Scenario Based Pentesting

Kan dit aanvalsscenario slagen? Je wilt weten of een specifieke aanval binnen jouw organisatie werkt. Daarom testen we het scenario vanuit een afgesproken startpositie en met een duidelijk doel. We onderzoeken hoe ver een aanvaller komt, welke kwetsbaarheden samen het aanvalspad vormen en waar je de aanval effectief kunt stoppen.

Herken je dit?

Wat er van buitenaf veilig uitziet, kan er heel anders uitzien zodra iemand probeert in te breken.

Je beveiligingsmaatregelen werken afzonderlijk. Maar hoe werken ze samen?

Je hebt securitytools, maatregelen en processen ingericht. Maar je weet niet of ze allemaal goed samenwerken. Elke maatregel kan op zichzelf goed werken, maar dat zegt nog niet of je beveiliging bestand is tegen een realistische aanval.

De hoogste score betekent niet het grootste risico

Een kwetsbaarheid met de hoogste score vormt niet altijd het grootste risico. Ook een bevinding met een lagere score kan de weg openen naar hogere rechten, laterale beweging binnen je omgeving of toegang tot kritieke data.

Bevindingen missen de context van je organisatie

Pentestrapporten laten zien welke kwetsbaarheden bestaan en hoe ernstig ze zijn. Maar ze laten niet altijd zien wat die kwetsbaarheden betekenen voor de systemen en processen waarop je bedrijf vertrouwt. Dat kan het moeilijker maken om het echte bedrijfsrisico te begrijpen en te beslissen wat er eerst opgelost moet worden.

Zou je een aanval detecteren?

Je beveiligingssystemen genereren alerts. Maar herken je tijdens een echte aanval de signalen die ertoe doen? En grijpt je securityteam op tijd in, voordat een aanvaller zijn doel bereikt?

Zo pakken we het aan

We beginnen met de onderzoeksvraag die je wilt beantwoorden. Samen vertalen we die vraag naar een realistisch aanvalsscenario met een duidelijk startpunt, doel en afgesproken scope.

Bepaal de onderzoeksvraag

We beginnen met wat je wilt bewijzen of op de proef wilt stellen: een kritisch proces, systeem, specifieke data of een bepaald risico. Samen bepalen we het aanvalsscenario en het doel. Zo weten we precies wat een aanvaller moet bereiken en wat de test moet aantonen.

Begrijp de dreiging

We onderzoeken wie jouw organisatie realistisch gezien zou kunnen aanvallen, waarom en hoe zo’n aanvaller te werk zou gaan. Met die inzichten bouwen we een realistisch aanvalsscenario op basis van relevante tactieken en technieken.

Bouw het aanvalsscenario

We vertalen de dreiging naar een concreet aanvalsscenario en brengen in kaart welke informatie een aanvaller kan vinden en gebruiken. Vooraf stemmen we de scope, grenzen en technieken af. Zo blijft de test realistisch zonder je bedrijfsvoering, data of medewerkers in gevaar te brengen.

Voer het aanvalspad uit

We doorlopen het aanvalsscenario en combineren kwetsbaarheden om het vooraf bepaalde doel te bereiken. Dit maakt inzichtelijk wat een aanvaller daadwerkelijk kan bereiken en waar kwetsbaarheden samen een reëel bedrijfsrisico vormen.

Test je verdediging

Een aanval draait niet alleen om binnenkomen. We testen wat er gebeurt terwijl de aanval zich ontvouwt: detecteert je organisatie de aanval en handelt die op tijd voordat de aanvaller zijn doel bereikt?

Doorbreek het aanvalspad

We koppelen de technische bevindingen aan de impact op je organisatie, zodat je weet wat je als eerste moet oplossen. Na de verbeteringen testen we gericht opnieuw om te bepalen of hetzelfde aanvalspad nog steeds succesvol kan zijn.

Wat je van ons ontvangt

Na de Scenario Based Pentest ontvang je één helder en volledig rapport waarin alle resultaten samenkomen.

Scenariodefinitie en testplan

Een heldere beschrijving van de onderzoeksvraag, de startpositie, het aanvalsdoel, de scope en de afgesproken testvoorwaarden.

Reconstructie van het aanvalspad

Een chronologisch overzicht van de stappen die de testers hebben uitgevoerd, de toegang die zij hebben verkregen en de kwetsbaarheden die hen verder hielpen.

Technische bevindingen en bewijs

Per bevinding ontvang je technisch bewijs, een toelichting op de oorzaak en impact, en een praktisch mitigatieadvies.

Analyse van het ketenrisico

Je ontvangt een analyse van de kwetsbaarheden, configuratiefouten en trustrelaties die samen het aanvalspad mogelijk maakten, inclusief advies over waar je dit pad het effectiefst kunt doorbreken.

Managementsamenvatting

Een zakelijke vertaling van het geteste scenario: wat is aangetoond, welke kritieke systemen, processen of data waren bereikbaar en welke verbeteringen hebben prioriteit?

Jouw aanspreekpunt

“Je kunt precies weten welke kwetsbaarheden er in je omgeving zitten en toch niet weten welk risico je daadwerkelijk loopt. Het gaat erom wat er gebeurt wanneer die kwetsbaarheden samenkomen binnen een realistisch scenario.”

Nick Bruinsma

Directeur Innovatie

Veel gestelde vragen

Hoe lang duurt een Scenario Based Pentest?

De duur hangt af van het aantal scenario’s, het type en de complexiteit van de omgeving en de scope van de test. Net als bij een reguliere pentest kan een traject variëren van 2 tot 50 dagen.

Wat is het verschil met een reguliere pentest?

Een reguliere pentest begint meestal bij een systeem of applicatie en onderzoekt welke kwetsbaarheden kunnen worden misbruikt. Scenario Based Pentesting begint bij een specifieke dreiging of een bedrijfsrisico en test of een aanvaller een combinatie van zwakke plekken kan gebruiken om een vooraf bepaald doel te bereiken.

Reguliere pentest	Scenario Based Pentest
Begint meestal bij een systeem of applicatie	Begint bij een dreiging en bedrijfsrisico
Vraagt: welke kwetsbaarheden zijn aanwezig?	Vraagt: kan een aanvaller een kritisch doel bereiken?
Heeft vaak een technische scope	Heeft een scope op basis van een scenario en doelstelling
Test componenten vaak afzonderlijk	Onderzoekt hoe mensen, processen en technologie op elkaar inwerken
Rapporteert individuele bevindingen	Reconstrueert het volledige aanvalspad
Kent aan elke kwetsbaarheid een risicoscore toe	Beoordeelt het risico op basis van het aanvalspad en de impact
Kan stoppen zodra een kwetsbaarheid is aangetoond	Onderzoekt wat een aanvaller vervolgens kan bereiken
Detectie is vaak van secundair belang	Detectie en respons kunnen expliciete testdoelen zijn
Resultaten zijn voornamelijk gericht op IT en security	Resultaten zijn relevant voor security, risk, audit en management

Is Scenario Based Pentesting hetzelfde als Red Teaming?

Nee. Scenario Based Pentesting test een vooraf bepaald scenario binnen een gecontroleerde scope. Bij Red Teaming krijgen aanvallers meer vrijheid om zelf een route naar het vooraf bepaalde doel te vinden.

Kunnen we meer dan één scenario testen?

Ja. We kunnen meerdere scenario’s testen, afhankelijk van de risico’s die je wilt onderzoeken, de scope en de beschikbare tijd.

Kunnen jullie het scenario achteraf opnieuw testen?

Ja. Nadat verbeteringen zijn doorgevoerd, kunnen we een gerichte hertest uitvoeren om te bepalen of hetzelfde aanvalspad nog steeds succesvol kan zijn.

Testen jullie ook onze detectie en respons?

Dat kan. Wanneer detectie en respons onderdeel zijn van het testdoel, onderzoeken we welke activiteiten je securityteam detecteert en hoe daarop wordt gereageerd. De precieze vorm spreken we vooraf af: van een analyse van logging en alerts achteraf tot een gecontroleerde test van triage en respons.

Is Scenario Based Pentesting hetzelfde als assumed breach?

Nee. Assumed breach beschrijft vooral de startpositie van de test. Daarbij nemen we aan dat een aanvaller al een eerste vorm van toegang heeft, bijvoorbeeld tot een gebruikersaccount of werkplek.

Scenario Based Pentesting beschrijft de bredere opzet van het onderzoek. Een assumed-breachpositie kan daarom onderdeel zijn van een scenario-based pentest, maar dat hoeft niet.

Haal meer uit je pentest

Red Teaming

Ga verder dan de afgebakende scope van een pentest. Test of een aanvaller in een realistisch scenario een specifiek doel kan bereiken zonder te worden opgemerkt of tegengehouden.

Threat Modelling

Breng vóór de pentest in kaart wat je moet beschermen en hoe een aanvaller je applicatie, systeem of proces kan aanvallen. Zo herken je mogelijke dreigingen en aanvalspaden vroegtijdig.

Offensive as a Service

Maak pentesten onderdeel van je veilige ontwikkelcyclus. Test dezelfde omgeving regelmatig, verdeel een bredere scope over meerdere kwartalen of stem pentests af op ontwikkel-sprints.

“The S-Unit combineert inhoudelijke expertise met een pragmatische aanpak. Ze denken kritisch mee, communiceren helder en vertalen hun bevindingen naar concrete verbeteringen waar we direct mee aan de slag kunnen. Een prettige manier die ons helpt onze informatiebeveiliging verder te versterken. En minstens zo belangrijk: dankzij hen slaap ik een stuk beter!”

Firas Daoud

TAF – CTO

“The S-Unit begreep vanaf het begin wat we wilden bereiken, ook al was de weg naartoe nog niet helemaal duidelijk. Ze namen ons mee in hun aanpak, dachten vooruit en schakelden snel wanneer dat nodig was. We konden erop vertrouwen dat het goed kwam, zonder voortdurend te hoeven bijsturen. Die manier van samenwerken is heel erg prettig.”

Martijn Korevaar

Gemeente Rotterdam – IT Risk & Compliance Manager

“Wij zijn professioneel geholpen met een pentest van een breed applicatielandschap. Ondanks de vele verschillende functionaliteiten in ons landschap was de test snel en volledig.”

Daan van der Ham

Lead techniek - PO-VO Raad

Klaar om je beveiliging
op de proef te stellen?

Heb je de scope al voor ogen of weet je nog niet wat je wilt testen? We helpen je de juiste offensieve aanpak te bepalen.