Cybersecurity & pentest
Test uw beveiliging zoals ze werkelijk aangevallen zou worden.
Een penetratietest levert geen lijst theoretische kwetsbaarheden op. Hij zegt u wat een aanvaller werkelijk zou bereiken op uw perimeter, via welke weg, en wat dat uw organisatie zou kosten. Scope samen afgebakend, schriftelijke toestemming, en een rapport waar uw teams echt mee verder kunnen.
Wanneer is een penetratietest zinvol?
Een pentest is nuttig wanneer er een beslissing te nemen valt, niet alleen een vakje aan te vinken.
U zet een applicatie online die vanaf internet bereikbaar is en u wilt weten wat ze doorlaat, vóór uw gebruikers het merken.
Een klant, een verzekeraar of een offertevraag eist het bewijs van een test door een derde partij.
Uw applicatie is sterk geëvolueerd sinds het ontwerp en niemand heeft het blootgestelde oppervlak sindsdien herzien.
U hebt een API opengesteld voor partners en u weet niet wat ze buiten het bedoelde gebruik prijsgeeft.
U hebt een infrastructuur, een codebase of een vorige leverancier geërfd en u mist zicht op het geheel.
U wilt weten hoe ver iemand kan geraken die al in uw gebouw is of op uw interne netwerk is aangesloten.
Wat we testen
Elk type test beantwoordt een andere vraag. De scope wordt vóór de opdracht bepaald, niet tijdens de opdracht ontdekt.
Webapplicaties
- Authenticatie, sessiebeheer, wachtwoordherstel
- Toegangscontrole: gegevens van een andere account bereiken, handelen met een rol die u niet hebt
- Injecties, invoerverwerking, deserialisatie
- Bedrijfslogica: workflow omzeilen, bedragen of statussen manipuleren
- Blootgestelde configuratie: headers, cookies, CORS, te spraakzame foutmeldingen
API’s en integraties
- Machine-naar-machine-tokens: bereik, geldigheidsduur, intrekking
- Autorisatie per resource en blootstelling van onbedoelde objecten
- Niet-gedocumenteerde endpoints en oude versies die actief bleven
- Snelheidsbeperking, misbruik en het aflopen van identificatoren
- Uitwisseling tussen systemen: webhooks, wachtrijen, partnerkoppelingen
Externe infrastructuur
- Het werkelijk blootgestelde oppervlak in kaart brengen
- Diensten die vanaf internet bereikbaar zijn en dat niet zouden mogen zijn
- TLS-configuratie, ontbrekende patches, blootgestelde versies
- Vergeten assets: testomgevingen, oude servers, bereikbare back-ups
Interne infrastructuur
- Wat een werkstation krijgt dat gewoon op het interne netwerk is aangesloten
- Wegen naar accounts met hoge rechten
- Netwerksegmentatie: wat is bereikbaar, en vanwaar
- Shares, serviceaccounts en geheimen die in leesbare vorm staan
Test ter plaatse
- Segmentatie vanaf een netwerkaansluiting of een gastwerkstation
- Wifi-toegang en effectieve scheiding van netwerken
- Wat een externe bezoeker in uw gebouw kan bereiken
- Vooraf afgesproken scenario’s, zonder uw medewerkers te testen zonder voorafgaande schriftelijke toestemming
Red Team-opdracht
- Apart contract, goedgekeurd scenario, vooraf bepaald doel
- Beoordeelt uw detectie en reactie, niet alleen uw kwetsbaarheden
- Veronderstelt bestaande maturiteit: zonder klassiekere tests vooraf voegt ze niets toe
- We zeggen het u eerlijk als dit niet is wat u vandaag nodig hebt
Wat u werkelijk koopt, per type test
De termen verschillen van leverancier tot leverancier. Zo gebruiken wij ze, zodat u weet wat inbegrepen is voor u twee offertes vergelijkt.
| Type | Doel | Diepgang | Menselijke inbreng | Aanvalsscenario | Oplevering |
|---|---|---|---|---|---|
| Kwetsbaarheidsscan | Gekende zwakheden opsporen | Aan de oppervlakte, zonder exploitatie | Geautomatiseerde tool, lichte nalezing | Geen | Een lijst vaststellingen om te sorteren |
| Audit | Conformiteit met een referentiekader nagaan | Configuratie, code, procedures | Documentonderzoek en gesprekken | Geen | De afwijkingen van het kader |
| Penetratietest | Weten wat een aanvaller zou bereiken | Werkelijke exploitatie, tot de impact op de zaak | Manueel, vanuit uw bedrijfscontext | Aanvalswegen op een afgebakende scope | Reproduceerbare vaststellingen en een herstelplan |
| Red Team-opdracht | Detectie en reactie beoordelen | Eén doelwit, discretie gezocht | Manueel, over een langere periode | Een van begin tot eind goedgekeurd scenario | Een verslag van de inbraak en de blinde vlekken |
Deze definities zijn geen norm: andere leveranciers gebruiken dezelfde woorden anders. Vergelijk wat werkelijk gedekt is, niet het etiket.
Hoe een opdracht verloopt
Het kader staat vast vóór de eerste aanvraag. Geen enkele test start zonder uitdrukkelijke toestemming van de eigenaar van het systeem.
- 01
Afbakening
Wat getest moet worden en waarom: omgevingen, applicaties, adresreeksen, testaccounts, tijds- en belastingsbeperkingen.
- 02
Rules of engagement
Scope, toegestane methoden, testvensters, noodcontacten en stopvoorwaarden, schriftelijk vastgelegd en ondertekend. Dat document geldt gedurende de hele opdracht.
- 03
Toestemming
De test start met de schriftelijke toestemming van de eigenaar van het systeem. Als uw hosting- of beheerpartner verwittigd moet worden, controleren we dat vooraf.
- 04
Verkenning
Het werkelijk blootgestelde oppervlak in kaart brengen. Deze stap brengt geregeld assets aan het licht die niemand nog voor ogen had.
- 05
Tests
Handmatige exploitatie vanuit de bedrijfscontext, met tooling maar niet geautomatiseerd. Elke kritieke vondst wordt u onmiddellijk gemeld.
- 06
Rapport
Elke vaststelling met reproductiestappen, de werkelijke impact en het verwachte herstel. Geprioriteerd op bedrijfsrisico, niet op ruwe score.
- 07
Toelichting en hertest
Een toelichting aan de technische teams en aan de beslissers, daarna controle van de herstellingen op de behandelde punten.
We testen nooit een systeem zonder schriftelijke toestemming van de eigenaar. Bevat de scope resources die bij een derde partij gehost worden, dan wordt de toestemming van die derde vóór de start geverifieerd.
Wat u ontvangt
Een rapport is alleen iets waard als het tot herstel leidt. We schrijven voor uw ontwikkelaars en beheerders, niet om de opdracht te verantwoorden.
- 01
Technisch rapport
Elke vaststelling met reproductiestappen, bewijsmateriaal, ernst en het verwachte herstel.
- 02
Samenvatting voor beslissers
Wat er op het spel staat, in bedrijfstaal, bruikbaar in een directiecomité of bij een klant.
- 03
Geprioriteerd herstelplan
Wat eerst moet, wat kan wachten, en wat eerder een architectuurkeuze is dan een patch.
- 04
Toelichting met uw teams
Een rechtstreeks gesprek met ontwikkelaars en beheerders, zodat het rapport niet ongelezen in een map belandt.
- 05
Hertest van de herstellingen
Controle van de gecorrigeerde punten na uw herstelronde, met bijgewerkte status per vaststelling.
- 06
Testattest
De scope en de periode van de test, bevestigd — bruikbaar bij een klant, een verzekeraar of een auditor.
De omgevingen die we dekken
Beveiliging test je waar het systeem draait, niet op een architectuurschema.
Webapplicaties en SaaS
Interne bedrijfsapplicaties, klantenportalen, platformen die op internet staan.
API’s en diensten
REST, GraphQL, interne diensten en integraties met uw partners.
Cloud en hosting
Publieke cloudomgevingen, dedicated hosting en hybride opstellingen.
Bedrijfsnetwerken
Directories, werkstations, interne servers, segmentatie en toegang op afstand.
Na de test
Een penetratietest is alleen zoveel waard als de herstellingen die volgen. We kunnen stoppen bij het rapport, uw teams begeleiden, of het herstel zelf opnemen.
Maatwerkproject
Wij nemen de verantwoordelijkheid voor het geheel: analyse, ontwerp, ontwikkeling, integratie, oplevering en verdere evolutie.
Meer wetenConsultancy & expertiseversterking
Onze consultants vervoegen uw team met de competenties die u nodig hebt: ontwikkeling, functionele analyse, technische analyse, business analyse of architectuur.
Meer wetenIT-partner
Een vast aanspreekpunt om de software en systemen waarop uw activiteit draait te onderhouden, te laten evolueren en te koppelen.
Meer weten
Waar beveiliging aan raakt
De onderwerpen die het vaakst naast of na een test terugkomen.
Applicaties en infrastructuur beveiligen
U moet een beveiligingsniveau aantonen, of u twijfelt over de werkelijke blootstelling van uw applicaties.
Systemen koppelen die niet met elkaar praten
Uw ERP, uw CRM en uw bedrijfstools bevatten elk een stuk van de waarheid, zonder betrouwbare uitwisseling ertussen.
Bedrijfssoftware moderniseren
De applicatie werkt nog, maar wordt duur in onderhoud, moeilijk aanpasbaar en afhankelijk van enkele personen.
Veelgestelde vragen
Kan een pentest de productie platleggen?
Het risico is nooit nul, en daarom staat het in de rules of engagement: uitgesloten tests, testvensters, stopvoorwaarden. Waar het kan werken we op een representatieve pre-productieomgeving. Moet de test in productie gebeuren, dan passen we de intensiteit aan en blijven we bereikbaar.
Black box, grey box of white box?
Bij black box vertrekken we zonder informatie, zoals een externe aanvaller. Bij grey box beschikken we over gebruikersaccounts, en dat is wat toelaat om toegangscontrole en bedrijfslogica te testen — in de meeste gevallen de nuttigste vorm. Bij white box hebben we ook de code en de schema’s, wat bij gelijke tijd de breedste dekking geeft.
Hoe lang duurt een opdracht?
Dat hangt af van de scope, en de scope moet vastliggen voor er een duur kan worden gegeven. Eén applicatie met enkele rollen vraagt niet dezelfde inspanning als een volledig informatiesysteem. We prijzen na de afbakening, op basis van wat werkelijk gedekt moet worden.
Volstaat een geautomatiseerde scan niet?
Een scan detecteert gekende zwakheden: verouderde versies, standaardconfiguraties, ontbrekende patches. Dat is nuttig en vaak een legitieme eerste stap. Maar een scanner begrijpt uw activiteit niet: hij zal niet zien dat een gebruiker de bestellingen van een andere klant kan inkijken, een goedkeuringsstap kan overslaan of een bedrag kan wijzigen.
Hoe vaak moeten we hertesten?
Na elke betekenisvolle wijziging van het blootgestelde oppervlak: een nieuwe applicatie, een herbouw, het openstellen van een API, een verhuis van hosting. Veel organisaties hertesten hun externe perimeter jaarlijks, maar een kalenderritme vervangt geen test die door een werkelijke wijziging wordt uitgelokt.
Werkt u met onze teams of in hun plaats?
Beide zijn mogelijk. Sommige klanten willen enkel het rapport en herstellen intern. Andere vragen ons hun ontwikkelaars te begeleiden bij het herstel, of het volledig op te nemen.
Laten we uw scope bespreken
Eén gesprek volstaat om te bepalen welk type test bij uw situatie past — en of dat nu is wat u nodig hebt.