Een penetratietest (pentest) heeft als doel de beveiliging van een IT-systeem, netwerk of webapplicatie in kaart te brengen. In deze blog lees je over hoe we bij een pentest te werk gaan.
Onderzoek
Eerst gaan we het doel onderzoeken. We verzamelen informatie en proberen te begrijpen hoe het systeem werkt. We doen dit op twee manieren:
Passief onderzoek: Hierbij kijken we naar het systeem zonder het aan te raken. We gebruiken verschillende tools om informatie te verzamelen, zoals welk besturingssysteem het gebruikt, welke versie, enzovoort.
Actief onderzoek: Dit is wanneer we het systeem direct aanraken. De resultaten zijn preciezer, maar er is ook een risico dat we worden opgemerkt en geblokkeerd. Maar dit soort onderzoek is nodig om te weten welke programma's er draaien.
Scannen
Daarna gaan we het doel scannen. We zoeken naar makkelijke zwakke plekken en gebruiken een vulnerability scanner op het netwerk. We kijken naar actieve diensten, open poorten, en proberen zwakke punten en kwetsbaarheden te vinden. Via deze kwetbaarheden proberen we controle te krijgen over het desbetreffende systeem. Zodra de hacker controle heeft gekregen over een systeem noemen we dit een gecompromitteerd systeem.
Pivoting
De volgende stap is om het gecompromitteerde systeem als springplank te gebruiken om andere systemen of delen in het netwerk aan te vallen. Dit heet "pivoting" en is vooral nuttig om toegang te krijgen tot bepaalde systemen of delen in het netwerk die zijn afgeschermd van het openbare internet.
Social Engineering
Het scannen en vinden van zwakke punten is maar één manier om te hacken. Er zijn ook andere methodes. Bijvoorbeeld door gebruik te maken van de vriendelijkheid en het vertrouwen van mensen. Dit heet "Social Engineering".
Doel
Voordat we beginnen met een beveiligingsonderzoek wordt samen met de opdrachtgever de doelstelling bepaald. Hier zijn enkele voorbeelden:
Identificeren van beveiligingszwakke punten: Een pentest probeert zwakke punten in een systeem of netwerk te vinden die door een aanvaller kunnen worden misbruikt.
Verifiëren van de effectiviteit van beveiligingsmaatregelen: Organisaties implementeren verschillende soorten beveiligingsmaatregelen om hun systemen en netwerken te beschermen. Een pentest kan helpen bevestigen of deze maatregelen daadwerkelijk effectief zijn in het voorkomen of detecteren van aanvallen.
Voldoen aan regelgeving of industriestandaarden: Veel industrieën hebben normen of regelgeving die vereisen dat organisaties regelmatig pentests uitvoeren om te verifiëren dat hun systemen en netwerken voldoende beveiligd zijn.
Het verbeteren van het bewustzijn van de beveiliging: De resultaten van een pentest kunnen organisaties helpen beter te begrijpen waar hun beveiligingszwakke punten liggen en hoe ze deze kunnen aanpakken. Dit kan leiden tot een verbeterd beveiligingsbeleid en tot meer bewustzijn bij werknemers.
Risicobeoordeling: Door potentiële kwetsbaarheden en het risico van uitbuiting te identificeren, kunnen organisaties hun risicomanagement strategieën verbeteren en prioriteit geven aan beveiligingsinvesteringen.
Meer weten?
Joost van Wijk helpt je graag verder. Je kunt hem bereiken op: joost+website@mydigitals.nl