Een penetratietest (ook wel Pentest genoemd) is een gecontroleerde simulatie van een cyberaanval, uitgevoerd op een computersysteem, netwerk of (web)applicatie. Het doel is om kwetsbaarheden in het systeem te identificeren en zo de veiligheid te verbeteren. Binnen Grip IT onderscheiden we drie verschillende soorten Pentests:

• De Vulnerabilityscan
• De Security Audit
• De Pentest

Vulnerabilityscan

De Vulnerabilityscan is een methode om computersystemen, netwerken of (web)applicaties te controleren op kwetsbaarheden of zwakke plekken die misbruikt kunnen worden door kwaadwillende partijen. We scannen het systeem op bekende zwakke punten, zoals verouderde software, onjuist geconfigureerde beveiligingsinstellingen of ontbrekende patches. Het doel van de Vulnerabilityscan is om potentiële risico’s te identificeren, zodat je proactief maatregelen kunt nemen om de systemen van jouw organisatie beter te beveiligen tegen mogelijke aanvallen. De scan kan zowel op interne infrastructuur als (web)applicaties worden uitgevoerd.

Als we de interne infrastructuur testen, plaatsen we hardware op locatie die gedurende 3-4 weken alle systemen scant op kwetsbaarheden.

Security Audit

“Naast de Vulnerabilityscan heeft Grip IT Consultancy een Security Audit ontwikkeld die bedrijven meer inzicht biedt in de status van hun ICT-beveiliging en waar mogelijke (data)lekken voorkomen kunnen worden.”

In de AVG wordt er slechts in één artikel daadwerkelijk over security gesproken, maar dit is een belangrijk en feitelijk allesomvattend artikel (artikel 32). Hierin staat:

“Rekening houdend met de stand van de techniek dienen de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen.”

Dit spoort bedrijven aan om hun ICT-beveiliging op orde te brengen en te behouden.

Deze Security Audit biedt inzicht in de procesmatige en fysieke aspecten van het omgaan met en verwerken van persoonsgegevens (de Vulnerabilityscan maakt dus ook deel uit van de Security Audit).

Naast de uit te voeren Vulnerabilityscan omvat de Security Audit ook de volgende onderdelen:

• Algemeen beleid en procedures op Informatiebeveiliging (o.a. databeleid en wachtwoordbeleid)
• Administrator Toegang en Rechten
• Updates & Patches
• Back-up – en Restore Procedures
• Calamiteiten plan/ Business Continuity Management
• Configuratie Beheer
• Toepassing Encryptie
• Netwerk Configuratie (o.a. Routers, Switches, IP, DNS, Poorten, Internet Verbindingen)
• Logging
• Fysieke Toegangscontrole
• Data Transport (tapes, disks)
• Werkplek Beveiliging
• Externe port scanning
• Intern port scanning
• Wi-Fi scanning

Pentest

De Pentest is grotendeels een combinatie van de bovenstaande testen, hierbij proberen we ook daadwerkelijk toegang te krijgen tot de omgeving en de gevonden kwetsbaarheden uit te buiten. Samen met jullie bepalen we de scope van de Pentest en hoe diep we in het systeem moeten proberen te komen. Ook bepalen we welke soort Pentest we uitvoeren, aangezien er drie vormen zijn.

• Black box Pentest

Een black box Pentest betekent dat de pentester vooraf weinig tot geen informatie ontvangt over de IT-infrastructuur of webapplicatie van je organisatie. Dit zorgt voor een zo realistisch mogelijke setting, aangezien de meeste hackers ook weinig tot geen informatie beschikken. De ethische hacker kruipt in de huid van een kwaadwillende hacker en onderzoekt verschillende aanvalspaden die een kwaadwillige hacker zou kunnen gebruiken. Deze variant is echter minder grondig, aangezien de pentester niet weet of alle belangrijke onderdelen worden meegenomen in de test. Een black box Pentest is vooral geschikt als je een algemeen overzicht wilt krijgen van de beveiliging van je organisatie.

• Grey box Pentest

Bij een grey box Pentest krijgt de ethische hacker wat meer informatie, zoals inloggegevens en toegang tot een intern netwerk. Dit biedt een realistischere weergave van de situatie, aangezien goed geïnformeerde hackers doorgaans over soortgelijke toegang beschikken. Deze variant biedt een completer inzicht in je beveiligingsniveau, omdat de pentester bekend is met je belangrijkste systemen en kwetsbaarheden.

• White box Pentest

Bij een  White box Pentest krijgt de ethische hacker volledige toegang tot informatie over jouw infrastructuur of (web) applicatie. Hierdoor kan de pentester een grondige en diepgaande test uitvoeren. Doordat veel details gedeeld worden met de pentester, kan hij ook in detail gaan onderzoeken.

Voor onze Vulnerabilityscan en Security Audit werken we met een vast prijsmodel. Voor een Pentest kan de prijs pas bepaald worden zodra de scope van de opdracht volledig in kaart is gebracht.

Voor elke test geldt: Na uitvoering krijgen jullie een rapportage opgeleverd, met hierin de status van de ICT-beveiliging, die als volgt is opgebouwd:

• Resultaten van de scan, de bevindingen van de scan worden gedocumenteerd;
• Aanbevelingen vanuit Grip-IT Consultancy waarmee de bevindingen gemitigeerd of opgelost kunnen worden;
• Eventuele te nemen vervolgstappen.

MEER WETEN….