Hoe weet je of een pentest daadwerkelijk handmatig is uitgevoerd?

Je hebt een pentest laten uitvoeren en het rapport ligt op tafel. Maar hoe weet je of die test daadwerkelijk handmatig is uitgevoerd door een ervaren ethical hacker, of dat je in werkelijkheid betaalt voor een geautomatiseerde scan met een duur logo erop? Het onderscheid is cruciaal. Een handmatige pentest ontdekt aanvalspaden die geautomatiseerde tools structureel missen. Een geautomatiseerde scan doet dat niet, maar presenteert zich soms wel als volwaardige penetratietest.

In deze gids leer je stap voor stap hoe je de kwaliteit van een pentest verifieert: van het beoordelen van het rapport tot het stellen van de juiste vragen en het herkennen van rode vlaggen. Zo weet je zeker dat je investering daadwerkelijk waarde heeft opgeleverd.

Wat een echt handmatige pentest onderscheidt van een geautomatiseerde scan

Begrijp eerst het fundamentele verschil voordat je een rapport beoordeelt of vragen stelt. Een geautomatiseerde vulnerability scan werkt op basis van bekende CVE-databases en vergelijkt je omgeving met een lijst van bekende zwakheden. Dat is nuttig voor basishygiëne, maar het stopt daar ook. Een echte handmatige pentest gaat aanzienlijk verder en werkt op drie lagen:

• Laag 1 – Bekende kwetsbaarheden: Bekende CVE’s, publieke exploits en controle of patches correct zijn uitgevoerd. Dit is wat een geautomatiseerde scan ook kan.
• Laag 2 – Individuele zwakheden: Verkeerde Azure-configuraties, te ruime permissies, identity weaknesses en onveilige applicatie-instellingen. Deels automatiseerbaar, maar vereist menselijk oordeel.
• Laag 3 – Gecorreleerde aanvalspaden: Hier voegt een handmatige penetratietest echte waarde toe. Een ethical hacker onderzoekt wat er gebeurt als meerdere kleine zwaktes worden gecombineerd. Denk aan een keten als SSRF naar managed identity naar Azure RBAC naar Key Vault naar subscription owner. Los van elkaar lijkt geen enkele bevinding kritiek. Samen leiden ze tot volledige toegang tot cloudresources.

Het kernprincipe dat je moet onthouden: aanvallers zien geen losse bevindingen, zij zien aanvalspaden. Een geautomatiseerde scan rapporteert bevindingen. Een handmatige pentest reconstrueert aanvalspaden. Als je rapport alleen een lijst van CVE’s bevat zonder narratief over hoe een aanvaller ze zou combineren, is dat een sterke aanwijzing dat er weinig handmatig werk aan te pas is gekomen.

Beoordeel het rapport op tekenen van handmatig werk

Open het rapport en analyseer het op structuur en inhoud. Een kwalitatief handmatig pentestrapport heeft herkenbare kenmerken die je kunt controleren zonder zelf technisch expert te zijn.

1. Controleer de executive summary: Bevat die een verhaallijn over hoe een aanvaller te werk zou gaan, of is het een samenvatting van aantallen gevonden kwetsbaarheden? Een handmatig rapport vertelt een aanvalsverhaal.
2. Zoek naar omgevingsspecifieke details: Staan er screenshots, commando’s of outputs in die specifiek zijn voor jouw systemen, jouw domeinnamen, jouw applicatiestructuur? Generieke beschrijvingen zonder bewijs zijn een waarschuwingssignaal.
3. Beoordeel de bevindingen op diepgang: Een handmatige bevinding beschrijft de exploitatiestap, het bewijs van uitvoering en de specifieke impact voor jouw organisatie. Een geautomatiseerde bevinding kopieert de CVE-beschrijving en plakt daar een CVSS-score bij.
4. Let op attack path-analyse: Worden bevindingen in verband gebracht met elkaar? Staat er beschreven hoe een aanvaller bevinding A gebruikt als opstap naar bevinding B? Zo niet, dan ontbreekt de meest waardevolle laag van handmatig pentestwerk.
5. Tel de low-severitybevindingen: Paradoxaal genoeg is een rapport zonder low-severitybevindingen soms een slecht teken. Handmatige testers ontdekken ook kleine misconfiguraties die geautomatiseerde tools overslaan, juist omdat die in een aanvalsketen gevaarlijk kunnen zijn.

Verwacht je na deze analyse een rapport dat concreet is, omgevingsspecifiek en opgebouwd als een aanvalsverhaal? Dan is de kans groot dat er daadwerkelijk handmatig werk is verricht. Ontbreekt die diepgang, dan is het tijd om vragen te stellen.

Stel de juiste vragen aan je pentestprovider

Met je rapport als uitgangspunt ga je het gesprek aan met de pentestprovider. De antwoorden op onderstaande vragen onthullen snel of je met een echte handmatige test te maken hebt gehad. Stel deze vragen bij voorkeur vóór je een nieuwe opdracht plaatst, maar ze zijn ook waardevol als evaluatiegesprek achteraf.

1. Welke tools hebben jullie gebruikt en wat hebben jullie handmatig gedaan? Een eerlijke provider benoemt beide. Elke serieuze pentest combineert geautomatiseerde tools voor verkenning met handmatige analyse voor exploitatie en attack path-reconstructie. Een antwoord als “wij doen alles handmatig” of “wij gebruiken alleen tools” is allebei een rode vlag.
2. Hoeveel uur heeft de tester actief in mijn omgeving doorgebracht? Een volwaardige handmatige pentest van een gemiddeld netwerk of applicatie kost meerdere dagen. Als het antwoord enkele uren is voor een complexe omgeving, kloppen de getallen niet.
3. Kun je uitleggen hoe bevinding X en bevinding Y samen een aanvalsketen vormen? Kies twee bevindingen uit je rapport en vraag dit concreet. Een handmatige tester kan dit direct beantwoorden. Iemand die een scan heeft gedraaid, kan dat niet.
4. Welke bevindingen hebben jullie handmatig gevalideerd en hoe? Geautomatiseerde tools produceren false positives. Handmatige testers valideren elke bevinding. Vraag naar het validatieproces.
5. Welke certificeringen hebben de testers die mijn omgeving hebben getest? Denk aan OSCP, CEH of vergelijkbare offensieve certificeringen. Vraag specifiek wie de test heeft uitgevoerd, niet welke certificeringen het bedrijf in algemene zin bezit.

Na dit gesprek heb je een helder beeld van de werkwijze achter je rapport. Zijn de antwoorden vaag, defensief of inconsistent met wat er in het rapport staat, dan is verdere technische validatie aan te raden.

Valideer de bevindingen technisch na afloop

Als je intern technische capaciteit hebt, of toegang tot een onafhankelijke partij, kun je een steekproef van de bevindingen zelf valideren. Dit hoeft geen volledige hertest te zijn. Een gerichte validatie van drie tot vijf bevindingen geeft al veel inzicht in de betrouwbaarheid van het volledige rapport.

1. Selecteer een mix van bevindingen: Kies minimaal één high-severity en één low-severitybevinding. Zo test je zowel de kwaliteit van de kritieke als de minder urgente rapportage.
2. Controleer of de bevinding reproduceerbaar is: Kan je eigen team of een tweede partij de bevinding bevestigen op basis van de beschrijving in het rapport? Een goede handmatige bevinding bevat genoeg detail om reproduceerbaar te zijn.
3. Vergelijk de bevindingen met een geautomatiseerde scan: Voer zelf een gratis of goedkope vulnerability scan uit op hetzelfde scope. Staan alle bevindingen uit het pentestrapport ook in de geautomatiseerde scan, en staan er geen bevindingen in het rapport die alleen een handmatige tester had kunnen vinden? Dan is er reden tot twijfel. Een handmatige pentest zou bevindingen moeten bevatten die een geautomatiseerde scan mist.
4. Beoordeel de aanbevelingen op specificiteit: Generieke aanbevelingen zoals “update uw software” of “implementeer sterker wachtwoordbeleid” wijzen op geautomatiseerde output. Handmatige aanbevelingen zijn specifiek voor jouw architectuur en configuratie.

Na deze technische validatie weet je of de bevindingen standhouden. Als meerdere bevindingen niet reproduceerbaar zijn of als alle bevindingen ook door een geautomatiseerde scan worden gevonden, heb je sterke aanwijzingen dat de pentest niet de diepgang had die je betaald hebt.

Herken rode vlaggen bij twijfelachtige pentestleveranciers

Sommige signalen zijn al zichtbaar voordat je het rapport ontvangt. Leer deze rode vlaggen herkennen zodat je ze in een volgende selectieronde kunt vermijden. Zie ook de achtergrond bij offensieve security voor meer context over hoe kwalitatief pentestwerk eruitziet.

• Een onrealistisch lage prijs: Een handmatige pentest kost tijd van gekwalificeerde professionals. Als de prijs te laag is om meerdere dagen menselijk werk te dekken, is de kans groot dat er vooral tools draaien.
• Een te snel opgeleverd rapport: Een volwaardige handmatige pentest duurt meerdere dagen tot weken, afhankelijk van de scope. Een rapport dat binnen 24 uur na de startdatum wordt opgeleverd, is vrijwel zeker geautomatiseerd.
• Geen kickoff of scopegesprek: Handmatige testers willen begrijpen wat ze testen en waarom. Een provider die geen vragen stelt over je architectuur, dreigingsmodel of kritieke assets, test waarschijnlijk niet handmatig.
• Geen mogelijkheid tot toelichting: Een serieuze pentestpartij staat achter haar bevindingen en kan die mondeling toelichten. Als een provider weigert of niet in staat is om bevindingen te verduidelijken, is dat een ernstig signaal.
• Rapport bevat alleen CVSS-scores zonder context: CVSS-scores zijn nuttig, maar een handmatige pentest vertaalt die naar de specifieke impact voor jouw organisatie. Alleen scores zonder contextuele duiding wijzen op geautomatiseerde output.
• Geen aandacht voor aanvalspaden: Als het rapport geen enkele verwijzing bevat naar hoe bevindingen gecombineerd kunnen worden, ontbreekt de meest waardevolle dimensie van handmatig pentestwerk.

Met deze rode vlaggen in gedachten ben je beter uitgerust om leveranciers te beoordelen voordat je een opdracht plaatst. Zo voorkom je dat je budget gaat naar een geautomatiseerde scan die zich voordoet als een handmatige penetratietest. Voor organisaties die twijfelen over hun huidige testprogramma kan ook red teaming een waardevolle aanvulling zijn om te toetsen of een aanvaller daadwerkelijk door de verdediging heen kan breken.

Hoe Q-Cyber helpt bij het kiezen van een betrouwbare pentest

Bij Q-Cyber begrijpen we dat de markt voor penetratietesten onoverzichtelijk is. Leveranciers die geautomatiseerde scans verkopen als handmatige pentests ondermijnen het vertrouwen in de hele sector en laten organisaties met een vals gevoel van veiligheid achter. Onze aanpak is daarom gebouwd op transparantie en technische diepgang.

• Volledig handmatig uitgevoerd: Onze ethical hackers werken zoals echte aanvallers, inclusief creatieve technieken die nog niet in standaard beveiligingsplaybooks staan.
• Attack path-rapportage: We rapporteren niet alleen losse bevindingen, maar reconstrueren hoe een aanvaller meerdere zwakheden combineert tot een volledige aanvalsketen.
• Omgevingsspecifiek en concreet: Elke bevinding is voorzien van bewijs, reproductiestappen en een aanbeveling die past bij jouw specifieke architectuur.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of toeleveranciers, waardoor ons advies altijd in jouw belang is.
• Optioneel: continu testen via Continuous-Q®: Voor organisaties die verder willen gaan dan een jaarlijkse momentopname bieden we een programma waarbij testen een doorlopend proces wordt in plaats van een eenmalige meting.

Wil je zeker weten dat je volgende pentest daadwerkelijk handmatig en kwalitatief is? Neem contact op en we denken graag met je mee over de juiste aanpak voor jouw organisatie.

Gerelateerde artikelen

• Hoe weet je of een pentest grondig genoeg is uitgevoerd?
• Single sign-on (SSO): voordelen en risico's
• Hoe rapporteer je over cybersecurity aan het management?
• Hoe beveilig je jouw cloudoplossingen voor NIS2?
• Wat is de scope van een pentest?
• Hoe documenteer je pentest resultaten?
• Hoe definieer je pentest doelstellingen?
• Hoe valideer je pentest bevindingen?