Wat is een pentest?
Een pentest (penetratietest) is een gecontroleerde aanval op je applicaties, API's, cloudomgeving of infrastructuur door ethische hackers, met jouw schriftelijke toestemming en binnen een vooraf afgesproken scope. Het doel is kwetsbaarheden vinden voordat een echte aanvaller dat doet, en ze zo rapporteren dat je ze kunt oplossen.
Security readiness gaat een stap verder: hoe goed is je organisatie voorbereid op een echte aanval, van detectie tot respons? De uitvoering ligt bij ThreatWorks, ons label voor offensive security en security readiness.
Uitvoering: ThreatWorks — Offensive Security & Security Readiness. Over onze labels
Wanneer een pentest zinvol is
- Voor de livegang van een nieuwe applicatie, API of grote wijziging.
- Wanneer klanten, auditors of toezichthouders om onafhankelijke toetsing vragen.
- Na een migratie naar een nieuwe cloud- of platformomgeving.
- Wanneer je wilt weten of detectie en respons werken zoals bedoeld.
Onze aanpak
Scope en scenario's bepalen
Wat is de kroonjuwelen-vraag: welk misbruik zou de meeste schade veroorzaken.
Testen
Black-, grey- of white-box op applicatie, API, cloud of infrastructuur, afhankelijk van het doel.
Rapporteren
Bevindingen met bewijs, impact, reproductiestappen en een concreet herstelvoorstel.
Hertesten
Na herstel opnieuw toetsen en de status vastleggen.
Wat je concreet krijgt
- Scope- en scenariodocument
- Technisch rapport met reproductiestappen
- Managementsamenvatting met risicoduiding
- Herstelvoorstellen per bevinding
- Hertestrapport
Hoe we samenwerken
Korte lijn tijdens de test
Kritieke bevindingen melden we direct, niet pas in het eindrapport.
Herstel samen oppakken
Onze applicatie-specialisten kunnen desgewenst meehelpen met het herstel.
Wat het oplevert
Realistisch beeld van je weerbaarheid
Getest op scenario's die passen bij je werkelijke dreigingsbeeld.
Bevindingen die opgelost worden
Rapportage is geschreven voor ontwikkelaars, met prioriteit voor het management.
Aantoonbaar herstel
De hertest legt vast wat daadwerkelijk is opgelost.
Grenzen en afwegingen
- Een pentest wordt alleen uitgevoerd na schriftelijke autorisatie en met een vastgelegde scope, testperiode en contactpersonen.
- Een pentest is een momentopname binnen de afgesproken scope. Hij garandeert niet dat een systeem veilig is.
- Systemen van derden, zoals SaaS- of cloudaanbieders, testen we alleen binnen de regels die die aanbieders stellen.
Veelgestelde vragen
Wat is het verschil tussen een pentest en een vulnerability scan?
Een vulnerability scan is geautomatiseerd en zoekt naar bekende kwetsbaarheden. Een pentest wordt door mensen uitgevoerd, combineert bevindingen en test of ze in de praktijk misbruikt kunnen worden.
Wat moeten we vooraf regelen?
Een schriftelijke opdracht met scope, testperiode, testaccounts waar nodig, contactpersonen en afspraken over wat te doen bij een kritieke bevinding tijdens de test.
Wat krijgen we na de test?
Een rapport met per bevinding de impact, de reproductiestappen en een concreet herstelvoorstel, een managementsamenvatting en desgewenst een hertest nadat de bevindingen zijn opgelost.
Zijn we na een pentest veilig?
Een pentest laat zien welke kwetsbaarheden er binnen de scope en op dat moment gevonden zijn. Dat is waardevol, maar geen garantie. Regelmatig testen en security in het ontwikkelproces inbouwen blijft nodig.
Ook binnen dit domein