Pentest je eigen systemen, veilig
Test je websites en servers die vanaf internet bereikbaar zijn zoals een aanvaller er als eerste naar kijkt. Start een geautomatiseerde test wanneer je wilt, of vraag een handmatige test door een specialist aan.
Pentest
De meeste inbraken beginnen met iets simpels dat vanaf internet zichtbaar is: een databasepoort die openstaat, een vergeten .git-map of .env-bestand, een oude TLS-instelling of een testsysteem dat niemand meer kent. Een jaarlijkse handmatige test is waardevol, maar je systemen veranderen elke week.
- Alleen systemen waarvan je hebt aangetoond dat ze van jou zijn: het eigendom wordt geverifieerd via DNS of een bestand op je website, en een beheerder legt de toestemming vast voordat er actief getest wordt.
- Ongeveer 100 veelgebruikte poorten worden gecontroleerd, met de begroeting die elke dienst zelf stuurt, zodat openstaande databases, extern bureaublad en beheerpanelen opvallen.
- TLS-versies en certificaten, beveiligingsheaders, cookies, CORS, toegestane methodes en mapweergave worden gecontroleerd met gewone GET-, HEAD- en OPTIONS-verzoeken.
- Bekende gevoelige bestanden zoals .git, .env, back-ups van configuratie en phpinfo-pagina’s worden gevonden, met bescherming tegen valse meldingen.
- Zichtbare softwareversies worden vergeleken met de CISA-catalogus van actief misbruikte kwetsbaarheden, en DNS-zoneoverdracht, DNSSEC, SPF en DMARC worden gecontroleerd.
- Elke bevinding legt uit wat het betekent en hoe je het oplost. Elke test krijgt een cijfer, een vergelijking met de vorige test en een pdf-rapport voor je auditor of IT-leverancier.
- Is de geautomatiseerde test veilig voor mijn website?
- Ja. Er worden geen exploits gebruikt, geen wachtwoorden geraden, geen aanvalspayloads gestuurd en niets gewijzigd. De test doet maximaal 5 verzoeken of verbindingen per seconde en stopt na 10 minuten.
- Ik zie “OZAG-Security-Pentest” in mijn serverlogs. Wat is dit?
- Een geautomatiseerde pentest die de eigenaar van het systeem in OZAG Security heeft gestart, na verificatie van het eigendom en het vastleggen van toestemming. Had je dit niet verwacht? Mail ons op security@ozagsecurity.com, dan zoeken we het direct uit.
- Wat vindt een geautomatiseerde test niet?
- Logische fouten, gebrekkige toegangscontrole achter een login en ketens van kleine problemen vragen om een menselijke tester. Je kunt op dezelfde pagina een handmatige pentest aanvragen.
- Testen jullie systemen die ik niet heb geverifieerd?
- Nee. Hostnamen uit openbare certificaatlogs worden genoemd zodat je ze kunt nalopen, maar ze worden pas getest als je ze zelf toevoegt en verifieert.
OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com