Pentesten

Tijdens een pentest zoeken onze hackers de grenzen van je beveiliging op. Ze onderzoeken web- en mobiele applicaties, infrastructuur, IoT- en OT-omgevingen, cloudomgevingen, low-codeapplicaties en AI-toepassingen op kwetsbaarheden en testen gecontroleerd wat er gebeurt als ze die misbruiken. Daarmee maken ze de werkelijke impact van kwetsbaarheden zichtbaar.

De risico’s waar je mee te maken hebt

Wat er van buitenaf veilig uitziet, kan er heel anders uitzien zodra iemand probeert in te breken.

Aanvallers worden slimmer, sneller en schaalbaarder

Nieuwe technologie en AI geven cybercriminelen steeds geavanceerdere mogelijkheden. Hierdoor kunnen kwetsbaarheden sneller worden ontdekt en uitgebuit.

Strengere wet- en regelgeving

Denk bijvoorbeeld aan de Cbw, DORA voor de financiële sector, BIO-eisen en bestaande AVG-verplichtingen. Hierdoor neemt de druk toe om risico's aantoonbaar te beheersen.

Aanvalspaden naar kritieke systemen blijven onzichtbaar

Een kwetsbaarheid lijkt op zichzelf misschien beperkt, maar kan een aanvaller toegang geven tot kritieke systemen of gevoelige data. Zonder deze aanvalspaden te testen, blijft onduidelijk welke impact een kwetsbaarheid in de praktijk kan hebben.

Het aanvalsoppervlak verandert continu

Door Agile, DevOps en CI/CD worden applicaties steeds sneller aangepast en uitgerold. Nieuwe functionaliteiten, integraties en wijzigingen kunnen telkens nieuwe kwetsbaarheden en aanvalsmogelijkheden introduceren. Een systeem dat eerder een test doorstond, kan vandaag nieuwe kwetsbaarheden bevatten.

Zo stellen we je beveiliging op de proef

Een pentest is meer dan een scanner draaien en kwetsbaarheden opsommen. Onze pentesters testen hoe ze kwetsbaarheden kunnen misbruiken en combineren.

Bepaal wat je wilt testen

De pentester legt de scope, onderzoeksvragen en planning vast, samen met je team, zodat het duidelijk is wat we aanvallen, hoe we testen en wat buiten de afspraken valt.

Bereid de pentest voor

Voor de pentest controleren we samen met je team de toegang, testaccounts, omgevingen en technische vereisten. Zo voorkomen we vertraging en gebruiken we de testtijd om kwetsbaarheden te vinden.

Uitvoering

Onze pentesters zoeken binnen de afgesproken scope naar kwetsbaarheden, valideren hun bevindingen en testen wat een aanvaller ermee kan bereiken. De Lead Pentester is je vaste aanspreekpunt en houd je tijdens de test op de hoogte.

Vertaal bevindingen naar inzicht

Je krijgt een helder pentestrapport met onze bevindingen, hun impact en aanbevelingen. Een onafhankelijke pentester controleert het rapport op kwaliteit en juistheid. Daarmee heb je een betrouwbare basis om kwetsbaarheden aan te pakken en beslissingen over beveiliging te nemen.

Bespreek de resultaten
en bepaal de vervolgstappen

Na de pentest nemen we het rapport samen door en bespreken we de bevindingen in detail. We adviseren over de aanpak en geven je team helder inzicht in de bevindingen en hoe deze kunnen worden opgelost.

Wat we onderzoeken

Van één applicatie tot een breder aanvalsoppervlak: de scope bepaalt waar we naar kwetsbaarheden zoeken en wat we op de proef stellen.

Extern aanvalsoppervlak

Ontdek wat een aanvaller vanaf het internet over je organisatie kan vinden en benaderen. De test richt zich onder meer op domeinen, IP-adressen, externe services, cloudomgevingen, VPN’s en beheerinterfaces. Zo wordt duidelijk of kwetsbaarheden en onveilige configuraties toegang geven tot accounts, gegevens of achterliggende systemen.

Interne netwerken

Ontdek wat een aanvaller kan bereiken met toegang tot je interne netwerk of een gecompromitteerd account. De test richt zich onder meer op netwerksegmentatie, Active Directory, rechtenstructuren en beheerinterfaces. Zo wordt duidelijk of een aanvaller hogere rechten kan verkrijgen, zich door het netwerk kan verplaatsen en kritieke systemen of gegevens kan bereiken.

Applicaties

Krijg een helder beeld van de beveiliging van je webapplicaties, API’s, mobiele apps of Mendix-applicaties, inclusief kwetsbaarheden in maatwerkcode, ontwikkelframeworks, configuraties en de onderliggende infrastructuur.

Hardware en systeemimages

Ontdek of zwakke configuraties, onveilige interfaces of onvoldoende hardening in IoT-apparaten, kassasystemen en werkplekimages een aanvaller toegang geven tot hogere rechten of gevoelige gegevens.

Scenariogebaseerde pentesten

Test een specifiek aanvalsscenario of beveiligingsvraagstuk. Ontdek of een aanval via die route kan slagen, zonder de hele omgeving te testen.

Cloudomgevingen

Ontdek of je cloudomgeving is ingericht volgens de beoogde beveiligingsgrenzen. De beoordeling richt zich onder meer op identiteiten en toegangsrechten, opslag, secrets, netwerkconfiguraties en publiek bereikbare diensten. Hiermee brengen we onveilige instellingen, te ruime rechten en onbedoeld blootgestelde gegevens aan het licht.

AI-applicaties

Ontdek hoe aanvallers je AI-applicaties kunnen misbruiken: van modellen en agents tot datastromen, integraties en de systemen waartoe ze toegang hebben.

Jouw aanspreekpunt

“Kwetsbaarheden vinden is maar een deel van het verhaal. Pas als je weet wat een aanvaller ermee kan bereiken, zie je waar het echte risico zit.”

Dirk van Veen

Ethical Hacker & Oprichter

Veel gestelde vragen

Hoe lang duurt een pentest?

Dat hangt af van de omvang, complexiteit en scope van de omgeving. Een traject kan variëren van 2 tot 50 dagen. Vooraf bepalen we samen wat we testen en spreken we een realistische planning af.

Wat is het verschil tussen een pentest en een kwetsbaarheidsscan?

Een kwetsbaarheidsscan zoekt geautomatiseerd naar bekende zwakke plekken. Een pentester onderzoekt bevindingen handmatig, test of ze te misbruiken zijn en zoekt naar combinaties die een aanvalspad vormen.

Zijn jullie pentesters gecertificeerd?

Elke hacker bij The S-Unit heeft minimaal een OSCP-certificering, aangevuld met specialistische certificeringen op het gebied van offensive security, webapplicaties, Active Directory en Mendix-security. Onze pentestdiensten worden jaarlijks onafhankelijk beoordeeld voor het CCV-keurmerk Pentesten. Onze beveiligingsprocessen voldoen aan de eisen van ISO 27001.

Wat hebben jullie nodig om te beginnen?

We beginnen met een duidelijke scope, doelstellingen en een technisch aanspreekpunt. Afhankelijk van de test kunnen ook testaccounts, toegang tot omgevingen of aanvullende informatie nodig zijn om de afgesproken scope realistisch te testen.

Haal meer uit je pentest

Red Teaming

Ga verder dan de afgebakende scope van een pentest. Test of een aanvaller in een realistisch scenario een specifiek doel kan bereiken zonder te worden opgemerkt of tegengehouden.

Threat Modelling

Breng vóór de pentest in kaart wat je moet beschermen en hoe een aanvaller je applicatie, systeem of proces kan aanvallen. Zo herken je mogelijke dreigingen en aanvalspaden vroegtijdig.

Offensive as a Service

Maak pentesten onderdeel van je veilige ontwikkelcyclus. Test dezelfde omgeving regelmatig, verdeel een bredere scope over meerdere kwartalen of stem pentests af op ontwikkelsprints.

“The S-Unit combineert inhoudelijke expertise met een pragmatische aanpak. Ze denken kritisch mee, communiceren helder en vertalen hun bevindingen naar concrete verbeteringen waar we direct mee aan de slag kunnen. Een prettige manier die ons helpt onze informatiebeveiliging verder te versterken. En minstens zo belangrijk: dankzij hen slaap ik een stuk beter!”

Firas Daoud

TAF – CTO

“The S-Unit begreep vanaf het begin wat we wilden bereiken, ook al was de weg naartoe nog niet helemaal duidelijk. Ze namen ons mee in hun aanpak, dachten vooruit en schakelden snel wanneer dat nodig was. We konden erop vertrouwen dat het goed kwam, zonder voortdurend te hoeven bijsturen. Die manier van samenwerken is heel erg prettig.”

Martijn Korevaar

Gemeente Rotterdam – IT Risk & Compliance Manager

“Wij zijn professioneel geholpen met een pentest van een breed applicatielandschap. Ondanks de vele verschillende functionaliteiten in ons landschap was de test snel en volledig.”

Daan van der Ham

Lead techniek - PO-VO Raad

Klaar om je beveiliging
op de proef te stellen?

Heb je de scope al voor ogen of weet je nog niet wat je wilt testen? We helpen je de juiste offensieve aanpak te bepalen.