Wat een pentest is
Bij een pentest, voluit penetratietest, probeert een specialist met jouw toestemming in te breken op je website, webapplicatie of netwerk. Dat gebeurt op dezelfde manier als een echte aanvaller het zou doen, alleen eindigt het met een rapport in plaats van een datalek. Het NCSC beschrijft het zo: een getrainde pentester kruipt in de rol van aanvaller, zoekt naar kwetsbaarheden en probeert die uit te buiten.
Het verschil met een automatische scan zit in de mens. Een scan zoekt in de breedte naar bekende zwakke plekken: een verouderde plugin, een verkeerd ingestelde server, een library met een bekend lek. Een pentest gaat de diepte in. Een pentester ziet bijvoorbeeld dat een klant in je portaal de facturen van een andere klant kan opvragen door een nummer in de adresbalk te veranderen. Geen scanner vindt dat, want technisch werkt alles zoals het gebouwd is.
Black box of met inloggegevens
Je kiest vooraf hoeveel de pentester van je systeem weet. Bij een black box test krijgt de tester niets: geen accounts, geen documentatie. Dat is het meest realistische scenario van een aanval van buitenaf. Het kost ook meer zoekwerk, omdat de tester alles zelf moet uitzoeken.
De andere route is dat je de tester testaccounts en een overzicht van je systemen geeft. Dan gaat de tijd niet op aan zoeken naar de voordeur, maar aan wat een ingelogde gebruiker allemaal kan. Voor een klantportaal, een webshop met accounts of een interne applicatie is dat meestal de nuttigste test, omdat de grootste risico's achter het inlogscherm zitten.
Wat een pentest kost
Een vaste marktprijs bestaat niet, want elke test wordt op maat afgebakend. Een pentester rekent in dagen, en hoeveel dagen er nodig zijn, hangt af van de omvang. Een marketingwebsite met een contactformulier is in een paar dagen getest. Een applicatie met tien gebruikersrollen, een API en koppelingen naar Exact Online en een webshop vraagt weken. Het NCSC waarschuwt dat een te brede of vage scope een test te duur of te oppervlakkig maakt. Hoe scherper je afbakent, hoe minder je betaalt voor uren die niets opleveren.
Ook het soort test telt mee, maar minder eenduidig dan je zou denken. Een black box test kost meer zoekwerk, terwijl een test met testaccounts verder komt: achter het inlogscherm, waar bij een webapplicatie het meeste werk zit. Welke van de twee duurder uitvalt, hangt dus vooral af van hoe ruim de scope is. Vergelijk offertes daarom altijd op het aantal dagen en wat er binnen de scope valt, niet alleen op de prijs of het soort test.
Wanneer een pentest zin heeft
Volgens het NCSC zijn grote veranderingen in je IT de meest voorkomende aanleiding om te testen. Een nieuw systeem of een applicatie die je net hebt aangeschaft, is ook een logisch moment, net als een systeem dat al lang niet is getest. Daarnaast maakt de Cyberbeveiligingswet periodiek testen voor organisaties die eronder vallen eigenlijk noodzakelijk.
In de praktijk komt er een aanleiding bij: een klant of verzekeraar vraagt erom. Een recent pentestrapport is dan een concreet antwoord op een vragenlijst die anders vooral uit beloftes bestaat.
Wat we niet zouden doen, is een pentest laten uitvoeren op software waarvan je weet dat die verouderd is. Draait je webshop op een PHP-versie zonder beveiligingsupdates, dan betaal je een specialist om op papier te krijgen wat je al wist. Breng dan eerst de basis op orde en test daarna.
Wat je vooraf afspreekt
Een pentest valt of staat met de afspraken vooraf. Leg in elk geval deze punten vast:
- de onderzoeksvraag: wat wil je na afloop weten;
- de scope: welke omgevingen en applicaties wel en niet, en welke methoden zijn toegestaan;
- welke cruciale systemen niet mogen worden gehinderd;
- welke gevoelige gegevens de tester niet mag inzien;
- dat bevindingen vertrouwelijk blijven en dat je eerst een conceptrapport krijgt.
Twijfel je tussen leveranciers, kijk dan of ze gecertificeerd zijn volgens het CCV-schema Cybersecurity Pentesten. Daar verwijst ook het NCSC naar, omdat de markt verder weinig houvast biedt over wat er precies getest en gerapporteerd wordt.
Plan de test niet in je drukste maand. Een pentest kan je eigen mensen en je softwareleverancier flink bezighouden met vragen en het herstellen van wat er gevonden wordt. Het NCSC raadt aan om kort na het rapport een evaluatie te plannen, omdat er anders vaak niets meer mee gebeurt. Reserveer daarom meteen tijd en budget om de bevindingen op te lossen, anders blijft het een duur document in een map.
Begin bij een scan
Voor de meeste mkb-bedrijven is een volledige pentest niet de eerste stap. Een security scan van je code, afhankelijkheden, configuratie en hosting haalt de bekende problemen boven tafel voor een fractie van de kosten. Zo'n scan kun je bovendien vaak herhalen, per maand of zelfs dagelijks.
Pas als de scan schoon is, haalt een pentest het meeste uit zijn uren: de tester hoeft dan geen tijd te besteden aan verouderde plugins en kan zich richten op de logica van je applicatie. Onze gratis Security Scan is precies voor die eerste ronde bedoeld.