Wat is een pentest? Een gecontroleerde aanval op je eigen systemen, uitgevoerd door een specialist die probeert binnen te komen zoals een echte aanvaller dat zou doen. Het antwoord is niet een lijst kwetsbaarheden maar hoe ver iemand komt. Er zijn drie hoofdvormen (black box, grey box en white box), de scope bepaalt de prijs, en het rapport is pas af na het oplossen en een hertest.
Kort samengevat
- Een pentest is mensenwerk. Een scan zoekt bekende gaten, een tester combineert ze tot een route naar binnen.
- De scope bepaalt vrijwel alles. Zowel de prijs als de waarde van de uitkomst.
- Het rapport is het begin. De opbrengst zit in het oplossen en in de hertest.
- Niet verplicht onder NIS2, maar wel de gangbare manier om aan te tonen dat je maatregelen werken.
- Een jaarlijkse test op een systeem dat wekelijks verandert is een momentopname, geen zekerheid.
Wat is een pentest en wat is het niet?
Bij een penetratietest krijgt een tester toestemming om je omgeving aan te vallen binnen afgesproken grenzen. Hij zoekt zwakke plekken, probeert ze te misbruiken en kijkt hoe ver hij daarmee komt. Dat laatste is het verschil met alle geautomatiseerde alternatieven.
Een vulnerability scan draait geautomatiseerd en levert een lijst met bekende kwetsbaarheden. Nuttig, goedkoop en herhaalbaar, maar hij vertelt je niet welke daarvan in jouw situatie tot een probleem leiden. Vijftig meldingen waarvan er twee er echt toe doen is een bekende uitkomst.
Red teaming gaat juist verder: daar wordt een volledig aanvalsscenario nagespeeld, vaak zonder dat je eigen securityteam weet dat het gebeurt, en met social engineering en fysieke toegang erbij. Dat test niet je systemen maar je detectie en je reactie.
Welke van de drie bij je past hangt af van wat je wilt weten. Daarover gaat ons artikel over pentest, vulnerability scan of red teaming.
Welke soorten pentests zijn er?
De indeling die er in de praktijk toe doet gaat over hoeveel de tester vooraf weet.
- Black box. De tester weet niets, zoals een buitenstaander. Realistisch, maar je betaalt voor de tijd die hij nodig heeft om te ontdekken wat je zelf al weet.
- Grey box. De tester krijgt beperkte informatie en meestal een gebruikersaccount. Voor de meeste organisaties de beste verhouding tussen kosten en opbrengst.
- White box. Volledige inzage, inclusief broncode en architectuur. Het meest grondig, en de enige manier om bepaalde fouten te vinden.
Daarnaast kies je een doelwit: een webapplicatie, het interne netwerk, de buitenkant van je infrastructuur, een mobiele app, je cloudomgeving of de mens via phishing. Dat laatste is strikt genomen geen pentest maar een awarenessmeting, en het hoort ook bij een ander gesprek; zie security awareness-training.
Hoe verloopt een pentest?
- Scope en afspraken. Wat mag wel en niet, wanneer, en wie is bereikbaar als er iets omvalt. Hier wordt de waarde van de hele test bepaald.
- Verkenning. In kaart brengen wat er bereikbaar is en welke technologie eronder ligt.
- Testen. Kwetsbaarheden zoeken, misbruiken en combineren tot een route.
- Rapportage. Bevindingen met risico-inschatting, bewijs en aanbevelingen, plus een samenvatting die je directie kan lezen.
- Oplossen. Jouw werk, en veruit het grootste deel van de tijd.
- Hertest. Bevestigen dat het echt dicht is en dat de oplossing geen nieuw gat heeft geopend.
Stap 6 wordt het vaakst overgeslagen, en dat is zonde: een bevinding die is opgelost zonder hertest is een aanname. Voor een auditor of een klant is een rapport met openstaande bevindingen bovendien slechter dan geen rapport, want het bewijst dat je het wist.
Hoe bepaal je de scope?
Dit is de vraag die de test maakt of breekt. Te breed en je krijgt een oppervlakkig beeld van alles; te smal en je test net niet waar het risico zit.
Een bruikbare volgorde: begin bij wat je zou verliezen. Welk systeem bevat de gegevens waarvan het lekken je het meest zou raken, en welk systeem legt je bedrijf stil als het uitvalt. Test dat eerst. Wat er verder allemaal bestaat komt later.
Neem ook mee wat je juist níet laat testen en waarom, want die keuze hoort onderbouwd te zijn. Uitgebreider staat dat in je pentestscope bepalen, en de manier van denken lijkt sterk op je ISO 27001-scope bepalen.
Wat kost een pentest?
Wij noemen bewust geen standaardbedrag, en dat is geen verkooptruc. De prijs wordt vrijwel volledig bepaald door de scope: het aantal systemen, de diepgang en of er een hertest bij hoort. Het verschil tussen een gerichte test op één applicatie en een breed onderzoek op een heel netwerk is een factor tien.
Wat we wel doen is met een dagtarief werken en de scope concreet maken voordat er een bedrag valt. Je weet dan waar een getal vandaan komt. Onze onze tarieven staan online, inclusief de uitleg waarom sommige diensten wel een vaste prijs hebben en een pentest niet.
Let bij het vergelijken van offertes op drie dingen: het aantal testdagen, of de hertest is inbegrepen, en of het rapport ook een leesbare samenvatting voor niet-technische lezers bevat. Dat derde punt lijkt bijzaak en bepaalt in de praktijk of er iets met de bevindingen gebeurt.
Hoe vaak moet je testen?
Jaarlijks is de gangbare cyclus, maar dat is een antwoord op de verkeerde vraag. Wat telt is hoe vaak je omgeving wezenlijk verandert.
Test in elk geval na een grote wijziging: een nieuwe applicatie, een migratie naar een andere omgeving, een koppeling met een nieuwe partij. Een test uit januari zegt weinig over een systeem dat in maart is herbouwd.
Voor organisaties met snel veranderende software werkt een combinatie beter: doorlopend geautomatiseerd scannen voor het bekende werk, en een gerichte pentest bij grote wijzigingen en periodiek voor het diepere onderzoek.
Pentesten en de Cyberbeveiligingswet
De wet schrijft geen pentest voor. Wat er wel in staat is dat je beleid moet hebben om de effectiviteit van je maatregelen te toetsen. Je moet dus kunnen laten zien dat je maatregelen niet alleen bestaan maar ook werken.
Een pentest is daarvoor de meest gangbare invulling en het makkelijkst uit te leggen. Je mag het anders doen, maar dan moet je onderbouwen hoe je anders vaststelt dat het werkt. Meer over die zorgplicht staat in welke maatregelen de zorgplicht vraagt.
Wil je een test laten uitvoeren, dan doen wij dat via pentest laten uitvoeren. Zoek je iemand die de opvolging bewaakt in plaats van alleen te testen, dan past een security partner, en voor de bestuurlijke kant is er CISO-as-a-Service.
Veelgestelde vragen
Wat is het verschil tussen een pentest en een vulnerability scan?
Een scan is geautomatiseerd en zoekt bekende kwetsbaarheden. Een pentest is mensenwerk: een tester probeert die kwetsbaarheden ook echt te misbruiken en te combineren. Een scan vertelt je wat er openstaat, een pentest vertelt je wat een aanvaller ermee kan.
Hoe lang duurt een pentest?
Voor een afgebakende webapplicatie is enkele dagen testwerk gebruikelijk, plus tijd voor rapportage. Een breed onderzoek op een heel netwerk loopt op tot weken. De doorlooptijd wordt in de praktijk vaker bepaald door het plannen en het regelen van toegang dan door het testen zelf.
Wat bepaalt de prijs van een pentest?
Vrijwel alleen de scope: hoeveel systemen, hoe diep, en of er een hertest bij hoort. Daarom noemen wij geen standaardbedrag maar werken we met een dagtarief en maken we de scope eerst concreet. Een rond bedrag zonder scope zegt niets.
Is een pentest verplicht onder NIS2?
De Cyberbeveiligingswet schrijft geen pentest voor, maar wel beleid om de effectiviteit van je maatregelen te toetsen. Een pentest is de meest gangbare manier om dat aan te tonen. Je mag het anders invullen, maar dan moet je uitleggen hoe je anders vaststelt dat je maatregelen werken.
Wat gebeurt er met de gevonden kwetsbaarheden?
Je krijgt een rapport met bevindingen, risico-inschatting en aanbevelingen. Dat rapport is het begin en niet het einde: de waarde zit in het oplossen en in een hertest die bevestigt dat het echt dicht is.
Wat is het verschil tussen black box, grey box en white box?
Bij black box weet de tester niets vooraf en werkt hij als een buitenstaander. Bij grey box krijgt hij accounts of documentatie, zodat hij sneller bij de interessante delen komt. Bij white box heeft hij volledige kennis, inclusief broncode of configuratie, en test hij zo diep mogelijk. Grey box geeft meestal de beste verhouding tussen tijd en inzicht.
Is een pentest verplicht onder ISO 27001 of NIS2?
Letterlijk niet. ISO 27001 vraagt om beheer van technische kwetsbaarheden en om het toetsen of maatregelen werken; de zorgplicht van NIS2 vraagt om het beoordelen van de effectiviteit van maatregelen. Een pentest is de gangbare manier om dat aan te tonen, en auditors en toezichthouders vragen er in de praktijk naar.
Verdieping in deze reeks
- Pentest, vulnerability scan of red teaming: wat heeft jouw organisatie nodig?
- Pentest scope bepalen: wat laat je testen en wat juist niet?
- Je organisatie voorbereiden op een pentest: wat regel je vooraf?
- Hertest na een pentest: wanneer is een kwetsbaarheid echt gedicht?
- Pentest en NIS2: welke testverplichting heb je onder de zorgplicht?
- Pentest voor livegang: test je nieuwe applicatie vóór klanten erin zitten, niet erna
