Software bevat gegarandeerd bugs. Er kunnen duizenden regels code in zitten, en laten we eerlijk zijn, mensen zijn niet onfeilbaar. Dat is eigenlijk waarom testen zo’n enorme klus is: ontwikkelaars moeten niet alleen alles opsporen, maar zelfs de beste testsystemen kunnen beveiligingslekken of obscure problemen over het hoofd zien. Daar komt penetratietesten, of pentesting, om de hoek kijken. Het is alsof je iemand inhuurt om gaten in je systeem te prikken, zodat je weet waar de zwakke plekken zitten voordat een echte hacker ze vindt.<\/p>\n
Het uitvoeren van een pentest is niet zomaar een geautomatiseerde scanner starten en klaar. Natuurlijk kunnen tools helpen, maar die geven vaak valspositieve resultaten (of erger nog, missen kwetsbaarheden volledig).Veel van de echte waarde schuilt in de aanwezigheid van een menselijke analist, iemand die de resultaten kan interpreteren, dingen handmatig kan testen en kan achterhalen of wat de scanner heeft gedetecteerd daadwerkelijk exploiteerbaar is of slechts een vals alarm. Kortom, het verschil tussen een kwetsbaarheidsscan en een goede pentest is dat dieper graaft.<\/p>\n
Het belangrijkste hierbij is om alle beveiligingslekken te vinden. Je wilt een uitgebreid rapport dat aangeeft wat kwetsbaar is en hoe gemakkelijk het is voor iemand met kwade bedoelingen om daar misbruik van te maken. Meestal zijn deze tests beperkt in de tijd \u2013 want laten we eerlijk zijn, de hele dag hacken is niet goedkoop en niemand wil dat een pentester eeuwig blijft werken. Als er een intern team is, voeren ze mogelijk continue beoordelingen uit, maar voor de meeste bedrijven is het inhuren van een extern bureau de beste optie. Deze externe teams werken binnen een vastgestelde scope, budget en tijdlijn, wat betekent dat ze gemotiveerd zijn om de belangrijkste gebieden aan te pakken zonder het proces eindeloos te rekken.<\/p>\n
Meestal is de test strak gekaderd, hooguit een paar weken. Het idee is om alle voor de hand liggende en minder voor de hand liggende kwetsbaarheden op te sporen voordat de kosten van meer testen de voordelen ervan overstijgen. Soms voeren ze echter een ’time-boxed’ test uit als het budget krap is. Dit betekent dat ze hun best doen in een korter tijdsbestek, wetende dat ze misschien niet alles zullen detecteren, maar hopend dat ze de grootste problemen zullen vinden.<\/p>\n
Kom op, geautomatiseerde tools zijn handig \u2013 vooral om de voor de hand liggende zwakheden of kwetsbare versies te doorzoeken. Maar ze zijn geen toverkracht. Ze signaleren vaak valspositieve resultaten of negeren complexe problemen die gewoon menselijke intu\u00eftie vereisen. Beveiligingslekken ontstaan \u200b\u200bzelden door \u00e9\u00e9n overduidelijke fout; ze zijn meestal een combinatie van ogenschijnlijk kleine dingen. Daarom interpreteert een menselijke pentester handmatig de resultaten, verifieert kwetsbaarheden en test om te zien of ze daadwerkelijk uitgebuit kunnen worden. Het is omslachtig, maar geloof me, deze handmatige inspanning maakt een pentest echt de moeite waard \u2013 niet alleen maar op “scannen” klikken en hopen op het beste.<\/p>\n
De meeste pentests worden uitgevoerd tegen een specifiek product of een specifieke omgeving, idealiter in een echte of zo dicht mogelijk bij de productieomgeving. Het addertje onder het gras? Het uitvoeren van deze tests op live systemen klinkt misschien riskant, maar in werkelijkheid genereren ze meestal niet veel verkeer en vermijden pentesters vaak het testen van denial-of-service-problemen in live omgevingen om uitval te voorkomen. Toch geven velen de voorkeur aan testen op duplicaat- of testomgevingen vanwege privacyoverwegingen, vooral als het om echte gebruikersgegevens gaat.<\/p>\n
Ze kunnen websites, API’s, mobiele apps, netwerkinfrastructuur en zelfs hardware testen. Kortom, alles wat met internet of een netwerk is verbonden. Het is ongelooflijk hoe divers de scope kan zijn, afhankelijk van wat er beveiligd moet worden.<\/p>\n
Andere soorten tests zijn gerelateerd, maar meer gespecialiseerd, zoals phishingsimulaties, OSINT (Open Source Intelligence)-vergaring en red team-oefeningen. Phishingtests sturen nep-e-mails om te zien of medewerkers erin trappen. OSINT houdt in dat sociale media, LinkedIn en openbare registers worden afgespeurd om te achterhalen welke informatie aanvallers kunnen gebruiken. Red teams gaan er helemaal voor en testen niet alleen digitale informatie, maar ook fysieke beveiliging \u2013 bijvoorbeeld door te proberen het gebouw binnen te dringen of medewerkers te social engineeren.<\/p>\n
Red team-oefeningen zijn agressiever en lijken meer op echte aanvallen. Ze hebben toestemming, meestal geautoriseerd door het senior management, om te proberen de organisatie binnen te dringen. Soms doen ze zich voor als legitieme medewerkers of contractanten, en het is best grappig hoe uitgebreid dat kan worden. Ze kunnen valse identiteitsbewijzen of toestemmingsformulieren bij zich hebben, en beveiligingsteams weten meestal niet precies wanneer deze tests plaatsvinden \u2013 wat voor een extra verrassingselement zorgt.<\/p>\n
Red team-operaties volgen een strikte lijn: ze testen technisch gezien de beveiliging, maar dan met een meer offensieve, aanvallende stijl. Ze zijn geautoriseerd, maar dat betekent niet dat ze zich netjes gedragen. Ze proberen misschien de fysieke beveiliging te omzeilen, personeel te social engineeren of digitale kwetsbaarheden uit te buiten, net zoals een kwaadwillende zou doen. Om legaal te blijven, dragen ze ondertekende toestemmingsformulieren bij zich, soms met een nep-exemplaar om de beveiliging te verrassen. Het is best vreemd, want ze gaan echt undercover en geven zelfs nep-machtigingen om te zien of de beveiliging argwaan krijgt.<\/p>\n
Als ze betrapt worden, proberen ze zich misschien te bluffen met het valse toestemmingsformulier en wat snelle praatjes. Soms worden ze ‘betrapt’, maar omdat ze reserve-infiltratieplannen hebben, kan de confrontatie doorgaan, tenzij de beveiliging hen op heterdaad betrapt. Leuk (en zenuwslopend) gedoe, maar natuurlijk allemaal geautoriseerd.<\/p>\n
Kortom: pentests zijn waardevol omdat ze helpen beveiligingslekken te ontdekken voordat kwaadwillenden dat doen. Ze bestaan \u200b\u200buit een combinatie van geautomatiseerd scannen en handmatig testen, met een deskundige medewerker aan het stuur. Of het nu gaat om het testen van een website, netwerk of fysieke beveiliging, het doel is om een \u200b\u200bduidelijk beeld te krijgen van waar verbeteringen nodig zijn. Het eindrapport bevat meestal een overzicht van kwetsbaarheden en plannen om deze te verhelpen.<\/p>\n
Natuurlijk kan het wat ingrijpend of ongemakkelijk zijn, maar het is beter om proactief te zijn dan te wachten op een inbreuk. Als je een bedrijf runt of infrastructuur beheert, is een pentest een solide investering \u2013 zie het als een beveiligingscheck voor je digitale activa.<\/p>\n","protected":false},"excerpt":{"rendered":"
Software bevat gegarandeerd bugs. Er kunnen duizenden regels code in zitten, en laten we eerlijk zijn, mensen zijn niet onfeilbaar. Dat is eigenlijk waarom testen<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1419","post","type-post","status-publish","format-standard","hentry","category-hulp"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/posts\/1419","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/comments?post=1419"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/posts\/1419\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/media?parent=1419"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/categories?post=1419"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/nl\/wp-json\/wp\/v2\/tags?post=1419"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}