Wat is een bedrijfs­netwerk pentest

Soorten bedrijfsnetwerk pentests

Een pentest kan uitgevoerd worden in verschillende maten en vormen. Bij een pentest op het bedrijfsnetwerk zijn deze vormen samen te vatten in drie onderdelen:

• Het bedrijfsnetwerk dat extern te bereiken is via het internet.
• Het bedrijfsnetwerk dat alleen vanuit intern bereikt kan worden. Hier kan gedacht worden aan uw kantooromgeving.
• Het draadloze netwerk (WiFi-netwerken)

Hieronder volgt een uitleg van elke testsoort, inclusief informatie over de gebruikte methodologie.

Wat wordt er bij een bedrijfsnetwerk pentest getest?

De bedrijfsnetwerk pentest wordt afgestemd op uw behoeften, of u nu het volledige bedrijfsnetwerk wilt testen of alleen bepaalde onderdelen. Om een volledig beeld te krijgen van uw cyberweerbaarheid adviseren wij wel om voor een volledige pentest te kiezen. Want bij beveiliging geldt: het is zo sterk als de zwakste schakel. Hieronder vindt u de onderdelen die wij kunnen onderzoeken:

• Netwerkarchitectuur: wordt er gebruik gemaakt van netwerksegmentatie?
• Netwerkapparaten: zijn de routers, switches, firewalls etc. veilig geconfigureerd?
• Gebruikte besturingssystemen: zijn al de besturingssystemen up-to-date?
• Gebruikte software op apparaten: is al de software up-to-date?
• Active Directory: is het windows-domein veilig geconfigureerd?

Zoals u kunt lezen is een pentest op een bedrijfsnetwerk zeer omvangrijk. Daarnaast blijft een pentest een momentopname. Het is dan ook onmogelijk om alle mogelijke kwetsbaarheden die een netwerk kunnen treffen, uitputtend te behandelen. Het doel van onze testmethodologie is dan ook te fungeren als een baseline, waarbij zo nodig aanvullende pentests uitgevoerd kunnen worden.

Hoe pentesten wij een bedrijfsnetwerk?

De kwaliteit van een pentest wordt mede bepaald door de gebruikte methodiek. Om een succesvolle bedrijfsnetwerk pentest uit te voeren hanteren wij de Penetration Testing Execution Standard (PTES) als leidraad voor de pentest. Deze methodiek is onderverdeeld in zeven faseringen die de structuur bepalen van de werkzaamheden die worden uitgevoerd. Onderstaand wordt per fase uitgelegd hoe wij te werk gaan.

1. Intelligence Gathering

Er wordt zo veel mogelijk informatie over het doelwit verzameld uit (publiek) beschikbare bronnen. Dit proces wordt ook wel open-source intelligence (OSINT) genoemd.

2. Threat modeling

De gevonden informatie wordt gewaardeerd en er wordt vastgesteld welke informatie relevant is voor de pentest. Er wordt in kaart gebracht welke objecten de meeste kans hebben om succesvol uitgebuit te worden. In dit stadium zal de pentester de gegevens die in de vorige fase gevonden is gebruiken om de aanval te beginnen.

3. Vulnerability Analysis

Aan de hand van de verzamelde informatie wordt actief gezocht naar kwetsbaarheden in het doelwit. Dit gebeurt middels een combinatie van geautomatiseerde software en de handmatige creativiteit van de pentester.

4. Exploitation

Er wordt op een uiterst voorzichtige manier geprobeerd om de beveiliging van het systeem te doorbreken. Dit om toegang te krijgen tot het testsubject.

5. Post-Exploitation

De informatie van het gecompromitteerde systeem wordt opnieuw geïnventariseerd en gewaardeerd. Daarna wordt er vastgesteld of deze informatie gebruikt kan worden om verder het netwerk binnen te dringen.

6. Reporting

Alle bevindingen worden samengebracht in een helder uitgewerkt rapport. Allereerst wordt er zonder technische terminologie een samenvatting gegeven van de pentest. Vervolgens wordt er per technische bevinding middels een CVSS-score een risicoclassificatie gegeven. Tenslotte wordt er een aanbeveling gedaan die u helpen bij het verhelpen van de kwetsbaarheid.

7. Hertest

Het is optioneel mogelijk om een hertest uit te laten voeren. Tijdens deze hertest controleren wij de effectiviteit van de oplossing. Het resultaat van deze hertest kan tevens verwerkt worden in het rapport. U kunt deze rapportage bijvoorbeeld gebruiken om externe partijen (afnemers, partners, auditors, etc.) te overtuigen van de cyberweerbaarheid van uw bedrijfsnetwerk.

Waarom een bedrijfsnetwerk pentest uitvoeren?

Als een aanvaller het voorzien heeft op een organisatie, is zijn uiteindelijke doel toegang krijgen tot het interne netwerk van die organisatie. Hij zal dit proberen door de publieke infrastructuur aan te vallen of door gebruik te maken van social engineering-aanvallen, zoals phishing.

Zodra een aanvaller initieel toegang heeft tot het interne netwerk, zal hij meestal proberen om de kroonjuwelen van de organisatie te vinden en te compromitteren. De kroonjuwelen kunnen de gegevens of bedrijfsmiddelen zijn die het meest waardevol zijn voor uw organisatie. Hier kan gedacht worden aan uw patenten.

Aanvallers doen dit door het netwerk te doordringen, verschillende accounts en systemen te compromitteren en geleidelijk aan steeds dieper toegang te krijgen. Dit doen zij totdat ze hun doel hebben bereikt.

Door het laten uitvoeren van een bedrijfsnetwerk pentest kunt u deze hackers voor zijn. U kunt de pentest gebruiken om te bepalen hoe goed u beschermd bent tegen cyberaanvallen. Tijdens de test zullen wij de zwakke plekken in uw netwerk en paden naar uw kroonjuwelen identificeren. Daarnaast geven wij een advies hoe u de beveiliging van deze zwakke plekken kunt verbeteren. Hiermee kunt u kwaadwillende hackers, en de eventuele bijkomende schade die zij meebrengen, een stap voorblijven.

Verschil tussen een Vulnerability Assessment en een bedrijfsnetwerk pentest

Pentests.nl biedt vulnerability assessment en pentest diensten aan. Deze kunnen worden gebruikt om kwetsbaarheden in een netwerk van een organisatie te identificeren. Beide begrippen worden soms met elkaar verward maar ze verschillen van elkaar in de mate van detail die ze bieden, als gevolg van de hoeveelheid (handmatige) inspanning die nodig is.

Vulnerability Assessment

Een vulnerability assessment, ook wel vulnerability scan genoemd, biedt op hoog niveau een overzicht van de kwetsbaarheden die aanwezig kunnen zijn in uw netwerk. We vermelden hier nadrukkelijk het woord “kunnen”. Dit omdat deze beveiligingsscans bijna volledig geautomatiseerd zijn. Dit is een kosteneffectieve oplossing voor organisaties die een snelle inventarisatie willen maken van potentiële beveiligingslekken in hun netwerk. Tijdens deze beveiligingsscan wordt er niet in detail naar de bevindingen gekeken zoals bij een handmatige pentest gebeurt. Daarnaast mist deze geautomatiseerde scan vaak de context van de systemen en is er een reële kans dat er een onvolledig beeld van uw beveiligingsniveau geschetst wordt.

Bedrijfsnetwerk pentest

Het laten uitvoeren van een handmatige bedrijfsnetwerk penetratietest op uw netwerk simuleert dezelfde aanpak en vaardigheden die een kwaadwillende hacker zou gebruiken. Tijdens de pentest voeren onze OSCP-gecertificeerde pentesters een gerichte aanval op uw netwerk uit, met als uiteindelijk doel het verkrijgen van administratieve toegang tot uw werkstations en servers. Er worden naast geautomatiseerde tests ook specifieke handmatige tests uitgevoerd die een realistische aanval simuleren. Hiermee krijgt u een duidelijker en vollediger beeld van uw weerbaarheid tegen cyberaanvallen.