Een penetratietest werkt stap voor stap als volgt: een gecertificeerde specialist simuleert een gerichte aanval op jouw systemen, netwerk of applicaties om kwetsbaarheden te ontdekken voordat een echte aanvaller dat doet. Het proces volgt een vaste methodiek die loopt van voorbereiding en verkenning tot exploitatie en rapportage. Hieronder beantwoorden we de meest gestelde vragen over hoe een pentest in de praktijk werkt.
Wat gebeurt er tijdens de voorbereidingsfase van een pentest?
Tijdens de voorbereidingsfase leggen de opdrachtgever en de pentester samen de spelregels vast. Dit noemen we de scope: welke systemen, netwerken of applicaties mogen worden getest, welke methoden zijn toegestaan en wat de tijdvensters zijn. Zonder duidelijke afspraken bestaat het risico op ongewenste verstoringen van bedrijfsprocessen.
In de praktijk resulteert deze fase in een zogenaamd Rules of Engagement-document. Daarin staat onder andere:
- Welke IP-adressen, domeinen of applicaties in scope vallen
- Welke aanvalstechnieken wel en niet zijn toegestaan
- Wie het aanspreekpunt is bij calamiteiten tijdens de test
- Of medewerkers op de hoogte zijn van de test (of juist niet)
Een goede voorbereiding bepaalt voor een groot deel de kwaliteit van de uiteindelijke test. Hoe duidelijker de scope, hoe gerichter de pentester te werk kan gaan en hoe bruikbaarder de bevindingen zijn voor jouw organisatie.
Hoe verzamelen pentesters informatie over een doelwit?
Pentesters verzamelen informatie over een doelwit via een fase die reconnaissance of verkenning heet. Ze brengen in kaart welke systemen, domeinen, IP-adressen en technologieën een organisatie gebruikt, vaak zonder ook maar één pakketje naar het netwerk te sturen. Dit heet passieve verkenning en is volledig legaal omdat de informatie publiek beschikbaar is.
Passieve verkenning
Bij passieve verkenning gebruiken pentesters openbare bronnen zoals DNS-records, WHOIS-databases, zoekmachines en sociale media. Ze analyseren vacatureteksten om te achterhalen welke software een bedrijf gebruikt, of zoeken op platforms als LinkedIn naar medewerkersnamen die bruikbaar zijn bij social engineering-aanvallen.
Actieve verkenning
Bij actieve verkenning sturen pentesters gericht verkeer naar de systemen van het doelwit. Ze gebruiken tools om open poorten te scannen, actieve services te identificeren en versienummers van software te achterhalen. Die informatie onthult welke bekende kwetsbaarheden mogelijk van toepassing zijn. Actieve verkenning valt al binnen de eigenlijke testfase en vereist expliciete toestemming.
Hoe proberen pentesters toegang te krijgen tot systemen?
Pentesters proberen toegang te krijgen door bekende kwetsbaarheden actief te misbruiken, een techniek die exploitatie heet. Ze combineren informatie uit de verkenningsfase met aanvalstechnieken om zwakke plekken in software, configuraties of menselijk gedrag te benutten. Het doel is niet om schade aan te richten, maar om te bewijzen dat een aanvaller dezelfde weg zou kunnen volgen.
Veelgebruikte aanvalsmethoden zijn:
- Misbruik van softwarekwetsbaarheden: verouderde software bevat bekende beveiligingsgaten die pentesters kunnen activeren
- Wachtwoordaanvallen: brute force of het gebruik van gelekte wachtwoordlijsten om accounts over te nemen
- Phishing-simulaties: nep-e-mails sturen om medewerkers te verleiden inloggegevens in te vullen
- Misconfiguraties benutten: foutief geconfigureerde firewalls, cloudopslag of rechtenstructuren geven onbedoeld toegang
Zodra toegang is verkregen, onderzoeken pentesters hoe ver ze zich binnen het netwerk kunnen bewegen. Dit heet lateral movement en laat zien hoeveel schade een aanvaller kan aanrichten nadat hij eenmaal binnen is.
Wat is het verschil tussen een black box en white box pentest?
Het verschil tussen een black box en white box pentest zit in de hoeveelheid informatie die de pentester vooraf krijgt. Bij een black box pentest start de tester zonder enige voorkennis, precies zoals een externe aanvaller dat zou doen. Bij een white box pentest krijgt de tester volledige toegang tot documentatie, broncode en systeeminformatie.
Beide varianten hebben hun eigen toepassingsgebied:
- Black box: realistisch beeld van hoe een externe aanvaller jouw organisatie ziet. Tijdsintensiever, maar geeft inzicht in de zichtbaarheid van kwetsbaarheden van buitenaf.
- White box: grondiger en efficiënter. Geschikt voor het testen van specifieke applicaties of infrastructuur waarbij diepgang belangrijker is dan realisme.
- Grey box: een tussenvorm waarbij de tester beperkte informatie krijgt, vergelijkbaar met een medewerker of leverancier met gedeeltelijke systeemtoegang.
Voor cybersecurity in het MKB is een grey box pentest vaak de meest praktische keuze: het biedt een goede balans tussen realisme en testdiepte, zonder de hoge tijdsinvestering van een volledige black box-aanpak.
Wat staat er in een penetratietestrapport?
Een penetratietestrapport beschrijft alle gevonden kwetsbaarheden, de aanvalspaden die zijn gebruikt en concrete aanbevelingen om de beveiligingsproblemen op te lossen. Een goed rapport is begrijpelijk voor zowel technische medewerkers als management, en maakt duidelijk welke risico’s direct aandacht vereisen.
Een volledig pentestrapport bevat doorgaans de volgende onderdelen:
- Managementsamenvatting: een niet-technisch overzicht van de belangrijkste bevindingen en het algemene risiconiveau
- Scope en methodiek: wat er getest is en welke aanpak is gehanteerd
- Bevindingen per kwetsbaarheid: een beschrijving van elk probleem, de ernst (kritiek, hoog, medium, laag) en bewijs van exploitatie
- Aanbevelingen: concrete stappen om elke kwetsbaarheid te verhelpen, gerangschikt op prioriteit
- Technische bijlagen: logbestanden, screenshots en gebruikte tools voor de technische medewerkers
De ernst van kwetsbaarheden wordt vaak uitgedrukt via een standaard zoals CVSS (Common Vulnerability Scoring System). Dit helpt je om te bepalen welke problemen je als eerste aanpakt.
Hoe vaak moet een bedrijf een penetratietest laten uitvoeren?
Een bedrijf moet een penetratietest minimaal één keer per jaar laten uitvoeren. Daarnaast is een extra pentest verstandig na grote wijzigingen in de infrastructuur, na het lanceren van nieuwe applicaties of na een beveiligingsincident. Voor organisaties die vallen onder de NIS2-richtlijn geldt dat periodiek testen een concrete verplichting is.
De optimale testfrequentie hangt af van een aantal factoren:
- Branche en regelgeving: sectoren zoals zorg, financiën en overheid kennen strengere eisen rondom ICT security
- Omvang van wijzigingen: elke significante aanpassing aan systemen of netwerken introduceert nieuwe risico’s
- Dreigingsniveau: organisaties die gevoelige data verwerken of opereren in vitale sectoren testen vaker
- Eerdere bevindingen: na het verhelpen van kritieke kwetsbaarheden wil je bevestigen dat de oplossing effectief is
Een jaarlijkse pentest is een goed startpunt, maar beschouw het niet als een losstaand moment. Combineer het met doorlopende monitoring en vulnerability management voor een structureel sterk beveiligingsniveau.
Hoe wij helpen met penetratietesten en cybersecurity
Wij bieden penetratietesten aan via onze samenwerking met ThreadStone, een CCV-gecertificeerde partnerorganisatie. De pentesten simuleren realistische aanvallen op jouw systemen en leveren een overzichtelijk rapport op met concrete aanbevelingen. Zo weet je precies waar de zwakke plekken zitten en wat je als eerste moet aanpakken.
Onze aanpak gaat verder dan een eenmalige test. Wij combineren pentesten met een breder cybersecuritypakket dat past bij jouw organisatie:
- Security 0-meting: een volledig assessment van je huidige beveiligingsniveau, inclusief infrastructuur, processen en medewerkersbewustzijn
- Vulnerability Management: doorlopende monitoring van zwakke plekken in je systemen en netwerk
- Managed Detection & Response (MDR): 24/7 bewaking van alle endpoints via ons eigen Security Operations Center
- Security Awareness Training: phishing-simulaties en e-learnings via KnowBe4 om medewerkers weerbaar te maken
- NIS2-begeleiding: voor organisaties in vitale en essentiële sectoren begeleiden wij het behalen van het NIS2 Quality Mark
Wil je weten hoe jouw organisatie er op dit moment voor staat? Neem contact met ons op voor een vrijblijvend gesprek over een Security 0-meting of een periodieke penetratietest.
Related Articles
- Wat moet je doen in de eerste 72 uur na een datalek?
- Waarom denken veel ondernemers ten onrechte dat zij geen doelwit zijn voor hackers?
- Wat is een SIEM-systeem en heb je dat als MKB nodig?
- Hoe bescherm je zakelijke e-mail tegen spoofing met DKIM, DMARC en SPF?
- Wat kost een cyberaanval een gemiddeld MKB-bedrijf in Nederland?