Pentest tools: welke tools een professionele pentester per fase gebruikt, en waarom de tool nooit de test is

Wat pentest tools zijn, en wat ze niet zijn

Pentest tools zijn programma's waarmee een tester tijdens een geautoriseerde beveiligingstest zwakke plekken in systemen opspoort, in kaart brengt, misbruikt en documenteert. Het gaat van poortscanners en intercepting proxies tot exploitation frameworks, wachtwoordauditors en rapportageplatformen. Bijna alle tools zijn openbaar gedocumenteerd, de meeste zijn open source, en een testdistributie zoals Kali Linux levert er honderden voorgeïnstalleerd mee. Niets daarvan maakt ze tot een pentest.

Dat onderscheid is belangrijk, omdat de markt het graag vervaagt. Een kwetsbaarheidsscanner levert een lijst bekende zwakheden op, vergeleken met een database van signaturen. Een pentester gebruikt die lijst als één van zijn bronnen en doet daarna het werk dat de scanner niet kan: vaststellen welke bevindingen echt zijn, drie laag ingeschaalde problemen aaneenrijgen tot één kritiek aanvalspad, en de bedrijfslogica en autorisatiebeslissingen testen waar geen signatuur voor bestaat. Tools vinden het bekende. Testers vinden het geketende en het logische. Levert een leverancier een scanner-export met een voorblad, dan heeft u een scan gekocht, wat er ook op de factuur staat. Ons artikel over handmatig versus geautomatiseerd pentesten gaat dieper op die scheidslijn in; deze pagina blijft bij de toolkit zelf.

Eén juridische kanttekening vooraf. Elke tool hieronder is legaal om te bezitten en te gebruiken op systemen waarvoor u toestemming heeft. Gebruikt tegen systemen zonder schriftelijke toestemming vormen dezelfde tools computervredebreuk, strafbaar gesteld in artikel 138ab van het Wetboek van Strafrecht. Professionele pentesters werken onder een ondertekende scope en autorisatiebrief, en elke tool die zij draaien valt onder dat mandaat.

Waarom dezelfde tool in andere handen andere resultaten geeft

Neem Burp Suite Professional. De geautomatiseerde scanner is degelijk, en een junior tester die hem draait en de uitvoer archiveert heeft iets gedaan. Een senior tester gebruikt hetzelfde product anders: eerst elke rol en elk werkproces handmatig in kaart brengen, dan elke autorisatiegrens toetsen door verzoeken als een andere gebruiker te herhalen, en vervolgens de bedrijfslogica onderzoeken (kan een korting twee keer worden toegepast, kan een stap worden overgeslagen, kan een identificatienummer worden verwisseld) die geen scanner begrijpt, omdat hij geen idee heeft waar de applicatie voor dient. De licentie is identiek; de bevindingen zijn dat niet.

Hetzelfde geldt voor Active Directory. BloodHound tekent de graaf voor iedereen. Hem lezen, bepalen welke van de duizend verbindingen in deze omgeving realistisch is, dat bevestigen zonder accounts te blokkeren of de alarmen van het SOC af te laten gaan, en daarna aan de opdrachtgever uitleggen waarom de rechten van een helpdeskgroep het werkelijke probleem zijn: dat is de test. De tool maakt de data zichtbaar. De tester geeft er betekenis aan.

Daarom zijn de OWASP Web Security Testing Guide en de Mobile Application Security Testing Guide opgebouwd rond testgevallen, niet rond producten. Een methodiek zegt wat gecontroleerd moet worden; de toolkit is wat elke controle dit jaar het best uitvoert. Tools wisselen elk seizoen. De methodiek niet.

Een scanner-export is geen pentest

De meest voorkomende teleurstelling in deze markt is een oplevering met tweehonderd bevindingen, grotendeels informatief, gerangschikt op de generieke ernst van een scanner, zonder bewijs van exploitatie en zonder verhaallijn. Geen auditor die zorgvuldig leest neemt daar genoegen mee. ISO 27001:2022 maatregel A.8.8 vraagt om technisch kwetsbaarheidsbeheer, en daar draagt een scan aan bij; het testbewijs dat auditors onder A.8.29 en onder PCI DSS v4.0.1 Requirement 11.4 verwachten, is een penetratietest met gedocumenteerde methodiek en een mens erachter. PCI DSS maakt het onderscheid expliciet door beide te eisen: kwetsbaarheidsscans onder Requirement 11.3 en penetratietesten onder 11.4.

De kenmerken van een echte test zijn in het rapport zichtbaar: een scopeverklaring die de geteste systemen en rollen benoemt; een methodiekparagraaf die PTES, OWASP WSTG of NIST SP 800-115 aanhaalt; bevindingen met reproductiestappen en schermafbeeldingen in plaats van plugin-ID's van een scanner; een aanvalsverhaal dat laat zien hoe bevindingen samenhangen; en een ernstinschatting die uw omgeving weerspiegelt in plaats van een databasestandaard. Ons artikel over pentest versus kwetsbaarheidsscan behandelt de inkoopkant. De korte versie: beide hebben hun plaats en geen van beide vervangt de ander.

Hoe HackersHub met tooling werkt

Onze testers hebben elk minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en werken vanuit een gelicentieerde, onderhouden toolkit: gelicentieerde commerciële tooling zoals Burp Suite Professional voor applicatiewerk, actuele commerciële en open-source scanners voor de eerste ronde, en de hierboven beschreven toolkits voor Active Directory, cloud en mobiel waar de scope daarom vraagt. De methodiek volgt PTES, OWASP WSTG en MASTG en NIST SP 800-115, zodat de testgevallen de tooling sturen en niet omgekeerd.

Bewijs wordt verwerkt op versleutelde opdrachtinfrastructuur, alleen toegankelijk voor de testers bij naam, en vernietigd volgens een in het contract afgesproken schema. Elk rapport bevat een managementsamenvatting, CVSS-gescoorde bevindingen met reproduceerbaar bewijs, een aanvalsverhaal en geprioriteerd hersteladvies, en omvat een verificatiehertest van bevindingen van medium en hoger binnen 90 dagen. Michael van Mameren, Lead Penetration Tester (OSCP), beoordeelt rapporten op precies het gat dat dit artikel beschrijft: een bevinding die een scanner heeft opgeleverd en die niemand heeft bevestigd, verlaat het gebouw niet.

Veelgestelde vragen