De veiligheid van de gegevens in uw webapplicatie is uiterst belangrijk voor u. Hoe beschermd bent u op dit moment? Als u dat precies wilt weten, kan NFIR met onze maatwerkdiensten de beveiliging van uw webapplicatie testen aan de hand van de OWASP WSTG standaard.
Scopevoorbeelden
De volgende omgevingen kunnen tijdens een webapplicatie pentest meegenomen kunnen worden: alle soorten webapplicaties, evenals API’s.
Welke aanvalscenario´s zijn mogelijk voor webapplicatie pentesten?
Het meest voorkomende aanvalscenario voor webapplicatiepentesten is een pentest die zowel Black als het Grey Box aanvalsperspectief nabootst. De voorkeur van NFIR gaat echter naar een White Box aanvalsperspectief. Omdat er vanuit dit aanvalsperspectief completere informatie beschikbaar is voor de pentester, kan de pentester efficiënter te werk gaan en wordt er met dit aanvalsperspectief een grotere dekkingsgraad bereikt wat betreft logica van de webapplicatie die getest is tijdens de pentest. Tijdens een intake zullen de wensen in kaart worden gebracht om zo een geschikt mogelijk scenario te kiezen.
Black Box van de webapplicatie
Met minimale informatie zal er een beeld gevormd worden van kwetsbaarheden in de webapplicatie. Door middel van open bronnen onderzoek (OSINT) zal zoveel mogelijk informatie verzameld worden om zo mogelijk kwetsbaarheden te ontdekken.
Grey Box van de webapplicatie
Met dit scenario wordt nagebootst wat een kwaadwillende hacker zou kunnen doen, wanneer deze toegang verkrijgt tot een account op de webapplicatie. Verschillende accounts met verschillende rollen binnen de webapplicatie zullen worden onderzocht. Welke kwetsbaarheden zijn aanwezig en is het mogelijk om de privileges te verhogen tot beheerdersrechten?
White Box van de webapplicatie
Bij dit aanvalsperspectief beschikt de pentester niet alleen over beperkte informatie over de werking van de webapplicatie en over inloggegevens, maar ook over de broncode van de webapplicatie. Zo kan het pentesten efficiënter plaatsvinden, en kan er ook gecontroleerd worden op kwetsbaarheden in de gebruikte software-afhankelijkheden.
Standaarden
NFIR gebruikt de Web Security Testing Guide (WSTG) voor het pentesten van webapplicaties. Deze standaard geeft u de garantie dat de pentest volgens de juiste maatstaven en compleet wordt uitgevoerd. Daarnaast worden de meest recente versies van de OWASP Top 10 voor zowel webapplicaties als API’s gebruikt. Wij vinden het belangrijk om zo transparant mogelijk te zijn over de uitvoering van de pentest. Om die reden bieden wij bij diverse pentest standaarden een checklist die wordt toegevoegd aan de rapportage. Hierdoor ziet u welke controles zijn uitgevoerd, welke niet uitgevoerd konden worden en welke eventueel niet van toepassing waren.
Voorbeeldrapportage Webapplicatie Pentesten
Pentesten
Welke systemen kan u door de experts van NFIR laten testen?
Onze ethisch hackers controleren onder andere de technische weerbaarheid van (web) applicaties, websites, IT en OT-infrastructuren, API- koppelingen en mobiele apps. Heeft u een andere omgeving die u graag wilt laten controleren dan gaan wij graag met u in gesprek.
