Pentest as a service is doorlopend, grotendeels geautomatiseerd testen tegen een vast bedrag, met bevindingen zodra ze worden gevonden. De jaarlijkse pentest is een mens die een week creatief probeert binnen te komen. Welke van de twee heb je nodig? Meestal allebei, voor verschillende dingen.
Kort samengevat
- Pentest as a service meet continu en geautomatiseerd; de jaarlijkse pentest meet diep en handmatig.
- Automatisering vindt bekende kwetsbaarheden; alleen een mens vindt logische fouten en aanvalspaden.
- Continu testen past bij veel of snel veranderende externe systemen, en bij organisaties waarvoor handmatig testen nog te duur is.
- De sterkste opstelling combineert beide: continu voor de buitenkant, jaarlijks handmatig op het grootste risico.
De jaarlijkse pentest heeft een bekend nadeel: hij is een momentopname. De dag na de test wordt er een systeem toegevoegd, een update uitgerold, een certificaat verlopen, en het rapport zegt daar niets over. Voor organisaties met veel externe applicaties en snelle wijzigingen is dat een reëel probleem, en pentest as a service is het antwoord dat de markt daarop heeft bedacht.
Wat is pentest as a service precies?
Een abonnement in plaats van een project. Je systemen worden doorlopend getest door geautomatiseerde tooling, soms aangevuld met een menselijke controle van de bevindingen, en de uitkomsten komen binnen in een portaal zodra ze er zijn. Meestal betaal je per systeem of per maand, en de kosten per systeem zijn een fractie van een handmatige test.
Wat het goed doet:
- Doorlopend beeld. Een nieuwe kwetsbaarheid in software die jij gebruikt, wordt gevonden op de dag dat hij bekend wordt, niet bij de volgende jaarlijkse test.
- Schaal. Vijftig externe systemen handmatig testen is onbetaalbaar; geautomatiseerd is het routine.
- Toegankelijk voor kleinere budgetten. Voor organisaties in een vroege compliancefase, waarvoor een handmatige test van meerdere dagen nog niet haalbaar is, is dit een begaanbare instap.
Wat vindt pentest as a service niet?
Dit is de kern van de afweging. Geautomatiseerd testen vindt wat een scanner kan herkennen: bekende kwetsbaarheden in bekende software, verouderde versies, ontbrekende beveiligingsinstellingen, standaardwachtwoorden. Dat is waardevol en het is een groot deel van wat er misgaat.
Wat het niet vindt, is precies wat een goede handmatige pentest wél vindt:
- Logische fouten. Een applicatie die technisch correct werkt, maar waarin je een stap kunt overslaan of gegevens van een ander kunt opvragen. Een scanner weet niet wat de bedoeling van de applicatie is.
- Ketens. Drie kleine bevindingen die elk onschuldig zijn en samen een pad naar binnen vormen. Een scanner rapporteert drie lage bevindingen; een mens ziet de keten.
- Creatieve aanvalspaden. Via de phishingmail naar de cloudsessie naar de gedeelde map naar het beheeraccount. Dat is denkwerk, geen patroonherkenning.
- Context. Of een gevonden kwetsbaarheid in jouw situatie bruikbaar is, en hoe erg dat dan is.
Een organisatie die alleen op pentest as a service vertrouwt, is schoon op alles wat bekend is, en blind voor alles wat specifiek is.
Hoe kies je, of hoe combineer je?
De afweging hangt af van wat je hebt en hoe snel het verandert:
- Veel externe systemen, veel wijzigingen: continu testen is bijna verplicht. Een jaarlijkse momentopname zegt te weinig.
- Eén kritieke applicatie, weinig wijzigingen: een handmatige test levert meer op dan een continue meting die elke maand hetzelfde vindt.
- Beperkt budget, vroege fase: begin met continu testen voor de buitenkant, en spaar voor een handmatige test op het grootste risico.
- Volwassen organisatie: allebei. Continu voor de bekende kwetsbaarheden en om schoon te blijven tussen de tests; jaarlijks handmatig op het onderdeel waar de continue meting niets over zegt.
De combinatie is sterker dan de som. De continue meting zorgt dat de handmatige tester geen tijd verliest aan bekende kwetsbaarheden en zich kan richten op wat alleen hij kan vinden.
Waar je op let bij aanbieders
Vraag wat er gebeurt met een bevinding. Krijg je een melding met een ernstscore, of kijkt er iemand naar of hij in jouw situatie relevant is? Vraag of er een mens betrokken is en hoe. En vraag hoe de aanbieder omgaat met de valse meldingen die geautomatiseerd testen onvermijdelijk oplevert, want een portaal vol ruis is een portaal waar niemand meer naar kijkt.
Twijfel je tussen pentest as a service en een jaarlijkse test, of wil je weten hoe je ze combineert? In een scopegesprek kijken we naar wat je hebt, hoe snel het verandert en waar het risico echt zit.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Wat is pentest as a service (PTaaS)?
Een abonnementsvorm waarbij je omgeving doorlopend en grotendeels geautomatiseerd wordt getest, met een portaal waarin bevindingen binnenkomen zodra ze worden gevonden. Het vervangt de momentopname van één test per jaar door een continue meting, meestal tegen een vast bedrag per systeem of per maand.
Vervangt pentest as a service de jaarlijkse pentest?
Nee. Geautomatiseerd testen vindt wat een scanner kan vinden: bekende kwetsbaarheden, verouderde versies, ontbrekende instellingen. Logische fouten, ketens van kleine misconfiguraties en creatieve aanvalspaden vindt alleen een mens. De twee vullen elkaar aan.
Voor wie past pentest as a service?
Voor organisaties met veel externe systemen of applicaties die vaak veranderen, en voor organisaties in een vroege compliancefase waarvoor een handmatige pentest nog te duur is. Het geeft een doorlopend beeld tegen lage kosten per systeem.
Hoe combineer je beide?
Continu geautomatiseerd testen voor de buitenkant en de bekende kwetsbaarheden, één keer per jaar een handmatige test op het grootste risico. De continue meting houdt je schoon tussen de tests; de handmatige test vindt wat de meting niet ziet.
