Wat is een pe­ne­tra­tie­test (pentest)?

Met pe­ne­tra­tie­tests (ook wel pentests genoemd) kan worden bepaald hoe groot de kans is op een aanval op uw netwerk, inclusief in­di­vi­du­e­le systemen binnen het netwerk en spe­ci­fie­ke ap­pli­ca­ties. Ontdek hoe der­ge­lij­ke tests worden uit­ge­voerd en wat ze betekenen voor een netwerk dat al in gebruik is.

Wat is pe­ne­tra­tie­tes­ten?

In de IT-sector is een pe­ne­tra­tie­test een geplande aanval op een netwerk van elke omvang of op in­di­vi­du­e­le computers, met als doel kwets­baar­he­den bloot te leggen. Hiervoor worden ver­schil­len­de tools gebruikt om ver­schil­len­de aan­vals­pa­tro­nen te simuleren, die zijn ge­mo­del­leerd naar veel­voor­ko­men­de aan­vals­me­tho­den. Typische com­po­nen­ten die een pe­ne­tra­tie­test ondergaan zijn:

• Net­werk­kop­pe­lings­ele­men­ten zoals routers, switches en gateways
• Be­vei­li­gings­ga­te­ways zoals software- en hard­wa­re­fire­walls, pak­ket­fil­ters, vi­rus­scan­ners, load balancers, IDS en IPS enz.
• Servers zoals web­ser­vers, da­ta­ba­se­ser­vers, be­stands­ser­vers enz.
• Te­le­com­mu­ni­ca­tie­sys­te­men
• Alle soorten we­bap­pli­ca­ties
• In­fra­struc­tuur­in­stal­la­ties, bij­voor­beeld toe­gangs­con­tro­le­sys­te­men
• Draadloze netwerken die deel uitmaken van het systeem, zoals wifi of Bluetooth

Testen worden doorgaans on­der­ver­deeld in black box-, white box- en grey box-testen: bij black box-testen krijgen pe­ne­tra­tie­tes­ters alleen in­for­ma­tie over het adres van het doel­net­werk of -systeem. Bij white box-testen hebben de testers uit­ge­brei­de kennis van de systemen die ze gaan testen. Naast het IP-adres krijgen ze ook in­for­ma­tie over de gebruikte software- en hard­wa­re­com­po­nen­ten. Grey box-testen, de meest voor­ko­men­de vorm van pe­ne­tra­tie­tes­ten, com­bi­neert black box- en white box-test­me­tho­den. Er wordt ba­sis­in­for­ma­tie over de IT-in­fra­struc­tuur be­schik­baar gesteld, zoals waarvoor de systemen worden gebruikt en hoe ze in grote lijnen zijn opgebouwd.

Wat heb ik nodig voor een pentest?

Hoe kunt u een aan­ge­pas­te pe­ne­tra­tie­test voor uw eigen netwerk maken? Hieronder vindt u es­sen­ti­ë­le in­for­ma­tie over waar u rekening mee moet houden bij het uitvoeren van een pe­ne­tra­tie­test.

Hoe kan ik me voor­be­rei­den op een pentest?

Om een pentest succesvol uit te voeren, is het be­lang­rijk om eerst een duidelijk plan op te stellen. Bepaal welke com­po­nen­ten moeten worden getest, of u over alle benodigde tools beschikt en wat het tijds­be­stek is voor elke af­zon­der­lij­ke test en voor de algehele be­oor­de­ling van uw netwerk.

De voor­be­rei­dings­fa­se is nog be­lang­rij­ker als u externe testers inhuurt en u de white box-test­me­tho­de wilt gebruiken. Als u deze methode wilt gebruiken, moet u het testteam alle in­for­ma­tie over uw netwerk en de bij­be­ho­ren­de systemen ver­strek­ken, evenals de do­cu­men­ta­tie die u over uw systeem hebt. Voor een black box-test is het proces anders. Bij deze methode hoeft u alleen de doel­adres­sen van de com­po­nen­ten die getest moeten worden bekend te maken.

Wat zijn de beste tools voor pe­ne­tra­tie­tes­ten?

Aangezien er zoveel ver­schil­len­de soorten aanvallen zijn, is het logisch om over veel ver­schil­len­de tools voor pe­ne­tra­tie­tes­ten te be­schik­ken. Enkele van de be­lang­rijk­ste zijn:

• Poorts­can­ners: poorts­can­ners gebruiken ge­spe­ci­a­li­seer­de tools om open poorten in een systeem te iden­ti­fi­ce­ren.
• Kwets­baar­heids­scan­ners: kwets­baar­heids­scan­ners on­der­zoe­ken systemen om te con­tro­le­ren op bestaande be­vei­li­gings­kwets­baar­he­den, foutieve con­fi­gu­ra­ties en on­toe­rei­kend wacht­woord- en ge­brui­kers­be­leid.
• Sniffers: een sniffer wordt gebruikt om net­werk­ver­keer te ana­ly­se­ren. Hoe sterker de ver­sleu­te­ling, hoe minder in­for­ma­tie er kan worden verzameld.
• Pak­ket­ge­ne­ra­to­ren: pak­ket­ge­ne­ra­to­ren zijn tools die worden gebruikt om net­werk­ver­keers­ge­ge­vens te genereren of te simuleren. Hierdoor kan het net­werk­ver­keer tijdens een pe­ne­tra­tie­test worden na­ge­bootst.
• Wacht­woord­kra­kers: pen­tes­ters gebruiken wacht­woord­kra­kers om wacht­woor­den te ver­krij­gen die niet veilig zijn.

Veel van de hierboven genoemde tools zijn expliciet ont­wik­keld voor net­werk­be­vei­li­gings­tests en zijn daarom afgestemd op spe­ci­fie­ke test­ge­bie­den. Hoewel het overgrote deel van deze programma’s afkomstig is uit de open-source sector, zijn er ook enkele com­mer­ci­ë­le be­vei­li­gings­ap­pli­ca­ties, die over het algemeen beter ge­do­cu­men­teerd zijn en uit­ge­brei­de IT-on­der­steu­ning bieden.

Wat zijn de ver­schil­len­de stappen van een pe­ne­tra­tie­test?

De test­pro­ce­du­re voor een pentest kan worden on­der­ver­deeld in de volgende vier stappen:

Concept van het be­oor­de­lings­net­werk

Een pe­ne­tra­tie­test kan al in de voor­be­rei­dings­fa­se in­con­sis­ten­ties of zwakke punten in het ontwerp van een netwerk of in af­zon­der­lij­ke com­po­nen­ten aan het licht brengen. Als bij­voor­beeld meerdere ap­pli­ca­ties met ver­schil­len­de toe­gangs­groe­pen zijn ge­con­fi­gu­reerd, kan dit al snel tot com­pli­ca­ties leiden en een vei­lig­heids­ri­si­co voor het hele netwerk vormen, zelfs als het netwerk en de af­zon­der­lij­ke gehoste programma’s voldoende beveiligd zijn. Sommige van deze gevallen kunnen al tijdens een voor­af­gaand gesprek worden opgelost, terwijl andere alleen door een prak­ti­sche test kunnen worden bevestigd.

Maat­re­ge­len voor het testen van de hardheid

Het waar­bor­gen van een zo veilig mogelijk gebruik van de systemen in een netwerk vormt de kern van een veilig be­drijfs­net­werk. Tijdens de pentest is het be­lang­rijk om de reeds genomen be­vei­li­gings­maat­re­ge­len te con­tro­le­ren. Dit omvat het con­tro­le­ren van ge­ïn­stal­leer­de software, zoals be­stu­rings­sys­te­men, sys­teem­ser­vi­ces en ap­pli­ca­ties, die altijd up-to-date moeten zijn. Als er oudere versies worden gebruikt omdat deze com­pa­ti­bel zijn met andere ap­pli­ca­ties, moet u al­ter­na­tie­ve voor­zorgs­maat­re­ge­len nemen om uw systeem te be­scher­men. Daarnaast spelen toegangs- en au­then­ti­ca­tie­ve­r­eis­ten voor in­di­vi­du­e­le systemen en programma’s een be­lang­rij­ke rol. Hier behandelt de pentest on­der­wer­pen als:

• Toe­gangs­rech­ten
• Wacht­woord­ge­bruik en encryptie
• Gebruik van bestaande in­ter­fa­ces en open poorten
• Ge­de­fi­ni­eer­de regels (bijv. fire­wall­re­gels)

Zoeken naar bekende kwets­baar­he­den

Het duurt meestal niet lang om be­vei­li­gings­kwets­baar­he­den op te sporen. Daarom zijn pe­ne­tra­tie­tes­ters doorgaans bekend met de aan­vals­pun­ten van de test­ob­jec­ten die ze on­der­zoe­ken. Met de in­for­ma­tie die de testers tijdens hun onderzoek naar het be­vei­li­gen van net­werk­com­po­nen­ten hebben verzameld over de ver­sie­sta­tus en het patch­ni­veau, kunnen ze snel vast­stel­len welke ap­pli­ca­ties een be­vei­li­gings­ri­si­co vormen. Als er in korte tijd veel systemen moeten worden ge­a­na­ly­seerd, kan het gebruik van kwets­baar­heids­scan­ners nuttig zijn, hoewel deze niet altijd een nauw­keu­rig resultaat opleveren.

Gericht gebruik van exploits

De tester kan alleen vast­stel­len of de ontdekte kwets­baar­he­den kunnen worden misbruikt door ze daad­wer­ke­lijk te mis­brui­ken. De com­man­do­se­quen­ties die voor der­ge­lij­ke exploits worden gebruikt, zijn doorgaans scripts die uit ver­schil­len­de in­ter­net­bron­nen zijn verkregen. Deze zijn echter niet altijd veilig ge­pro­gram­meerd. Als een onveilige exploit wordt uit­ge­voerd, bestaat het risico dat de geteste ap­pli­ca­tie of het geteste systeem crasht en dat in het ergste geval be­lang­rij­ke gegevens worden over­schre­ven. Daarom moeten pe­ne­tra­tie­tes­ters voor­zich­tig zijn en alleen be­trouw­ba­re scripts van ge­re­nom­meer­de bronnen gebruiken, of helemaal afzien van het testen van de kwets­baar­heid.

Wat zijn de voor- en nadelen van pe­ne­tra­tie­tes­ten?

Homogene com­pu­ter­struc­tu­ren behoren tot het verleden. De ge­de­cen­tra­li­seer­de IT-struc­tu­ren van vandaag kunnen dagelijks nieuwe kwets­baar­he­den en fouten ver­oor­za­ken. Hoewel soft­wa­re­ont­wik­ke­laars deze fouten soms snel kunnen verhelpen, kan het soms wat langer duren om der­ge­lij­ke problemen op te lossen.

Dit is waar pe­ne­tra­tie­tes­ten hun kracht laten zien en de volgende voordelen bieden:

• Pe­ne­tra­tie­tests on­der­zoe­ken systemen veel ge­de­tail­leer­der dan een gewone be­vei­li­gings­con­tro­le.
• Het basisdoel van pe­ne­tra­tie­tes­ten is om te con­tro­le­ren hoe goed af­zon­der­lij­ke com­po­nen­ten sa­men­wer­ken.
• Met een externe tester krijgt u een extra mening en een andere kijk op uw on­der­lig­gen­de be­vei­li­gings­con­cept.
• Pro­fes­si­o­ne­le pe­ne­tra­tie­tes­ters zijn speciaal opgeleid en benaderen uw systeem zoals een hacker dat zou doen.

Pe­ne­tra­tie­tes­ten, en met name de sa­men­wer­king met externe testers, hebben echter ook een aantal nadelen:

• Tijdens het uitvoeren van de pentest heeft het testteam toegang tot interne in­for­ma­tie en processen.
• Bij pe­ne­tra­tie­tests bestaat altijd de mo­ge­lijk­heid dat de test on­her­stel­ba­re schade ver­oor­zaakt.
• Pe­ne­tra­tie­tests geven alleen een mo­ment­op­na­me van uw net­werk­sys­te­men en mogen daarom nooit worden gebruikt als reden om af te zien van het nemen van algemene vei­lig­heids­maat­re­ge­len.

Het is ook be­lang­rijk om in gedachten te houden dat tra­di­ti­o­ne­le pentests geen risico’s in verband met social en­gi­nee­ring be­oor­de­len. Veel bedrijven bieden diensten aan om der­ge­lij­ke kwets­baar­he­den te iden­ti­fi­ce­ren en geven ook speciale trai­nin­gen over hoe social en­gi­nee­ring-aanvallen kunnen worden voorkomen.