Om de kwaliteit gelijk te houden, ongeacht de grootte van de opdracht, is het verloop altijd hetzelfde. Vijf fasen, in deze volgorde.
We bespreken wat het doel van de test is, wat de randvoorwaarden zijn en hoe die vervuld worden. En — heel belangrijk — waar de grenzen liggen: welke domeinen bekijk ik wel, welke niet. Wat is binnen de test, en wat valt er expliciet buiten.
De eerste verkenning van de applicaties, het netwerk en de infrastructuur — en bij een ethical hack-attack ook van het bedrijf en de mensen. In deze fase verzamel ik informatie die het latere scannen en het eventueel verkrijgen van toegang kan vereenvoudigen.
Dit is de eerste keer dat ik de doelinfrastructuur en de applicatie daadwerkelijk aanraak. Ik kijk naar de gebruikte technologie, de gebruikte poorten, welke poorten openstaan en welke versies er draaien.
Op basis van de scanresultaten bepaal ik de daadwerkelijke aanvallen: welke onderdelen val ik aan en op welke manier. Lukt het om met verhoogde rechten toegang te krijgen, dan kijk ik ook of die toegang persistent te maken is — zodat ik een aantoonbare achterdeur kan laten zien.
Alle logs, aantekeningen en bewijsvoering komen bij elkaar en worden geanalyseerd op daadwerkelijke gevaren en aandachtspunten. Daarvan schrijf ik een pragmatische rapportage: per bevinding de prioriteit, wat de impact is, en hoe je het oplost.
Elke bevinding krijgt dezelfde opbouw: prioriteit, waar het zit, wat het betekent voor jouw bedrijf, en wat je eraan doet. Geen losse CVSS-scores zonder uitleg — er staat altijd bij wat het praktisch betekent.
Vind ik iets in de hoogste categorie, dan neem ik meteen contact op om het gevaar te bespreken. Je wacht daar het rapport niet voor af.
De server accepteert nog verouderde protocolversies. Een aanvaller die al tussen je klant en je webshop zit, kan de verbinding dwingen terug te vallen op een zwakkere versie en meelezen met wat er over de lijn gaat — inclusief sessiegegevens.
Schakel de oude protocolversies uit en laat alleen de actuele versie toe. Dit is een configuratiewijziging op de webserver; reken op een half uur werk voor je beheerder.
In de intake lopen we deze vijf fasen langs en bepalen we samen waar de grenzen liggen.
