Een pentestrapport beoordelen doe je niet op het aantal bevindingen en niet op de dikte. Je kijkt naar vier dingen: staat er een aanvalspad in, krijgt elke bevinding context voor jouw situatie, kan je ontwikkelaar de stappen nabouwen, en begrijpt je directie de samenvatting zonder uitleg. Ontbreekt één van de vier, dan heb je een lijst, geen rapport.
Kort samengevat
- Een pentestrapport beoordelen doe je op samenhang, niet op het aantal bevindingen.
- Een goed rapport beschrijft een pad, geen losse punten.
- Elke bevinding heeft context: wat betekent dit hier, en hoe erg is het écht.
- De samenvatting voor de directie is één pagina in gewone taal, en het belangrijkste deel van het hele document.
In scopegesprekken komt regelmatig een rapport van een eerdere test ter sprake, en de vraag is dan zelden of er iets in stond. De vraag is of er iets mee te doen was. Een rapport van tachtig pagina’s dat na ontvangst in een map verdween, heeft evenveel opgeleverd als geen test. Een pentestrapport beoordelen op bruikbaarheid is daarom minstens zo belangrijk als de test zelf.
Wat onderscheidt een rapport van een lijst?
Een aanvalspad. De belangrijkste vraag die een rapport beantwoordt is niet “wat is er gevonden” maar “hoe kwam de tester waar hij kwam”. Een goed rapport beschrijft de route: dit was het startpunt, via deze zwakte kwam ik verder, daar kwam ik uit, en dit had ik daar kunnen doen. Dat pad is wat je aan je directie laat zien, want het beantwoordt hun enige vraag: en wat betekent dat dan?
Context per bevinding. Een kwetsbaarheid met een hoge standaardscore kan in jouw situatie onbereikbaar zijn; een lage bevinding kan bij jou de sleutel tot alles zijn. Een goed rapport zegt per bevinding niet alleen wat het is, maar wat het in deze omgeving betekent en waarom het deze ernst heeft gekregen. Een rapport dat alleen standaardscores overneemt, heeft niet nagedacht.
Reproduceerbaarheid. Je ontwikkelaar of beheerder moet de bevinding kunnen nabouwen om hem te repareren en om te controleren of hij dicht is. Stappen, invoer, verwachte uitkomst. Een bevinding die niet te reproduceren is, is een mening.
Een samenvatting die iemand zonder techniek begrijpt. Eén pagina. Wat is er getest, wat is de belangrijkste uitkomst, wat is het risico voor de organisatie, wat moet er als eerste gebeuren. Geen scores, geen afkortingen. Dit is het deel dat gelezen wordt; als dit niet goed is, is de rest voor niets geschreven.
Waar herken je een scanneruitvoer met een kaft?
Er is een categorie rapporten die geen pentestrapport is, maar de uitvoer van een geautomatiseerde tool in een huisstijl. Je herkent ze aan:
- Veel bevindingen, weinig samenhang. Zestig losse punten zonder pad ertussen.
- Standaardteksten. De uitleg bij een bevinding komt woordelijk overeen met wat een scanner erover zegt, zonder verwijzing naar jouw omgeving.
- Vals alarm dat is blijven staan. Bevindingen die bij nader inzien niet van toepassing zijn, maar niet zijn weggefilterd omdat niemand ernaar heeft gekeken.
- Geen tester. Nergens staat wie de test heeft uitgevoerd of welke keuzes hij heeft gemaakt.
- Alleen techniek. Geen samenvatting voor de organisatie, alleen een lijst voor IT.
Zo’n document heeft waarde als kwetsbaarhedenscan, maar het is niet wat je hebt gekocht als je een pentest hebt gekocht.
Hoe beoordeel je een rapport dat niets vindt?
Dit is bij een pentestrapport beoordelen de moeilijkste variant, want “niets gevonden” klinkt als goed nieuws en kan dat ook zijn. De vraag is hoe diep er is gekeken. Vraag naar de uitgangspositie, het aantal testdagen en de uitsluitingen. Twee dagen black-box op een landschap van dertig systemen levert bijna per definitie weinig op; een week grey-box op één applicatie die niets vindt, is een echte uitspraak. Een goed rapport zegt dat zelf: hier is gekeken, zo lang, vanaf hier, en dit is bewust niet meegenomen.
Wat je vooraf kunt afspreken
Het beste moment om een pentestrapport beoordelen makkelijk te maken, is vóór de test. Vraag om een voorbeeldrapport van de aanbieder. Spreek af dat er een samenvatting voor de directie komt en een technisch deel voor IT. Spreek af dat er een bespreking van het rapport plaatsvindt met de tester erbij, zodat vragen worden beantwoord door degene die het werk heeft gedaan. En spreek af hoe de hertest wordt gerapporteerd: als aanvulling op hetzelfde document, zodat je in één oogopslag ziet wat dicht is.
Ligt er een rapport op je bureau waarvan je niet weet wat je ermee moet? In een scopegesprek kijken we mee, ook naar rapporten van anderen, en bepalen we wat een volgende test moet opleveren om wel bruikbaar te zijn.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Waar herken je een goed pentestrapport aan?
Aan een beschreven aanvalspad (hoe kwam de tester binnen, hoe kwam hij verder, waar kwam hij uit), context per bevinding (wat betekent dit in jouw situatie), reproduceerbare stappen zodat je ontwikkelaar het kan nabouwen, en een samenvatting die een directie zonder technische kennis begrijpt.
Is een rapport met veel bevindingen beter?
Meestal niet. Zestig bevindingen waarvan de helft vals alarm en de rest ontbrekende headers, is een scanneruitvoer met een kaft. Een goed rapport heeft vaak minder bevindingen, maar bevindingen die ergens toe leiden en in samenhang worden beschreven.
Wat moet een pentestrapport voor mijn directie bevatten?
Een samenvatting van één pagina in gewone taal: wat is er getest, wat is de belangrijkste uitkomst, wat is het risico voor de organisatie en wat moet er als eerste gebeuren. Zonder scores, zonder afkortingen, met één zin die de uitkomst samenvat.
Wat doe ik met een rapport dat niets vindt?
Vraag hoe diep er is gekeken: hoeveel dagen, vanuit welke uitgangspositie, wat viel buiten scope. Een leeg rapport na twee dagen black-box op een groot landschap zegt iets anders dan een leeg rapport na een week grey-box. Zonder die context is “niets gevonden” geen uitkomst.
