Penetratietesten die vinden wat scanners missen

Handmatige, aanvallende tests van uw applicaties, API's, cloud en infrastructuur. Elke bevinding is bewezen, reproduceerbaar en gerangschikt naar wat het u kost als een ander hem eerst vindt. Wij werken hiervoor uitsluitend voor gevestigde bedrijven en enterprises.

Scope de Enterprise penetratietest Onze eigen beveiligingsstatus

Kernaanbod

Enterprise penetratietest

Twee tot zes weken, afhankelijk van de scope · vaste scope · schriftelijke deliverables

Scope en spelregels: schriftelijke toestemming, doelen, testvensters, stopcondities en noodcontacten
Directe melding van kritieke bevindingen: alles wat ernstig is hoort u dezelfde dag, niet pas in het rapport
Managementsamenvatting: de impact op het bedrijf in gewone taal, voor directie en bestuur
Technisch bevindingenrapport: per bevinding een proof of concept, reproductiestappen, getroffen systemen, ernst en herstel

Voor wie

U bent hier waarschijnlijk omdat

U lanceert of herbouwt een product en wilt het laten aanvallen voordat een ander dat doet
Een zakelijke klant, toezichthouder, verzekeraar of investeerder eist een onafhankelijke penetratietest
Uw vorige penetratietest was een geautomatiseerde scan met een logo op de voorkant
U had een incident of een bijna-incident en wilt weten wat er verder bereikbaar is
Een overname of due diligence vraagt om een eerlijk beeld van de beveiliging van de andere partij

Kernaanbod

Enterprise penetratietest

Webapplicaties, API's (REST en GraphQL), mobiele apps, cloudomgevingen (AWS, Azure, Google Cloud), de externe perimeter en interne netwerken inclusief Active Directory. Black, grey of white box, zoals afgesproken. De nadruk ligt op wat geautomatiseerde tools niet kunnen: fouten in authenticatie en autorisatie, bedrijfslogica, privilege-escalatie, tenantscheiding en geketende kwetsbaarheden.

Deliverables

Scope en spelregels: schriftelijke toestemming, doelen, testvensters, stopcondities en noodcontacten
Directe melding van kritieke bevindingen: alles wat ernstig is hoort u dezelfde dag, niet pas in het rapport
Managementsamenvatting: de impact op het bedrijf in gewone taal, voor directie en bestuur
Technisch bevindingenrapport: per bevinding een proof of concept, reproductiestappen, getroffen systemen, ernst en herstel
Debrief met engineering: een werksessie met uw ontwikkelaars over oorzaken, niet alleen symptomen
Hertestrapport: elke herstelde bevinding opnieuw aangevallen en bevestigd gesloten, of uitgelegd als dat niet zo is

Looptijd: Twee tot zes weken, afhankelijk van de scope. Bestellen is een scopegesprek, geen winkelwagen. U ontvangt de schriftelijke scope voordat u beslist.

Plan het scopegesprek

Werkwijze

Hoe het werk wordt gedaan

Scope en toestemmingDoelen, diepgang, testvensters en stopcondities worden schriftelijk vastgelegd en ondertekend door de systeemeigenaar. Daarvoor wordt niets aangeraakt.
ReconnaissanceHet werkelijke aanvalsoppervlak in kaart: subdomeinen, blootgestelde diensten, API-endpoints, cloudmiddelen, gelekte inloggegevens en vergeten omgevingen.
Handmatig testenAuthenticatie, sessiebeheer, toegangscontrole tussen gebruikers en tenants, bedrijfslogica, injectie, server-side request forgery en deserialisatie, met de hand getest.
Exploitatie en ketenvormingBevindingen met een lage ernst worden gecombineerd tot echte aanvalspaden. De impact wordt veilig aangetoond en het testen stopt bij de afgesproken grenzen.
RapportagePer bevinding een proof of concept, reproductiestappen, de ernst en een oplossing; daarnaast een managementsamenvatting die zegt wat het voor het bedrijf betekent.
HertestHerstelde punten worden opnieuw aangevallen, zodat het rapport toont wat werkelijk gesloten is.

Resultaat

Wat u aan het einde in handen heeft

Aan het einde van de opdracht heeft u vier dingen in handen. Een technisch rapport met per bevinding het bewijs: een proof of concept, reproductiestappen, de getroffen systemen, de ernst volgens CVSS en een concreet herstel. Een managementsamenvatting die in gewone taal zegt wat de bevindingen voor het bedrijf betekenen. Een debrief met uw ontwikkelaars over de oorzaken. En na het herstel een hertestrapport dat per bevinding toont wat werkelijk gesloten is.

Bezwaren

Wat u misschien denkt

Wij hebben al een scanner.

Goed, houd die. Een scanner vindt bekende problemen; wij vinden wat een scanner niet ziet: fouten in autorisatie, bedrijfslogica en kleine zwaktes die samen een aanvalspad vormen. Scanresultaten gebruiken wij als startpunt, niet als uitkomst.

Breekt dit onze productie?

Niet als het vooraf goed is afgesproken. Testvensters, stopcondities en een noodcontact staan op papier, destructieve tests zijn uitgesloten en waar het risico reëel is, testen wij eerst op een stagingkopie.

Wij zijn te klein voor een pentest.

Dan is dit niet de juiste dienst. Wij werken alleen op enterprise-niveau, voor gevestigde bedrijven met productiesystemen die een grondige test verdienen. Voor een eerste indruk van uw publieke kant kunt u de gratis sitecheck gebruiken.

Gratis

Begin met een check

Elke dienst heeft een gratis instap: u ziet wat wij op een gesprek zouden zeggen, voordat u iets koopt.

Gratis

Onze eigen beveiligingsstatus

Open Gratis

Gratis sitecheck

Open

Veelgestelde vragen

Wat klanten eerder vroegen

Voor wie doen jullie beveiligingswerk?

Alleen voor gevestigde bedrijven en enterprises. Cyberbeveiliging is de enige dienst die wij uitsluitend op enterprise-niveau aanbieden. Wij doen geen goedkope scans of beveiligingspakketten voor kleine bedrijven, omdat een goede test tijd en diepgang vraagt, en een klant die met de bevindingen aan de slag gaat.

Wat is het verschil met een kwetsbaarheidsscan?

Een scanner zoekt naar bekende problemen en rapporteert die in bulk, inclusief veel die er niet toe doen. Wij testen met de hand, bewijzen dat elke bevinding uitbuitbaar is, combineren kleine problemen tot echte aanvalspaden en rangschikken ze naar impact op het bedrijf. Een scanner is voor ons een startpunt, nooit het resultaat.

Breekt het testen onze productie?

Er wordt getest in afgesproken vensters, met stopcondities en een noodcontact aan beide kanten. Destructieve tests en denial-of-servicetests zijn uitgesloten. Waar het risico reëel is, testen wij eerst op een stagingkopie.

Wat hebben jullie van ons nodig?

Schriftelijke toestemming van de systeemeigenaar, de scope, testaccounts voor elke rol, een technisch contactpersoon en, bij grey- of white-boxtests, documentatie of toegang tot de code.

Welke methodiek volgen jullie?

Het testen is opgebouwd rond de OWASP Web Security Testing Guide en de Application Security Verification Standard, de OWASP API Security Top 10 en de Penetration Testing Execution Standard. De ernst van bevindingen wordt gescoord met CVSS.

Tekenen jullie een geheimhoudingsovereenkomst?

Ja, op verzoek al voor het scopegesprek. Bevindingen, inloggegevens en data worden onder die overeenkomst behandeld en aan het einde van de opdracht verwijderd, tenzij u wilt dat ze bewaard blijven.

Testen jullie ooit zonder toestemming?

Nooit. Elke opdracht begint met schriftelijke toestemming van de eigenaar van elk systeem in de scope.

Wat kost het?

Elke opdracht wordt na een scopegesprek schriftelijk afgebakend en geoffreerd. Het bedrag hangt af van de omvang van de scope, de diepgang en het tijdvenster. Wij nemen alleen opdrachten op enterprise-niveau aan.

Penetratietesten die vinden wat scanners missen

U bent hier waarschijnlijk omdat

Enterprise penetratietest

Hoe het werk wordt gedaan

Wat u aan het einde in handen heeft

Wat u misschien denkt

Begin met een check

Onze eigen beveiligingsstatus

Gratis sitecheck

Wat klanten eerder vroegen

Vertel ons wat er speelt. Wij schrijven de scope.