Pentesting

Wat is een pentest?

Een penetratietest, kortweg pentest, is een gecontroleerde aanval op uw IT-omgeving. Wij breken in, documenteren hoe, en laten zien wat een echte aanvaller had kunnen doen. Bewezen aanvalspaden met proof-of-concept.

Het verschil met een vulnerability scan? Bij een vulnerability scan draait men Nessus of Qualys, er komt een PDF met CVE's uit en men noemt het klaar. Wij gaan verder. Onze pentesters combineren tools als Burp Suite, BloodHound en Nuclei met handmatig onderzoek en jarenlange ervaring. Wij vinden de business-logicafouten, chained exploits en configuratieproblemen die scanners structureel missen.

Zolder is een CCV Keurmerk Pentesten gecertificeerd pentestbedrijf. Dat keurmerk garandeert competentie, onafhankelijkheid en rapportagekwaliteit. Voor organisaties onder NIS2 of ISO 27001 is dit vaak een vereiste.

Typen pentests

Wij bieden drie varianten:

• Blackbox: wij weten niets vooraf en werken als een externe aanvaller.
• Greybox: wij krijgen beperkte informatie, bijvoorbeeld een account, wat architectuurdocumentatie, etc.
• Whitebox: volledige toegang tot broncode en configuratie. Het meest grondig, en ons advies als u het maximale uit de test wilt halen.

Welk type past, bespreken we in het scopingsgesprek. Daar zit u direct aan tafel met de pentester die de test gaat uitvoeren.

Waarom een pentest laten uitvoeren?

Een pentest geeft u:

• Bewezen aanvalspaden: geen theoretische lijstjes, maar concrete exploits met screenshots en commando's.
• Compliance: NIS2, BIO, ISO 27001 en PCI-DSS vereisen periodieke pentests.
• Vertrouwen: steeds meer klanten en partners eisen een pentestrapport bij aanbestedingen.
• Eerlijk beeld: wij blazen bevindingen niet onnodig op om de opdracht groter te maken. Als iets veilig is, staat dat in het rapport.

Onze aanpak

Korte lijnen, directe actie. Dat is hoe wij werken.

1. Scoping & threat modelling - u spreekt direct met de pentester. Samen bepalen we scope, doelstellingen en spelregels. Wat zijn uw kroonjuwelen? Wat is je doel?
2. Reconnaissance - OSINT, port scanning, service fingerprinting, subdomain enumeration.
3. Kwetsbaarheidsanalyse & exploitatie - systematisch testen, gevolgd door gecontroleerde exploitatie. Wij tonen de werkelijke impact aan.
4. Post-exploitatie - lateral movement, privilege escalation, persistence. Hoe ver komt een aanvaller?
5. Rapportage - helder rapport met managementsamenvatting, technische details inclusief reproduceerstappen, en concrete aanbevelingen. Geen consultancy-jargon.
6. Hertest - na uw fixes kunnen wij verifiëren of de kwetsbaarheden daadwerkelijk zijn verholpen.

Tijdens de test delen wij kritieke bevindingen direct met u. U krijgt een Teams-, Slack- of Signal-groep met de onderzoeker. Dat is wat wij bedoelen met korte lijnen.

Wat kost een pentest?

Ons uurtarief is €175 per uur (excl. BTW). De totale kosten hangen af van scope, type test en complexiteit:

• Scope: een webapplicatie versus een complete infrastructuur met honderden hosts.
• Type test: blackbox vergt meer reconnaissance-uren dan whitebox.
• Complexiteit: maatwerkapplicaties, custom protocollen of legacy-systemen kosten meer tijd.
• Compliance-eisen: OWASP ASVS of PTES kunnen extra testcases vereisen.

Een gemiddelde webapplicatie-pentest komt neer op €5.000 - €15.000. Infrastructuurtests liggen hoger. Wij stellen altijd een vaste offerte op na een gratis scopingsgesprek.