Penetratietesten zijn gesimuleerde cyberaanvallen waarmee de beveiliging van systemen en netwerken wordt beoordeeld. In deze gids worden de principes van penetratietesten, de voordelen ervan en de methodologieën die door beveiligingsprofessionals worden gebruikt, besproken.
Lees meer over het belang van regelmatige penetratietesten voor het identificeren van kwetsbaarheden en het verbeteren van beveiligingsmaatregelen. Inzicht in penetratietesten is essentieel voor organisaties om hun digitale activa effectief te beschermen.
Wie voert penetratietesten uit?
Organisaties schakelen gekwalificeerde pentesters in met uitgebreide kennis van IT, applicatiebeveiliging, netwerkbeveiliging en softwareprogrammeertalen. Pentesters gebruiken scripttalen om scripts te maken waarmee ze goedgekeurde aanvallen uitvoeren op systemen binnen bepaalde grenzen, zodat de systemen tijdens de test niet worden beschadigd. Ze gebruiken hun kennis van softwarecode om software te onderzoeken op beveiligingsfouten. Een professionele penetratietester, of pentester, voert de penetratietest uit op verzoek van een organisatie. De pentester mag de systemen tijdens het uitvoeren van de test geen schade toebrengen. Ze moeten bewijs leveren van de kwetsbaarheden en hoe ze deze hebben gepenetreerd.
Aan de hand van de resultaten van de pentest kan de organisatie systemen patchen en gebreken verhelpen. De pentester controleert vervolgens of de organisatie de kwetsbaarheden heeft verholpen door opnieuw te proberen het systeem te penetreren.
Externe versus interne penetratie
Er zijn verschillende soorten pentests. Bij externe penetratietests heeft de pentester geen speciale toegang of rechten tot de systemen die worden getest. Vanuit hetzelfde uitgangspunt als een criminele hacker probeert de tester binnen te dringen in de perimeter, internetgerichte applicaties en kwetsbare systemen binnen de organisatie die hij van buitenaf kan bereiken.
De test kan bijvoorbeeld aanvallen omvatten op kwetsbare Remote Desktop Protocol (RDP)-verbindingen, bedoeld voor aannemers die externe netwerktoegang nodig hebben om hun werk te kunnen doen. De pentester kan eindapparaten testen, zoals smartphones en gebruikerscomputers op een netwerk, aangezien deze waarschijnlijk toegangspunten zijn voor ongeoorloofde toegang.
Een interne pentest is een kwetsbaarheidstest van de interne netwerken en infrastructuur van de organisatie. De test bepaalt hoe ver een aanvaller kan gaan met zijn toegang zodra hij binnen het netwerk is. De test bepaalt of lange verblijftijden mogelijk zijn waarbij de aanvaller aanwezig kan blijven in het netwerk en het bedrijf niet weet dat hij daar voor langere tijd aanwezig is.
De test bepaalt of ze zich lateraal kunnen verplaatsen over de interne netwerken en infrastructuur van de ene set netwerkactiva, zoals klantendatabases, naar andere die intellectueel eigendom bevatten. Het zou de mogelijkheden van een interne dreiging aan het licht brengen die gebruikmaakt van bestaande kwetsbaarheden, waaronder te veel toegangsrechten en machtigingen.
Penetratietesten versus kwetsbaarheidsbeoordeling
In tegenstelling tot penetratietesten worden kwetsbaarheidstesten vaak geautomatiseerd met behulp van software voor het scannen van netwerkkwetsbaarheden. Kwetsbaarheidstesten laten organisaties weten dat er zwakke plekken bestaan. Penetratietests bevestigen dat aanvallers de kwetsbaarheden op kwaadwillige wijze kunnen gebruiken om extra toegang te verkrijgen en gegevens te exfiltreren.
Wit, zwart en grijs | Hoe penetratietests worden uitgevoerd
Veel soorten penetratietests kunnen een organisatie helpen om een goede beveiligingshygiëne en een sterke beveiligingshouding te handhaven. De klant kan om een of meer van deze penetratietests vragen.
White box-testen
Bij white box-testen heeft de pentester volledig inzicht in het netwerk en de systemen die worden getest. White box-testen stelt de tester in staat om alle softwarecode in de test mee te nemen, omdat niets voor hem verborgen blijft. White box-testen is wenselijk voor geautomatiseerd testen, wat vaak wordt gebruikt in ontwikkelomgevingen. White box-testen maakt het mogelijk om software die in ontwikkeling is regelmatig en geautomatiseerd te testen, zodat deze gedurende de hele ontwikkelingscyclus veilig blijft.
Black box-testen
Bij black box-testen wordt de penetratietester in het ongewisse gelaten. De tester weet niets van het systeem of de software. Hij moet testen vanuit het perspectief van een aanvaller, waarbij hij verkenningen uitvoert, informatie verzamelt en initiële netwerktoegang verkrijgt zonder voorafgaande voorkennis. De tester moet een aanval uitvoeren en het systeem exploiteren met de tools die hij bij zich heeft. Black box-testen is de meest uitdagende maar ook meest uitgebreide test.
Grey box-testen
Bij grey box-testen krijgt de pentester beperkt inzicht in de systemen en software. Het testontwerp dient om te bepalen hoeveel extra toegang een bevoorrechte gebruiker zou kunnen verkrijgen en wat hij daarmee zou kunnen doen. Grey box-testen kan helpen om te bepalen of een insider zijn privileges zou kunnen verhogen om een interne aanval uit te voeren of samen te werken met een externe aanvaller.
Fasen van penetratietesten
Een pentest bestaat uit vijf fasen, met name wanneer de tester geen voorkennis heeft van de systemen die worden getest. Deze fasen zijn verkenning, scannen, exploitatie, het plaatsen van een achterdeur en anti-tracking.
De eerste fase is verkenning: het verzamelen van informatie over het te testen systeem. Net als bij het leger betekent de term verkenning bij penetratietesten dat de tester het netwerk moet verkennen en open poorten, netwerkadressen en inlogpagina's moet opsporen die nuttig zijn bij een aanval. Door het netwerk en de bijbehorende activa in kaart te brengen, kan de tester beslissen welke exploits hij bij de test wil gebruiken.
Vervolgens scant een tester het netwerk op zoek naar kwetsbaarheden. Een goede pentester kan zero-day kwetsbaarheden zien. Zero-day betekent dat de leverancier sinds de ontdekking ervan nul dagen heeft gehad om het systeem te patchen. Criminele hackers kunnen de kwetsbaarheid blijven misbruiken totdat de patch beschikbaar is.
De tester kiest exploits, waaronder malware, om het systeem te exploiteren. Ze laten een achterdeur in het netwerk achter om deze open te houden voor toekomstige aanvallen. Ten slotte voorkomt de pentester detectie door beveiligingslogboeken te verwijderen en indicatoren van compromittering te wissen.
Wat kunnen organisaties doen met de output van een penetratietest?
Een organisatie kan uit het eindrapport van de tester leren welke kwetsbaarheden er zijn en een plan maken om deze kwetsbaarheden te verhelpen. De pentester test vervolgens opnieuw of alle kwetsbaarheden zijn verholpen. Pentests zijn gunstig voor bedrijven omdat ze risico's beperken. Organisaties kunnen de belangrijkste kwetsbaarheden, zoals gebrekkige toegangscontroles, testen en repareren. Door pentests krijgt de onderneming inzicht in haar beveiligingsstatus. Ze kan het aanvalsoppervlak beveiligen en in overeenstemming houden met de gewenste status van de organisatie. Organisaties kunnen pentests ook gebruiken om te voldoen aan industriële en wettelijke voorschriften. Door te testen op kwetsbaarheden kan het bedrijf patches toepassen en controles gebruiken om naleving te bereiken en te handhaven.
Het bedrijf profiteert van pentestrapporten door eerst risicovolle kwetsbaarheden te zien en te verhelpen. Rapporten kunnen dienen als bewijs van naleving bij audits. Beveiligingsanalisten kunnen het rapport gebruiken om hun inspanningen te richten op kwetsbaarheden die leiden tot het niet slagen van nalevingsaudits.
Het bedrijf moet de reikwijdte van de pentest definiëren, inclusief de te testen gebieden, de te vermijden gebieden en de soorten kwetsbaarheden die moeten worden geïdentificeerd. Door zich te richten op risicovolle systemen, software en configuraties, kan de organisatie prioritaire kwetsbaarheden opsporen en verhelpen zonder het budget te overschrijden.
MDR waarop u kunt vertrouwen
Krijg betrouwbare end-to-end dekking en meer gemoedsrust met Singularity MDR van SentinelOne.
Neem contact opSoorten penetratietests
Penetratietests voor netwerkservices
Penetratietests voor netwerkservices brengen de meest kritieke kwetsbaarheden en zwakke punten van een netwerk in kaart. De tests omvatten interne en externe tests. Ze testen netwerkcomponenten. Ze testen ook eindpunten en de periferie van het netwerk.
Netwerkinfrastructuurapparaten omvatten:
- Firewalls
- Switches
- Routers
Met de test kunnen bedrijven zwakke plekken verhelpen en zich verdedigen tegen veelvoorkomende netwerkgebaseerde aanvallen, zoals Distributed Denial of Service (DDoS)-aanvallen.
Penetratietesten van webapplicaties
Penetratietesten van webapplicaties sporen kwetsbaarheden op in webgebaseerde applicaties en browsers. Aanvallen op applicaties via kwetsbare browsers komen vaak voor, zoals bots die JavaScript op e-commercepagina's aanvallen.
Het testen van webapplicaties biedt organisaties voordelen door het versnellen van het verhelpen van hiaten in de beveiliging van webapplicaties. Penetratietesten en het aanbrengen van patches maken webapplicaties veerkrachtiger. Veilige webapps zorgen voor bedrijfscontinuïteit, bijvoorbeeld wanneer de productiviteit van gebruikers onverminderd blijft omdat inbreuken en verstoringen tot een minimum worden beperkt. Penetratietesten van webapplicaties identificeren kwetsbaarheden in JavaScript in de browser, zodat beveiligingsteams applicaties kunnen beveiligen tegen browserfouten.
Fysieke penetratietesten
Fysieke penetratietesten omvatten een gesimuleerde aanval op het terrein van een organisatie. Fysieke penetratietests meten de fysieke beveiliging die beperkte zones beschermt. Ze testen de fysieke beveiligingsmaatregelen die voorkomen dat een aanvaller ongeoorloofde toegang krijgt. Fysieke penetratietests maken gebruik van social engineering, zoals zich voordoen als technische ondersteuning of andere werknemers om toegang te krijgen zonder de juiste autorisatie of inloggegevens.
Social engineering penetratietests
Social engineering penetratietesters maken misbruik van het vertrouwen dat medewerkers in mensen stellen. Testers kunnen werknemers met een smoes overhalen om gevoelige gegevens vrij te geven of de tester toegang te geven tot systemen en software.
Cloud penetratietesten
Hoewel cloudproviders hun aanbod beveiligen, is de klant verantwoordelijk voor de bescherming van zijn gegevens en applicaties in de cloud. Cloudpenetratietesten omvatten brute force-tests van inloggegevens voor internettoegang die een klant misschien niet zou denken te updaten. Maar het is de verantwoordelijkheid van de klant om dit te doen.
IoT-penetratietesten
IoT-pentesten onderzoeken de volledige inventaris van IoT-apparaten van een klant op typische kwetsbaarheden, zoals zwakke of standaard inloggegevens, verouderde communicatieprotocollen en een gebrek aan beveiligingspatches. Penetratietesters kunnen draadloze beveiligingstests uitvoeren om te zoeken naar zwakke protocollen. Ze kunnen bekende kwetsbaarheden controleren op patches en proberen ongeoorloofde toegang te verkrijgen.
Voordelen van penetratietesten
Penetratietesten beveiligen de organisatie tegen cyberaanvallen, datalekken en niet-naleving van de vele industriële en wettelijke vereisten. Organisaties zijn onderworpen aan audits en moeten voldoen aan tal van nationale en internationale regelgeving, waaronder de AVG, ISO 27001 en PCI DSS. Andere regelgeving omvat HIPAA/HITRUST.
Het bedrijf wil het vertrouwen van de consument behouden. Betrouwbare technologieën die niet worden geschonden, zorgen ervoor dat klanten blijven, terwijl schendingen hen juist wegjagen. Penetratietests ondersteunen de bedrijfscontinuïteit, omdat er minder verrassingen zijn met downtime als gevolg van inbreuken en onderzoeken naar inbreuken die menselijk kapitaal weghalen bij de kerntaken.
Conclusie
Een penetratietest is een essentieel onderdeel van het handhaven van beveiliging en naleving. Penetratietesten evalueren het aanvalsoppervlak van de organisatie op risicovolle kwetsbaarheden in kritieke applicaties. Het bedrijf kan pentestrapporten gebruiken om prioritaire kwetsbaarheden te verhelpen, veiligheidsrisico's te beperken en zich voor te bereiden op nalevingsaudits.
FAQs
Een kwetsbaarheidsscan scant automatisch het netwerk, de netwerkpoorten en de IP-adressen op kwetsbaarheden. Penetratietesten maken gebruik van handmatige scans en andere methoden om kwetsbaarheden op te sporen en te exploiteren.
Penetratietesters dringen door in door de klant gedefinieerde gebieden met een goedgekeurd scala aan exploits, op zoek naar specifieke kwetsbaarheden. Penetratietesters testen het beveiligingsbeleid van de organisatie, ontwikkelen tegenmaatregelen en implementeren defensieve oplossingen voor beveiligingsproblemen.
Penetratietesten zijn een begeleide handmatige inspanning van een proactieve professional die interessante gebieden herkent om verder te onderzoeken op kwetsbaarheden en hoe deze te doorbreken. Een geautomatiseerde test wijkt niet af van een vaste lijst met taken voor de test.
