Wat onderzoekt een pentest?

Een penetratietest, ook wel pentest genoemd, is een beveiligingsonderzoek waarbij een ethische hacker probeert kwetsbaarheden binnen een vooraf afgesproken omgeving aan te tonen en te misbruiken.

Dat kan bijvoorbeeld een webapplicatie, intern netwerk, cloudomgeving of specifieke infrastructuur zijn. De tester onderzoekt welke beveiligingsproblemen aanwezig zijn en wat de gevolgen kunnen zijn wanneer een aanvaller deze misbruikt.

Denk aan een kwetsbaarheid in een klantportaal waarmee ongeautoriseerde toegang tot gegevens mogelijk is. Of een verkeerde configuratie waardoor een gewone gebruiker aanvullende rechten binnen het netwerk kan verkrijgen.

Een pentest gaat verder dan een geautomatiseerde kwetsbaarheidsscan. Waar een scan potentiële beveiligingsproblemen signaleert, onderzoekt een pentester handmatig of kwetsbaarheden daadwerkelijk misbruikt kunnen worden en welke impact dat heeft.

Blackbox, greybox en whitebox pentesten

Afhankelijk van het onderzoeksdoel kan een pentest op verschillende manieren worden uitgevoerd.

Na afloop ontvang je een rapport met de aangetroffen kwetsbaarheden, de mogelijke gevolgen en aanbevelingen om de beveiliging te verbeteren.

Een pentest is daarmee vooral geschikt wanneer je wilt weten hoe goed een specifiek technisch onderdeel van je organisatie is beveiligd.

Wat onderzoekt red teaming?

Red teaming is een gecontroleerde aanvalssimulatie waarbij ethische hackers proberen een vooraf bepaald doel binnen de organisatie te bereiken.

Dat doel kan bijvoorbeeld toegang tot vertrouwelijke bedrijfsinformatie, een kritieke productieomgeving of de financiële administratie zijn.

In plaats van afzonderlijke kwetsbaarheden te onderzoeken, kijkt het red team naar de manier waarop een realistische aanvaller verschillende technieken kan combineren.

Een aanval kan beginnen met een phishingmail, misbruik van een gebruikersaccount of een kwetsbare server. Afhankelijk van de afgesproken scope kunnen ook social engineering en fysieke toegang tot een bedrijfslocatie onderdeel zijn van de test.

Het red team onderzoekt vervolgens hoe ver het binnen de organisatie kan komen en of bestaande beveiligingsmaatregelen verdere toegang voorkomen.

Red teaming test ook detectie en incidentrespons

Een belangrijk verschil met een reguliere pentest is dat red teaming ook de verdedigende organisatie test.

Het Blue Team, bijvoorbeeld de interne securityafdeling of een Security Operations Center, weet bij een traditionele red teaming-test doorgaans niet wanneer en hoe de aanval plaatsvindt.

Hierdoor kan worden onderzocht of verdachte activiteiten worden herkend, hoe snel beveiligingsmeldingen worden onderzocht en welke maatregelen worden genomen om de aanvaller tegen te houden.

Red teaming is vooral relevant wanneer je organisatie de belangrijkste kwetsbaarheden al heeft aangepakt en wilt beoordelen of de bestaande verdediging onder realistische omstandigheden werkt.

De belangrijkste verschillen tussen red teaming en een pentest

De verschillen worden duidelijk wanneer je kijkt naar het doel, de uitvoering en de resultaten van beide tests.

Een pentest en red teaming zijn daarmee geen onderling uitwisselbare diensten. Ze vullen elkaar aan en worden ingezet om verschillende onderdelen van de cybersecurity te beoordelen.

Wanneer kies je voor een pentest?

Een pentest is geschikt wanneer je de technische beveiliging van een specifiek systeem of onderdeel van je IT-omgeving wilt onderzoeken.

Dat is bijvoorbeeld relevant wanneer je een nieuwe webapplicatie of klantportal in gebruik neemt. Voordat het systeem beschikbaar wordt voor gebruikers, wil je weten of kwetsbaarheden ongeautoriseerde toegang of datalekken mogelijk maken.

Ook na grote wijzigingen in de infrastructuur kan een pentest nuttig zijn. Denk aan een cloudmigratie, netwerkvernieuwing, overname of aanpassing van belangrijke toegangsrechten.

Daarnaast kunnen klanten, auditors of verzekeraars vragen om aantoonbaar beveiligingsonderzoek. Een pentest kan inzicht geven in de technische risico's en de maatregelen die nodig zijn om deze te beperken.

Wanneer je organisatie nog onvoldoende zicht heeft op bestaande kwetsbaarheden, is een pentest doorgaans een logische eerste stap.

Wanneer is periodiek pentesten verstandig?

Een pentest geeft inzicht in de beveiliging op het moment van onderzoek. Wanneer systemen veranderen, kunnen nieuwe kwetsbaarheden ontstaan.

Daarom is het verstandig om belangrijke applicaties en infrastructuur periodiek te laten testen en aanvullend onderzoek uit te voeren na ingrijpende wijzigingen.

Bij organisaties waarvan de IT-omgeving voortdurend verandert, kan de Pentest Security Service van Defenced helpen om beveiligingsonderzoek structureel in te richten in plaats van uitsluitend op afzonderlijke momenten te testen.

Wanneer kies je voor red teaming?

Red teaming is vooral geschikt wanneer de belangrijkste technische kwetsbaarheden bekend en grotendeels aangepakt zijn en je organisatie wil onderzoeken hoe goed de totale verdediging functioneert.

Dat is bijvoorbeeld het geval wanneer je regelmatig pentesten laat uitvoeren, beschikt over actieve beveiligingsmonitoring en duidelijke incidentresponsprocedures hebt ingericht.

Een red teaming-test kan dan onderzoeken of deze maatregelen gezamenlijk voldoende bescherming bieden tegen een gerichte cyberaanval.

De test is ook relevant wanneer directie en management willen weten welke gevolgen een realistische aanval kan hebben voor kritieke bedrijfsprocessen.

Wanneer je nog geen actieve monitoring hebt ingericht, is het verstandig om eerst te bepalen hoe verdachte activiteiten worden gedetecteerd en opgevolgd. Zonder die basis blijft een belangrijk onderdeel van red teaming onvoldoende toetsbaar.

Een professioneel uitgevoerd red teaming assessment helpt vervolgens om te beoordelen welke aanvalspaden een aanvaller kan gebruiken en hoe effectief de organisatie deze activiteiten detecteert en stopt.

Wat is het verschil tussen red teaming en TIBER onder DORA?

Voor bepaalde financiële instellingen gelden aanvullende eisen aan het uitvoeren van geavanceerde cybersecuritytests.

TIBER staat voor Threat Intelligence Based Ethical Red Teaming. Het Europese TIBER-EU-raamwerk beschrijft hoe financiële instellingen hun digitale weerbaarheid kunnen laten onderzoeken door middel van realistische, dreigingsgerichte aanvalssimulaties.

De scenario's worden gebaseerd op relevante dreigingsinformatie. Gespecialiseerde ethische hackers proberen vervolgens vooraf bepaalde doelen te bereiken binnen de kritieke of belangrijke functies van de organisatie.

Een kleine groep binnen de organisatie, vaak het White Team genoemd, coördineert de test en bewaakt de veiligheid. Het Blue Team wordt doorgaans niet vooraf geïnformeerd over het exacte aanvalsscenario, zodat de detectie en reactie onder realistische omstandigheden kunnen worden beoordeeld.

Wanneer is een TLPT verplicht onder DORA?

Sinds 17 januari 2025 is de Europese Digital Operational Resilience Act, DORA, van toepassing.

Financiële instellingen die door hun bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Een TLPT richt zich op kritieke of belangrijke functies en de ondersteunende productiesystemen. De test moet voldoen aan specifieke eisen voor voorbereiding, uitvoering, risicobeheersing, rapportage en opvolging.

Het TIBER-EU-raamwerk biedt hiervoor een methodische basis. De aanvullende Europese uitwerkingsregels voor TLPT zijn sinds 8 juli 2025 van toepassing.

Organisaties die niet onder de TLPT-verplichting vallen, kunnen een regulier red teaming assessment uitvoeren. Daarmee kunnen relevante aanvalsscenario's worden onderzocht zonder automatisch alle vereisten van een formeel TLPT-traject te hoeven volgen.

Welke cybersecuritytest past bij jouw organisatie?

De juiste keuze hangt af van de huidige beveiligingssituatie en de vraag die je met het onderzoek wilt beantwoorden.

Een pentest en red teaming hoeven elkaar niet uit te sluiten. Een pentest helpt bestaande kwetsbaarheden inzichtelijk te maken en te verhelpen. Red teaming onderzoekt vervolgens hoe effectief de organisatie bestand is tegen een gerichte aanval.

Voor organisaties met een veranderende IT-omgeving kan periodiek pentesten onderdeel zijn van de structurele beveiligingsaanpak. Red teaming kan daar op passende momenten aan worden toegevoegd om de totale cyberweerbaarheid te beoordelen.

Pentest of red teaming laten uitvoeren door Defenced

Voordat je een cybersecuritytest laat uitvoeren, is het belangrijk om te bepalen welke risico's je wilt onderzoeken en welke systemen of bedrijfsprocessen daarbij centraal staan.

Wil je kwetsbaarheden binnen een specifiek technisch onderdeel identificeren, dan is een pentest de aangewezen aanpak. Wil je onderzoeken of een aanvaller meerdere beveiligingslagen kan doorbreken en hoe je organisatie daarop reageert, dan past red teaming beter.

Defenced ondersteunt organisaties met security assessments, penetratietesten en red teaming. Binnen de Risk services wordt gekeken naar de relevante beveiligingsrisico's en de onderzoeksmethode die daarbij past.