Bijna elke organisatie levert haar diensten tegenwoordig via een webapplicatie. Denk aan webshops, online bankieren, bedrijfsapplicaties en API’s. Die afhankelijkheid heeft een keerzijde: elke webapplicatie die online staat, is ook een mogelijk doelwit voor aanvallers.
Webapplicaties verwerken dagelijks veel gevoelige gegevens, zoals klantinformatie, betaalgegevens en bedrijfsgeheimen. Moderne applicaties zijn opgebouwd uit allerlei technieken en frameworks, zoals React, Angular en Laravel. Hoe complexer zo’n applicatie, hoe meer plekken waar een zwakke plek kan ontstaan.
Een webapplicatie pentest (ook wel webapplicatie pen-test, webapplicatie penetratietest, website pentest, website pen-test of website penetratietest genoemd) is een gecontroleerde aanval op uw webapplicatie door ethische hackers. Wij bootsen realistische aanvalsscenario’s na en brengen zo de kwetsbaarheden in kaart, voordat kwaadwillende hackers ze vinden.
Een webapplicatie is vaak het visitekaartje van uw organisatie naar buiten toe. Loopt zo’n applicatie een geslaagde aanval op, dan kan dat leiden tot een datalek met gevoelige klant- en bedrijfsgegevens, tot financiële schade door diefstal of fraude, en tot verstoring van uw bedrijfsprocessen. De schade aan het vertrouwen van uw klanten is daarbij vaak het lastigst te herstellen.
Een webapplicatie penetratietest is in de volgende situaties verstandig:
Het is verstandig om elk jaar of om het jaar van pentestpartij te wisselen. Een andere ethical hacker heeft zijn eigen specialisatie en aanpak, en ziet daardoor kwetsbaarheden die bij een eerdere test mogelijk gemist zijn.
Er zijn drie vormen van webapplicatie pentests. Ze verschillen vooral in hoeveel voorkennis de pentester vooraf krijgt.
Bij een black box penetratietest kruipt de pentester in de huid van een aanvaller zonder voorkennis van de webapplicatie. Dat komt het dichtst bij de situatie waarin een echte cybercrimineel van buitenaf probeert binnen te komen.
Een grey box penetratietest zit tussen black box en white box in. De pentester krijgt beperkte informatie en toegang. Zo blijft de test realistisch, maar verloopt hij wel efficiënter.
Bij een white box penetratietest krijgt de pentester toegang tot alle beschikbare informatie, inclusief de broncode en beheerdersaccounts. Dit levert het meest grondige onderzoek op.
Meer over onze aanpak en expertise op onze over ons pagina.
Wij brengen in kaart welke aanvalspaden in uw applicatie open staan en wat aanvallers daarmee kunnen bereiken. Vraag een voorstel op maat aan.
Neem contact opOf mail ons direct via [email protected]
Er zijn verschillende erkende certificeringen voor webapplicatie penetratietesters:
Met deze certificeringen toont een pentester aan dat hij webapplicaties op een gedegen manier kan onderzoeken.
Bij webapplicatie penetratietests worden verschillende internationaal erkende methodieken gebruikt:
Daarnaast houden wij rekening met de OWASP Top 10, de NCSC-richtlijnen, CWE (Common Weakness Enumeration) en CVSS (Common Vulnerability Scoring System), zodat de test volledig is.
Bij webapplicatie penetratietests worden verschillende professionele tools gebruikt:
Wij combineren deze tools altijd met handmatig onderzoek door ervaren ethische hackers.
De duur van een webapplicatie pen-test hangt af van de complexiteit en de gekozen testvorm. Gemiddeld duurt het onderzoek tussen de 5 dagen en 3 weken, afhankelijk van de scope.
Voor organisaties met een beperkt budget bieden wij ook een timeboxed pentest aan. We kijken dan hoeveel tijd uw budget toelaat en richten ons op de belangrijkste en snelst te vinden bevindingen. Dat is een goede start voor organisaties die nog geen pentest hebben laten doen, of die met weinig budget toch iets aan hun beveiliging willen doen.
De meest voorkomende kwetsbaarheden bij webapplicaties zijn vastgelegd in de OWASP Top 10:
Deze kwetsbaarheden vormen de basis van elke webapplicatie penetratietest. Wij lopen ze stap voor stap na volgens de OWASP Testing Guide.