Pentest of kwetsbaarheidsscan
Wat is het verschil tussen een pentest en een scan?
Een pentest website, ofwel penetratietest, is een gecontroleerde poging van een specialist om je website of applicatie te doorbreken, zoals een echte aanvaller dat zou doen. Een kwetsbaarheidsscan is een geautomatiseerde controle die bekende zwakke plekken opspoort, zoals verouderde software of verkeerde instellingen.
Beide zoeken naar lekken, maar ze werken anders en leveren verschillende resultaten op. Een scan geeft een lijst met mogelijke problemen. Een pentest geeft een beeld van wat een aanvaller echt kan bereiken. Voor een webwinkel of ledenomgeving is dat laatste vaak waardevol.
Wat levert een kwetsbaarheidsscan op en wat niet?
Een scan loopt snel en je kunt hem vaak herhalen. Hij controleert of software een bekende, gedocumenteerde kwetsbaarheid heeft en of gangbare instellingen ontbreken. Voor veel sites is dat een zinvol vertrekpunt. Onderhoud blijft daarnaast belangrijk; lees waarom bij beveiligingsupdates. Wil je malware opsporen, dan is een malwarescanner een ander hulpmiddel.
De beperking is dat een scan alleen ziet wat hij kent. Hij begrijpt de logica van je site niet. Een fout in een eigen formulier of een verkeerde toegangscontrole op één pagina ziet hij vaak niet. Ook kan een scan valse meldingen geven, zodat je tijd kwijt bent aan het uitzoeken welke meldingen echt zijn.
Wat levert een handmatige pentest op?
Een pentest is maatwerk. Een specialist probeert je site op meerdere manieren te misbruiken, combineert kleine zwakke plekken tot een echte aanval en kijkt naar de logica van je applicatie. Kan iemand andermans gegevens zien, een bestelling manipuleren of een beheerpagina bereiken? Het resultaat is een rapport met de gevonden problemen, hun ernst en advies om ze op te lossen.
Een pentest kost meer tijd en is niet elke maand nodig. Hij geeft een momentopname: wijzigingen die daarna komen, vallen buiten de test. Daarom is een pentest vooral zinvol bij grote wijzigingen of wanneer je persoonsgegevens, betalingen of een klantomgeving beheert.
Voor welke websites is dit zinvol?
Voor een eenvoudige brochuresite zonder formulieren en zonder inlog is een periodieke scan met goed onderhoud vaak voldoende. Hoe meer je verwerkt, hoe zwaarder de controle hoort te zijn. Voor een webwinkel, een ledenportaal of een site met klantaccounts is het verstandig om periodiek te scannen en na grote wijzigingen een pentest te laten doen. Een web application firewall kan sommige aanvallen tegenhouden, maar vervangt zo'n test niet.
Veelgestelde vragen
Mag ik zelf een pentest uitvoeren op mijn website?
Je eigen website mag je testen, maar doe dat met zorg. Scanners en testtools kunnen een site zwaar belasten of formulieren en gegevens onbedoeld wijzigen. Test daarom bij voorkeur op een kopie of testomgeving, en vraag je hoster wat is toegestaan. Een site of server van iemand anders testen zonder toestemming is niet toegestaan.
Hoe vaak moet je een kwetsbaarheidsscan laten draaien?
Er is geen vaste regel. Een gangbare aanpak is periodiek scannen, bijvoorbeeld elke paar maanden, en daarnaast na grote wijzigingen en zodra er een ernstig lek in je software bekend wordt. Een scan vervangt geen updates, maar laat wel zien welke bekende lekken nog openstaan.