Penetratietesten

De veiligheid van data staat bij Maxdoro voorop. Een manier om de veiligheid van een digitale omgeving te bewijzen, is om te proberen de ICT-omgeving binnen te dringen. Dit worden penetratietesten, pentests of binnendringtests genoemd. Het doel van een pentest is om inzicht te krijgen in de veiligheid en de kwetsbaarheid van bestaande systemen, websites en of mobiele applicaties. Hierbij wordt gebruik gemaakt van verschillende methoden, technieken en hulpmiddelen.

Van veel mobiele applicaties die wij hebben gerealiseerd, is de bescherming van privacygevoelige informatie en tevens gebruiksvriendelijkheid van de applicatie het belangrijkste focusgebied. Deze ervaring en expertise in pentesting stellen wij ook ter beschikking aan onze klanten in de vorm van een detacheringstraject of een onderdeel van het Team as a Service.

Verschillende methodieken

Er zijn veel verschillende vormen pentests. Het verschil zit hem in de hoeveelheid kennis en achtergrondinformatie die de tester krijgt:

• Black box: de pentester krijgt minimale voorkennis.
• White box: de pentester krijgt voorafgaande aan de test inzicht in alle aspecten van de systeemarchitectuur.
• Grey box: de pentester krijgt gedeeltelijke informatie. Bijvoorbeeld een inlogaccount om te testen.
• Crystal box: onze pentester beschikt over de broncode van de applicatie en heeft toegang tot alle mogelijke configuratie-informatie.
• Time box: een test waarbij de doorlooptijd of de kosten bepalen wanneer de test ophoudt, bijvoorbeeld: hoe ver kan een team ervaren pentesters in drie dagen komen?

Afhankelijk van de afspraak gebruikt een pentester enkel publiekelijk beschikbare bronnen, zoals websites en social media, of meer achtergrondinformatie. Daarnaast zal hij ook via ‘social engineering’ proberen via informatie of handelingen van medewerkers proberen om binnen te dringen.

Penetratietesten kunnen bestaan uit interne en externe aanvalscenario’s. Interne aanvallen zijn pogingen om toegang tot het informatiesysteem te krijgen, nadat toegang verkregen is tot een component binnen de infrastructuur van een organisatie. Externe aanvallen zijn pogingen om binnen te dringen vanaf een willekeurige computer buiten de infrastructuur van een organisatie.

Alle vormen van penetratietesten kunnen worden uitgevoerd op verschillende lagen in het systeem, zowel op de infrastructuurlaag als op de applicatielaag. De infrastructuurlaag omvat servers, besturingssystemen, netwerkapparatuur en beveiligingscomponenten. Deze worden op de applicatielaag uitgevoerd als de onderzochte server bijvoorbeeld een applicatie- of webserver is. Er wordt dan gekeken of de applicatie mogelijk lekken bevat, die de veiligheid van het informatiesysteem of de achterliggende ICT-infrastructuur in gevaar brengt.

Meer weten?

Wilt u meer werken? Maak een vrijblijvende afspraak met ons via +31 33 4627707 of info@maxdoro.nl of het onderstaande contactformulier. We denken graag met u mee voor de best passende oplossing.