In het nieuws verschijnen steeds vaker berichten over bedrijven die gehackt worden. Maar hoe weet je eigenlijk of jouw systemen bestand zijn tegen zo'n aanval? Dat is precies waar een pentest om de hoek komt kijken. In deze blog leggen we je uit wat een pentest is, wat het doel is en welke varianten er bestaan.

Wat houdt een pentest in?

Een pentest, kort voor penetratietest, is een "handmatige controle waarbij men zo diep mogelijk wil binnendringen in een digitaal systeem om zwakke plekken te vinden en de gevolgen hiervan te kennen. Men gebruikt de zwakke plekken om nog wat dieper in het systeem te komen", aldus het Cybersecurity woordenboek van Cyberveilig Nederland.

Deze actie is niet bedoeld om schade aan te richten, maar om zwakke plekken te vinden voordat kwaadwillenden dat doen. Nog een belangrijk detail: een pentest is geen volledig geautomatiseerd proces. Er zitten echte mensen achter die actief nadenken, net zoals een echte aanvaller dat zou doen.

Wat is het doel van een pentest?

Het doel van een pentest is "niet om zoveel mogelijk zwakke plekken te vinden. Het gaat erom te onderzoeken óf een systeem zwakke plekken heeft", luidt het Cybersecurity woordenboek van Cyberveilig Nederland verder. Gevonden kwetsbaarheden worden bewust ingezet om te kijken hoe ver een aanvaller zou kunnen komen. Vanuit die verkregen positie wordt vervolgens opnieuw onderzocht welke volgende stappen mogelijk zijn.

Wat is het verschil tussen een pentest en een vulnerability scan of assessment?

Een veelgestelde vraag is wat het verschil is tussen een pentest en een vulnerability scan of vulnerability assessment. Het verschil zit in de diepgang. Bij een vulnerability scan wordt breed gekeken naar mogelijke kwetsbaarheden of configuratiezwakheden, maar deze worden niet daadwerkelijk uitgebuit. Een pentest gaat een stap verder: gevonden zwakheden worden actief misbruikt om toegang te krijgen, en vanuit die positie wordt het onderzoek voortgezet. Dat maakt een pentest een stuk grondiger.

Welke penetratietests zijn er?

Niet elke pentest is hetzelfde. Afhankelijk van hoeveel informatie de testers vooraf krijgen, onderscheiden we drie varianten:

Blackbox penetratietest. Bij een Blackbox Penetratietest hebben beveiligingsexperts geen enkele voorkennis van de systemen. Ze simuleren een externe aanvaller die volledig van buitenaf opereert. Dit geeft een realistisch beeld van hoe een onbekende aanvaller te werk zou gaan.

Graybox penetratietest. Dit is een mix van blackbox en whitebox testen. De testers krijgen beperkte informatie, zoals een architectuurdiagram of een deel van de code. Dit maakt gerichter testen mogelijk en geeft inzicht in hoe gedeeltelijke kennis kan worden misbruikt.

Whitebox Penetratietest. De experts beschikken over volledige informatie: broncode, architectuurdetails en infrastructuurdocumentatie. Dit maakt een grondige analyse mogelijk, ook van kwetsbaarheden die van buitenaf niet zichtbaar zijn.

Wat kost een pentest?

De kosten van een pentest hangen af van de scope en de complexiteit van het systeem dat getest wordt. Een kleine webapplicatie vraagt nu eenmaal een andere aanpak dan een uitgebreide IT-infrastructuur.

Wil je weten wat een pentest voor jouw organisatie zou kosten? Neem gerust contact met ons op, dan kijken we samen wat er nodig is.