31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Red teaming vs pentest: het verschil, wanneer elk passend is en hoe een volwassen programma ze na elkaar inzet
Beide worden uitgevoerd door offensive-security-specialisten, beide eindigen in een rapport, en beide noemt het bestuur 'een hack'. Daarbuiten beantwoorden ze verschillende vragen. Een penetratietest vraagt hoeveel zwakheden er in een afgebakend systeem zitten. Een red team vraagt of een vastberaden aanvaller een specifiek doel kan bereiken zonder te worden gestopt. Deze gids zet de verschillen uiteen die tellen wanneer u beslist welke u inkoopt.
Twee disciplines met dezelfde gereedschappen en verschillende vragen
Een penetratietest is een dekkingsoefening. De opdrachtgever bepaalt een scope (een applicatie, een netwerksegment, een cloudaccount, een API), de tester krijgt die te horen, en het werk van de tester is om zoveel exploiteerbare zwakheden in die scope te vinden als de tijd toelaat en elke zwakheid te documenteren met bewijs en een herstelpad. Breedte is het doel. De test is aangekondigd, de verdedigers kennen doorgaans de data en bronadressen, en de tester doet geen poging zich te verbergen. Een goede penetratietest van een webapplicatie vindt de injectiefout, de gebrekkige toegangscontrole en het verkeerd geconfigureerde sessiebeheer, en vertelt u hoe u alle drie oplost.
Een red-team-opdracht is een doeloefening. De opdrachtgever bepaalt een doel dat voor de organisatie telt (de e-mail van het bestuur lezen, geld overboeken vanuit het treasurysysteem, het SCADA-netwerk bereiken, de klantendatabase wegsluizen) en het red team krijgt de vrijheid die een echte aanvaller zou hebben om dat te bereiken: phishing, fysiek binnendringen, de perimeter exploiteren, een leveranciersrelatie misbruiken, zwakheden van lage ernst over domeinen heen aaneenrijgen. Diepte langs één pad is het doel, en realisme ook. Het grootste deel van de organisatie weet niet dat de test plaatsvindt; de detectie- en responsteams worden evenzeer getest als de systemen.
Het praktische gevolg is dat de twee verschillende bevindingen opleveren. Een penetratietest vertelt u dat er twaalf dingen mis zijn met de financiële applicatie. Een red team vertelt u dat een aanvaller die één medewerker van de crediteurenadministratie phishte in vier dagen naar de domain controller had kunnen bewegen, en dat het security operations centre op dag drie één alert genereerde en die als vals positief sloot. Beide zijn waardevol. Ze zijn geen vervangers van elkaar.
Red teaming vs pentest: naast elkaar
De vergelijking die de meeste inkopers nodig hebben, in één tabel. De rijen beschrijven gangbare praktijk; individuele opdrachten kunnen anders worden ontworpen.
| Dimensie | Penetratietest | Red teaming |
|---|---|---|
| Kernvraag | Welke kwetsbaarheden zitten in deze scope, en hoe ernstig zijn ze? | Kan een realistische aanvaller dit doel bereiken, en zouden wij hem detecteren en stoppen? |
| Doel | Dekking: zoveel mogelijk exploiteerbare zwakheden vinden binnen de scope | Doelgericht: een afgebakend bedrijfskritisch doel bereiken via elk haalbaar pad |
| Scope | Afgebakend en begrensd (een applicatie, een netwerk, een account); meestal een lijst met systemen | Breed; de organisatie, met afgesproken uitsluitingen; aanvalspaden kruisen technische, fysieke en menselijke domeinen |
| Kennis bij de testers | Meestal grey box: documentatie, accounts, architectuur | Meestal black box plus threat intelligence; het team bouwt zijn eigen beeld op zoals een aanvaller dat zou doen |
| Bekendheid binnen de organisatie | Aangekondigd; systeemeigenaren en het SOC zijn geïnformeerd | Verborgen; alleen een kleine regiegroep (het white team) weet ervan |
| Ruis en stealth | Luidruchtig van opzet; snelheid en dekking tellen zwaarder dan ontwijking | Heimelijk van opzet; het ontwijken van detectie is onderdeel van de test, en gepakt worden is een bevinding |
| Duur | Doorgaans 1 tot 3 weken testen | Doorgaans 4 tot 12 weken inclusief verkenning; TLPT-opdrachten langer |
| Rol van het blue team | Meestal geïnformeerd en teruggetreden, of detectie wordt in een aparte oefening getest | Gemeten: detectie en respons worden beoordeeld; vaak gevolgd door een purple-team-herhaling |
| Deliverables | Bevindingenrapport per ernst met bewijs, herstel en hertest | Aanvalsverhaal, tijdlijn, beoordeling van detectie en respons, maatregelgaten per kill-chain-fase, strategische aanbevelingen |
| Geraadpleegde kaders | OWASP WSTG, OWASP ASVS, PTES, NIST SP 800-115, OSSTMM | MITRE ATT&CK, TIBER-EU, DORA art. 26-27 (TLPT), CBEST, iCAST |
| Passend volwassenheidsniveau | Elke organisatie, vanaf het eerste securityprogramma | Organisaties met een detectiecapaciteit die het testen waard is (eigen SOC of MDR), nadat regulier pentesten is ingebed |
| Kostenfactoren | Omvang van de scope, diepgang, testtype, senioriteit van de tester, rapportage | Duur, aantal doelen, stealth-eisen, threat-intelligence-fase, fysieke en sociale onderdelen, teamgrootte |
De verschillen die bepalen welke u inkoopt
Zes dimensies achter de tabel, met wat elk betekent voor uw beslissing.
Doelgericht versus dekkingsgericht
Een red team stopt met verkennen zodra het een werkend pad naar het doel heeft; een penetratietest gaat door tot de scope is gedekt. Moet u elke zwakheid in een systeem kennen vóór een release of een audit, dan heeft u dekking nodig. Moet u weten of uw organisatie een gerichte inbraak zou overleven, dan heeft u een doel nodig.
Scope en kennis
Penetratietesters krijgen te horen wat ze moeten testen en krijgen toegang om efficiënt te zijn. Red teams krijgen te horen wat ze moeten bereiken en moeten zelf ontdekken hoe, te beginnen met open-bronnenverkenning van de organisatie, haar mensen en haar leveranciers. Die verkenning alleen al brengt vaak blootstellingen aan het licht die geen gescopete test zou vinden, zoals gelekte inloggegevens in een publieke repository of een vergeten domein van een dochteronderneming.
Duur
Een webapplicatietest duurt dagen; een red team duurt weken, omdat stealth traag is. Password spraying die in een penetratietest een uur zou kosten, wordt over dagen uitgesmeerd om onder de drempels voor accountvergrendeling en alertering te blijven. Command-and-control-verkeer wordt gevormd om op zakelijk verkeer te lijken. De tijdlijn is onderdeel van het realisme, en onderdeel van de prijs.
Detectie ontwijken versus luidruchtig testen
In een penetratietest is het triggeren van een alert irrelevant of zelfs nuttig. In een red team is gedetecteerd worden een resultaat: het vertelt u dat de maatregel werkte, in welke fase, en hoe het responsteam ermee omging. Red teams gebruiken living-off-the-land-technieken, eigen tooling en operationele beveiliging die penetratietesters niet nodig hebben, en daarom zijn red-team-operators ook een andere en schaarsere vaardigheid.
Betrokkenheid van het blue team
Een penetratietest vraagt het SOC meestal terug te treden. Een red team meet het SOC, vaak zonder dat het dat weet, en het waardevolste deel van de opdracht is de debrief waarin red en blue samen de tijdlijn doorlopen. Die debrief groeit vaak uit tot een purple-team-oefening: elke techniek opnieuw uitvoeren terwijl de verdedigers toekijken, en detectie bijstellen tot zij afgaat.
Deliverables
Een pentestrapport is geordend per bevinding en ernst, gebouwd voor een herstelbacklog en een auditor. Een red-team-rapport is geordend per aanvalsfase, gebouwd voor een CISO en een bestuur: wat het doel was, hoe het werd bereikt, waar detectie had moeten afgaan en dat niet deed, hoe de respons eruitzag, en welke strategische gaten (identiteit, segmentatie, monitoringdekking, bewustzijn) het pad mogelijk maakten.
Wanneer elk passend is, per volwassenheidsniveau
De vraag is zelden welke beter is. Het is van welke uw programma klaar is om te leren.
Beginnend, of nog geen regulier testen: penetratietest
Als de organisatie haar internetperimeter, kernapplicaties en interne netwerk nog nooit professioneel heeft laten testen, zal een red team snel slagen en u weinig leren dat regulier testen u niet tegen veel lagere kosten had laten zien. Begin met externe en interne penetratietesten, los de bevindingen op, hertest en herhaal jaarlijks. Dit is ook wat ISO 27001 A.8.8, PCI DSS Req. 11.4, SOC 2 en de meeste klantcontracten daadwerkelijk vragen.
Regulier testen ingebed, detectiecapaciteit aanwezig: eerste red team
Zodra jaarlijks pentesten routine is, de ernstige bevindingen binnen het venster worden opgelost, en er een SOC, een MDR-leverancier of een eigen detectiefunctie is met iets om te meten, wordt een red team zijn kosten waard. De eerste opdracht is meestal assumed breach (startend vanaf een gecompromitteerde werkplek) met één of twee doelen en een bescheiden stealth-eis, zodat de organisatie leert hoe zij een white team en een debrief organiseert.
Volwassen programma, gereguleerde sector: full-scope red team en TLPT
Financiële entiteiten die onder DORA artikel 26 zijn aangewezen, moeten minimaal elke drie jaar threat-led penetration testing uitvoeren volgens het TIBER-EU-raamwerk (TIBER-NL in Nederland, gecoördineerd door DNB). TLPT is een red team bij wet: een aparte threat-intelligence-aanbieder bouwt de scenario's, het red team voert ze uit op live productiesystemen tegen kritieke of belangrijke functies, en de toezichthouder attesteert het resultaat. Vergelijkbare regimes bestaan in het VK (CBEST) en Hongkong (iCAST). Buiten de financiële sector voeren organisaties in vitale infrastructuur onder NIS2 steeds vaker red teams uit om de effectiviteitsbeoordeling van artikel 21(2)(f) aan te tonen.
Continu verbeteren: purple teaming en adversary emulation
Zodra een red team heeft laten zien waar detectie faalt, is de efficiënte volgende stap niet een nieuw red team zes maanden later, maar een purple-team-programma: korte, gezamenlijke oefeningen waarin specifieke MITRE ATT&CK-technieken worden uitgevoerd terwijl verdedigers toekijken, detectielogica wordt geschreven of bijgesteld, en de techniek wordt herhaald tot zij afgaat. Dit zet red-team-bevindingen om in meetbare detectiedekking en is de meest kostenefficiënte manier om de lat te verhogen vóór het volgende volledige red team.
Hoe een volwassen programma pentest, red team en purple team na elkaar inzet
De volgorde die werkt, en die wij zien bij organisaties met een blijvende daling van echte incidenten, loopt in een cyclus. Penetratietesten is het fundament en stopt nooit: elk internet-facing en bedrijfskritisch systeem wordt minimaal jaarlijks en na significante wijzigingen getest, bevindingen worden opgelost en hertest. Dat verwijdert de gemakkelijke paden en geeft het red team iets dat het aanvallen waard is.
Vervolgens wordt elke twaalf tot achttien maanden een red team uitgevoerd (minimaal elke drie jaar waar TLPT geldt), telkens met doelen gekozen op bedrijfsimpact in plaats van technisch gemak en met een dreigingsmodel dat past bij de aanvallers die uw sector daadwerkelijk viseren. De uitkomst is een korte lijst strategische gaten en een nauwkeurig verslag van waar detectie en respons slaagden of faalden.
Tussen red teams zetten purple-team-oefeningen elke gemiste detectie om in een bijgestelde alert en een getest draaiboek, doorgaans één of twee dagen per maand. Kwetsbaarheidsscans draaien continu onder alles door om regressies tussen tests op te vangen. Bij het volgende red team is de vraag niet langer of de aanvaller binnenkomt, maar hoe ver hij komt en hoe snel de respons hem indamt; dat is de maatstaf die een bestuur jaar op jaar kan volgen.
Kostenfactoren in gewone woorden, voor beide
Geen van beide opdrachten heeft een vaste prijs; beide worden gescopet. Dit zijn de variabelen die het bedrag bepalen, zodat u een voorstel kunt lezen en weet waarom twee offertes verschillen.
- Penetratietest: aantal en complexiteit van de systemen in scope (applicaties, rollen, hosts, cloudaccounts), testtype en -positie, grey of white box, senioriteit en certificering van de tester, diepgang van rapportage en compliancemapping, hertest wel of niet inbegrepen
- Red team: duur van de opdracht (de grootste factor, omdat stealth traag is), aantal en moeilijkheid van de doelen, of een formele threat-intelligence-fase vereist is (verplicht voor TLPT), stealth-niveau en de eigen tooling die dat vergt, opname van fysiek binnendringen en social engineering, teamgrootte, en de debrief en purple-team-opvolging
- Beide: dagen op locatie en reizen, testen buiten kantooruren, afstemming met de toezichthouder (voor TLPT voegt die maanden kalendertijd toe, al zijn het geen consultantdagen), en het aantal rapportagedoelgroepen (technisch, bestuur, toezichthouder)
- Wat de prijs niet verandert maar wel uw keuze zou moeten sturen: een red team tegen een organisatie zonder detectiecapaciteit is een zeer dure penetratietest met een dunner rapport
Wat HackersHub aan beide kanten biedt
HackersHub levert penetratietesten en red teaming als afzonderlijke diensten met afzonderlijke scoping, omdat ze afzonderlijke vragen beantwoorden en anders worden bemenst. Onze penetratietesten worden geleid door OSCP-gecertificeerde consultants die in het rapport bij naam worden genoemd, dekken web, API, mobiel, cloud, netwerk en hardware, en omvatten een hertest. Onze red-team-opdrachten zijn gebouwd op MITRE ATT&CK, vertrekken vanuit een gedocumenteerd dreigingsmodel en worden uitgevoerd door operators met red-team-specifieke tooling en ervaring in operationele beveiliging, met een schriftelijk white-team-protocol dat vóór de eerste verkenningsactie is vastgelegd.
Voor financiële entiteiten leveren wij de red-team-component van TLPT onder TIBER-EU naast een externe threat-intelligence-aanbieder, en voor organisaties tussen die twee punten ontwerpen wij assumed-breach-red-teams en purple-team-programma's die passen bij de detectiecapaciteit die u vandaag heeft. In elk geval zeggen wij u onomwonden wanneer wij een red team voorbarig vinden en een penetratietest u meer zou leren. Na meer dan tien jaar offensive security hebben wij gemerkt dat het eerlijke advies ook het advies is dat opdrachtgevers doet terugkomen.
Veelgestelde vragen
Weet u niet zeker welke uw programma nodig heeft?
Vertel ons waar uw test- en detectiecapaciteit vandaag staan en wij adviseren de opdracht waarvan u het meest leert, of dat nu een gescopete penetratietest, een assumed-breach-red-team of een TIBER-conforme TLPT is.