Penetratietesten en Ethisch Hacken

Kiwa’s penetratietesten betekenen een rigoureuze test van de cybersecurity van systemen met als doel om mogelijke kwetsbaarheden en zwakke punten te ontdekken. Op deze manier krijgt u een goed beeld van de bijbehorende risico's en bedreigingen die mogelijk schadelijk kunnen zijn voor uw bedrijf, organisatie of systeem. De experts van Kiwa combineren specifieke branchekennis met uitgebreide beveiligingservaring, waardoor we een organisatie, bedrijf of systeem grondig kunnen verkennen vanuit het perspectief van een hacker en rigoureuze penetratietests kunnen uitvoeren.

Wat is penetratietesten of ethisch hacken?

Een penetratietest, niet te verwarren met een vulnerability assessment, bestaat uit twee delen:

• Simulatie
  Het eerste deel is het simuleren van een hack of een cyberaanval op een organisatie of bedrijf via een of meer van hun systemen. Daarbij proberen Kiwa’s ethische hackers toegang te krijgen tot de ‘kroonjuwelen’ van de organisatie (bijvoorbeeld de persoonlijke gegevens van klanten) door gebruik te maken van mogelijke kwetsbaarheden. Uiteraard wordt deze gesimuleerde aanval uitgevoerd volgens vooraf afgesproken spelregels.
• Rapportage
  Het tweede deel van de penetratietest bestaat uit het rapporteren over de gevonden kwetsbaarheden. Deze kwetsbaarheden kunnen mogelijk schadelijk zijn voor de organisatie of het bedrijf en zijn onderverdeeld in verschillende risiconiveaus. De rapporten die Kiwa na de gesimuleerde aanval oplevert, omvatten onder meer:
  • Een samenvatting die de algemene context van de bevindingen van onze penetratietest illustreert;
  • Een overzicht van en uitgebreide uitleg over de gevonden beveiligingsproblemen en kwetsbaarheden;
  • De bijbehorende risiconiveaus met betrekking tot de mogelijke impact.

Soorten pentests die Kiwa aanbiedt

Een penetratietest kan drie verschillende formats hebben. Bij elk daarvan wordt een andere benadering gehanteerd voor het simuleren van een cyberaanval:

• ‘White box’ penetratietest
  Alle benodigde informatie (zoals systeeminformatie, toegang tot high level privilege accounts, broncode, etc.) wordt vooraf aan Kiwa verstrekt. Met deze info komt Kiwa tot een plan om de exploitatie uit te voeren om de kroonjuwelen te bereiken.
• ‘Black box’ penetratietest
  Kiwa heeft géén inside informatie over het systeem dat moet worden getest. Algemeen beschikbare informatie over dit systeem (bijvoorbeeld te vinden via Google) is de basis waarop Kiwa zal proberen het systeem binnen te dringen en toegang te krijgen tot de kroonjuwelen.
• ‘Grey box’ penetratietest
  Een combinatie van de vorige twee waarbij beperkte kennis van het doelwit wordt gedeeld met Kiwa. Denk daarbij aan architectuur, achtergrondinformatie en toegang tot low level privilege accounts.

Wat kan er gepentest worden?

• Mobiele apps;
• Web apps;
• Digitale producten (IoT-apparatuur);
• Ecosystemen en of installaties die bestaan uit een heterogene verzameling van apparaten en systemen;
• Netwerken.