Question 1

Wat is het verschil tussen een security-scan en een pentest?

Accepted Answer

Een geautomatiseerde scan zoekt naar bekende fouten en meldt alles wat erop lijkt, ook wat bij nader inzien niet klopt. Bij een pentest (penetratietest) probeert een mens de gevonden zwaktes echt uit te buiten en beoordeelt wat een aanvaller ermee kan. NexBridge combineert beide: we scannen om kandidaten te vinden en controleren elke bevinding handmatig voor ze in het rapport komt. Wat bij controle niet werkt, staat er niet in.

Question 2

Wat kost een externe pentest of security-scan voor een KMO in België of Nederland?

Accepted Answer

NexBridge werkt met drie pakketten met een vaste richtprijs: Verkenning (één domein, volledige externe blootstelling), Volledig (externe blootstelling, webapplicatie en API, met één hercontrole inbegrepen) en Doorlopend (herscan elk kwartaal). De bedragen staan op de prijzenpagina en zijn exclusief btw. Na één scopegesprek krijgt u een vaste prijs voor uw situatie, geen uurtarief dat oploopt. Een interne Active Directory-controle is op aanvraag.

Question 3

Is een pentest verplicht onder NIS2?

Accepted Answer

NIS2 schrijft geen specifieke pentest voor, maar verplicht organisaties in scope wel om hun cyberrisico's te beheersen en aan te tonen dat ze de werking van hun maatregelen toetsen. Ook wie zelf niet onder NIS2 valt, krijgt de vraag steeds vaker van klanten die er wél onder vallen en hun leveranciers moeten controleren. Een extern rapport met bevindingen, bewijs en herstelstappen is daarop een concreet antwoord dat u kunt doorgeven.

Question 4

Wat hebben we nodig om te starten?

Accepted Answer

Eén gesprek en een handtekening. In het scopegesprek leggen we vast welke domeinen en systemen van u zijn en wat we mogen testen. Daarna tekent iemand die bevoegd is binnen uw bedrijf het mandaat. Voor een externe scan hebben we geen toegang tot uw systemen nodig; alleen voor de interne AD-controle vragen we een gewoon gebruikersaccount en een verbinding naar uw netwerk.

Question 5

Is het legaal om onze systemen te laten testen?

Accepted Answer

Ja, zolang er een schriftelijk mandaat is van wie bevoegd is over die systemen. Zonder toestemming is het scannen of binnendringen van computersystemen in België en Nederland strafbaar. Daarom begint NexBridge nooit zonder getekend document waarin staat wat getest wordt, in welke periode, met welke technieken en wie bereikbaar is als er iets misloopt.

Question 6

Waarom staat er "vanaf"?

Accepted Answer

De prijs hangt af van de omvang: één website is iets anders dan een portaal met drie API's en twintig subdomeinen. Na het scopegesprek krijgt u een vaste prijs, geen uurtarief dat oploopt.

Question 7

Zit een hercontrole erbij?

Accepted Answer

Bij het pakket Volledig zit één hercontrole inbegrepen. Bij Verkenning kunt u die apart bijbestellen. Bij Doorlopend is elke kwartaalscan meteen de controle op wat u ondertussen hebt opgelost.

Question 8

Wat als u niets vindt?

Accepted Answer

Dan staat dat in het rapport, met de vermelding wat er onderzocht is. Dat is een bruikbaar antwoord: u weet dan waar u staat en u kunt het tonen aan een klant of verzekeraar die ernaar vraagt.

Question 9

Kan mijn IT-partner het gesprek voeren?

Accepted Answer

Graag zelfs. Het mandaat moet wel getekend worden door wie bevoegd is binnen uw bedrijf, niet door de leverancier. Veel IT-partners laten de omgeving van hun klanten door een onafhankelijke partij nakijken en gebruiken het rapport als werklijst.

Question 10

Wat is externe blootstelling of attack surface?

Accepted Answer

Uw externe blootstelling is alles van uw bedrijf dat vanaf het internet bereikbaar is: websites, subdomeinen, mailservers, VPN-toestellen, beheerpanelen, testomgevingen en cloudopslag. Dat geheel heet ook het aanvalsoppervlak of attack surface. Een aanvaller begint bij het zwakste onderdeel daarvan, meestal een systeem dat niemand nog in de gaten houdt.

Question 11

Hebben jullie toegang tot onze systemen nodig?

Accepted Answer

Nee. Een externe scan vertrekt van uw domeinnaam en kijkt van buitenaf, precies zoals een aanvaller in de verkenningsfase. We proberen niet binnen te dringen en we veranderen niets. Alleen de interne AD-controle vereist toegang tot uw netwerk en een apart mandaat.

Question 12

Wat is BOLA?

Accepted Answer

BOLA staat voor Broken Object Level Authorization: de API controleert of u ingelogd bent, maar niet of het opgevraagde item van u is. Wie één nummer in een webadres aanpast, ziet het dossier of de factuur van een andere klant. Het staat al jaren op nummer één van de OWASP API Security Top 10 en wordt zelden door een scanner gevonden, omdat de server gewoon netjes antwoordt.

Question 13

Hoeveel testaccounts hebben jullie nodig?

Accepted Answer

Minstens twee gewone gebruikersaccounts, liefst in verschillende rollen of bij verschillende klantorganisaties. Zo kunnen we systematisch nagaan of account A bij de gegevens of functies van account B geraakt. Dat is de enige betrouwbare manier om autorisatiefouten te vinden.

Question 14

Testen jullie ook een webshop die bij een extern platform draait?

Accepted Answer

Alleen als die partij daar schriftelijk toestemming voor geeft. Systemen van derden vallen standaard buiten de scope, omdat het mandaat van u niet geldt voor hun infrastructuur. Wat u zelf beheert, zoals een maatwerkportaal, een eigen API of een website bij uw hostingpartij, testen we wel.

Question 15

Verstoort een test onze website of webshop?

Accepted Answer

Nee. We voeren geen tests uit die uw dienstverlening kunnen platleggen. Waar een test verstorend zou kunnen zijn, vragen we vooraf akkoord of tonen we het aanvalspad zonder het volledig af te lopen. We halen geen klantenbestanden op en bewaren geen gegevens van u langer dan de opdracht duurt.

Question 16

Waarom is Active Directory zo'n doelwit?

Accepted Answer

Active Directory beheert in de meeste bedrijfsnetwerken wie waar bij mag. Wie daar beheerder wordt, heeft alles. In de praktijk lukt dat bij veel Windows-domeinen vanaf één gewoon account, zonder één kwetsbaarheid in Windows uit te buiten: door instellingen die jaren geleden zijn gemaakt en nooit herbekeken, zoals zwakke servicewachtwoorden, verkeerd ingestelde certificaatsjablonen of verouderde protocollen.

Question 17

Wat hebben jullie nodig voor een interne AD-controle?

Accepted Answer

Een gewoon gebruikersaccount zonder speciale rechten en een verbinding naar uw netwerk, bijvoorbeeld via VPN of een werkplek ter plaatse. Daarnaast een apart mandaat waarin staat welke systemen in scope zitten, wanneer we werken en wie we bereiken als er iets misloopt. We veranderen niets, schakelen geen accounts uit en verwijderen geen gegevens.

Geen verrassingen, in beide richtingen

Scope bepalen

Mandaat tekenen

Scannen en handmatig narekenen

Rapport en doorloopgesprek

Hercontrole

Wat er in het rapport staat

Samenvatting voor wie beslist

Bevindingen met bewijs

Ernst en onderbouwing

Herstelstap per bevinding

Wat we niet doen

Geen verstoring

Geen gegevens meenemen

Geen systemen van derden

Geen rapport vol ruis

Klaar om de scope te bepalen?