English
Bij een blackbox-, greybox- of whitebox-pentest verschilt de informatie die onze pentesters vooraf krijgen. Wij raden doorgaans een whitebox-pentest aan: met relevante broncode, documentatie en testaccounts kunnen wij meer onderzoeken binnen de beschikbare tijd en blinde vlekken verkleinen. Wij rekenen hiervoor geen toeslag.
Blackbox-pentest
De pentester begint zonder interne documentatie, broncode of aangeleverde inloggegevens. Dit kan passen bij een onderzoek naar aanvalsmogelijkheden vanuit een onbekende, externe positie. Het achterhalen van informatie kost testtijd, waardoor minder tijd beschikbaar kan zijn voor onderzoek naar achterliggende functionaliteit.
Greybox-pentest
De pentester krijgt een deel van de relevante informatie, zoals testaccounts voor verschillende gebruikersrollen en API-documentatie. Dit maakt gericht onderzoek mogelijk, bijvoorbeeld naar autorisatie en gegevensscheiding tussen klanten, ook wanneer broncode niet beschikbaar is.
Whitebox-pentest
De pentester krijgt de relevante informatie die beschikbaar is, waaronder broncode, architectuurdocumentatie en testaccounts. Hiermee kunnen onze experts gerichter aanvalsscenario’s onderzoeken en bevindingen beter duiden. De informatiepositie van de pentester staat los van de rechten van de gesimuleerde aanvaller: met broncode-inzicht kunnen wij nog steeds onderzoeken wat een niet-ingelogde bezoeker of reguliere gebruiker kan bereiken.
Wat betekent dit voor de kosten en dekking?
Whitebox kost bij ons niet extra. De prijs wordt bepaald door de omvang, complexiteit en benodigde dekking van het onderzoek, afgestemd op uw doel en risicoprofiel. Meer informatie helpt ons de beschikbare testtijd doeltreffender te benutten; het betekent niet automatisch dat ieder onderdeel volledig wordt onderzocht.
Een volledige source code review is een aparte dienst. Broncode gebruiken ter ondersteuning van een pentest is niet hetzelfde als de volledige codebase beoordelen.
Welke aanpak past bij mijn situatie?
Dat bespreken we tijdens het scopegesprek. Voor het vinden van kwetsbaarheden met zo min mogelijk blinde vlekken adviseren wij doorgaans whitebox. Wanneer juist een specifieke aanvallerspositie of de detectie van een aanval centraal staat, stemmen we de informatie, toegangsrechten en testafspraken daarop af.
Bekijk de pentestpakketten en kosten of bespreek uw doel en risicoprofiel met ons.