De aanpak van een penetratietest bestaat uit een aantal fases:
- Vulnerability Scan
- Exploitatie
- Privilege Escalation
- Rapportage
- Heronderzoek
Vulnerability scan
Tijdens de vulnerability scan wordt het doelwit (webapplicatie of infrastructuur) met behulp van verschillende automatische tooling onderzocht. Hierbij worden de aanwezige kwetsbaarheden bloodgelegd op basis van een aantal “quick scans”. De gevonden kwetsbaarheden worden zover mogelijk handmatig bevestigd om “false positives” zoveel mogelijk te voorkomen. Met een vulnerability scan wordt voornamelijk het “low hanging fruit” zichtbaar.
Exploitatie
Daarna worden aanwezige diensten en besturingsystemen onderzocht op mogelijke kwetsbaarheden. In deze fase zal getracht worden (in overleg met de opdrachtgever) om toegang te verkrijgen tot kwetsbare systemen. tijdens deze fase wordt er alleen gebruik gemaakt van bekende exploitatiemethode om de beschikbaarheid zoveel mogelijk te garanderen.
Privilege escalation
Wanneer toegang verkegen is tot systemen zal in deze fase getracht worden om zoveel mogelijk rechten te bemachtigen. Hierdoor wordt de kans dat toegang tot andere systemen verkregen kan worden verhoogt. Wanneer de hoogst mogelijke rechten bemachtigd zijn (over het algemeen domein beheerrechten) wordt de infrastructuur als gecompromitteerd beschouwd.
Rapportage
Gevonden beveiligingsrisico’s worden gedocumenteerd en verder uitgewerkt in een rapportage. Deze bestaat onder andere uit een managementsamenvatting, beoordeling van het algehele beveiligingsniveau en de gevonden kwetsbaarheden. De gevonden kwetsbaarheden bevatten naast een beschrijving en aanbeveling een CVSS score, gebruikte tooling voor reproduceerbaarheid en bewijsvoering. Verder bevat de rapportage een checklist zodat duidelijk is welke testen zijn uitgevoerd. Indien wenselijk kan het rapport door middel van een presentatie worden toegelicht.
Heronderzoek
Wanneer beveiligingsrisico’s zijn aangetroffen tijdens een beveiligingsonderzoek kan een heronderzoek de genomen mitigerende maatregelen testen. Hierbij wordt het initiele onderzoek uitgebreid met de nieuwste bevindingen. Daarna wordt er een herbeoordeling gedaan van het algehele beveiligingsniveau aan de hand van de resultaten.
Interesse?
Klik hier om contact op te nemen!