Wat is een pentester? Wat een penetratietester doet, welke vaardigheden en certificeringen tellen, en hoe u de tester beoordeelt die u inhuurt

Wat is een pentester?

Een pentester (voluit penetratietester, in het Engels ook pen tester) is een beveiligingsspecialist die echte aanvallen nabootst op de systemen, applicaties, netwerken en medewerkers van een organisatie, binnen een schriftelijk vastgelegde scope en met uitdrukkelijke toestemming, en vervolgens vastlegt hoe ver een aanvaller zou komen en wat er moet veranderen. Die toestemming is wat het werk onderscheidt van een misdrijf: zonder toestemming is binnendringen in een computersysteem computervredebreuk volgens artikel 138ab van het Wetboek van Strafrecht. Het eindproduct van de pentester is geen toegang. Het is een rapport waarmee engineers elke bevinding kunnen reproduceren en sluiten, en waarmee het management de bedrijfsimpact begrijpt.

De term wordt vaak door elkaar gebruikt met ethisch hacker. Het verschil zit in discipline versus titel. Ethisch hacker beschrijft iedereen die offensieve vaardigheden rechtmatig inzet; pentester beschrijft een specifieke, afgebakende en in tijd begrensde professionele dienst met een methodiek (PTES, OWASP WSTG, NIST SP 800-115) en een rapport aan het einde. Dat onderscheid werken wij uit in onze gids over ethisch hackers. Dit artikel blijft bij het vak: wat het werk is, wie het goed doet en hoe u dat herkent.

De meeste pentesters werken bij gespecialiseerde bureaus of in de interne beveiligingsteams van grote organisaties. Bij een extern bureau draait een pentester doorgaans meerdere opdrachten per maand op heel verschillende doelen: de ene week een klantportaal, de volgende een Active Directory-omgeving, daarna een cloudomgeving of een mobiele app. Die afwisseling is de reden dat breedte van kennis even zwaar weegt als diepte, en dat goede pentesters hun hele loopbaan blijven leren.

Welke vaardigheden heeft een pentester nodig?

Geen enkele pentester beheerst alle zes op dezelfde diepte. Een goed bureau bezet elke opdracht zo dat de vaardigheden bij het doel passen.

Hoe word je pentester? Het leerpad

Er is geen vaste route, maar wie het goed doet, volgt een herkenbaar patroon. Het begint bij de basis: hoe netwerken daadwerkelijk pakketten verplaatsen, hoe Linux en Windows gebruikers, processen en rechten beheren, hoe een webapplicatie een verzoek afhandelt van browser tot database, en één scripttaal goed genoeg om het saaie werk te automatiseren. Een achtergrond als systeembeheerder, softwareontwikkelaar of SOC-analist is een veelvoorkomende eerste stap, omdat die precies deze basis opbouwt aan echte systemen met echte gevolgen.

Daarna volgt doelgericht oefenen in rechtmatige omgevingen: praktijklabs, capture-the-flag-wedstrijden en opzettelijk kwetsbare applicaties. Het doel is niet om vlaggen te verzamelen. Het doel is een methode opbouwen: grondig inventariseren, een hypothese vormen, die toetsen, aantekeningen maken alsof iemand anders ze gaat lezen. Elke oefening uitwerken als rapport is de ene gewoonte die kandidaten die klaar zijn voor het vak het sterkst onderscheidt van hobbyisten, want rapporteren is het halve werk en bijna niemand oefent het vrijwillig.

De eerste certificering is meestal eJPT of OSCP, en OSCP is degene die de meeste bureaus, HackersHub inbegrepen, als instapeis hanteren. Responsible disclosure en bugbountyprogramma's bieden een rechtmatige manier om echte systemen te testen, maar uitsluitend bij organisaties die daar een beleid voor hebben gepubliceerd, binnen de gepubliceerde scope, en met een vertrouwelijke melding. In Nederland beschrijft de Leidraad Coordinated Vulnerability Disclosure van het NCSC hoe organisaties en melders dat proces horen in te richten. Daarna volgt specialisatie het werk: web (OSWE), Active Directory en ontwijking (OSEP), red teaming (CRTO), cloud, mobiel of operationele technologie.

Zo beoordeelt u de pentester die een bureau u stuurt

Wie een test inkoopt, koopt de mensen, niet het merk. Onze gids over het kiezen van een pentestbedrijf behandelt de inkoopvragen; dit zijn de signalen over de individuele testers.

• Testers bij naam in de offerte en in het rapport, met certificeringen die u via de verificatiedienst van de uitgever kunt controleren
• Minstens één tester met een seniore praktijkcertificering (OSCP als minimum; OSWE, OSEP of CREST CCT voor complexe doelen) en aantoonbare ervaring met uw specifieke technologie
• Een gedocumenteerde methodiek (PTES, OWASP WSTG of MASTG, NIST SP 800-115) en een expliciete verklaring dat het werk handmatig is en geen omgedoopte scan
• Een geanonimiseerd voorbeeldrapport, zodat u kunt beoordelen of bevindingen reproduceerbaar zijn en of de managementsamenvatting iets zegt waar een directie mee aan de slag kan
• Een beroepsaansprakelijkheidsverzekering, en een ondertekende machtiging en spelregels vóór de test begint
• Een duidelijke escalatieroute: wie belt wie, binnen hoeveel tijd, wanneer halverwege de test een kritieke bevinding opduikt
• Een hertest van de verholpen bevindingen, inbegrepen of helder geprijsd, want daar wordt de waarde bevestigd

Veelgestelde vragen

Gerelateerde gidsen

• Wat is een ethisch hacker? Betekenis, wettelijke basis en inhuren
• Penetratietest laten uitvoeren door HackersHub
• Hoe kiest u een pentestbedrijf?
• Pentest keurmerk en certificeringen uitgelegd
• Wat is een penetratietest? Betekenis, fases en werkwijze
• Red teaming vs pentest: wat heeft u nodig?
• Welke tools gebruikt een pentester?