'agent APMpour garantir qu'il n'y a pas d'utilisation accidentelle de cette capacité. Par exemple, un utilisateur autorisé doit activer explicitement cette fonctionnalité pour chaque application.

Une fois que vous avez configuré IAST, nous fournissons une visibilité répartie par compte, utilisateur et API. En tant qu’administrateur, vous pouvez travailler dans toute votre organisation pour optimiser les coûts. Vous pouvez contrôler les coûts IAST si vous vérifiez la fréquence à laquelle IAST s'exécute pendant les tests et ce qui est testé.

Il existe trois variables principales lors de l'optimisation des coûts pour l'IAST :

• Tolérance au risque

• Efficacité des tests

• Exécutions de tests ou builds

Tolérance au risque

Nous vous recommandons d’exécuter IAST sur toutes les applications importantes à chaque build pour réduire les risques. La couverture complète des tests réduit la nécessité de résoudre les problèmes après la sortie. La tolérance au risque diffère selon l’organisation, ce qui affecte les méthodes de test de sécurité. Voici un exemple de résultats IAST pour la création d'une application.

Efficacité des tests

Test efficiency est une estimation de votre couverture de test et contribue aux CCU consommés pour l'analyse. Vous pouvez afficher les API, les méthodes et la trace exécutées et analysées lors de chaque exécution en fonction de vos cas de test.

Plus l'efficacité de vos tests est élevée, plus votre couverture est large, ce qui peut entraîner une consommation de CCU plus élevée. Vous pouvez contrôler les coûts en décidant ce que vous testez. Si vous avez des préoccupations spécifiques, assurez-vous d’exécuter les cas de test manuellement ou automatiquement. Utilisez les API ou les appels de méthode nécessaires pour permettre à IAST de les analyser. Vous pouvez réduire le coût en choisissant de ne pas exécuter une API ou un appel de méthode spécifique, mais notez que cela pourrait introduire plus de risques.

Exécutions de tests ou builds

Vous pouvez considérer test runs comme une extension d'une application à un environnement de simulation, d'assurance qualité, de tests d'intégration, etc. Chaque fois qu'une image redémarre, une nouvelle exécution de test IAST unique démarre également.

• À chaque exécution, vous êtes en mesure de revoir votre couverture pour mieux comprendre la quantité d'analyse effectuée par l'IAST pour évaluer l'application.

• Vous pouvez voir le nombre d'API, de méthodes et de traces analysées ainsi que l'évaluation de chacune d'elles.

Chaque exécution de test consommera des CCU en fonction de l’effort d’analyse et de la complexité de l’application. Vous pouvez gérer les applications qui utilisent IAST et la fréquence à laquelle vous l'exécutez en activant et désactivant IAST dans les paramètres APM. Cela vous donne le contrôle sur votre utilisation de l'IAST.

• L'analyse IAST est activée lorsque security.enabled et security.agent.enabled sont définis sur vrai.

• L'analyse IAST est désactivée et ne consommera donc pas de CCU lorsque security.enabled et security.agent.enabled sont définis sur faux.

Consultez votre utilisation de l'IAST

Vous pouvez afficher les coûts répartis par fonctionnalité et explorer en détail l'utilisation de l'IAST dans l'administration du compte. Nous vous offrons la possibilité de voir l'utilisation quotidienne et l'utilisation glissante sur 30 jours. Nous décomposons également cela pour attribuer l'utilisation à des comptes ou utilisateurs spécifiques et à des API. Vous pouvez vérifier votre consommation IAST CCU à partir de one.newrelic.com.

Lorsque vous sélectionnez IAST, puis effectuez un facettage par Accounts ou Users/API Keys vous pouvez suivre l'utilisation de manière plus précise.