Pentest vs. kwetsbaarheidsscan: de belangrijkste verschillen

Inkopers horen de termen ‘penetratietest’ en ‘kwetsbaarheidsscan’ vaak door elkaar gebruiken, alsof ze hetzelfde betekenen. Dat is niet zo. Een kwetsbaarheidsscan is een geautomatiseerde controle die systemen vergelijkt met een database van bekende kwetsbaarheden. Een penetratietest is een afgebakende, door mensen uitgevoerde oefening waarbij een tester onderzoekt of kwetsbaarheden daadwerkelijk tegen een afgesproken doel kunnen worden gebruikt, en het bewijs vastlegt. Beide zijn nuttig. De juiste keuze hangt af van de vraag die u beantwoord wilt hebben, de volwassenheid van uw omgeving en wie de resultaten gaat lezen.

Wat het is

Een kwetsbaarheidsscan laat een tool los op hosts, websites of applicaties en rapporteert problemen die de tool herkent: ontbrekende patches, verouderde softwareversies, open diensten, zwakke TLS-instellingen of veelvoorkomende misconfiguraties. Scans zijn snel en herhaalbaar en passen daardoor goed bij regelmatige basishygiëne. De beperkingen zijn bekend. Scanners geven valse positieven, missen problemen die afhangen van bedrijfslogica en kunnen niet vertellen of een laag beoordeelde bevinding ernstig wordt in combinatie met een andere. Een penetratietest begint met een schriftelijke scope en rules of engagement (afspraken over de uitvoering). De tester gebruikt tools, ook scanners, maar werkt daarna handmatig verder: bevindingen valideren, authenticatie en autorisatie testen, controleren hoe rollen en tenants van elkaar gescheiden zijn en realistische routes volgen die een aanvaller zou kunnen proberen. Het resultaat is een rapport met bewijs, ernst en hersteladvies in plaats van een ruwe lijst met tooluitvoer. Kortom: een scan vertelt u wat er mogelijk mis is; een penetratietest vertelt u wat er binnen de afgesproken scope aantoonbaar mis is en waarom dat ertoe doet.

Voor wie het is

Deze vergelijking is nuttig voor teams die:

van een klant, partner of verzekeraar een verzoek om ‘securitytesten’ hebben gekregen en moeten begrijpen wat er werkelijk wordt gevraagd
al regelmatig scannen en willen weten of een handmatige test wezenlijk extra inzicht oplevert
een nieuwe webapplicatie, API of mobiele app lanceren en moeten bepalen hoe diep het testen vóór de lancering moet gaan
aan het management moeten uitleggen waarom twee offertes voor ‘testen’ sterk verschillen in inspanning en resultaat

Wat Het Helpt Verduidelijken

De twee naast elkaar lezen helpt verduidelijken:

of uw vraag gaat over hygiëne rond bekende problemen (scan) of over uitbuitbaar risico in een specifiek systeem (penetratietest)
welke bevindingen in een bestaand scanrapport waarschijnlijk ruis zijn en welke handmatige validatie verdienen
hoe bedrijfslogica, toegangscontrole en aanvalsroutes in meerdere stappen buiten bereik vallen van wat geautomatiseerde tools meestal detecteren
welk bewijs een stakeholder in een eindrapport verwacht te zien

Wat is inbegrepen

Checklist scan: bepaal de lijst met assets, plan scans regelmatig in, wijs een eigenaar aan voor het beoordelen van resultaten en volg het herstel in de tijd
Checklist penetratietest: leg doelen, omgevingen, testperiode, toegangsmethode, benoemde contactpersonen en stopcondities schriftelijk vast voordat het werk begint
Bevestig schriftelijke autorisatie van de systeemeigenaar en van elke hostingprovider of leverancier die systemen binnen de scope beheert
Bepaal of geauthenticeerd testen nodig is (testaccounts voor elke rol), zodat problemen met toegangscontrole onderzocht kunnen worden
Spreek af hoe bevindingen worden beoordeeld en hoe bewijs veilig met benoemde contactpersonen wordt gedeeld
Plan een periode voor een hertest, zodat opgeloste bevindingen na het herstel bevestigd kunnen worden

Wat is niet inbegrepen

Een bewering dat een scan alleen aantoont dat een applicatie veilig is
Een bewering dat een penetratietest elke kwetsbaarheid vindt; hij onderzoekt een afgesproken scope binnen een afgesproken tijd
Instructies voor misbruik of het testen van systemen die niet van u zijn of waarvoor u geen toestemming hebt om te testen
Certificering, goedkeuring op het gebied van compliance of een formeel auditoordeel

Wanneer u het kiest

Kies voor scannen wanneer u regelmatig breed zicht nodig hebt op veel assets en een proces hebt om te beoordelen en te herstellen wat er wordt gerapporteerd. Kies voor een penetratietest wanneer een specifiek systeem belangrijk is voor de organisatie, wanneer een klant of partner om bewijs van handmatig testen vraagt, vóór een belangrijke lancering of na grote wijzigingen in authenticatie, betalingen of gegevensverwerking. Veel organisaties gebruiken beide: geplande scans om de hygiëne op peil te houden en een periodieke penetratietest om de systemen met het meeste risico te onderzoeken. Als u uw assets of eigenaren nog niet kunt opsommen, is een bredere baseline-review mogelijk een nuttigere eerste stap dan elk van beide.

Onze Aanpak

Begin bij het besluit dat u moet nemen. Als een vragenlijst van een klant om een jaarlijkse penetratietest vraagt, voldoet een scanrapport daar meestal niet aan. Als u alleen wilt weten of servers die vanaf internet bereikbaar zijn gepatcht zijn, is een volledige handmatige test mogelijk meer dan u nodig hebt. Bevestig vervolgens de scope: welke applicaties, API's, omgevingen en gebruikersrollen zijn inbegrepen en welke zijn uitdrukkelijk uitgesloten. Spreek de testperiode af en wie het werk mag pauzeren. Onze dienst Penetration Testing volgt dit patroon: scope, schriftelijke autorisatie, testen binnen de afgesproken rules of engagement, een schriftelijk rapport met bevindingen en geprioriteerd hersteladvies, een nabespreking en, waar inbegrepen, een hertest van afgesproken bevindingen. Welke aanbieder u ook kiest, vraag vóór de opdracht om een voorbeeldrapport en controleer of daarin gevalideerde bevindingen gescheiden zijn van informatieve observaties. Reserveer ten slotte tijd voor herstel. Een test met bevindingen die niemand tijd heeft om op te lossen, voegt weinig toe; stem de testdatum daarom af op de capaciteit van uw team om met de resultaten aan de slag te gaan.

Penetration Testing

Bekijk de dienstpagina Penetration Testing