Websites, webapplicaties en API’s
Onder meer authenticatie, autorisaties, sessies, invoerverwerking en toegang tot gegevens. Testaccounts met verschillende rollen helpen om grenzen tussen gebruikers te onderzoeken.
Losse penetratietest
Een pentest die laat zien waar uw beveiliging kwetsbaar is
Wat kan een aanvaller bereiken via uw website, applicatie of netwerk? Met een losse penetratietest onderzoeken we binnen een afgesproken scope hoe kwetsbaarheden kunnen worden misbruikt. U krijgt inzicht in de impact en concrete aanbevelingen voor herstel.
- Black box, grey box of white box
- Technische én managementrapportage
- Hersteladvies en afspraken over hertest
Wat is een pentest?
Een pentest is een geautoriseerd beveiligingsonderzoek vanuit het perspectief van een aanvaller. Een kwetsbaarhedenscan kan daarbij helpen; de pentest gaat verder met gerichte analyse en gecontroleerde validatie van bevindingen. Welke systemen en aanvalspaden worden onderzocht, leggen we vooraf vast.
Black box, grey box en white box: wat is het verschil?
Het verschil zit vooral in de kennis en toegang die de tester vooraf krijgt. De juiste vorm volgt uit uw onderzoeksvraag.
| Testvorm | Kennis en toegang vooraf | Doel | Voorbeeld |
|---|---|---|---|
| Black-box-pentest | Beperkte voorkennis, bijvoorbeeld alleen de toegestane domeinen en IP-adressen. Geen interne testaccounts. | Onderzoeken wat een externe aanvaller zonder interne toegang kan ontdekken en bereiken. | Een aanval op een publiek toegankelijke website of externe infrastructuur binnen de afgesproken grenzen. |
| Grey-box-pentest | Gedeeltelijke informatie en toegang, bijvoorbeeld een regulier testaccount of toegang tot een intern netwerk. | Onderzoeken wat mogelijk is na het verkrijgen van beperkte toegang. | Controleren of een gebruiker gegevens van een andere klant kan benaderen of meer rechten kan verkrijgen. |
| White-box-pentest | Uitgebreide informatie, zoals architectuur, configuratie, broncode en passende testaccounts. | Gericht en diepgaand onderzoek naar de afgesproken onderdelen en beveiligingsmaatregelen. | Een applicatieonderzoek waarbij autorisaties, configuratie en relevante code samen worden beoordeeld. |
Meer achtergrond: NCSC over testvormen en scope ↗
Een brede blik, met een concrete scope
We bespreken het hele relevante landschap, zodat afhankelijkheden niet worden vergeten. Per onderdeel leggen we vast wat wordt getest, wat op hoofdlijnen wordt bekeken en wat buiten de opdracht valt.
Externe en interne infrastructuur
Publiek bereikbare diensten, netwerktoegang, segmentatie en toegangsrechten. De toegestane adressen, systemen en testlocaties worden vooraf vastgelegd.
Cloud en Microsoft 365
We bepalen welke tenantinstellingen en toegangscontroles in scope vallen. Configuratiereview en pentest kunnen elkaar aanvullen; providerinfrastructuur valt niet vanzelf onder uw toestemming.
Mensen, processen en leveranciers
We nemen afhankelijkheden, herstel en opvolging mee in het gesprek. Social engineering, phishing, fysieke toegang en systemen van derden vragen aparte, expliciete afspraken.
Gecontroleerd testen en helder rapporteren
Voor de start leggen we schriftelijke toestemming, eigenaarschap, doelen, tijdvensters, testaccounts, contactpersonen en stopcriteria vast. We spreken af welke handelingen zijn toegestaan, hoe we met gevoelige gegevens omgaan en wie wordt gebeld bij een ernstige bevinding.
De rapportage bevat de onderzochte scope, beperkingen, bevindingen, onderbouwing, risico-inschatting en hersteladvies. Management krijgt overzicht; beheerders en ontwikkelaars krijgen aanknopingspunten voor de uitvoering. Een hertest kan worden afgesproken om doorgevoerde oplossingen te controleren.
Een pentest is een onderzoek op een bepaald moment binnen beperkte tijd en scope. Het resultaat geeft geen garantie dat alle kwetsbaarheden zijn gevonden. Periodiek testen en het opvolgen van bevindingen maken de aanpak waardevol.
Pentesten, toestemming en wetgeving
Toestemming moet komen van de partij die bevoegd is over de systemen. We leggen ook afspraken vast over leveranciers, persoonsgegevens, toegang tot bewijs, bewaartermijnen en veilige overdracht van de rapportage.
Artikel 32 AVG noemt het periodiek testen en evalueren van beveiligingsmaatregelen. Een pentest kan daaraan bijdragen. Waar de Cyberbeveiligingswet geldt, verbinden we de onderzoeksvraag aan relevante zorgplichtonderwerpen; één test dekt niet alle verplichtingen.
Zo werken we samen
Doel en scope
We kiezen de testvorm en leggen systemen, toegang, toestemming en uitvoeringsafspraken vast.
Onderzoek en rapport
We onderzoeken de afgesproken onderdelen en bespreken bevindingen, impact en prioriteiten.
Herstel en hertest
Uw team pakt de verbeteringen op. We spreken af of en wanneer een hertest wordt uitgevoerd.
Veelgestelde vragen over Pentest
Kan ik een pentest zonder abonnement afnemen?
Ja. De pentest is een afzonderlijke opdracht met een afgesproken scope, planning, rapportage en prijs.
Welke testvorm moet ik kiezen?
Voor een externe blik met weinig voorkennis kan black box passen. Met een testaccount kunt u bij grey box gerichter de grenzen tussen rollen onderzoeken. White box biedt uitgebreide context voor diepgaand onderzoek. We kiezen op basis van uw vraag en beschikbare tijd.
Nemen jullie alles mee?
We bespreken alle relevante onderdelen en afhankelijkheden. Alleen expliciet afgesproken systemen en technieken vallen onder de test. Zo weet u vooraf wat u wel en niet kunt concluderen uit het rapport.
Wat kost een pentest?
Dat hangt af van het aantal systemen, de complexiteit, testvorm, rollen en gewenste diepgang. Na afbakening ontvangt u een voorstel; ook de afspraken over een eventuele hertest staan daarin.
Praktische uitleg bij deze dienst
Ook relevant voor uw organisatie
Van inzicht naar uitvoering
Welke stap past bij uw organisatie?
Bespreek uw vraag met Freeke Cybersecurity. U krijgt een voorstel met duidelijke werkzaamheden, scope en kosten.
Bespreek uw pentest →