Gestandaardiseerde aanpak

Dieter schetst kort de gestandaardiseerde aanpak van Toreon: “In een kick-offmeeting met de klant (en Telenet) achterhalen we wat de klant wil en bepalen we de scope van het project. Die scope kan heel specifiek zijn, zoals de beveiliging van een website, een webapplicatie of mobiele applicatie testen, of klanten- of personeelsgegevens te pakken krijgen.”

Maar het kan ook heel breed gaan, weet Dieter: “Denk aan een CEO die iets uit de actualiteit oppikt en zich afvraagt of de IT-beveiliging van zijn bedrijf wel voldoende is. Dan bepalen we samen hoe ver we gaan in de pentest – op dat moment start de bewustwording eigenlijk al. Wat we sowieso nooit doen, is DDoS-aanvallen en schadelijke of gevaarlijke acties.”

De juiste mensen voor het juiste project

Afhankelijk van de scope kiest Toreon wie op het project gaat werken. Dieter: “Soms is dat één iemand, soms stellen we een heel team samen. Ons eigen team bestaat uit 20 gecertificeerde experts met minstens 15 jaar ervaring. Ze hebben zich in verschillende takken gespecialiseerd: het hacken van netwerken, van websites, van mobiele applicaties enz. Hebben we een bepaalde competentie niet in huis, dan kunnen we terugvallen op een uitgebreid netwerk van specialisten.”

Black, White of Grey Box

Samen met de klant wordt het soort pentest gekozen, de zogenaamde Black Box, Grey Box en White Box. Dieter: “Bij een Black Box-test gaan we zonder voorafgaande kennis van de infrastructuur aan de slag, we krijgen bijvoorbeeld enkel een url. Dit is de plezantste manier – we moeten veel zoeken en graven – maar ook de meest tijdrovende. Bij een White Box-test slaan we die stap over en krijgen we alle informatie over de infrastructuur van de klant: netwerkinformatie, interne IP-adressen, gegevens van servers enz. Zo kunnen we dus direct heel gericht testen.”

De Grey Box-test is dan weer de tussenweg tussen de Black en White Box. Dieter: “Dan krijgen we beperkte info: niet alleen de url, maar ook credentials om in te loggen. De beste pentest blijft volgens mij nog altijd een combinatie, waarbij we beginnen met een Black Box-test en na een afgesproken periode op een Grey of White Box overgaan.”

Ideaal in combinatie met vulnerability scanning

Een pentest verloopt voor 20% via tools en 80% manueel. Dieter: “Tools maken uiteraard deel uit van ons ‘wapenarsenaal’, maar het grote verschil met geautomatiseerde vulnerability scans is dat wij daar niet stoppen. Iedereen kan een vulnerability scanner laten draaien, het is wat je doet met de resultaten die eruit komen. Wij gebruiken de tools enkel als beginpunt, op basis daarvan gaan we manueel verder.” Toch ziet Dieter een plaats voor vulnerability scans: “Een pentest is een ‘snapshot in time’. Wat nu beveiligd is, kan dat volgende week al niet meer zijn. Ideaal draai je regelmatige vulnerability scans, en ga je indien nodig over tot een pentest.”

“Een pentest is een ‘snapshot in time’. Wat nu beveiligd is, kan dat volgende week al niet meer zijn. Ideaal draai je ook regelmatig vulnerability scans.”

Dieter Sarrazyn
Security Consultant en Managing Partner van Toreon

Confidentialiteit hoog in het vaandel

Na de pentest stelt Toreon een rapport met bevindingen en aanbevelingen op. Dieter: “Dat bespreken we dan met de klant en Telenet. We vinden het belangrijk dat zij hun feedback kunnen geven. Soms staan er al verbetertrajecten op de planning waar wij geen weet van hebben. Debriefingmomenten kunnen trouwens ook tijdens het project plaatsvinden. Als we flagrante fouten vinden bijvoorbeeld, maken we die direct kenbaar. Zo kan er meteen iets aan gedaan worden.”

Uiteraard gebeuren zowel de testen als de rapportering met de nodige confidentialiteit. “Dat dragen we hoog in het vaandel”, bevestigt Dieter. “In het teken van ons partnership met Telenet ondertekenden we een Non Disclosure Agreement (NDA) en al onze medewerkers hebben elk afzonderlijk een NDA met Toreon ondertekend. Daarnaast geloven we ook sterk in een Coordinated Vulnerability Disclosure. Als we nieuwe kwetsbaarheden vinden in soft- of hardware, gaan we die op een verantwoorde manier kenbaar maken aan de vendor en actief meewerken om het opgelost te krijgen. Ook Telenet heeft zo’n Responsible Disclosure-programma.”

Meer info