Webapplicatie pentest

Bij een webapplicatie-pentest onderzoekt een specialist uw website, webshop, portal, SaaS-applicatie of API op kwetsbaarheden die een aanvaller kan misbruiken. Handmatig, volgens onder meer de OWASP top 10, en met bewijs per bevinding. Zo weet u zeker dat klantdata, bestellingen en bedrijfsinformatie niet voor het oprapen liggen.

Wat testen wij?

Wij testen onder meer:

• Injectie-aanvallen, zoals SQL-injectie, waarmee aanvallers data kunnen stelen of manipuleren
• Authenticatie en sessiebeheer: inloggen, wachtwoordreset, tweestapsverificatie, sessies die niet verlopen
• Toegangscontrole: kan gebruiker A bij de gegevens van gebruiker B, of een gewone gebruiker bij beheerfuncties?
• Fouten in de businesslogica, zoals prijsmanipulatie in een bestelproces of het omzeilen van stappen
• Onveilige configuraties, verouderde componenten en bekende kwetsbaarheden
• API's en koppelingen met andere systemen, ook de endpoints die "niemand kent"
• Bestandsuploads, exportfuncties en andere plekken waar data de applicatie in- en uitgaat

Voor wie is deze pentest?

Voor iedere organisatie waarvan de webapplicatie waarde bevat: een webshop met klant- en betaalgegevens, een SaaS-product met bedrijfsdata van klanten, een portal waar relaties inloggen, of een maatwerkapplicatie die een bureau voor u bouwde. Laat u uw software extern ontwikkelen? Juist dan is een onafhankelijke test waardevol: wij hebben geen belang bij de uitkomst.

Met of zonder voorkennis

De meeste webapplicatie-pentesten voeren wij uit als grey box test: u geeft ons een of meer testaccounts, wij testen wat een buitenstaander en wat een ingelogde gebruiker kan bereiken. Een black box test (zonder enige voorkennis) of white box test (met volledige inzage) kan ook; in de intake adviseren we wat past bij uw doel.

Optioneel: secure code review

Wilt u meer zekerheid dan een test van buitenaf kan geven? Dan combineren we de pentest met een review van de broncode. Kwetsbaarheden die in de code zichtbaar zijn maar van buitenaf lastig te vinden, komen zo alsnog boven water. Vooral waardevol voor softwareleveranciers en applicaties met gevoelige data.

Wat krijgt u?

Een rapport met een managementsamenvatting in gewone taal en een technisch deel met per bevinding de risicoclassificatie, het bewijs met reproductiestappen en een concreet hersteladvies. We lichten het rapport persoonlijk toe, desgewenst samen met uw ontwikkelaar of bureau, en controleren op verzoek met een hertest of alles goed is opgelost.

Veelgestelde vragen

Kan de test onze live-omgeving verstoren?
Wij testen behoedzaam en stemmen risicovolle acties vooraf af. Testen op een acceptatieomgeving kan ook; dat bespreken we in de intake.

Hoe lang duurt een webapplicatie-pentest?
Afhankelijk van de omvang en complexiteit van de applicatie; voor een gemiddelde webapplicatie is 16 tot 40 uur testwerk gebruikelijk. Na de intake weet u het exact.

Moet onze hostingpartij toestemming geven?
Vaak wel. Wij weten wat hostingpartijen nodig hebben en helpen u dit snel te regelen.

Lees ook welke factoren de prijs van een pentest bepalen en hoe onze aanpak van intake tot hertest verloopt.

Wilt u weten wat een aanvaller in uw applicatie kan? Vraag een vrijblijvende offerte aan.