Wat is penetratietesten, echt?

Penetratietesten is de praktijk van het simuleren van echte aanvallen tegen een systeem, netwerk of applicatie onder een ondertekende overeenkomst, met als doel zwakke punten te vinden die uitgebuit kunnen worden voordat iemand zonder toestemming dat doet. Het is een gecontroleerde, tijdsgebonden oefening die eindigt met een rapport, niet een open-ended hackeractiviteit.

Het verschil tussen penetratietesten en kwetsbaarheidsscans

Een kwetsbaarheidsscanner zoals Nessus of OpenVAS controleert een doel tegen een database met bekende handtekeningen en geeft je een lijst met mogelijke problemen, waarvan de meeste handmatige verificatie nodig hebben. Een pentest gaat verder: de tester probeert bevindingen daadwerkelijk uit te buiten, ze aan elkaar te koppelen en echte gevolgen aan te tonen. Scanning vertelt je dat een poort open is en een serviceversie verouderd lijkt. Penetratietesten vertelt je dat die verouderde service kan worden gebruikt om een shell te krijgen, en vanuit die shell kun je pivoten naar de domeincontroller.

Dat onderscheid is ook belangrijk voor rapportage. Een scanrapport is een lijst. Een pentestrapport is een verhaal met bewijs: schermafbeeldingen, commandouitvoer en een overzicht van het aanvalspad van eerste voetafdruk tot aan wat afgesproken was (gegevenstoegang, domeinadmin, enz.).

Hoe een opdracht wordt afgebakend

Voordat enig testen begint, komen de client en tester overeen over regels voor de oefening: wat erbij hoort (specifieke IP-bereiken, domeinen, applicaties), wat niet mag (productiedatabases, systemen van derden die niet eigendom van de client zijn), testtijdvensters en noodcontacten als iets stukgaat. Dit wordt gedocumenteerd in een ondertekende autorisatiebrief of contract. Zonder die autorisatie is het exacte dezelfde technische werkzaamheid een misdrijf onder wetten zoals de US Computer Fraud and Abuse Act of de UK Computer Misuse Act.

Opdrachten worden meestal gecategoriseerd naar hoeveel informatie de tester mee krijgt:

• Black box — tester krijgt een doel en verder niets, wat een buitenstaander simuleert met nul eerdere kennis.
• Gray box — tester krijgt wat informatie, zoals een gebruikersaccount of netwerkdiagram, vergelijkbaar met een kwaadwillende insider of gecompromitteerd inloggegevens scenario.
• White box — tester heeft volledige toegang tot broncode, architectuurdocs en inloggegevens, nuttig voor diepgaande testing op applicatieniveau.

Hoe een typische methodologie eruitziet

De meeste pentests volgen losjes een structuur dicht bij PTES (Penetration Testing Execution Standard) of de fasen in NIST SP 800-115:

1. Reconnaissance — passieve en actieve informatie verzameling. Tools zoals theHarvester, amass of gewoon Google dorking voor blootgestelde subdomeinen en werknemersemailadressen.
2. Scanning en enumeratie — nmap -sC -sV tegen het doelbereik, directory brute-forcing met gobuster of ffuf op webapps, SMB-enumeratie met enum4linux op interne netwerken.
3. Exploitatie — het gebruik van bekende CVE's, misconfiguaties, zwakke inloggegevens of aangepaste payloads om initiële toegang te krijgen. Dit kan een Metasploit-module zijn, een zelfgebouwde SQL injection payload, of een phishing-e-mail met een kwaadaardig macro.
4. Post-exploitatie — zodra je een voetafdruk hebt, begint het echte werk: privilege escalation, lateral movement, credential harvesting met tools zoals Mimikatz of secretsdump.py, en bepalen hoe ver de toegang werkelijk reikt.
5. Rapportage — bevindingen uitschrijven met CVSS-scores, reproductiestappen, bewijs en remediatiebegeleiding waaraan het engineeringteam van de client kan werken.

Types penetratietesten die je tegenkomt

Netwerkpenetratietesten zijn gericht op interne of externe infrastructuur — servers, firewalls, routers. Webtoepassingspenetratietesten focussen op dingen in de OWASP Top 10: injection flaws, broken authentication, insecure deserialization. Mobile app penetratietesten duiken in APK/IPA-bestanden, API-eindpunten en lokale opslag. Wireless penetratietesten testen Wi-Fi-beveiliging (WPA2/3 handshake capture, rogue access points). Fysieke en social engineering penetratietesten testen of iemand een gebouw in kan lopen of een werknemer zover kan krijgen inloggegevens af te staan, zonder code.

Waarom bedrijven hier eigenlijk voor betalen

Behalve het vinden van bugs, voldoen penetratietesten aan compliancevereisten. PCI DSS vereist jaarlijkse penetratietesten voor iedereen die met kaartgegevens omgaat. SOC 2 en ISO 27001 audits verwachten vaak bewijs van regelmatig testen. Maar de eerlijke reden waarom goeie beveiligingsteams penetratietesten uitbesteden, is niet alleen het vinkje — het is dat geautomatiseerde scanners bedrijfslogicafouten missen, gekoppelde problemen met lage ernst en het soort creatieve exploitatie dat een ervaren mens vindt. Een scanner merkt niet op dat het wijzigen van een order-ID in een URL je iemand anders zijn factuur laat bekijken. Een tester wel.

Aan de slag in dit vakgebied

Als je penetratietesten als carrière nastreeft, is praktische oefening belangrijker dan alleen certificeringen. Platforms zoals HackTheBox en TryHackMe bouwen spiergeheugen; certificeringen zoals OSCP valideren het. Leer broncode te lezen, begrijp hoe HTTP werkelijk op byteniveau werkt, en word vertrouwd met een Linux terminal voordat je je zorgen maakt over flashy tools.

Als dit overzicht nuttig was, heeft Korra Studio meer onderdelen in de Offensive track met specifieke exploitatietechnieken, tool-rondleidingen en labpracticum die je kunt volgen.