Pentest of vulnerability scan: wat heeft uw organisatie nodig?

Kort antwoord: een vulnerability scan zoekt geautomatiseerd naar bekende kwetsbaarheden in uw systemen en is bedoeld om continu zicht te houden op uw oppervlak. Een pentest laat een ethisch hacker met de hand en met verbeeldingskracht proberen écht binnen te komen, en bewijst welke keten van bevindingen tot daadwerkelijke inbraak leidt. De één vervangt de ander niet: de scan is uw rookmelder, de pentest uw brandinspectie.

Wat een vulnerability scan wel en niet vindt

Een scan vergelijkt uw software-versies, configuraties en diensten met bekende databronnen zoals CVE-registraties. Dat werkt goed voor:

• verouderde software en ontbrekende patches;
• standaard misconfiguraties (open poorten, verouderde TLS, standaardwachtwoorden);
• het vastleggen van trends: neemt uw risico af of toe over de maanden?

Wat een scan van nature mist: onbekende kwetsbaarheden (zero-days), fouten in bedrijfslogica — een kortingscode die twee keer geldig is, een factuurflow die negatieve bedragen accepteert — en alles wat alleen zichtbaar wordt als je meerdere kleine bevindingen aan elkaar knoopt. Scans melden bovendien “mogelijk kwetsbaar”; of iets echt uit te buiten is, weet u pas als iemand het aantoont.

Wat een pentest toevoegt

Bij een pentest werkt een tester volgens een erkende methodiek (gangbaar zijn de OWASP Web Security Testing Guide en, voor API’s, de OWASP API Security Top 10) handmatig langs uw applicatie of infrastructuur. Centraal staan:

• Authenticatie en autorisatie: kan gebruiker A bij data van gebruiker B? In de praktijk zit hier de schade.
• Bedrijfslogica: wat mag een order, een afspraak of een betaling in úw proces doen?
• Koppelingen en API’s: de aanvalvlakken die scanners nauwelijks zien.
• Bewijs in plaats van vermoeden: een geslaagde, gecontroleerde reproducerbare exploit met impact-inschatting.

In een goede rapportage staat per bevinding hoe u deze reproduceert, wat het risico is en hoe u deze oplost; bij periodieke dienstverlening hoort een hercontrole van opgeloste bevindingen.

Vergelijking in één oogopslag

Wanneer kiest u wat?

1. Continu zicht nodig, beperkt budget: begin met gestructureerd scannen en vulnerability management — mits er ook iemand de uitkomst beheert en verwerkt.
2. Klantgegevens, betalingen, Accountantscontrole, Cyberbeveiligingswet/NIS2: dan is periodiek handmatig testen geen luxe; een scan alleen dekt die toets niet.
3. Grote release of nieuw platform: pentest vóór livegang, scan erna structureel.
4. Al een scan, nooit een pentest gehad: doe één baseline-pentest om te ontdekken wat de scan al die tijd niet zag.

Checklist voordat u iets afneemt

• Staat de scope en werkwijze op papier (wat wél en niet getest wordt)?
• Worden automatische resultaten handmatig geverifieerd (minder ruis)?
• Kunt u het rapport aan uw auditor of verzekeraar overleggen?
• Is een hercontrole van herstelde bevindingen inbegrepen?
• Weet u wie binnen uw organisatie bevindingen oppakt en wanneer?

Concreet aan de slag

Intune Solutions voert zowel periodieke pentests als pentest-as-a-service uit als voortdurend web-security-scannen. Wilt u weten welke combinatie bij uw organisatie past? Neem contact op voor een korte, vrijblijvende inventarisatie.

Bronnen: OWASP Web Security Testing Guide (owasp.org), OWASP API Security Top 10.