Welke verschillende soorten penetratietesten zijn er?

Penetratietests proberen zwakheden of kwetsbaarheden in systemen, netwerken, medewerkers of fysieke activa uit te buiten om de effectiviteit van beveiligingscontroles te testen.

Er zijn verschillende soorten penetratietesten en een penetratietest kan extern of intern worden uitgevoerd om verschillende aanvalsvectoren te simuleren. Afhankelijk van de doelen van elke test, heeft een penetratietester al dan niet voorkennis van de omgeving en systemen die ze proberen te doorbreken. Dit is opgesplitst in black box, white box en grey box penetratietesten.

Black Box penetratietesten

De meest uitgebreide pentest is de black box penetratietest (ook wel externe penetratietest genoemd). Bij dit type test krijgt de pentester weinig tot geen informatie over de IT-infrastructuur van een bedrijf. Er wordt een echte cyberaanval gesimuleerd, waarbij de pentester de rol van een ongeïnformeerde aanvaller op zich neemt.

Een black box penetratietest kan een aantal weken in beslag nemen, waardoor het een van de langste typen penetratietesten is. Deze tijd gaat zitten in het plannen en uitvoeren van de aanval, het testen zelf en het voltooien van het rapport. Er wordt gebruik gemaakt van een

“trial and error”-benadering om toegang te verschaffen, maar er is een hoge mate van technische vaardigheid bij dit proces betrokken.

White Box penetratietesten

Bij een white box penetratietest, heeft de pentester volledige kennis heeft van en toegang tot de broncode en de omgeving. Het doel van dit type pen testing is om een diepgaande beveiligingsaudit van de systemen van een bedrijf uit te voeren en de pentester zoveel mogelijk details te geven.

Hierdoor zijn de tests zeer grondig. De pentester heeft toegang tot gebieden waar een black box-test niet bij kan, zoals de kwaliteit van de code en het ontwerp van de applicatie.

Gray Box penetratietesten

Bij een grey box penetratietest heeft de pentester gedeeltelijke kennis van of toegang tot een intern netwerk of webapplicatie. De tester kan bijvoorbeeld worden gevraagd om toegang te krijgen tot softwarecode en systeemarchitectuurdiagrammen. De rapportage van dit type pentest zorgt voor een gerichte en efficiënte beoordeling van de beveiliging van jouw netwerk biedt.

In plaats van tijd te besteden aan “trial and error”, kunnen pentesters die een gray box pentest uitvoeren zich op bepaalde punten richten om zo gebieden met het grootste risico te identificeren.

Continue proces

Cybercriminelen houden zich niet aan de regels en zijn buitengewoon creatief en gedreven in het vinden van alternatieve manieren om in jouw systeem te komen. Vaak slagen ze hier nog in ook! Het uitvoeren van (periodieke) pen testen speelt een belangrijke rol in jouw cybersecurity. Vergeet ook niet om applicaties en systemen nogmaals te pentesten na het aanbrengen van de voorgestelde verbeteringen. Zo kan je beoordelen of oude problemen zijn opgelost en of er onverhoopt geen nieuwe beveiligingsrisico’s zijn ontstaan.