Pentesting

Wat is een pentest?

Een penetratietest - kortweg pentest - is een gecontroleerde aanval op uw IT-omgeving. Wij breken in, documenteren hoe, en laten zien wat een echte aanvaller had kunnen doen. Geen theoretische risicomatrix, maar bewezen aanvalspaden met proof-of-concept.

Het verschil met een vulnerability scan? Een scanner draait Nessus of Qualys, levert een PDF met CVE's en noemt het klaar. Wij gaan verder. Onze pentesters combineren tools als Burp Suite, BloodHound en Nuclei met handmatig onderzoek en jarenlange aanvalservaring. Wij vinden de business-logicafouten, chained exploits en configuratieproblemen die scanners structureel missen.

Zolder is een CCV Keurmerk Pentesten gecertificeerd pentestbedrijf. Dat keurmerk garandeert competentie, onafhankelijkheid en rapportagekwaliteit. Voor organisaties onder NIS2 of ISO 27001 is dit vaak een vereiste.

Typen pentests

Wij bieden drie varianten:

• Blackbox: wij weten niets vooraf en werken als een externe aanvaller.
• Greybox: wij krijgen beperkte informatie - een account, wat architectuurdocumentatie - en simuleren een insider-dreiging.
• Whitebox: volledige toegang tot broncode en configuratie. Het meest grondig, en ons advies als u het maximale uit de test wilt halen.

Welk type past, bespreken we in het scopingsgesprek. Daar zit u direct aan tafel met de pentester die de test gaat uitvoeren - niet met een accountmanager.

Waarom een pentest laten uitvoeren?

Nederlandse organisaties zijn een actief doelwit. Ransomware in de maakindustrie, credential-stuffing op SaaS-platforms, supply chain-aanvallen via leveranciers - wij zien het dagelijks in ons werk. Een pentest geeft u:

• Bewezen aanvalspaden: geen theoretische lijstjes, maar concrete exploits met screenshots en commando's.
• Compliance: NIS2, BIO, ISO 27001 en PCI-DSS vereisen periodieke pentests.
• Vertrouwen: steeds meer klanten en partners eisen een pentestrapport bij aanbestedingen.
• Eerlijk beeld: wij blazen bevindingen niet op om de opdracht groter te maken. Als iets veilig is, staat dat in het rapport.

Onze aanpak

Korte lijnen, directe actie. Dat is hoe wij werken.

• Scoping & threat modelling - u spreekt direct met de pentester. Samen bepalen we scope, doelstellingen en spelregels. Wat zijn uw kroonjuwelen?
• Reconnaissance - OSINT, port scanning, service fingerprinting, subdomain enumeration.
• Kwetsbaarheidsanalyse & exploitatie - systematisch testen, gevolgd door gecontroleerde exploitatie. Wij tonen de werkelijke impact aan.
• Post-exploitatie - lateral movement, privilege escalation, persistence. Hoe ver komt een aanvaller?
• Rapportage - helder rapport met managementsamenvatting, technische details inclusief reproduceerstappen, en concrete aanbevelingen. Geen consultancy-jargon.
• Hertest - na uw fixes kunnen wij verifiëren of de kwetsbaarheden daadwerkelijk zijn verholpen.

Tijdens de test delen wij kritieke bevindingen direct met u - niet pas drie weken later in een rapport. U krijgt een Slack-channel of Signal-groep met de onderzoeker. Dat is wat wij bedoelen met korte lijnen.

Wat kost een pentest?

Ons uurtarief is €175 per uur (excl. BTW). De totale kosten hangen af van scope, type test en complexiteit:

• Scope: een webapplicatie versus een complete infrastructuur met honderden hosts.
• Type test: blackbox vergt meer reconnaissance-uren dan whitebox.
• Complexiteit: maatwerkapplicaties, custom protocollen of legacy-systemen kosten meer tijd.
• Compliance-eisen: OWASP ASVS of PTES kunnen extra testcases vereisen.

Een gemiddelde webapplicatie-pentest komt neer op €5.000 - €15.000. Infrastructuurtests liggen hoger. Wij stellen altijd een vaste offerte op na een gratis scopingsgesprek - geen verrassingen achteraf.