Pentesten met eigen tooling, en een naam onder elk rapport.

Een pentest, voluit penetratietest, is een geautoriseerde, gesimuleerde aanval op je systemen door ethical hackers. Ze tonen aan welke kwetsbaarheden echt misbruikt kunnen worden en hoe ver dat reikt, en je krijgt een rapport met bewijs, een ernst in CVSS v4.0 en concrete oplossingen. Een scan meldt wat er mis kan zijn; een pentest bewijst het.

Pentests van webapplicaties, API’s en cloudomgevingen, verkocht als Stack Pentest in twee pakketten: Web en API, en Cloud en infrastructuur. Zet je product er een AI-functie bovenop, dan test Launch Clearance de functie en het platform eronder in één scope, met één rapport dat ook de paden ertussen dekt.

In de meeste gevallen grey box. Met testaccounts bij twee klanten en je API-documentatie besteedt een tester de dagen aan autorisatie en bedrijfslogica, in plaats van te gissen naar het oppervlak. Black box laat zien wat een buitenstaander zonder hulp vindt, en past bij een review van je externe aanvalsoppervlak. We adviseren per scope in het gesprek.

Ja. Onze eigen tooling doet de verkenning, het opnieuw afspelen van verkeer, de triage van responses en het eerste concept van het rapport. Een mens beslist wat er getest wordt, werkt de bedrijfslogica door en beoordeelt elke bevinding. De tooling geeft de tester meer uren voor het denkwerk; wat er in je rapport komt, bepaalt de tooling nooit.

Inloggegevens deel je via een kanaal dat we in de spelregels afspreken, nooit per e-mail of chat, en we werken het liefst met aparte testaccounts die je achteraf uitzet. De spelregels leggen ook vast welke systemen, accounts en data in scope zijn, wie er aan onze kant bij kan, en hoe lang we bewaren wat we ontvangen.

Een vrijwaringsverklaring is de schriftelijke toestemming van de eigenaar van een systeem om het te testen, met de systemen, het testvenster en de contactpersonen erin. Zonder die toestemming kan binnendringen in een computersysteem strafbaar zijn als computervredebreuk. We beginnen pas als de verklaring getekend is, en we leveren het sjabloon.

Bronnen: Wetboek van Strafrecht, artikel 138ab.

Meestal 4 tot 10 testdagen voor een webapplicatie met haar API, afhankelijk van het aantal rollen, klanten en koppelingen. Cloud- en infrastructuurtests bepalen we per account. Het scopinggesprek legt het aantal dagen vast voordat je een offerte krijgt, en het rapport volgt na de laatste testdag, met elke bevinding en haar oplossing.

Een lijst van wat in scope is, twee testaccounts per rol bij twee verschillende klanten, API-documentatie als je die hebt, en een getekende vrijwaringsverklaring met de systemen en het testvenster. Laat je hostingpartij en je securitymonitoring weten wanneer we testen, en wijs iemand aan die de test op elk moment kan stoppen.