Een hertest na een pentest is de controle waarmee een tester vaststelt dat een gevonden kwetsbaarheid daadwerkelijk niet meer te misbruiken is. Zonder die stap heb je geen opgelost probleem, maar een melding van iemand die zegt dat het is opgelost. Dat verschil is groter dan het lijkt, want de meest voorkomende uitkomst van een hertest is niet dat er niets is gedaan, maar dat er iets anders is gedaan dan nodig was.
In dit artikel lees je wanneer je hertest, wat er in de opdracht hoort, waarom een schermafbeelding geen bewijs is en hoe je dit vastlegt zodat het bij een audit meetelt.
Kort samengevat
- Een hertest bewijst dat de kwetsbaarheid weg is; een melding van de beheerder bewijst dat iemand iets heeft gewijzigd.
- Hertest gericht: alleen de bevindingen die zijn opgepakt, niet de hele omgeving opnieuw.
- Plan het moment vooraf in, anders verdwijnt het in de drukte na het rapport.
- Let op de gedeeltelijke oplossing: het symptoom is weg, de onderliggende fout niet.
- Leg per bevinding vast wie het heeft opgelost, wat er is gewijzigd en wie het heeft geverifieerd.
Waarom een hertest na een pentest nodig is
Na een pentest ligt er een rapport met bevindingen, en die gaan naar de beheerders die eraan moeten werken. Wat er daarna gebeurt is niet zichtbaar in dat rapport. De beheerder past iets aan, zet het op afgehandeld en gaat verder. Dat is geen kwade wil, het is de normale gang van zaken.
Bij een hertest blijkt dan met enige regelmaat een van deze drie dingen. De aanpassing is er wel, maar dekt maar een deel van de gevallen. De aanpassing is gedaan op de testomgeving en niet op productie. Of de aanpassing werkt, maar er is intussen een andere route naar hetzelfde probleem ontstaan.
Daarom is een schermafbeelding of een mail met “gefixed” geen bewijs. Het bewijs is dat iemand die de kwetsbaarheid eerder heeft misbruikt, dat nu niet meer kan.
Wanneer plan je de hertest?
De praktische regel is: spreek het moment af voordat het pentestrapport wordt opgeleverd. Doe je dat niet, dan concurreert de hertest met alles wat er in de tussentijd is bijgekomen, en die strijd verliest hij.
Een werkbare volgorde:
- Direct na oplevering bepaal je per bevinding wie eigenaar is en wat de streefdatum is.
- Kritieke en hoge bevindingen hertest je zodra ze gemeld zijn opgelost, niet in een verzamelronde.
- Middelhoge en lage bevindingen bundel je in een hertest na een afgesproken periode.
- Bevindingen die je bewust niet oplost leg je vast als geaccepteerd risico met de reden en de goedkeurende rol erbij.
Dat laatste punt is geen zwakte maar volwassenheid. Niet elke bevinding is de moeite waard om op te lossen. Een auditor accepteert een onderbouwd geaccepteerd risico wel; een bevinding die stilletjes is verdwenen uit het overzicht niet.
Wat hoort er in de opdracht voor een hertest?
Een hertest is bewust smal. Je vraagt niet om een nieuwe pentest, je vraagt om verificatie van specifieke bevindingen. Neem daarom in de opdracht op welke bevindingnummers worden getest, of de tester dezelfde route mag gebruiken als de eerste keer, en of hij mag doorzoeken op varianten van hetzelfde probleem.
Die laatste is de belangrijkste. Is er bij de eerste test een injectiefout gevonden op een formulier en is dat formulier gerepareerd, dan wil je weten of dezelfde fout op de andere zeven formulieren ook is opgelost. Zonder die vraag test je de reparatie en niet de oorzaak.
Voor de afbakening van de oorspronkelijke test verwijzen we naar je pentestscope bepalen, en voor de keuze tussen testvormen naar pentest, vulnerability scan of red teaming.
Hoe leg je het resultaat vast?
Het doel is dat je over een jaar nog kunt laten zien wat er is gebeurd. Leg daarom per bevinding vier dingen vast: de oorspronkelijke bevinding, wat er is gewijzigd, wie dat heeft geverifieerd en op welke datum, en de status na hertest.
Die vastlegging is precies wat een toezichthouder of auditor zoekt. Niet het pentestrapport zelf, dat toont alleen dat je hebt gekeken, maar de opvolging, die toont dat je iets doet met wat je vindt. Zie daarover ook welke rapportage een toezichthouder verwacht.
Loopt de opvolging structureel vast omdat niemand er eigenaar van is, dan is dat het echte probleem en niet de hertest. Een security partner neemt die opvolging over als vast proces in plaats van als project.
Veelgestelde vragen over een hertest na een pentest
Is een hertest hetzelfde als een nieuwe pentest?
Nee. Een hertest is smal en verifieert alleen de eerder gevonden bevindingen. Een nieuwe pentest kijkt opnieuw naar de hele scope en vindt ook nieuwe zaken.
Hoe snel na de reparatie kun je hertesten?
Zodra de wijziging op productie staat. Bij kritieke bevindingen doe je dat per bevinding en niet in een verzamelronde, omdat je anders weken met een openstaand gat blijft zitten.
Wat als de hertest laat zien dat het niet is opgelost?
Dat is een normale uitkomst en geen incident. Belangrijk is dat de bevinding dan open blijft staan met een nieuwe eigenaar en datum, in plaats van dat de status stilletjes op afgehandeld blijft.
Moet je alle bevindingen oplossen?
Nee. Je mag een risico onderbouwd accepteren. Leg dan vast waarom, wie dat besluit heeft genomen en wanneer je het opnieuw beoordeelt. Een geaccepteerd risico met onderbouwing is verdedigbaar, een verdwenen bevinding niet.
