Bij een vulnerability scan wordt gebruik gemaakt van geautomatiseerde scans om bekende kwetsbaarheden te ontdekken. Deze kwetsbaarheden worden vervolgens gerapporteerd. Het is een belangrijke eerste stap om inzicht te krijgen in mogelijke zwakheden binnen een systeem.
Een pentest gaat een stap verder. Tijdens een pentest wordt niet alleen geïdentificeerd welke kwetsbaarheden er zijn, maar ook daadwerkelijk misbruik gemaakt van deze kwetsbaarheden. Hierdoor wordt aangetoond wat het daadwerkelijke gevolg kan zijn voor een systeem of omgeving bij compromitatie. De ethisch hacker zal zijn ervaring en creativiteit inzetten om alle zwakheden van een omgeving in kaart te brengen, waardoor de organisatie een realistischer beeld krijgt van de risico’s die zij lopen.

Pentest of vulnerability-assessment? – Pentest laten uitvoeren – Neem nu contact op met NFIR 

Afhankelijk van de grootte van de opdracht wordt er nauwkeurig beoordeeld of er meerdere personen op een pentest gezet moeten worden om de duur van de opdracht te beperken. De duur van een pentest kan variëren, afhankelijk van de omgeving die wordt getest en de complexiteit van de aanvalsscenario’s die worden gebruikt. Over het algemeen beslaat een pentest een periode van 2 tot 4 weken. Deze periode omvat niet alleen de uitvoering van de test zelf, maar ook de voorbereiding, analyse en de toelichting van de uiteindelijke rapportage.

Een pentest (penetratietest) is nodig omdat bedrijven vaak onbewust zijn van de kwetsbaarheden in hun netwerk en systemen. Het is een gecontroleerde en geautoriseerde poging om de beveiliging te evalueren door een gesimuleerde aanval. De belangrijkste redenen voor een pentest zijn het identificeren van kwetsbaarheden, risicobeheer, naleving van wetgeving, evaluatie van nieuwe toepassingen en wijzigingen, bescherming van klantgegevens, en het opbouwen van vertrouwen bij klanten en belanghebbenden. Het uitvoeren van regelmatige pentests is essentieel om de beveiliging te verbeteren en zich voor te bereiden op mogelijke aanvallen.

• Een pentest is bijvoorbeeld nuttig om:
  Uw huidige situatie beoordelen op kwetsbaarheden.
• Kwetsbaarheden op te sporen voor de release van nieuwe applicaties.
• Zwakheden na wijzigingen aan infrastructuur of applicaties te controleren.
• Te voldoen aan bedrijfsbeleid, normen en/of wetgeving die periodieke security assessments vereisen.
• Uw Cybersecurity volwassenheid te toetsen tegen de detectiemethoden die u heeft geïmplementeerd.

Bij het uitvoeren van een pentest worden verschillende internationale standaarden en methodieken gebruikt om de kwetsbaarheden te ontdekken en te classificeren.

Enkele van de belangrijkste standaarden die van toepassing zijn op de opdracht zijn:

• Penetration Testing Execution Standard (PTES): Methodiek ten behoeve van infrastructuur pentesten.
• OWASP WSTG: Standaard ten behoeve van webapplicatie pentesten.
• OWASP Top 10: De 10 meest kritische kwetsbaarheden van webapplicaties.
• OWASP API Security Top 10: De 10 meest kritische kwetsbaarheden van API’s.
• OWASP MASTG: Standaard ten behoeve van mobiele applicatie pentesten.
• Common Vulnerability Scoring System (CVSS): Wordt gebruikt om de ernst van de kwetsbaarheden te classificeren.

Door gebruik te maken van deze standaarden kan een pentest gestructureerd en grondig worden uitgevoerd, en kunnen de resultaten op een duidelijke en vergelijkbare manier worden gerapporteerd.

Onze penters beschikken over een grote hoeveelheid ervaring, veel creativiteit en actuele vakkennis. De pentesters van NFIR hebben relevante opleidingen gevolgd en certificeringen als OSCP behaald. Daarnaast hebben zij allemaal korpschefgoedkeuring gekregen en geheimhouding ondertekend.

Een Black Box pentest houdt in dat vooraf geen informatie over de omgeving wordt gedeeld met de pentesters. Met een pentest op basis van het White Box-principe wordt alle informatie over de omgeving van tevoren gedeeld. Als u voor het eerst een pentest laat uitvoeren en daarbij een algemeen beeld wilt krijgen van uw beveiliging, is het nuttig om een Black Box pentest uit te laten voeren.

• OWASP WSTG

Het Web Security Testing Guide (WSTG)-project is het belangrijkste hulpmiddel voor cyberveiligheidstests voor webapplicatieontwikkelaars en beveiligingsprofessionals. De WSTG is een uitgebreide gids voor het testen van de beveiliging van webapplicaties en webservices. De WSTG is tot stand gekomen door de gezamenlijke inspanningen van cyberbeveiligingsprofessionals en toegewijde vrijwilligers en biedt een raamwerk van beste praktijken die door penetratietesters en organisaties over de hele wereld worden gebruikt.

• OWASP MASTG

De OWASP Mobile Application Security Testing guide is een beveiligingsstandaard voor mobiele apps en een uitgebreide testgids die de processen, technieken en tools omvat die tijdens een beveiligingstest voor mobiele apps worden gebruikt, evenals een uitgebreide set testcases waarmee testers consistente en volledige resultaten kunnen leveren.

De Penetration Testing Execution Standard (PTES) bestaat uit een aantal hoofdonderdelen. Deze bestrijken alles wat met een penetratietest te maken heeft, namelijk:

1. De initiële communicatie en de redenering achter een pentest;
2. De fasen van informatieverzameling en dreigingsmodellering, waarin de testers achter de schermen werken om een beter inzicht in de geteste organisatie te krijgen;
3. Het onderzoek naar kwetsbaarheden, exploitatie en post-exploitatie, waarin de technische beveiligingsexpertise van de testers aan bod komt en wordt gecombineerd met het zakelijk inzicht in de opdracht;
4. De rapportage, waarin het hele proces wordt vastgelegd op een manier die voor de klant zinvol is en hem de meeste waarde oplevert.

De Common Vulnerability Scoring System (CVSS) standaard biedt een open raamwerk voor de bekendmaking van de kenmerken en gevolgen van zwakke plekken in de beveiliging van software en hardware. Het kwantitatieve model is bedoeld om een consistente en nauwkeurige meting te waarborgen en gebruikers tegelijkertijd in staat te stellen de onderliggende kwetsbaarheidskenmerken te zien die zijn gebruikt om de scores te genereren.