30 juni 2026 · 7 min leestijd
Externe vs Interne Penetratietest: Verschillen en Wanneer Je Welke Nodig Hebt
Een externe en interne penetratietest klinken hetzelfde, maar modelleren twee verschillende aanvallers: de buitenstaander die binnen probeert te komen, en de indringer die al binnen is. Zo verschillen ze, en zo weet u wanneer u welke nodig heeft.
Wat is een externe penetratietest?
Een externe penetratietest beoordeelt uw op internet gerichte perimeter zoals een aanvaller op afstand dat zou doen: van buiten uw netwerk, zonder voorafgaande toegang. De tester richt zich op alles wat bereikbaar is vanaf het publieke internet, uw websites en webapplicaties, VPN- en remote-access-gateways, mail- en DNS-infrastructuur, blootgestelde API's en vergeten of shadow-assets die er niet zouden moeten zijn.
Het doel is om één vraag te beantwoorden: kan een aanvaller op het internet door uw perimeter breken en een voet aan de grond krijgen? Externe testen leggen blootgestelde services, zwakke authenticatie, ongepatchte randsystemen en verkeerde configuraties bloot die een publiek asset tot toegangspunt maken. Voor de meeste organisaties is dit het natuurlijke startpunt, omdat het weerspiegelt hoe de meeste echte inbraken beginnen.
Wat is een interne penetratietest?
Een interne penetratietest beoordeelt wat een aanvaller zou kunnen doen als die al binnen uw netwerk is, of dat nu via een gephishte medewerker, een gecompromitteerde laptop, een kwaadwillende insider of een gehackte leverancier is. De tester start vanuit een positie op het interne netwerk en probeert te escaleren: lateraal bewegen tussen systemen, credentials verzamelen, domeinbeheerder bereiken en bij uw meest gevoelige data komen.
Een interne test beantwoordt een andere vraag: als de perimeter wordt omzeild, hoe ver kan de inbraak zich dan verspreiden? Het legt platte netwerksegmentatie, zwakke interne credentials, te ruim geprivilegieerde accounts, ongepatchte interne services en Active Directory-zwakheden bloot, de omstandigheden die van één gecompromitteerd apparaat een volledige inbraak maken. Het is essentieel voor organisaties met gevoelige data of een defence-in-depth-eis.
Externe vs Interne Penetratietest, de kernverschillen
Beide verbeteren uw beveiliging, maar ze modelleren verschillende aanvallers en beantwoorden verschillende vragen. De externe test vraagt "kan iemand binnenkomen?"; de interne test vraagt "hoe ver komt iemand eenmaal binnen?"
| Dimensie | Externe Penetratietest | Interne Penetratietest |
|---|---|---|
| Gemodelleerde aanvaller | Buitenstaander op afstand, zonder toegang | Indringer of insider die al op het netwerk is |
| Startpunt | Het publieke internet | Een voet aan de grond binnen uw netwerk |
| Primair doelwit | Op internet gerichte perimeter en assets | Interne systemen, accounts en data |
| Beantwoorde vraag | Kan een aanvaller binnenkomen? | Hoe ver verspreidt een inbraak zich eenmaal binnen? |
| Typische bevindingen | Blootgestelde services, zwakke rand-auth, ongepatchte gateways | Laterale beweging, privilege-escalatie, zwakke segmentatie |
| Eerst geschikt voor | Meeste organisaties (weerspiegelt echte inbraken) | Houders van gevoelige data en defence-in-depth |
Wanneer zet u welke in?
Voor de meeste organisaties is het antwoord geen of-of. De twee zijn complementaire helften van een realistische beoordeling. Gebruik dit als leidraad.
Voer een externe penetratietest uit wanneer
U uw op internet gerichte perimeter wilt valideren, publieke services lanceert of wijzigt, wilt weten wat een aanvaller van buiten kan bereiken, of een beveiligingsprogramma start en wilt beginnen waar de meeste echte inbraken beginnen.
Voer een interne penetratietest uit wanneer
U gevoelige data houdt, defence in depth moet aantonen voor compliance, de blast radius na een phishing- of leveranciersincident wilt begrijpen, of een volwassen perimeter heeft en zekerheid wilt dat één voet aan de grond geen volledige inbraak wordt.
Voer beide samen uit wanneer
U een realistisch beeld wilt van het hele aanvalspad, van initiële toegang tot impact. Externe testen bewijzen of de perimeter standhoudt; interne testen bewijzen wat er gebeurt als dat niet zo is. Samen brengen ze de route in kaart die een echte aanvaller van begin tot eind zou nemen.
Veelgestelde vragen
Niet zeker welke scope u nodig heeft?
Wij helpen u kiezen en de juiste test te scopen, extern, intern of beide, op basis van uw omgeving en risico. Praat met ons penetratietest-team.