9 verschillende soorten penetratietesten [gebruikt in 2021]

In de zakelijke wereld van vandaag is beveiliging het meest voorkomende probleem geworden. Elke dag horen we hoe aanvallers computersystemen hebben gehackt en alle cruciale informatie hebben gestolen.

In 2019 waren er 1.473 datalekken gemeld in de Verenigde Staten, waarbij meer dan 164 miljoen gevoelige records werden blootgelegd. In de eerste helft van 2020 bedroeg het aantal datalekken 540. — Statista Report

Om zwakke punten en kwetsbaarheden in de beveiliging te detecteren, voeren veel grote bedrijven een geautoriseerde gesimuleerde cyberaanval uit op hun eigen systeem. Dit noemen we penetratietesten (kortweg Pen Test). Het doel is in feite om kwetsbaarheden en zwakke punten in de beveiliging te identificeren voordat de cyberhacker zich bevindt en deze zo snel mogelijk op te lossen.

Meer specifiek houdt penetratietesten in dat real-world aanvalsscenario's worden gesimuleerd om hiaten in de beveiliging (op een veilige manier) te vinden en te exploiteren die uiteindelijk kunnen leiden tot gestolen informatie, gecompromitteerde inloggegevens of andere schadelijke bedrijfsresultaten.

Het kan ofwel in-house worden uitgevoerd via een pen-testtool of worden uitbesteed aan een aanbieder van penetratietesten. Het proces begint meestal met een beveiligingsprofessional die het doelnetwerk opsomt om kwetsbare apparaten of accounts te detecteren. Dit betekent dat elk apparaat op het netwerk wordt gescand op open poorten waarop services worden uitgevoerd.

Het niveau van de inbraak hangt af van wat voor soort bewerking de beveiligingstester op het doelsysteem wil onderzoeken. Daarom moet de tester een goede kennis hebben van de meest relevante pentest.

Penetratietests kunnen worden geclassificeerd op basis van hoe ze worden uitgevoerd, evenals de activa en componenten waarop wordt getarget. In dit overzichtsartikel hebben we verschillende soorten penetratietesten uitgelegd die zijn ontworpen om intens en invasief te zijn.

Penetratietesten op basis van gebruikte methoden

1. Black Box-testen

• Testcases kunnen direct worden ontworpen
• Kan bepaalde fouten detecteren

Bij black-box-penetratietests heeft de tester geen toegang tot de applicatie, netwerkconfiguratie of enige vorm van interne informatie van de klant. Hij/zij voert alle verkenningen uit om de benodigde informatie te verkrijgen.

Dit type testen bepaalt de zwakke punten van een systeem die van buiten het netwerk kunnen worden misbruikt. Het vinden van die zwakke punten is afhankelijk van dynamische inspectie van momenteel lopende programma's en systemen binnen het doelnetwerk.

De tester moet bekend zijn met geautomatiseerde scansoftware en verschillende technieken voor handmatige penetratietesten. Aangezien er geen voorkennis is van systeemconfiguratie of applicatiebroncode, moet de black box-penetratietester in staat zijn om zijn/haar eigen kaart van het doelnetwerk te bouwen op basis van persoonlijke observaties.

Door de beperkte kennis kan de tester niet alle kwetsbaarheden in het systeem vinden. Dit is het grootste nadeel van dit soort testen. Als testers niet alle perimeters kunnen doorbreken, blijven interne kwetsbaarheden onontdekt.

Het kan echter bepaalde soorten fouten aan het licht brengen, zoals fouten in de serverconfiguratie en invoer-/uitvoervalidatiefouten. Om succesvol te zijn (meer kwetsbaarheden efficiënt detecteren en verhelpen), moeten black-box-testmethoden worden gecombineerd met andere testtools.

Er zijn tal van tools op de markt beschikbaar voor het uitvoeren van black-box penetratietesten. Wapiti analyseert bijvoorbeeld webapplicaties op mogelijke aansprakelijkheden door tijdelijke gegevens te injecteren.

2. White Box-testen

• Uitgebreider
• Maakt code-optimalisatie en detectie van verborgen beveiligingsproblemen mogelijk

Zoals de naam al doet vermoeden, is white box-penetratietesten het tegenovergestelde van black-boxtesten. De tester heeft volledige toegang tot architectuurdocumentatie, broncode en andere systeeminformatie.

Testers doorzoeken een grote hoeveelheid beschikbare gegevens om mogelijke zwakke punten te detecteren. Ze kunnen zowel statische als dynamische code-analysatoren en debuggers gebruiken voor dit soort testen.

Aangezien testers volledige kennis van het systeem hebben, kost het meer tijd om te beslissen welke modules als eerste getest moeten worden en welke specifieke software moet worden gebruikt om de test uit te voeren.

JUnit, PyUnit, Selenium zijn enkele van de meest populaire open-source white box-testtools. Selenium wordt bijvoorbeeld gebruikt voor het valideren van webapplicaties op verschillende browsers en platforms.

3. Gray Box-testen 

• Identificeert grotere kwetsbaarheden met minder kosten en moeite
• Het testen wordt uitgevoerd vanuit het oogpunt van de gebruiker in plaats van vanuit het oogpunt van de ontwerper

Dit is de combinatie van zowel black box als white box penetratietesten. De grijze pennentester heeft enige kennis van de interne onderdelen van het systeem, zoals database- en ontwerpdocumenten. Met deze beperkte kennis kan hij/zij betere testdata en testcases maken terwijl hij/zij een testplan opstelt.

Dit type testen biedt een efficiëntere en gerichte beoordeling van de beveiliging van het systeem in vergelijking met black-box-evaluatie. Het kan de defecten identificeren als gevolg van onjuist gebruik van applicaties of een onjuiste codestructuur. Meer specifiek onthult het de contextspecifieke fouten door zich te concentreren op alle lagen van complexe systemen.

Gray box-testen is meer geschikt voor functionele tests, webapplicaties, webservices, beveiligingsbeoordeling en GUI. Burp Suite is een van de populaire grijze-box-testtools die misbruik maakt van applicatiekwetsbaarheden door de voorlopige onveilige plekken aan te vallen.

Verschillend tussen deze drie testtechnieken

Penetratietesten op basis van gerichte componenten

1. Netwerkservices testen

• Voorkomt netwerk- en datalekken
• Zorgt voor netwerk- en systeembeveiliging

Het netwerkpenetratietestproces omvat het ontdekken van beveiligingsproblemen in applicaties en systemen door verschillende kwaadaardige methoden te gebruiken om de beveiliging van het netwerk te onderzoeken.

Doorgaans identificeert de tester exploiteerbare netwerken, hosts, systemen en apparaten (zoals switches en routers) om zwakke punten te ontdekken. Aangezien een netwerk zowel externe als interne toegangspunten heeft, is het verplicht om tests op afstand uit te voeren vanuit de buitenwereld en lokaal bij de klant.

Dit helpt testers om inzicht te krijgen in het risiconiveau waarmee de organisatie te maken heeft en hoe beveiligingsfouten kunnen worden aangepakt en verholpen. Afhankelijk van het risico kunnen ze zich in hun tests op verschillende netwerkgebieden richten. Ze kunnen bijvoorbeeld het volgende doen:

• Statistische analysetesten
• Firewall-configuratietesten
• Firewall-bypass-testen
• DNS-aanvallen

Het meest gebruikte protocol dat in deze tests is onderzocht, is:

• Simple Mail Transfer Protocol (SMTP)
• File Transfer Protocol (FTP)
• Beveiligde Shell (SSH)
• MySQL en SQL Server

Afhankelijk van de systeemgrootte en complexiteit kan het tussen één en vier weken duren om een ​​netwerkpenetratietest te voltooien. Testers kunnen pas een gedetailleerde schatting geven nadat ze het project hebben onderzocht.

2. Pentesten voor webapplicaties

Stappen om een ​​webapp-pentest uit te voeren

• Identificeert kwetsbaarheid in zowel ontwerp als configuratie
  Lokaliseert indringers en blokkeert ze

Aangezien veel webapplicaties gevoelige informatie bevatten, is het noodzakelijk deze te allen tijde veilig te houden. Een manier om dat te doen is om penetratietesten voor web-apps op te nemen als onderdeel van de Software Development Life Cycle (SDLC).

Pentests maken het gemakkelijk om kwetsbaarheden te bepalen van de volledige webapplicaties en van alle componenten, inclusief de database, het backend-netwerk en de broncode. Dit helpt ontwikkelaars om zwakke punten en fouten te lokaliseren en te prioriteren en om manieren te bedenken om deze te verminderen.

Dit type testen omvat het verzamelen van gegevens over de doelwebapp, het in kaart brengen van het hostnetwerk en het onderzoeken van alle mogelijke punten van injectie- of sabotageaanvallen. De meeste redenen om pentests voor webapps uit te voeren zijn:

• Onbekende kwetsbaarheden detecteren
• Controleer openbaar toegankelijke componenten, zoals routers en firewalls
• Vind de meest kwetsbare route voor een mogelijke aanval
• Zoek naar mazen in de wet die kunnen leiden tot informatiediefstal
• Controleer de effectiviteit van bestaand beveiligingsbeleid

Er zijn tal van tools op de markt om (zowel handmatige als geautomatiseerde) penetratietests voor web-apps uit te voeren. Vega, Veracode en Zap zijn enkele van de meest voorkomende voor het uitvoeren van snelle tests.

3. Draadloze pen testen

• Bepaalt de realistische beveiligingshouding van draadloze netwerken
• Verhelpt kwetsbaarheden en beveiligingsbeleid/-procedures

Draadloze penetratietesten omvatten het detecteren en analyseren van de verbindingen tussen alle apparaten die zijn aangesloten op de wifi van het bedrijf. Dit omvat laptops, smartphones, tablets, printers en andere Internet of Things (IoT)-apparaten.

Verschillende draadloze protocollen en draadloze toegangspunten worden getest om mazen in de beveiliging te ontdekken. Meestal worden deze tests uitgevoerd op de locatie van de klant, omdat de tester zich binnen het bereik van draadloze signalen moet bevinden om toegang te krijgen tot het apparaat.

In de meeste gevallen worden kwetsbaarheden gevonden in wifi-toegangspunten door gebrek aan MAC-filtering en onvoldoende netwerktoegangscontrole. Om deze problemen op te lossen voordat ze echt optreden, is het van cruciaal belang om de effectiviteit van de beveiligingshouding te testen en onbedoelde zwakheden aan het licht te brengen.

Het is ook belangrijk om in gedachten te houden dat wifi niet de enige draadloze technologie is die aanvallers kunnen misbruiken. Er zijn verschillende Bluetooth-apparaten, Bluetooth Low Energy-apparaten en andere minder populaire technologieën, zoals Z-wave en DECT (draadloze telefoon), die in het openbaar worden gevonden.

4. Penetratietests aan de clientzijde

• Detecteert verkeerde beveiligingsconfiguraties in software aan de clientzijde
• Maakt een goede controle van inkomend en uitgaand netwerkverkeer mogelijk

Dit is een interne pentest waarbij testers misbruik maken van kwetsbaarheden in client-side applicatieprogramma's zoals webbrowsers, Adobe Acrobat, e-mailclients, Macromedia Flash, enz.

Hoewel er geen regel is voor het uitvoeren van dergelijke tests met specifieke tussenpozen, moeten bedrijven pentests uitvoeren wanneer nieuwe IT-infrastructuur of client-side applicaties worden toegevoegd of wanneer bestaande infrastructuur wordt gewijzigd.

De meeste kwetsbaarheden aan de clientzijde treden op als gevolg van de niet-gepatchte software die op laptops of desktops is geïnstalleerd. Sommige aanvallers onderscheppen zelfs het updateproces en sturen kwaadaardige code samen met de originele update.

USB-apparaten zijn ook geïnfecteerd met schadelijke bestanden of uitvoerbare code. Deze bestanden worden automatisch uitgevoerd zodra het slachtoffer de USB op zijn/haar machine aansluit. Cross-site scripting, formulierkaping, clickjacking, HTML-injectie en open omleiding zijn enkele van de meest voorkomende beveiligingsaanvallen aan de clientzijde.

Daarom is het belangrijk om de gevoeligheid van medewerkers en het vermogen van netwerken om aanvallen aan de clientzijde te herkennen en erop te reageren, te testen.

5. Externe pentest

• Een veiligheidsbeoordeling van de perimetersystemen van een bedrijf
• Omvat zowel applicatielaag- als netwerklaagbeoordelingen

Externe penetratietests testen over het algemeen vanuit het perspectief van de aanvaller zonder voorafgaande toegang tot het doelsysteem of netwerk. Dit verschilt van interne pentesten, waarbij de aanvaller al voet aan de grond heeft op de gecompromitteerde machine.

Bij externe pentesten probeert de tester toegang te krijgen tot het interne netwerk door gebruik te maken van kwetsbaarheden die op de externe activa worden gevonden. Hij/zij voert verkenningen uit op de in-scope assets en verzamelt gegevens over alle assets in scope.

Deze gegevens kunnen open poorten, kwetsbaarheden of werknemersinformatie voor wachtwoordaanvallen bevatten. Zodra de perimeter is overschreden, is het doel van de externe penetratietest bereikt en gaat de tester verder met de interne pentest.

Lezen:30 handige tools voor het opsporen van bugs voor ontwikkelaars

6. Sociale techniek

• Nietsvermoedende werknemers ertoe brengen de beveiliging van het bedrijf in gevaar te brengen
• Gebruik de menselijke psychologie om vertrouwelijke gegevens te krijgen

De term social engineering wordt gebruikt voor een breed scala aan kwaadaardige activiteiten die via menselijke interacties worden uitgevoerd. Omdat het gebaseerd is op menselijke fouten (in plaats van zwakte in applicaties of netwerken), is het minder voorspelbaar en moeilijker te detecteren dan op malware gebaseerde inbraken.

Bij dit soort tests wordt geprobeerd vertrouwelijke gegevens te bemachtigen door de werknemers van het bedrijf te misleiden om gevoelige informatie te onthullen. Dit kan worden bereikt door middel van testen op afstand of fysiek testen.

Lees:15 beste tools voor het genereren van testgegevens

Testen op afstand omvat het verzenden van phishing-e-mails naar werknemers of het bombarderen van hun apparaten met valse alarmen of fictieve bedreigingen. Daarentegen omvatten fysieke tests bumperkleven, imitatie, dumpster-duiken, fysieke bedreigingen, enz.