Pentest of vulnerability scan: wat heb je werkelijk nodig?

Je hebt een scan laten uitvoeren. Het rapport staat vol bevindingen. Je IT-team gaat ermee aan de slag. En toch blijft de vraag: weten we nu echt hoe veilig we zijn?

Dat gevoel klopt. Een vulnerability scan en een pentest lijken op elkaar, maar ze geven een verschillend antwoord. De verwarring tussen de twee is begrijpelijk, want aanbieders gebruiken de termen door elkaar. Soms ook bewust. In dit artikel leggen we het verschil uit, zodat je weet wanner welke aanpak nodig is en wat je daarvoor terugkrijgt. Daarmee voorkom je dat je een scan aanvraagt, terwijl je eigenlijk een pentest verwacht.

Wat een vulnerability scan doet

Een vulnerability scan is een geautomatiseerd proces. Gespecialiseerde software doorzoekt je systemen, netwerken en applicaties op bekende kwetsbaarheden: verouderde software, verkeerde configuraties, ontbrekende patches en open poorten. De resultaten worden vergeleken met een database van bekende problemen, zoals de befaamde CVE-lijst, en samengevat in een rapport.

Zo’n scan is snel, schaalbaar en herhaalbaar. Je kunt hem maandelijks of zelfs wekelijks draaien en ziet zo of er nieuwe kwetsbaarheden opduiken. Wat een scan niet doet: hij test niet of die kwetsbaarheden in jouw specifieke omgeving daadwerkelijk te misbruiken zijn. Hij geeft een lijst, geen verhaal.

Wat een pentest precies inhoudt

Een penetratietest, ook wel kortweg ‘pentest’ genoemd, gaat verder. Een ethisch hacker denkt en werkt als een aanvaller: hij probeert actief binnen te komen, kwetsbaarheden te combineren en te laten zien wat er werkelijk mogelijk is. Niet automatisch, maar handmatig en gericht.

Waar een scan zegt “deze kwetsbaarheid bestaat”, laat een pentest zien “via deze kwetsbaarheid kun je bij die data komen”. Dat is een wezenlijk verschil. Geautomatiseerde tools missen de menselijke creativiteit om onconventionele zwakheden te herkennen of meerdere kleinere risico’s samen te laten optellen tot een serieus probleem. Een pentest duurt doorgaans een tot drie weken, afhankelijk van de scope.

3 soorten pentests

De aanpak van een pentest hangt af van hoeveel informatie de tester vooraf krijgt. We onderscheiden drie varianten.

• Bij een black box pentest heeft de tester geen voorkennis van je systemen. Hij werkt zoals een externe aanvaller dat zou doen: van buitenaf, zonder inloggegevens of netwerkinfo. Dit geeft een realistisch beeld van hoe aantrekkelijk je omgeving is voor iemand die niets over je weet.
• Bij een grey box pentest krijgt de tester beperkte informatie mee, zoals inloggegevens of een globale netwerkarchitectuur. Dit simuleert een scenario waarbij een aanvaller al een voet tussen de deur heeft, of waarbij je specifiek wilt weten wat er mogelijk is voor een medewerker met standaardtoegang.
• Bij een white box pentest heeft de tester volledige toegang tot broncode, configuraties en documentatie. Dit is de meest grondige aanpak en geeft het diepste inzicht in hoe je systeem van binnenuit in elkaar zit. Geschikt als je een nieuw systeem wilt valideren of een gerichte codereviewer nodig hebt.

Welke variant past, hangt af van wat je wilt weten en wat je beveiligingsdoelen zijn. Bij Cybernext bepalen we dat altijd samen vooraf.

Wanneer kies je wat?

• Een vulnerability scan is waardevol als reguliere maatregel. Je wilt periodiek weten wat er in je omgeving verandert en of er nieuwe kwetsbaarheden bijkomen. Scans zijn ook een nuttig vertrekpunt: ze geven richting aan wat verder onderzocht moet worden.
• Een pentest is zinvol als je wilt weten hoe je omgeving echt standhoudt. Na een grote systeemwijziging, een fusie, een nieuwe applicatie, of als je op basis van de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) aantoonbaar werk moet maken van je beveiliging. NIS2 verplicht niet letterlijk tot pentesten, maar de vereiste rondom kwetsbaarhedenbeheer en het aantonen van de effectiviteit van beveiligingsmaatregelen wordt door toezichthouders en auditors vrijwel universeel uitgelegd als: laat zien dat je getest hebt.

Beide methoden sluiten elkaar niet uit. Een scan geeft breedte, een pentest geeft diepte. Samen geven ze het meest volledige beeld.

Hoe herken je een goede pentest?

De kwaliteit van een pentest staat of valt met de persoon die hem uitvoert. Een paar dingen om op te letten.

• Vraag naar de methodiek. Een serieuze partij werkt met erkende standaarden als OWASP of PTES. Vraag ook of er handmatig getest wordt of alleen met geautomatiseerde tools. Alleen handmatig werk levert echte pentestresultaten op.
• Vraag naar certificeringen. Erkende kwalificaties zoals OSCP, PNPT of eCPPT geven aan dat een tester zijn vak serieus neemt en aantoonbaar bekwaam is.
• Vraag een voorbeeldrapportage. Een goed rapport beschrijft niet alleen welke kwetsbaarheden er zijn, maar ook waarom ze gevaarlijk zijn, wat de impact is en hoe je ze oplost. Geen lijst, maar een bruikbaar document.
• En tot slot: wordt de scope vooraf vastgelegd? Goede pentests beginnen met duidelijke afspraken over wat er getest wordt, door wie en wanneer. Dat geeft jou zekerheid en de tester de ruimte om grondig te werken.

Een goed startpunt: breng je aanvalsoppervlak in kaart

Weet je nog niet precies wat je wilt laten testen? Dan is het zinvol om eerst inzicht te krijgen in wat er aan je digitale buitenkant zichtbaar is. Cybernext biedt daarvoor de Tervex scan: een tool die je aanvalsoppervlak in kaart brengt, van subdomeinen en open services tot datalekken op het dark web. Geen vervanging voor een pentest, maar een helder vertrekpunt.

Benieuwd wat voor jouw organisatie de meest logische aanpak is? We denken graag mee. Neem gerust en vrijblijvend contact op.