PTES
Opdrachtstructuur, informatievergaring, dreigingsmodellering, validatie en rapportage.
Penetratietesten
Netwerkpenetratietests
Een gecontroleerde beoordeling van netwerkinfrastructuur die via internet toegankelijk is of intern wordt gebruikt, uitgevoerd binnen overeengekomen testvensters en uitvoeringsafspraken.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Publiek aanvalsoppervlak en blootgestelde services
Configuratie van netwerkservices en kwetsbaarheid door ontbrekende patches
Segmentatie en vertrouwensgrenzen
Authenticatie- en beheerinterfaces
Gecontroleerde paden voor het verkrijgen van hogere bevoegdheden en laterale verplaatsing
Logging en inzicht voor de verdediging
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
NIST SP 800-115
Planning, uitvoering en analyse van technische beoordelingen en advies over risicobeperkende maatregelen.
CIS Controls
Context voor beveiligingsmaatregelen met betrekking tot bedrijfsmiddelen, toegang, configuratie, logging en netwerkmonitoring.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Managementsamenvatting en vastlegging van de scope
Technische bevindingen onderbouwd met bewijs
Beoordelingen van risico's en bedrijfsimpact
Geprioriteerd herstelplan
Hertestverklaring voor overeengekomen herstelmaatregelen
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.