Wat is een pentest?
Een pentest (penetratietest) is een geautoriseerde, gecontroleerde aanval op systemen, netwerken of applicaties waarbij een securityspecialist kwetsbaarheden opspoort én probeert te misbruiken, om aan te tonen welke schade een echte aanvaller zou kunnen aanrichten. Anders dan een geautomatiseerde scan levert een pentest bewijs: de tester laat zien dat een zwakke plek echt leidt tot toegang, datadiefstal of overname van een systeem. In een omgeving met SCADA en PLC’s vraagt dat extra voorzichtigheid, want een verkeerd verzoek kan een fysiek proces verstoren.
Het doel is zwakke plekken te vinden en te verhelpen voordat kwaadwillenden dat doen, en tegelijk te toetsen of bestaande maatregelen werken.
🧠 Wat wordt er bij een pentest getest?
Een penetratietest richt zich altijd op een afgebakende scope. Veelvoorkomende doelen zijn:
- Netwerk - extern (vanaf internet) of intern (vanaf een werkplek of gastnetwerk)
- Webapplicaties en API’s - vaak volgens de OWASP Web Security Testing Guide
- Mobiele apps en cloudomgevingen - inclusief configuratie van identiteiten en opslag
- Active Directory - een veelvoorkomend doelwit voor rechtenescalatie binnen een domein
- Industriële systemen - SCADA, HMI, historians, engineering-werkstations en PLC’s
- Social Engineering - bijvoorbeeld phishing-campagnes of fysieke toegang tot een gebouw
- Producten - een fabrikant test een eigen besturing of gateway voordat die op de markt komt
🔄 Wat is het verschil tussen black box, grey box, white box en red teaming?
Black, grey en white box beschrijven hoeveel informatie de tester vooraf krijgt. Red teaming is geen kennisniveau maar een andere oefening: daar staat het doel en de detectie centraal, niet een zo volledig mogelijke lijst kwetsbaarheden.
| Vorm | Voorkennis tester | Sterk punt | Beperking |
|---|---|---|---|
| Black box | Geen; alleen een doelwit of IP-bereik | Simuleert een externe aanvaller | Veel tijd gaat naar verkenning, minder diepgang |
| Grey box | Beperkt, bijv. een gebruikersaccount of netwerkschema | Realistisch en efficiënt; vaak gekozen | Gaat uit van een aanvaller met enige toegang |
| White box | Volledig: broncode, configuraties, architectuur | Grootste dekking per testdag | Minder realistisch als aanvalsscenario |
| Red teaming | Wisselend; werkt doelgericht en heimelijk | Toetst detectie en respons van het Blue Team | Vindt niet alle kwetsbaarheden |
Een purple team combineert beide kanten: aanvallers en verdedigers werken samen zodat detectieregels direct worden verbeterd.
🔧 Hoe verloopt een pentest stap voor stap?
Methodieken als PTES, OSSTMM en NIST SP 800-115 (2008) volgen grofweg dezelfde fasen:
- Voorbereiding en scope - doelen, systemen, testvensters, contactpersonen en een noodstopprocedure worden schriftelijk vastgelegd en ondertekend.
- Verkenning - openbare informatie, DNS, netwerkscans met Nmap en asset-inventarisatie.
- Kwetsbaarheden vinden - met scanners zoals Nessus of Nikto plus handmatige analyse, gekoppeld aan bekende CVE’s.
- Misbruik (exploitatie) - met tools als Metasploit en Burp Suite aantonen dat een kwetsbaarheid echt toegang geeft.
- Post-exploitatie - rechten verhogen en lateraal bewegen, bijvoorbeeld van kantoornetwerk richting OT, om de werkelijke impact te bepalen.
- Rapportage - bevindingen met bewijs, risicoscore (vaak CVSS, sinds november 2023 versie 4.0) en concrete aanbevelingen.
- Hertest - na herstel controleren of de maatregelen werken.
Scripting in Python, Bash of PowerShell vult de standaardtools aan; netwerkverkeer wordt vaak geanalyseerd met Wireshark.
🏭 Waarom is een pentest in OT anders?
In OT staan beschikbaarheid en veiligheid voorop. Oude besturingen hebben vaak een beperkte netwerkstack en reageren onvoorspelbaar op scans. NIST SP 800-82 (revisie 2) beschrijft drie praktijkgevallen: een ping sweep op een actief SCADA-netwerk liet een robotarm van 3 meter 180 graden draaien, een ping sweep in een chipfabriek bracht een systeem tot stilstand en kostte 50.000 dollar aan wafers, en een IT-pentest bij een gasbedrijf dwaalde af naar het SCADA-netwerk, waardoor vier uur lang geen gas door de leidingen kon.
Daarom gelden in OT andere spelregels:
| Aspect | IT-pentest | OT-pentest |
|---|---|---|
| Prioriteit | Vertrouwelijkheid van data | Beschikbaarheid en veiligheid van het proces |
| Scannen | Actieve scans zijn normaal | Eerst passief luisteren; actief alleen gedoseerd en afgestemd |
| Testomgeving | Vaak in productie | Bij voorkeur op een reserve-installatie, testbank of digital twin |
| Testvenster | Kantoortijden of doorlopend | Tijdens onderhoudsstops, met operators en procesingenieurs paraat |
| Exploitatie | Tot en met overname | Op PLC’s en SIS meestal alleen aantonen, niet uitvoeren |
| Protocollen | HTTP, SMB, LDAP | Modbus, DNP3, OPC UA, ProfiNET |
Een veilige werkwijze is om vooral de IT/OT-grens te testen: kan een aanvaller vanaf het kantoornetwerk via de toegang op afstand, de jump server of een verkeerd ingestelde firewall de OT-zones bereiken? Dat toetst direct of de netwerksegmentatie volgens het Purdue Model werkt. Fuzzing van protocollen zoals Modbus hoort thuis op een testbank, nooit op een draaiende installatie. Scenario’s kunnen worden gebaseerd op MITRE ATT&CK for ICS en actuele dreigingsinformatie.
🔐 Welke normen en wetten vragen om pentesten?
- IEC 62443-4-1 - eist van fabrikanten in praktijk 5 (security verification and validation) onder meer kwetsbaarheidstests zoals fuzzing (SVV-3), penetratietests (SVV-4) en testers die onafhankelijk zijn van de ontwikkelaars (SVV-5).
- IEC 62443-3-3 - vraagt dat beveiligingsfuncties van een systeem worden geverifieerd; een pentest is daarvoor een gangbare methode, vaak tijdens FAT en SAT.
- NIS2 en de Cyberbeveiligingswet - vereisen beleid en procedures om de effectiviteit van beveiligingsmaatregelen te beoordelen (NIS2 artikel 21, lid 2, onder f). De richtlijn noemt de pentest niet bij naam, maar het is een gangbare manier om die effectiviteit aan te tonen. De Cyberbeveiligingswet is in Nederland op 15 augustus 2026 in werking getreden.
- Cyber Resilience Act - verplicht fabrikanten hun producten effectief en regelmatig op security te testen.
- DORA en TIBER - financiële instellingen die door hun toezichthouder zijn aangewezen, moeten onder DORA (van toepassing sinds 17 januari 2025) minstens eens per drie jaar een threat-led penetration test (TLPT) laten uitvoeren. Het Nederlandse TIBER-NL van De Nederlandsche Bank startte in 2016 en vormde de basis voor TIBER-EU, dat de ECB in mei 2018 publiceerde.
- ISO 27001 - gebruikt technische tests als bewijs dat beheersmaatregelen werken en ondersteunt zo compliance.
Juridisch is schriftelijke toestemming van de eigenaar essentieel: zonder die toestemming is binnendringen in een systeem computervredebreuk (artikel 138ab Wetboek van Strafrecht). Kwetsbaarheden die u buiten een opdracht ontdekt, meldt u via responsible disclosure.
🎯 Wat levert een pentest op?
- Rapport met bevindingen - geclassificeerd op risico, met een managementsamenvatting
- Technisch bewijs - screenshots, logs en reproduceerbare stappen
- Aanbevelingen - voor patching, configuratie en architectuur
- Inzicht in detectie - zag uw SOC de aanval, en hoe snel?
- Input voor risicomanagement - bevindingen voeden vulnerability management en het risicoregister
Een pentest is een momentopname. Combineer hem daarom met continue scanning en monitoring, en herhaal hem na grote wijzigingen of minstens jaarlijks voor kritieke systemen.
❓ Veelgestelde vragen
Wat is het verschil tussen een pentest en een vulnerability scan?
Een vulnerability scan zoekt geautomatiseerd naar bekende kwetsbaarheden en levert een lijst met mogelijke problemen op. Een pentest gaat verder: een specialist probeert die kwetsbaarheden daadwerkelijk te misbruiken en toont aan wat de impact is. Een scan is breed en goedkoop, een pentest is diep en handmatig.
Hoe vaak moet je een pentest laten uitvoeren?
Voor kritieke systemen is minstens één pentest per jaar gebruikelijk, plus een extra test na grote wijzigingen zoals een nieuwe applicatie of netwerkkoppeling. Financiële instellingen onder DORA kunnen daarnaast worden aangewezen voor een threat-led penetration test die minstens eens per drie jaar plaatsvindt.
Is een pentest legaal?
Een pentest is legaal zolang de eigenaar van de systemen vooraf schriftelijk toestemming geeft en de scope vastligt. Zonder die toestemming is binnendringen in een computersysteem in Nederland strafbaar als computervredebreuk. Een goede opdrachtbrief noemt daarom systemen, tijden, methoden en contactpersonen.
Kun je een pentest uitvoeren op een productie-installatie in OT?
Een pentest op een draaiende OT-installatie is mogelijk, maar alleen met strikte afspraken, passieve technieken en operators paraat. Actieve scans kunnen oude PLC’s laten vastlopen of een proces verstoren. Daarom test men bij voorkeur op een testbank, een reserve-installatie of tijdens een geplande stop.
Wat is het verschil tussen een pentest en red teaming?
Een pentest probeert binnen een vaste scope zoveel mogelijk kwetsbaarheden te vinden en aan te tonen. Red teaming simuleert een specifieke aanvaller met een concreet doel en test vooral of de organisatie de aanval detecteert en erop reageert. Red teaming is daarom geschikt voor organisaties die hun basisbeveiliging al op orde hebben.
Wat kost een pentest en hoe lang duurt het?
De duur van een pentest hangt af van de scope: een enkele webapplicatie kost enkele testdagen, een uitgebreide IT/OT-test of red-teamoefening enkele weken. De kosten volgen het aantal testdagen. Reken daarnaast op tijd voor voorbereiding, rapportage en een hertest.
📌 Samengevat
Een pentest is een geautoriseerde, gesimuleerde aanval die aantoont welke kwetsbaarheden echt misbruikt kunnen worden, zodat u ze kunt verhelpen voordat een aanvaller dat doet. In OT vraagt een pentest een voorzichtige, passieve aanpak. Als terugkerende toets hoort hij in elke cybersecuritystrategie en helpt hij aantonen dat u voldoet aan IEC 62443, NIS2 en de Cyber Resilience Act.