Black Box Pentesting: Wat Het Is en Hoe het Werkt

Inhoud

Wat houdt een Black Box pentest eigenlijk in?

Waarom voeren organisaties Black Box pentests uit?

Hoe worden pentests voor webapplicaties uitgevoerd?

9 Voordelen van Black Box Pentesting

3 Nadelen van Black Box Pentesting

Black Box vs. Grey Box Vs. White Box Pentesting

6 Veelgebruikte Black Box Pentesting Technieken

Black Box Pentest Stappen

Black Box Pentest Kosten

Black Box Pentest Tools

Betekenis

A a total lack of information pentest, is een testservice van een derde partij die erop gericht is om als buitenstaander kwetsbaarheden in een systeem te vinden en te misbruiken. Bij een Black Box pentest worden geen accountgegevens verstrekt, evenals weinig informatie over het doelwit behalve misschien een IP-adres, URL of gebouwlocatie. In wezen is de doelomgeving dus een “zwarte doos”. Dit betekent dat de tester geen toegang heeft tot de broncode (anders dan publiekelijk beschikbare code), interne gegevens, structuur en ontwerp van het systeem vóór het testen.

Wat houdt een Black Box pentest eigenlijk in?

De naam “Black Box” verwijst naar het donkere uitgangspunt van de test waarin geen voorkennis is verstrekt.

Een Black Box pentest beoordeelt een systeem op runtime. Wanneer het doelsysteem een applicatie is, wordt Black Box pentesting ook wel Dynamic Application Security Testing (DAST) genoemd. Een Black Box pentest is uiterst geschikt voor het evalueren van de beveiliging van externe middelen, zoals:

Webapplicaties

SaaS-applicaties

Netwerken

Firewalls

Routers

VPN, IDS/IPS

Webservers

Toepassingsservers

Databaseservers, etc.

Hoewel een Black Box pentest niet kan worden gebruikt als vervanging voor een uitgebreide beveiligingsbeoordeling, helpen ze bij het testen van een applicatie of netwerk vanuit het oogpunt van een eindgebruiker of hacker. Het kan ernstige kwetsbaarheden in uw digitale middelen aan het licht brengen, zoals validatiefouten, onthulling van informatie via foutmeldingen, onjuiste serverconfiguraties, enzovoort.

Overweegt u een Black Box pentest?

Aarzel niet om contact met ons op te nemen; wij vertellen u graag meer over alles omtrent Cybersecurity.

Waarom voeren organisaties Black Box pentests uit?

Er zijn verschillende redenen en use cases die een organisatie ertoe kunnen aanzetten om te kiezen voor een Black Box pentest. Hieronder hebben we de redenen opgesomd waarom de meeste van onze klanten Black Box pentests door ons laten uitvoeren.

Vroegtijdige opsporing van kwetsbaarheden

Black Box Pentesting is een uitstekende keuze voor bedrijven die kwetsbaarheden vroeg in de SDLC willen opsporen. Met deze proactieve aanpak kunnen ze problemen aanpakken voordat ze uitgroeien tot ernstige beveiligingsrisico’s.

Compliance en wettelijke verplichtingen

Bedrijven die actief zijn in gereguleerde sectoren zoals de financiële sector, de overheid of de gezondheidszorg moeten vaak regelmatige beveiligingsbeoordelingen uitvoeren om te voldoen aan de compliance-normen. Black Box Testing is een slimme manier om aan deze wettelijke vereisten te voldoen.

Routinematige beveiligingsbeoordelingen

Ongeacht de regelgeving in de sector zijn regelmatige beveiligingsbeoordelingen, waaronder de Black Box Test, van vitaal belang om te bevestigen dat uw veiligheidspositie robuust blijft en kan worden aangepast aan groeiende cyberbedreigingen.

Evaluatie van systemen van derden

Wanneer u netwerken en applicaties van derden in uw infrastructuur integreert, is het belangrijk om de beveiliging hiervan kritisch onder de loep te nemen. Black Box Test helpt bij het evalueren van potentiële bedreigingen die gepaard gaan met deze integraties.

Realistische aanvalssimulaties

Black Box Testing is uitstekend voor het nabootsen van praktische use cases en scenario’s die in de echte wereld zouden kunnen voorkomen. Het biedt inzicht in hoe goed uw systeem bestand is tegen bedreigingen van aanvallers die onder levensechte omstandigheden te werk gaan.

9 Voordelen van Black Box Pentesting

Black box testen is van cruciaal belang voor de beveiliging van applicaties, omdat het bepaalde voordelen biedt ten opzichte van andere testmethoden. De beste resultaten zijn echter alleen mogelijk als een organisatie een Black Box pentest combineert met een aanvullende testmethode die de interne werking van een systeem analyseert, zoals een Code Review. De voordelen van Black Box pentesting zijn onder andere:

Het simuleert een echte aanval om onverwachte resultaten te ontdekken

Het achterhaalt kwetsbaarheden in uw netwerken en applicaties

Het ontdekt implementatie- en configuratieproblemen door een applicatie tijdens runtime te testen

Het detecteert incorrecte product builds, zoals ontbrekende of oude modules en bestanden

Het benut gebruik van social engineering-technieken om beveiligingsproblemen met betrekking tot mensen te ontdekken

Het kan beveiligingsproblemen detecteren die ontstaan als gevolg van interactie met de onderliggende omgeving (bijv. onjuiste configuratiebestanden, niet-geharde besturingssystemen en toepassingen)

Het kan problemen detecteren zoals validatiefouten bij invoer/uitvoer, openbaarmaking van informatie in foutmeldingen, enz.

Zoekt naar veelvoorkomende kwetsbaarheden, zoals SQL-injectie, XSS en CSRF.

Het is doorgaans goedkoper om een Black Box pentest uit te voeren in vergelijking met andere pentest types (Grey Box & White Box)

3 Nadelen van Black Box Pentesting

Een Black Box pentest is een doelmatige manier om de beveiliging van een systeem te testen. Het is echter geen vervanging voor een uitgebreide beoordeling van de broncode en de interne werking van het systeem in kwestie.

Omdat een Black Box test geen interne tests omvat, kan een systeem ten onrechte ‘veilig’ lijken als de tester er niet in slaagt kwetsbaarheden te vinden in de externe componenten. Er kunnen echter verschillende kwetsbaarheden onder de oppervlakte van het systeem schuilen, die een Black Box pentest niet kan achterhalen.

Met andere woorden, kwetsbaarheden die gevonden worden in een Black Box test geven aan dat het doelsysteem onvoldoende beveiligd is. Toch betekent dit niet dat een systeem volledig veilig is als de Black Box pentest er niet in slaagt om kritieke kwetsbaarheden te vinden. In dat geval kunnen de kwetsbaarheden gewoon verborgen zijn in de interne systemen.

Kortom, een Black Box pentest:

Biedt geen volledig beeld van de beveiligingsmaatregelen van het doelsysteem

Is deels gebaseerd op giswerk en trial & error.

Kan beide kanten op qua tijdschaal. Het kan de minste tijd kosten om kwetsbaarheden te ontdekken, maar het zou ook maanden kunnen duren om een enkele kwetsbaarheid te reconstrueren. Dit ligt voornamelijk aan de expertise van de tester(s).

Black Box vs. Grey Box Vs. White Box Pentesting

De hoeveelheid informatie die voorafgaand aan een pentest wordt gedeeld, kan een enorme invloed hebben op de resultaten ervan. De stijl van testen wordt meestal gedefinieerd als White Box, Grey Box of a total lack of information.

a total lack of information

Wordt uitgevoerd zonder enige voorkennis van het doelsysteem.

Test alleen de blootgestelde omgeving.

Is helemaal niet diepgaand.

Bestaat uit giswerk en eindeloze hit & miss sessies.

Er wordt veel gebruik gemaakt van automatisering.

ETA’s zijn onvoorspelbaar. Een Black Box pentest kan dagen duren, maar ook maanden.

Is over het algemeen de goedkoopste type pentest.

Grey Box

Wordt uitgevoerd met gedeeltelijke informatie over het doelsysteem.

Test blootgestelde kwetsbaarheden in externe systemen en verborgen kwetsbaarheden in interne systemen.

Geeft een beter beeld van de beveiliging van het systeem.
Zeer beperkt gebruik van giswerk.

Automatisering wordt minimaal gebruikt.

Kost een voorspelbare hoeveelheid tijd om te voltooien. De tijd varieert vaak van enkele dagen tot enkele weken.

De kosten liggen tussen de twee andere boxes.

White Box

Wordt uitgevoerd met volledige informatie over het doelsysteem.

Voert grondige tests uit van alle onderdelen – extern, intern en code.

Geeft een compleet beeld van de beveiliging van het systeem.

Er komt geen giswerk aan te pas.

Automatisering wordt alleen gebruikt als hulpmiddel bij het handmatige proces.

Duurt doorgaans een paar maanden om te voltooien.

Duurder dan Black en Grey Box pentests.

6 Veelgebruikte Black Box Pentesting Technieken

Vulnerability Scanning

Pentesters gebruiken tools zoals Nmap en Wireshark om doelsystemen te onderzoeken op kwetsbaarheden. Veel van deze tools geven voorlopige informatie, die de tester meer in detail moet onderzoeken via handmatige tests.

Port Scanning

Pentesters zullen ook het netwerk onderzoeken om open poorten te detecteren, die een aanvaller zou kunnen misbruiken om toegang te krijgen tot een netwerk. Deze open poorten zijn vaak de locatie van pogingen tot uitbuiting, omdat de pentesters proberen om langs de verdediging, zoals firewalls, te komen.

Password Attack

Met behulp van een geautomatiseerd hulpprogramma dat vaak wordt gebruikt bij ‘Brute Force” aanvallen, probeert een tester binnen een systeem in te loggen door gebruik te maken van een lijst van veelgebruikte wachtwoorden. De hoop is om een overeenkomst te vinden, waardoor de tester toegang krijgt tot het systeem via de gegevens van iemand anders.

Social Engineering

Social engineering is het overtuigen van een legitieme systeemgebruiker om gevoelige informatie te overhandigen – zoals inloggegevens – door een vertrouwde persoon of partij te imiteren. Phishing is een van de meest gebruikte technieken, maar er worden ook andere technieken gebruikt door pentesters.

Syntax Testing

Bij syntax testing maken pentesters gebruik van het formaat van de gegevensinvoer om kwetsbaarheden te vinden. In de eenvoudigste zin is het doel om uitkomsten te onderzoeken als ze invoer gebruiken die buiten de syntax valt om te zien of ze nuttig zijn om een systeem binnen te dringen.

Fuzzing

Fuzzing is gebaseerd op het injecteren van ruis, waardoor de pentester webinterfaces kan onderzoeken en ontbrekende invoercontroles kan ontdekken. Als ongebruikelijk gedrag het resultaat is, kan dit duiden op incorrecte softwarecontroles, die mogelijk kunnen worden misbruikt.

Black Box Pentest Stappen

Een typische Black Box pentest omvat de volgende 5 stadia:

Verkenning

Het verkrijgen van informatie is een belangrijke eerste stap in het beoordelen van de beveiliging van een doelwit. De pentesters raadplegen diverse bronnen, zowel openbaar als privé, om een grondige aanvalsstrategie te ontwikkelen. Deze bronnen omvatten online zoekopdrachten, domeinregistratiegegevens, social engineering-technieken, niet-intrusieve netwerkscans en in sommige gevallen zelfs “dumpster diving”. Deze verkregen gegevens stellen onze pentesters in staat om het aanvalsoppervlak van het doelwit in kaart te brengen en potentiële zwakke punten te herkennen.

Scannen

De pentesters maken gebruik van geavanceerde tools om het doelwit, zoals een website of systeem, te onderzoeken op mogelijke kwetsbaarheden. Dit omvat het onderzoeken van open services, het detecteren van beveiligingsproblemen in applicaties en het opsporen van kwetsbaarheden in open-source componenten. Welke tools precies worden gebruikt ligt voornamelijk aan de bevindingen tijdens de initiële verkenning van het doelsysteem.

Toegang verkrijgen

Aanvallers hebben uiteenlopende motieven, variërend van het stelen, wijzigen of verwijderen van gegevens tot het verplaatsen van financiële middelen of zelfs het schaden van de reputatie van een organisatie. De pentesters selecteren voor elke test de meest geschikte tools en technieken om toegang tot het systeem te verkrijgen, hetzij via bekende kwetsbaarheden zoals SQL-injectie, malware, social engineering, of andere methoden.

Toegang behouden

Zodra toegang tot het doelwit is verkregen, is het essentieel om de gesimuleerde aanval voort te zetten om het uiteindelijke doel te bereiken. Dit kan omvatten het exfiltreren van gegevens, het wijzigen van systeemfunctionaliteiten of het misbruiken van privileges. Het doel is om de potentiële impact van dergelijke aanvallen aan te tonen.

Analyse

Na afronding van de pentest worden de bevindingen zorgvuldig geanalyseerd, resulterend in een actiegericht rapport. Het rapport documenteert kwetsbaarheden in detail en plaatst deze in de context van de organisatie, waardoor de geïdentificeerde beveiligingsrisico’s effectief kunnen worden aangepakt.

Black Box Pentest Kosten

Een volledige Black Box pentest die wordt uitgevoerd door echte ethische hackers kost meestal tussen de €5.000 en €50.000 per test. Een Black Box pentest van Warpnet kost minimaal €2.400, de exacte kosten kunnen echter variëren op basis van de scope van de opdracht en de bijbehorende doelstellingen.

Black Box pentests zijn over het algemeen goedkoper dan Grey Box en White Box pentests, vanwege de in verhouding beperkte omvang en tijdsduur van een Black Box pentest.