Hilde van Kessel
Service Delivery Manager
Interne of externe penetratietest, wat kies je?
Het antwoord hangt af van de vraag welk deel van je organisatie je wilt laten testen op weerstand tegen een aanvaller. Een externe penetratietest kijkt naar wat vanaf het internet bereikbaar is, zoals websites, portals en VPN-toegang. Een interne penetratietest simuleert wat er gebeurt zodra iemand al binnen je netwerk zit, bijvoorbeeld via een gehackte laptop of een kwaadwillende medewerker. Beide beantwoorden een andere vraag, en die vraag bepaalt welke keuze bij jouw situatie past.
Het verschil tussen een interne en externe penetratietest
Een externe penetratietest richt zich op alles wat vanaf buitenaf toegankelijk is. Denk aan webapplicaties, firewalls, VPN-oplossingen en andere systemen die met het internet verbonden zijn. De centrale vraag is of een aanvaller van buitenaf een eerste toegangspunt kan vinden.
Een interne penetratietest gaat een stap verder. Hierbij wordt getest wat een aanvaller kan bereiken als die al toegang heeft tot je interne netwerk. Dat kan het gevolg zijn van een phishingaanval, een besmet apparaat of een kwetsbaarheid die eerder over het hoofd is gezien. De vraag verschuift dan van binnenkomen naar wat er daarna mogelijk is, zoals het bereiken van gevoelige systemen of het verkrijgen van hogere rechten.
Beide vormen vallen onder dezelfde discipline. Bij een Penetratietest wordt altijd gecontroleerd en binnen vooraf afgesproken grenzen onderzocht of kwetsbaarheden daadwerkelijk misbruikt kunnen worden, ongeacht of de scope intern of extern is.
Wanneer kies je voor een externe penetratietest
Een externe test is een logische keuze wanneer je vooral wilt weten hoe weerbaar je organisatie is tegen aanvallen van buitenaf. Dat is bijvoorbeeld relevant bij de lancering van een nieuwe webapplicatie, een klantportaal of een systeem dat rechtstreeks met internet verbonden is. Ook wanneer een klant, auditor of verzekeraar vraagt om aan te tonen dat publiek bereikbare systemen voldoende beveiligd zijn, is een externe test vaak de eerste stap.
Deze vorm van testen onderzoekt onder andere authenticatie, autorisatie en de manier waarop externe toegangspunten zijn ingericht. Het geeft antwoord op de vraag of de buitenkant van je organisatie standhoudt.
Wanneer kies je voor een interne penetratietest
Een interne test wordt relevant zodra je wilt weten wat de impact is als een aanvaller eenmaal binnen is. Dat scenario is realistischer dan veel organisaties denken. De meeste incidenten beginnen namelijk niet met een spectaculaire externe inbraak, maar met een medewerker die op een phishinglink klikt of een apparaat dat besmet raakt.
Bij een interne test wordt gekeken naar netwerksegmentatie, rechtenstructuren en de manier waarop systemen onderling met elkaar verbonden zijn. Zo wordt zichtbaar of een aanvaller, eenmaal binnen, eenvoudig kan doorbewegen naar kritieke systemen of dat de interne inrichting dit juist afremt. Voor organisaties met veel interne systemen, gevoelige data of een complexe netwerkstructuur is dit inzicht minstens zo waardevol als een externe test.
Waarom een combinatie vaak de beste keuze is
In de praktijk sluiten een interne en externe test elkaar niet uit. Ze beantwoorden andere delen van dezelfde vraag. Een externe test laat zien of de voordeur op slot zit. Een interne test laat zien wat er gebeurt als iemand toch naar binnen komt. Organisaties die alleen extern testen, missen vaak het beeld van wat er kan gebeuren zodra een aanvaller eenmaal een eerste stap heeft gezet.
Een combinatie geeft daarom het meest volledige beeld. Dat betekent niet dat beide tegelijk moeten plaatsvinden. Vaak is het logischer om te starten met de test die het grootste risico afdekt en de andere vorm op een later moment toe te voegen, afhankelijk van budget, urgentie en de volwassenheid van je huidige beveiliging.
Hoe bepaal je de juiste scope voor jouw organisatie
De keuze tussen intern, extern of beide hangt af van een aantal praktische factoren. Heb je recent een nieuwe applicatie live gezet die vanaf internet bereikbaar is, dan ligt een externe test voor de hand. Heb je juist zorgen over wat er gebeurt na een phishingincident, of is je interne netwerk de afgelopen jaren flink gegroeid door overnames of nieuwe systemen, dan is een interne test relevanter.
Ook de eis die aan je gesteld wordt, speelt mee. Een klant of auditor die vraagt om aantoonbare beveiliging van een publieke omgeving, vraagt in de praktijk om een externe test. Een interne compliance-eis of een intern gevoelde behoefte aan grip op interne risico's vraagt eerder om een interne scope. Wanneer je nog niet precies weet welk risico het grootst is of welk onderdeel als eerste getest moet worden, helpt het om die vraag eerst scherper te krijgen voordat je een scope vaststelt.
Van de juiste scope naar een gerichte penetratietest
De keuze tussen een interne en externe penetratietest is in essentie een keuze over waar je risico het grootst is en welke vraag je wilt beantwoorden. Soms is die vraag helder, bijvoorbeeld bij de livegang van een nieuwe applicatie. In andere gevallen is eerst wat meer duidelijkheid nodig over waar de organisatie werkelijk kwetsbaar is, voordat je scope, budget en planning kunt vastleggen.
Wij denken graag met je mee over welke scope het beste past bij jouw situatie, zodat de test niet alleen bevindingen oplevert, maar ook echt antwoord geeft op de vraag die voor jouw organisatie het belangrijkst is.