Hoe ver zou een aanvaller komen?

Een test vanaf het internet beantwoordt andere vragen dan een controle met een regulier intern account. Samen bepalen wij welk scenario moet worden bekeken en welke autorisaties bij aanvang aanwezig zijn. Uit deze uitgangssituatie wordt de toegestane scope afgeleid. Systemen, adressen en identiteiten worden gedocumenteerd; gedeelde diensten en systemen van derden vragen bijzondere aandacht. Zo voorkomt de planning dat het onderzoek door onduidelijke verantwoordelijkheden onbedoeld verder gaat dan een verleende goedkeuring.

Ook de operationele voorwaarden horen bij de voorbereiding. Contactpersonen, tijdsvenster en stopcriteria worden vastgelegd. Wijzigingen aan systemen, belastingstests of verdergaande maatregelen maken niet stilzwijgend deel uit van elke pentest. Ze moeten uitdrukkelijk passen bij de overeengekomen methode. De resultaten benoemen vervolgens de daadwerkelijke uitgangspositie en de gecontroleerde versie. Dat vergemakkelijkt de duiding: een kwetsbaarheid die is waargenomen met bestaande beheerrechten zegt iets anders dan bewijs vanuit een startpunt zonder verhoogde rechten.

Netwerksegmentatie alleen beschrijft nog niet alle toegangsmogelijkheden. Gebruikersaccounts, serviceaccounts en beheerpaden kunnen andere verbindingen tussen systemen tot stand brengen. De controle bekijkt daarom binnen het goedgekeurde kader of technische grenzen en rollen het beoogde model daadwerkelijk afdwingen. Afzonderlijke configuratiefouten worden beoordeeld in samenhang met hun impact. Een bevinding moet laten zien waarom die relevant is voor uw omgeving en welke voorwaarden gelden voor de aangetoonde toegang.

In IaaS-omgevingen komt de afbakening met de aanbieder erbij. Middelen en configuratie waarvoor de klant verantwoordelijk is, kunnen onderwerp van het onderzoek zijn; gedeelde platformdiensten vallen daardoor niet automatisch onder de goedkeuring. Vóór de controle worden noodzakelijke rechten en vereisten opgehelderd. Ook gekoppelde locaties en applicaties kunnen betrokken zijn. De planning brengt daarom cloud- en infrastructuurverantwoordelijken samen, zodat de test controleerbaar blijft en de gevolgen binnen het overeengekomen kader beheersbaar zijn.

Het resultaat maakt onderscheid tussen bevestigde bevindingen, aanwijzingen en niet-gecontroleerde gebieden. Bewijs beschrijft de vereiste voorwaarden en de waargenomen impact. Het moet de beoordeling mogelijk maken zonder onnodig gevoelige gegevens te verzamelen. Management en technische teams krijgen een passende uitwerking; bijzonder relevante waarnemingen worden via de overeengekomen meldroutes gemeld. Zo wordt een pentest meer dan een export van technische meldingen: de verantwoordelijken kunnen beslissen welke maatregelen als eerste worden doorgevoerd.

Bij het herstel kunnen meerdere teams betrokken zijn, zoals identiteitsbeheer, netwerkbeheer en applicatiebeheer. Aanbevelingen worden daarom besproken met hun afhankelijkheden. De retest richt zich op de overeengekomen gewijzigde versie en documenteert of het concrete bewijs nog steeds kan worden geleverd. Een resultaatafhankelijke vergoeding kan voor een geschikt, duidelijk gedefinieerd doel worden geregeld via Result as a Service. De toegestane testscope blijft daarbij bindend en wordt niet uitgebreid door een economische prikkel.