Een fysieke pentest beantwoordt de vraag die in scopegesprekken vaak als laatste komt: wat kan iemand die gewoon je pand binnenloopt? Een open netwerkpoort in de vergaderzaal, een onbeheerde werkplek, een badge die meeloopt. Al je digitale beveiliging gaat ervan uit dat de aanvaller buiten staat. Deze test controleert dat.
Kort samengevat
- Digitale beveiliging veronderstelt dat de aanvaller buiten staat; een fysieke pentest controleert die aanname.
- De meest voorkomende bevinding is een open netwerkpoort waar iedereen een laptop op kan aansluiten.
- De test combineert binnenkomen (meelopen, een smoes, een open deur) met wat je daarna bereikt.
- Rapporteer patronen, geen personen; gebruik de uitkomst voor uitleg, niet voor sancties.
Organisaties die hun cloud, hun laptops en hun netwerk hebben laten testen, hebben één scenario meestal overgeslagen: iemand komt fysiek binnen. Dat lijkt onwaarschijnlijk tot je erover nadenkt hoe vaak er onbekenden in een pand zijn. Sollicitanten, leveranciers, monteurs, schoonmakers, bezoekers voor een vergadering. En hoe vaak niemand vraagt wie ze zijn.
Wat test een fysieke pentest?
Twee dingen, in volgorde. Eerst: kom ik binnen? Daarna: wat kan ik dan?
Binnenkomen gebeurt zelden met braak. De tester loopt mee met een groep medewerkers bij de deur, meldt zich als monteur, komt voor een afspraak die niet bestaat, of wacht bij een zij-ingang die voor rokers openstaat. Dit is social engineering, en het werkt omdat mensen behulpzaam zijn en confrontatie vermijden.
Wat je daarna kunt is het deel dat er echt toe doet:
- Netwerkpoorten. In vergaderzalen, bij de receptie, in een lege werkruimte. Een actieve poort zonder controle op wat erop wordt aangesloten, geeft een laptop direct toegang tot het interne netwerk. Dit is met afstand de meest voorkomende bevinding.
- Onbeheerde werkplekken. Een ingelogde computer waar niemand achter zit. Een printer met een wachtrij vol documenten. Een bureau met wachtwoorden op een briefje.
- Ruimtes die open staan. De serverruimte met een deur die niet in het slot valt. Het archief. De kast met netwerkapparatuur in de gang.
- Wat mensen vertellen. Een tester die zich als IT-medewerker voordoet en om een wachtwoord vraagt, krijgt het vaker dan je hoopt.
Waarom zijn open netwerkpoorten zo’n groot probleem?
Omdat ze de scheiding tussen buiten en binnen opheffen. Alles wat je aan externe beveiliging hebt, de firewall, de VPN, de MFA op je cloud, gaat uit van een aanvaller die vanaf het internet komt. Iemand die een laptop aansluit in je vergaderzaal, zit daar al achter. Vanaf dat punt is het een interne pentest, met alle bevindingen die daarbij horen.
De oplossing is bekend en zelden volledig ingevoerd: poortbeveiliging die alleen bekende apparaten toelaat, en ongebruikte poorten uitschakelen. In scopegesprekken blijkt regelmatig dat een organisatie dit weet, het budget voor de benodigde netwerkapparatuur niet rond krijgt, en een fysieke pentest inzet om te laten zien hoe makkelijk het misgaat. Dat werkt.
Hoe houd je het zuiver richting medewerkers?
Dit is de gevoeligste vorm van pentest, omdat hij mensen raakt. Een paar afspraken vooraf voorkomen dat het een afrekening wordt:
- Geen namen in het rapport. Wel: “de zijdeur stond twee uur open”, “bij de receptie werd niet gevraagd naar een afspraak”. Niet wie.
- Eén ingelichte contactpersoon. Iemand die weet dat de test loopt en de tester kan vrijpleiten als hij wordt aangehouden. Dat is bovendien de gewenste uitkomst: dat iemand hem aanhoudt.
- Uitleg, geen sancties. De uitkomst is materiaal voor een gesprek met de organisatie over hoe dit werkt, niet voor een gesprek met de persoon die de deur openhield.
- Afgebakende scope. Welke locaties, welke ruimtes, welke tijden, en wat er niet mag: geen sloten forceren, geen persoonlijke spullen, geen productie raken.
Wanneer is een fysieke pentest zinvol?
Als je meerdere locaties hebt waar mensen in en uit lopen. Als er vergaderruimtes zijn die door externen worden gebruikt. Als je netwerkpoortbeveiliging niet volledig hebt ingevoerd en dat wilt onderbouwen. Of als je alle digitale tests al hebt gedaan en de laatste aanname wilt controleren: dat de aanvaller buiten staat.
Wil je weten wat iemand bereikt die bij jou gewoon naar binnen loopt? Een fysieke pentest is een van de modules die in een scopegesprek aan bod komen, en de uitkomst begrijpt iedereen in de organisatie zonder uitleg.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Wat is een fysieke pentest?
Een test waarbij de tester probeert het pand binnen te komen en van daaruit toegang te krijgen tot het netwerk of tot gegevens: via een open netwerkpoort, een onbeheerde werkplek, een vergaderzaal, of door mee te lopen met medewerkers. Social engineering is er meestal onderdeel van.
Wat is het meest voorkomende probleem bij een fysieke pentest?
Open netwerkpoorten. In vergaderzalen, bij de receptie, in een lege werkruimte. Een poort die actief is en geen controle doet op wat erop wordt aangesloten, geeft iemand met een laptop direct toegang tot het interne netwerk.
Hoe voorkom je dat medewerkers zich bespied voelen?
Door vooraf af te spreken dat de test gaat over de opstelling, niet over personen. Geen namen in het rapport, wel patronen: “de deur naar de serverruimte stond open”, niet “medewerker X liet de deur open”. En door de uitkomst te gebruiken voor uitleg, niet voor sancties.
Hoeveel tijd kost een fysieke pentest?
Een gerichte test van één of twee locaties duurt meestal één tot twee dagen, inclusief voorbereiding. De aanvullende netwerktest vanaf een gevonden ingang komt daar eventueel bij.
