Wat levert een kwetsbaarhedenscan op?
Een scan zoekt binnen een afgesproken scope naar bekende kwetsbaarheden en configuratiefouten. Denk aan publiek bereikbare diensten, aanwijzingen voor kwetsbare software of onveilige instellingen. Een scan helpt breed en herhaalbaar onderzoeken. De uitkomsten vragen beoordeling: een softwaresignaal of scannerwaarschuwing bewijst nog niet dat een aanvaller het systeem kan misbruiken.
Wat voegt een pentest toe?
Een pentest voegt gericht onderzoek en gecontroleerde validatie toe. De tester onderzoekt bijvoorbeeld grenzen tussen gebruikersrollen, misbruik van een gevonden zwakke plek of combinaties van bevindingen. Hoeveel voorkennis en toegang de tester krijgt, wordt vastgelegd als black box, grey box of white box. Het gewenste resultaat en de beschikbare tijd bepalen welke vorm past.
Welke keuze past bij uw vraag?
Wilt u periodiek bekende technische zwakke plekken ontdekken en laten herstellen? Dan kan een scan een passend vertrekpunt zijn. Wilt u onderzoeken of iemand via een applicatie bij gegevens van een andere gebruiker kan komen? Dan is gericht applicatieonderzoek belangrijk. Een combinatie kan zinvol zijn: eerst breed inventariseren, daarna risicovolle onderdelen dieper onderzoeken.
Wat moet in beide gevallen worden afgesproken?
Leg systemen, eigenaarschap, toestemming, testvensters, contactpersonen en onderzoeksmethoden vast. Systemen van een leverancier vallen niet vanzelf onder uw toestemming. Bespreek ook de rapportage, herstelverantwoordelijkheid en hercontrole. Een resultaat geldt voor de onderzochte onderdelen en het moment van onderzoek; het is geen garantie dat alle kwetsbaarheden zijn gevonden.