30 dagen garantie

Penetratietests door onze gecertificeerde experts 

Penetratietests door onze gecertificeerde experts


Wat is een penetratietest?


Een penetratietest of pentest is een nagebootste aanval op een computersysteem, een netwerk of een organisatie onder realistische omstandigheden. Dankzij een penetratietest kunt u bepalen in hoeverre uw systemen bestand zijn tegen een echte aanval.




Tests en compliance-audits zijn wezenlijke onderdelen van de ontwikkelingscyclus van vrijwel alle soorten complexe systemen. SSL247® voert penetratietests niet alleen uit op uw systeem en uw netwerk, maar ook op alle bijbehorende IT-apparaten.

Onze teams voeren de volgende soorten penetratietests uit:



Welke oplossing is de beste voor uw organisatie?

Onze pentesters hebben een vragenlijst op maat gemaakt om te bepalen welke services het beste antwoord bieden op uw wensen en behoeften.


Onze tests



  • Interne penetratietests


Wat is een interne penetratietest??


Bij een interne penetratietest volgen we de strategie die gevolgd zou worden door iemand die illegale handelingen wil verrichten terwijl hij toegang heeft tot het interne netwerk van de organisatie.

Waarvoor dient een interne penetratietest?


We voeren interne (black box) penetratietests uit vanaf uw hoofdlocatie, eventueel gevolgd door:

  • Een geslaagde fysieke penetratie
  • Een logische penetratietest met hulp van een e-mailcampagne op basis van social engineering

Het doel is de belangrijkste zwakke plekken in de beveiliging op te sporen, zodat we een realistisch aanvalsscenario kunnen ontwikkelen dat erop is gericht meer privileges op het netwerk te verkrijgen. Met behulp van deze privileges kan een aanvaller zich toegang tot het systeem verschaffen of bepaalde informatie in handen krijgen.

Onze teams maken het penetratiescenario zo breed mogelijk. Hierdoor zijn de penetratietests zeer realistisch en bestrijken ze zo veel mogelijk onderdelen van uw infrastructuur.

The different steps of internal penetration testing


Schema test intrusion interne

Bij de meeste interne penetratietests komen onze consultants bij u op locatie in actie en werken ze zelfstandig op basis van de toegangsrechten die ze hebben gekregen.

Mogelijke teststrategieën beginnen met:

  • het gebruik van beperkte toegangsrechten, zoals de rechten van een 'bezoeker', waarbij de gebruiker normaal gesproken alleen toegang heeft tot een internetverbinding.
  • meer specifieke toegangsrechten, zoals de 'standaard kantoortoegang' of de algemene toegangsrechten die aan al uw medewerkers worden toegekend.

Een mogelijke uitbreiding is dat er ook penetratietests worden uitgevoerd op draadloze netwerken, zodat kan worden gecontroleerd of deze netwerken goed geïsoleerd zijn van het interne netwerk.

Interne tests bestaan uit de volgende fasen:

    • Verkenningsfase
    • </ulHet doel is zo veel mogelijk informatie over het interne netwerk te bemachtigen via de verkregen fysieke toegang. Hierbij wordt passief 'geluisterd' naar het dataverkeer (de interactie met netwerk- en serverapparatuur).
      • Inventarisatiefase

Het doel is zo veel mogelijk informatie te verkrijgen over verschillende potentiële doelwitten, zodat potentiële aangrijpingspunten in kaart gebracht worden en een effectievere aanval mogelijk wordt. Ons team heeft tools ontwikkeld waarmee delen van deze fase geautomatiseerd worden, zodat er meer tijd overblijft voor handmatige testactiviteiten.

      • Penetratiefase

In deze fase worden ingangspunten op het interne netwerk geïdentificeerd, evenals beveiligingshiaten die het mogelijk maken apparaten over te nemen en gegevens in handen te krijgen waarmee andere zwakke plekken gevonden kunnen worden. De penetratiefase is een belangrijke fase bij dit type tests.

      • Exploitatiefase

Dit is een tweede belangrijke fase van interne penetratietests, waarbij zwakke plekken worden benut en er uitgebreide toegangsrechten kunnen worden verkregen. De 'klassieke' exploitatiefase begint met een kwetsbaarheid waardoor een computer (werkstation of server) kan worden overgenomen, en eindigt met de overname van een domein of een computercluster. In dit aanvalspatroon wordt een realistisch scenario van verkenning en zijwaartse uitbreiding nagebootst, gericht op het in handen krijgen van informatie.


  • Externe penetratietests


Wat is een externe penetratietest?


Bij een externe penetratietest worden de handelingen nagebootst van een hacker die aanvankelijk geen toegang tot uw interne netwerk heeft. De penetratietester valt aan van buitenaf, via het internet, vaak zonder de IT-infrastructuur van uw organisatie te kennen.

Waarvoor dient een externe penetratietest?


Bij een externe penetratietest zoeken we naar kwetsbaarheden in uw infrastructuur die vanaf het internet toegankelijk zijn. Daarbij kiezen we voor de minst riskante en meest discrete en efficiënte penetratiemethode.

20x20
Vereisten

Voor dit type penetratietests hebben we alleen een IP-adresbereik nodig, plus een testmachtiging voor alle hosts in dit bereik.

20x20
Simulatie van een echte aanval, inclusief impact

Zo nodig kunnen we proberen een escalatie van bevoegdheden uit te voeren, waarbij de test wordt verbreed naar netwerken die niet toegankelijk zijn vanaf het internet, bijvoorbeeld uw eigen interne netwerk. De test wordt uitgebreid met een zoektocht naar zwakke plekken of naar een specifiek doelwit. Op deze manier simuleren we een realistisch penetratiescenario met een aanvaller die het op uw infrastructuur heeft voorzien.

20x20
Waardevolle informatie voor uw besluitvorming

Met deze tests kunt u de beveiliging van alle infrastructuurcomponenten tegen het licht houden, ook van elementen die niet direct zichtbaar zijn vanaf het internet, zoals filterapparatuur.

Wanneer u de aanbevelingen uit het gedetailleerde rapport evalueert, kunt u beter gefundeerde beslissingen nemen, bijvoorbeeld om de netwerkscheiding te versterken of om meer aandacht te besteden aan beveiliging van het ontwikkelingsproces.

The different steps of an external penetration test


Schema test intrusion externe

  • Verkenningsfase

Door middel van een groot aantal zoekacties in openbare bronnen zoeken we naar informatielekken die kunnen dienen als uitgangspunt voor een aanval, bijvoorbeeld via zoekmachines, DNS, Whois, pastebin enzovoort.

  • Inventarisatiefase

Het doel van deze fase is zo veel mogelijk informatie te verkrijgen over verschillende potentiële doelwitten, zodat de aangrijpingspunten in kaart gebracht worden en een effectieve aanval mogelijk wordt. Alle services worden opgevraagd en gecategoriseerd voor gebruik in de hierna volgende penetratiefase. Bovendien kan via deze stap het netwerkpad worden gevonden, en daardoor mogelijk de apparatuur waarmee de geteste systemen en applicatieservers worden gefilterd.

  • Penetratiefase

In deze fase worden ingangspunten op het interne netwerk geïdentificeerd, evenals beveiligingshiaten die het mogelijk maken apparaten over te nemen en gegevens in handen te krijgen waarmee andere zwakke plekken gevonden kunnen worden. De penetratiefase is een belangrijke fase bij dit type tests:

  1. Kwetsbaarheden in webservices: door kwetsbaarheden in een webomgeving uit te buiten, krijgt een aanvaller vaak meer mogelijkheden in handen dan via een eenvoudige externe netwerkservice zoals SMTP, FTP of SSH. Daarom besteden we extra aandacht aan het testen van webapplicaties volgens een speciale methodiek.
  2. 2. Kwetsbaarheden in externe services (anders dan webservices) hierbij zoeken we naar zwakke plekken in de configuratie, bijvoorbeeld door wachtwoordlijsten en bekende exploits toe te passen.
  • Exploitatiefase

In deze fase bepalen we het risiconiveau van de geïdentificeerde kwetsbaarheden en krijgen we inzicht in de mogelijkheden voor hackers om vertrouwelijke informatie te bemachtigen of gevoelige onderdelen van uw infrastructuur te manipuleren. In de exploitatiefase vindt de eigenlijke penetratietest plaats, waarbij de expertise van onze consultants maximaal tot zijn recht komt.

  1. Bij deze tests is de exploitatiefase er vaak op gericht een zwakke plek in een systeem of applicatie te vertalen naar een methode om met het interne netwerk te communiceren. Op deze manier brengen we manieren aan het licht waarop uw interne netwerk gecompromitteerd kan worden via een infrastructuur die toegankelijk is vanaf het internet.
  2. 'Zijwaartse uitbreiding' is een ander element van de exploitatiefase, waarmee we nabootsen wat een aanvaller zou doen nadat hij eenmaal tot het interne netwerk is doorgedrongen, bijvoorbeeld door van de gecompromitteerde webserver naar de database en daarna naar de hoofddirectory van de organisatie te gaan.

  • Penetratietests voor applicaties


Wat is een applicatie-penetratietest?


Een applicatie-penetratietest is een complete test van de applicaties op een website, inclusief onderzoek naar de meest voorkomende kwetsbaarheden volgens de definitie van OWASP.

Waarvoor dient een applicatie-penetratietest?


Met deze tests willen we vaststellen of een aanvaller de beveiliging van uw informatiesysteem kan doorbreken door een of meer applicaties aan te vallen die binnen uw IT-infrastructuur of extern gehost zijn.

De werking van zowel simpele als complexe applicaties wordt geïdentificeerd en vervolgens gemanipuleerd om te proberen de beveiliging te doorbreken of te omzeilen. Er wordt een audit van de webapplicatie en de bijbehorende configuratie uitgevoerd om zwakke plekken in kaart te brengen die mogelijk zijn ontstaan tijdens de integratie van de applicatie.

Optionele hybride aanpak: geauthenticeerde applicatie-penetratietest

Een hybride vorm van een applicatie-penetratietest bestaat eruit dat we een aanval simuleren die wordt uitgevoerd door een gebruiker die beschikt over geldige inloggegevens of zelfverificatie.

The different steps of an application penetration test



Schema test applicatif

Op basis van de OWASP-methodiek hebben wij de volgende testfasen ontwikkeld:

  • Fase voor netwerk- en systeeminventarisatie

In deze fase kijken we in hoeverre de server waarop de webapplicatie draait, gevoelig is voor diepgaande tests in de volgende fasen.

We identificeren de toegankelijke services en brengen eventuele fouten in de serverconfiguratie in kaart.

Daarbij zoeken we naar de kwetsbaarheden van de server (bijvoorbeeld Apache, IIS, Nginx) waarop de webapplicaties en services gehost zijn.

Afhankelijk van de configuratie-instellingen en de mate waarin de systeem- en software-updates actueel zijn, is een aanvaller gemakkelijker of minder gemakkelijk in staat om door te dringen tot de server en de daarop aanwezige applicaties.

  • Fase voor applicatiepenetratie

Dit is de belangrijkste fase, waar onze consultant de meeste tijd aan besteedt. Hierbij beproeven we de veiligheid van de ontwikkelde code of de geïmplementeerde oplossing (bijvoorbeeld een CMS) door alle functies uitgebreid te testen.

Indien een geauthenticeerde applicatie-penetratietest wordt uitgevoerd, maken we in deze fase ook een gedetailleerde beveiligingsanalyse van de verschillende vormen van authenticatie en sessiebeheer. Daarnaast controleren we of de authenticatiemechanismen kunnen worden omzeild en of de sessiegegevens van afzonderlijke gebruikers goed van elkaar geïsoleerd zijn.

  • Exploitatiefase

Alle geïdentificeerde kwetsbaarheden worden nu geëxploiteerd. Dit levert ons mogelijk het volgende op:

  1. Vertrouwelijke informatie: als bijvoorbeeld de isolatie ontoereikend is, proberen we toegang te krijgen tot informatie van andere gebruikers dan de eigenaar van de account.
  2. Serverbesturing: soms kunnen we de test uitbreiden tot het interne netwerk, wanneer we toegang krijgen tot een opdrachtprompt op de computer waarop de applicatie wordt uitgevoerd. Hierdoor kunnen we systeemopdrachten uitvoeren en testen.
  3. Uitgebreide machtigingen: we proberen de identiteit van een gebruiker over te nemen om meer machtigingen in handen te krijgen dan alleen die van de desbetreffende account of gebruiker.

  • Penetratietests voor draadloze netwerken


Wat is een draadloze penetratietest?


Bij een draadloze penetratietest gaan we op dezelfde manier te werk als een kwaadwillende persoon zou doen die illegale handelingen wil verrichten binnen het draadloze netwerk van een gebouw of locatie.

Waarvoor dient een draadloze penetratietest?


Via deze test willen we laten zien in hoeverre uw draadloze netwerk kwetsbaar is en hoeveel expertise vereist is om via draadloze vectoren door te dringen tot het draadloze netwerk.

Door gebruik te maken van valse toegangspunten kunnen we ook de beveiliging van clients ten opzichte van verschillende toegangspunten beoordelen.

The different steps of a wireless penetration test



  • Verkenningsfase

Op basis van de startinformatie die we van u hebben gekregen, proberen we eerst te bepalen welke Wi-Fi-netwerken van u zijn, om de architectuur van deze toegangspunten en de geïmplementeerde beveiliging te analyseren. In deze fase beoordelen we in hoeverre uw Wi-Fi-netwerken zichtbaar en kwetsbaar zijn.

  • Inventarisatiefase voor Wi-Fi-netwerken

Om te beginnen inventariseren we alle toegangspunten van uw netwerken. Bovendien controleren we of er geen vreemde of niet-bevoegde netwerken inbreuk op uw netwerkperimeter maken en of er geen illegale toegangspunten aanwezig zijn op uw terrein.

  • Penetratiefase voor portalen

Wanneer de netwerkperimeter is vastgelegd, proberen we mogelijke zwakke plekken in toegangspunten te identificeren waarmee een aanvaller tot het interne netwerk kan doordringen of gevoelige informatie over uw organisatie en uw services in handen kan krijgen. Hiermee willen we laten zien in hoeverre er exploiteerbare kwetsbaarheden zijn en hoeveel expertise of vaardigheden nodig zijn om gebruik te maken van deze kwetsbaarheden. Bovendien beoordelen we de kwaliteit van de isolatie van het netwerk in vergelijking met andere netwerken met beperkte toegangsrechten.

  • Penetratiefase voor private toegangspunten

Als we merken dat er 'interne' of 'beveiligde' (bedrijfs)netwerken aanwezig zijn (bedoeld voor intern en niet voor openbaar gebruik), proberen we via een aantal gerichte aanvallen toegang tot deze gesloten netwerken te krijgen. Hierbij kunnen we ons ook richten op draadloze clients (apparaten van medewerkers) om inloggegevens of toegangsrechten te stelen waarmee we toegang tot het netwerk kunnen krijgen.


  • Penetratietests voor VoIP


Wat is een VoIP-penetratietest?


Bij een VoIP-penetratietest volgen we de strategie die gevolgd zou worden door iemand die illegale handelingen op het netwerk voor IP-telefonie wil verrichten terwijl hij toegang heeft tot het interne netwerk van de organisatie.

Waarvoor dient een VoIP-penetratietest?


20x20
Informatie verzamelen

Tussen de Ethernet-aansluiting en de telefoon proberen we zo veel mogelijk informatie uit het VoIP-netwerk te verkrijgen.

20x20
Tests van IP-telefoons

Deze tests zijn gericht op IP-telefoons en bedoeld om de configuratie en de aangrijpingspunten voor aanvallen te analyseren. We beoordelen de privacy en de integriteit van gevoelige informatie die wordt uitgewisseld tussen de telefoon en de infrastructuur. We proberen om, bijvoorbeeld via methoden voor identiteitsdiefstal, door te dringen tot het netwerk en de beschikbare services, ook via fysieke toegang tot een IP-telefoon.

20x20
Tests van telefonie-infrastructuur

Met deze tests richten we ons op de VoIP-infrastructuur en de systemen en services die via de VoIP-servers toegankelijk zijn. Het doel is om zwakke plekken in de beveiliging te identificeren en te bepalen hoeveel expertise nodig is om deze zwakke plekken te kunnen exploiteren. SSL247® maakt bovendien een analyse van de risico's van afluisteren en fraude.

20x20
Vereisten

VoIP-penetratietests worden normaal gesproken op locatie uitgevoerd, in uw gebouwen. Hiervoor hoeven we alleen de beschikking te hebben over één telefoon, of hooguit enkele telefoons.

20x20
Telefoonfraude: een risico met grote financiële gevolgen

Bovendien kunnen we externe tests uitvoeren, bijvoorbeeld op antwoord- en voicemailsystemen.

The different steps of wireless penetration tests


Enterpriseremote access penetration test

Deze tests bestaan uit de volgende stappen:

  • Informatie verzamelen

Via de beschikbare lokale netwerkverbinding en een fysieke IP-telefoon proberen we zo veel mogelijk informatie te verkrijgen over het VoIP-netwerk.

  • Tests van IP-telefoons

In deze stap richten we ons op IP-telefoons, waarbij we een analyse maken van de configuratie en mogelijke aangrijpingspunten voor een aanval. We beoordelen de vertrouwelijkheid en de integriteit van gevoelige gegevens die tussen de telefoon en de VoIP-infrastructuur worden uitgewisseld. We proberen om, bijvoorbeeld via methoden voor identiteitsdiefstal, door te dringen tot de beschikbare services, ook via fysieke toegang tot een IP-telefoon.

  • Tests van telefonie-infrastructuur

Hierbij is de VoIP-infrastructuur het doelwit. We proberen te achterhalen welke systemen en services op de servers aanwezig zijn. Het doel is de zwakke plekken in de beveiliging te vinden en te beoordelen hoeveel kennis nodig is om deze zwakke plekken te kunnen exploiteren. SSL247® maakt een analyse van de risico's van afluisteren en fraude

We kunnen bovendien de oorzaken en mogelijke gevolgen analyseren van een fraudepoging via de VoIP-infrastructuur, waarbij we aangeven hoe deze risico's vermeden kunnen worden.


  • Penetratietests voor toegang op afstand


Wat is een penetratietest voor toegang op afstand?


Onze penetratietest voor toegang op afstand (ook wel een enterprise-penetratietest genoemd) is een meer doelgerichte en specifieke versie van de applicatie-penetratietest. Hierbij richten we ons op een bepaald type applicatie, waarvoor we speciale methoden en specifieke tools inzetten.

Waarvoor dient een penetratietest voor toegang op afstand?


Grote organisaties en enterprises maken steeds vaker gebruik van systemen voor werken op afstand. De kwaliteit van de beveiliging van dergelijke systemen is vaak onduidelijk. Daarom adviseren we u de veiligheid van al uw systemen voor toegang op afstand te testen (bijvoorbeeld VDI, Citrix, Remote Desktop).


20x20
Vereisten

Om dit type audit te kunnen uitvoeren, hebben we de URL van de service(s) voor toegang op afstand nodig en minimaal één set inloggegevens voor de virtuele applicatie.

20x20
Beoordeling van de isolatie van virtuele applicaties

Tijdens onze gesimuleerde aanval proberen we vooral te beoordelen in hoeverre een kwaadwillende gebruiker de toegangsbeperkingen kan doorbreken, of omzeilen om toegang te krijgen tot informatie en services die niet voor deze gebruiker bestemd zijn.

20x20
Kritische dreigingen

Wanneer een aanvaller met succes kan doordringen tot andere onderdelen van uw systemen voor externe toegang, wordt u blootgesteld aan een reeks nieuwe risico's. Denk hierbij bijvoorbeeld aan diefstal van klant- of personeelsgegevens, toegang tot een database binnen uw infrastructuur of compromittering van uw domein. Deze risico's worden vaak onderschat. Daarom willen we graag onderstrepen hoe belangrijk het is dat u tests laat uitvoeren op al uw services voor toegang op afstand.

20x20
Flexibele aanbevelingen

Er bestaan vele oplossingen om de risico's van deze producten te beperken. In onze rapporten geven we u de best mogelijke beveiligingsaanbevelingen die aansluiten bij de manier waarop u gebruikmaakt van services voor externe toegang.

The different steps of an enterprise/remote access penetration test


Schema test access entreprise

This test is composed of the following steps:

  • Mapping Phase

We will scan the network to identify use of any remote access services.

  • Application Partitioning Assessment Phase

In this phase, we assess the risk of an attacker extending their access beyond the access level intended for the user. This will be done with an approach similar to that of an application penetration test.

  • Local Exploitation Phase

We will assess the privileges of the server and identify sensitive data.

  • Post-Exploitation Phase

We will move laterally on the internal network, attempting to comprise the centralised architecture.


Testrapporten

Onze rapporten zijn veel méér dan een simpel lijstje van kwetsbaarheden dat wordt gegenereerd door een geautomatiseerde tool. Onze rapporten bevatten zo veel mogelijk informatie, bijvoorbeeld over de toegepaste methoden en strategieën en over de aangetroffen datatraces, zodat uw teams de exploitatie of verificatie van alle geïdentificeerde kwetsbaarheden kunnen nalezen en repliceren.


 

Livrable_testd'intrusionSSL247


Ook deze service kan voor u waardevol zijn:




Waarom SSL247®?

SSL247® beschikt over gecertificeerde experts met ruim 12 jaar ervaring op het gebied van webbeveiliging en heeft een groot aantal accreditaties verworven, zoals de EMEA Symantec Champion Award 2017 en een ISO 27001:2013-certificering. We zijn specialisten in Online Business Continuity.


Contact opnemen

Voor meer informatie over de waarde van een penetratietest voor uw bedrijf kunt u altijd geheel vrijblijvend contact opnemen met een van onze behulpzame, geaccrediteerde consultants.

null  +31 85 888 03 04 
null  sales@ssl247.nl 

Symantec

Norton-zegels worden tot 800 miljoen keer per dag bekeken op meer dan 100.000 websites in 170 landen en in zoekresultaten op geautoriseerde browsers en op partnershoppingwebsites en productoverzichtpagina's. Wanneer bezoekers van websites het Norton Trust-zegel zien, breken ze een transactie minder snel af en zijn ze gemakkelijker geneigd om met u online zaken te doen.

SSL-certificaten

Onze Partnerships
Our Accreditations
Onze Trust Seal
Sitemap | Cookies | Wettelijk
© 2017 . Alle rechten voorbehouden. SSL247 SARL est enregistrée au Registre du Commerce de Roubaix-Tourcoing - RCS 508308 079. | Tel: +31 85 888 03 04

Cookies SSL247® gebruikt cookies om u te voorzien van een gebruiksvriendelijkeervaring. Voor meer informatie kunt u onze Algemene voorwaarden raadplegen. Verdergaan