Ga naar de inhoud 
Test uw applicaties, methoden en systemen op kwetsbaarheden middels onze API pentesten. NFIR biedt professionele API pentesting diensten die u kunnen helpen uw applicaties te beveiligen tegen aanvallen van buitenaf. Hoe veilig zijn uw API’s echt? Laat het testen door onze gecertificeerde ethische hackers.
Scopevoorbeelden
Tijdens een API-pentest kan de API getest worden vanuit verschillende perspectieven: ongeautoriseerd (Black Box) of geautoriseerd (Grey Box).
Welke aanvalscenario´s zijn mogelijk voor API pentesten?
Het meest voorkomende aanvalsscenario voor een API is een combinatie van een Black en Grey Box. Hieronder wordt voor beide aanvalscenario’s een illustratief voorbeeld gegeven. Tijdens een intake zullen de wensen in kaart worden gebracht om vervolgens samen met de opdrachtgever een geschikt scenario te kiezen.
Black Box van de API
Met minimale informatie zal een beeld gevormd worden van kwetsbaarheden in de API. Ook zal worden onderzocht of het mogelijk is om API-verzoeken te gebruiken, zonder de daarvoor vereiste authenticatie mee te sturen. Door middel van open bronnenonderzoek (OSINT) zal zoveel mogelijk informatie verzameld worden om op basis hiervan mogelijke kwetsbaarheden te ontdekken.
Grey Box van de API
Het testen van de API vanuit geautoriseerd perspectief is minstens zo belangrijk als vanuit een niet geautoriseerd omgeving. Met dit scenario worden de handelingen nagebootst van een kwaadwillende hacker wanneer deze toegang zou krijgen tot een valide API-token. Dit wordt gerealiseerd door bijvoorbeeld het uitvoeren van een phishing aanval of een social engineering aanval. Vragen die hiermee beantwoord kunnen worden zijn bijvoorbeeld: Welke kwetsbaarheden zijn aanwezig en is het mogelijk om meer informatie op te vragen dan bedoeld of API-verzoeken te sturen welke niet bij het rechtenprofiel van de token horen?
White Box van de API
Bij dit aanvalsperspectief beschikt de pentester niet alleen over alle informatie over de werking van de API en over inloggegevens, maar ook over de broncode van de API. Zo kan het pentesten efficiënter plaatsvinden, en kan er ook gecontroleerd worden op kwetsbaarheden in de gebruikte software-afhankelijkheden.
NFIR en de internationale Standaarden
NFIR gebruikt de OWASP Web Security Testing Guide (WSTG) en de OWASP API Security Top 10 voor het pentesten van API’s. Deze standaarden geven u de garantie dat de pentest volgens de juiste maatstaven en compleet wordt uitgevoerd. Wij vinden het belangrijk om zo transparant mogelijk te zijn over de uitvoering van de pentest. Om die reden bieden wij bij diverse pentest standaarden een checklist die wordt toegevoegd aan de rapportage. Hierdoor ziet u welke controles zijn uitgevoerd, welke niet uitgevoerd konden worden en welke eventueel niet van toepassing waren.
Opdrachtgevers aan het woord
Pentesten
NFIR heeft VWS onder andere bijgestaan in pentesten van de verschillende digitale middelen die worden ontwikkeld in het kader van de bestrijding van de pandemie.
Denk bijvoorbeeld aan CoronaMelder. Dit is naar volle tevredenheid en in prettig partnerschap uitgevoerd. De resultaten zijn ook gedeeld met de Tweede Kamer.
Ron RoozendaalCISO
Ministerie van Volksgezondheid, Welzijn en Sport
Digitaal Forensisch Onderzoek & Pentesting
Bij een incident zochten wij een partner die voor ons digitaal forensisch onderzoek kon uitvoeren en ons kon adviseren hoe te handelen. Wij kwamen uit bij NFIR. De deskundigheid en het meedenken maakten dat wij ook onze Pentesten door NFIR laten uitvoeren. Wij zijn blij met de manier waarop NFIR daarbij te werk gaat en ons met hun adviezen helpt onze digitale omgevingen veiliger te maken en te houden.
André PootBeleidsadviseur ICT & Onderwijs
Willem van Oranje Onderwijsgroep
Security Monitoring & Pentesten
Cybercrime tegengaan kan je overduidelijk niet alleen. Daarom zijn wij met Cyber Security specialist NFIR in zee gegaan. Wij zijn begonnen met een zeer zinvolle pentest. Inmiddels nemen wij naar grote tevredenheid bijna alle securitydiensten bij NFIR af. Onlangs zijn wij gestart met Security Monitoring. Het geeft een gevoel van veiligheid omdat er gestructureerd, proactief en breed gekeken wordt naar onze systemen. Deze kennis en ervaring kunnen wij zelf niet vergaren. Daarnaast houdt het ons scherp, omdat de dienst inzichten geeft waar wij zelf niet aan denken. Met NFIR als partner blijven wij vooroplopen.
Rob HordijkOperations Manager
Koninklijke Hordijk
Vorige
Volgende
Voorbeeldrapportage API pentesten
Voorbeeldrapportage API pentesten
Er is een voorbeeldrapportage (NL/EN) beschikbaar van een grey box webapplicatie pentest.
In deze rapportage is een pentest uitgevoerd op een fictieve omgeving, waarbij kwetsbaarheden inzichtelijk zijn gemaakt
Vraag hier een voorbeeldrapportage van een API pentest aan
Pentest
Pentesten
Laat uw gegevens achter zodat een professional u zo spoedig mogelijk terug kan bellen.
“*” geeft vereiste velden aan
Kom in contact met onze professionals
Welke systemen kan u door de experts van NFIR laten testen?
Onze ethisch hackers controleren onder andere de technische weerbaarheid van (web) applicaties, websites, IT en OT-infrastructuren, API- koppelingen en mobiele apps. Heeft u een andere omgeving die u graag wilt laten controleren dan gaan wij graag met u in gesprek.
Mobiele applicatie pentesten
