Veel gestelde vragen

Bij een pentest (penetratietest) proberen we binnen te dringen in het netwerk en toegang te krijgen tot vitale server systemen. Een pentest wordt uitgevoerd vanuit twee primaire aanvalspunten namelijk extern of intern. Het doel is om kwetsbaarheden te identificeren die daadwerkelijk kunnen worden misbruikt. Er zijn vele soorten beveiligingsonderzoeken, onze ethische hackers kunnen een pentest uitvoeren op een netwerk, configuraties, webapplicaties, draadloze netwerken, cliënt-serverapplicaties, mobiele apparaten maar ook via social engineering. Tijdens een beveilgingsonderzoek maken we gebruik van menselijke interactie en vindingrijkheid om fouten te ontdekken die geautomatiseerde hulpmiddelen vaak missen.

Met een pentest, of ‘penetratietest’, zoeken wij naar zwakke plekken in uw digitale systemen. Een pentester is een ethisch hacker, oftewel een hacker die u inhuurt om de digitale veiligheid van uw netwerk, systemen, of specifieke software te testen. Wij ontdekken op die manier kwetsbaarheden in uw systeem, die u dan preventief kunt oplossen voordat cybercriminelen er misbruik van maken. Dit is vooral zinvol, aangezien er een toename is van ongeveer 30% in ransomware-aanvallen vergeleken met het voorgaande jaar.

Met een pentest achterhaal je het beveiligingsniveau op een bepaald punt binnen je IT-infrastructuur. Door verschillende benaderingen te kiezen bij een pentest, kunnen we alle kwetsbaarheden in kaart brengen. Onze gecertificeerde ethische hackers analyseren de risico’s en gevolgen, en stellen een rapport op met aanbevelingen en praktische acties. Op die manier kan de beveiliging naar een hoger niveau worden gebracht.

Een pentest zal een goed beeld geven van de onderdelen waar verbeteringen kunnen worden aangebracht op het gebied van IT security. Wij bieden u veel handvatten die u meteen kunt gebruiken om de IT security van uw bedrijf te verbeteren. Zo kunt u ervoor zorgen dat uw bedrijf en uw klanten veilig zijn.

Een vulnerability scan wordt vaak verward met een penetratietest, maar er zijn enkele belangrijke verschillen tussen de twee:

• Een vulnerability scan is een geautomatiseerde test op hoog niveau die zoekt naar mogelijke zwakke plekken in de beveiliging. Daarentegen is een penetratietest een grondig onderzoek waarbij een ethisch hacker daadwerkelijk in de complexiteit van uw netwerk duikt om zwakke plekken in uw systemen te identificeren en uit te buiten.

• Een vulnerability scan identificeert alleen kwetsbaarheden, terwijl een penetratietest dieper graaft om de hoofdoorzaak van de kwetsbaarheid vast te stellen die toegang tot beveiligde systemen of opgeslagen gevoelige gegevens mogelijk maakt. De pentester zoekt ook naar kwetsbaarheden in de bedrijfslogica die door een automatische scanner gemist kunnen worden.

• Blackbox – Bij een blackbox-aanpak simuleren we een aanvaller, we starten vanaf een hardware box of virtuele machine en een reeks IP-adressen die in-scope zijn. Vanuit hier simuleren we een aanval op een netwerk van binnenuit waarbij de gedachte is dat een aanvaller is binnengedrongen via phishing of via een remote code execution kwetsbaarheid op het externe netwerk.
  
  
• Greybox – Bij een greybox-aanpak worden vooraf login-gegevens verstrekt aan de consultants. Hierdoor kan een inzicht worden verkregen in de kwetsbaarheden die mogelijk uitgebuit kunnen worden door gebruikers die legitiem toegang tot een systeem, netwerk of applicatie hebben. Alle onderzoeken die in een black-box-aanpak worden uitgevoerd, worden eveneens in een grey-box-aanpak uitgevoerd.
  
  
• Whitebox (Crystal box) – Bij een whitebox-aanpak wordt volledig inzicht gegeven in de werking van het te onderzoeken systeem. Er wordt dan bijvoorbeeld beheer-toegang verstrekt tot servers en de broncode van een applicatie wordt ter beschikking gesteld. Vragen over de inrichting worden door architecten, ontwikkelaars of beheerders beantwoord. Hierdoor kunnen die onderdelen van de omgeving beoordeeld worden, waar anders geen toegang tot zou zijn.

De duur van een pentest hangt af van het type test en het aantal systemen en eventuele beperkende voorwaarden. De gemiddelde test duur is 1-3 weken. Uw consultant zal dit samen met u inventariseren.

De prijs is afhankelijk van de scope, complexiteit, het type audit, de grote van het netwerk, het aantal hosts, vlans en subnets etc. Wilt u meer weten? Bel ons dan gerust! 0229 799 800 of stuur een e-mail naar [email protected]. Uw consultant zal samen met u inventariseren wat de mogelijkheden zijn.

Er bestaat niet zoiets als een risicovrije pentest. Tijdens een pentest zijn onze ethische hackers bezig om een systeem te testen met als doel nieuwe kwetsbaarheden aan het licht te brengen, dit houdt in dat je onverwachte processen aanroept en het is daarom niet altijd mogelijk om te voorspellen hoe een systeem hierop reageert. Het risico kan nooit volledig worden geëlimineerd, maar met de juiste aanpak wordt het risico sterk verminderd.

De volgende stappen worden er doorlopen tijdens een pentest:

1. Inventarisatie: Tijdens dit gesprek bespreken we de scope, het type audit, de grote van het netwerk, het aantal hosts, vlans en subnets, (web) applicaties en eventueel complexiteit waar we rekening mee moeten houden. We doen dit om de breedte en diepte in balans te brengen en de kosten overzichtelijk te houden. 
2. Offerte: U ontvangt van ons binnen maximaal 5 werkdagen een voorstel.
3. Pre-engagement: Tijdens het pre-engagement interview regelen we de vrijwaring(en) en gaan we wat dieper in of er eventueel applicaties zijn die meer aandacht nodig hebben, er fragiele systemen zijn waar wij rekening mee moeten houden en of er afhankelijkheden zijn met externe leveranciers waar wij van op de hoogte moeten zijn.
4. Start onderzoek: Zodra er voldoende informatie beschikbaar is en de scope bepaald is starten wij het onderzoek.
5. Rapport: Na afloop van de audit ontvangt u binnen 5 werkdagen een management samenvatting in het Nederlands of Engels en leveren wij bij voorkeur de technische data op als actionable data in ons projectmanagement platform. De data is toegankelijk voor u zelf en indien gewenst voor de IT-leverancier of derde partij naar keuze (dit maakt een effectieve samenwerking mogelijk tussen ons en andere partijen).
6. Post-engagement: Tijdens de post-engagement (eindgesprek) lichten we de gevonden punten door en beantwoorden eventuele vragen.

Download hier de brochure over een pentest.