Het rapport is het deel van een penetratietest dat bij u blijft als de testers weg zijn. Wie het goed leest, lost eerst de juiste dingen op en haalt echte waarde uit de hertest. Het helpt u ook een "pentest" te herkennen die eigenlijk een geautomatiseerde scan met een voorblad was.
Wat een goed rapport bevat
De OWASP Web Security Testing Guide beschrijft een rapportopbouw die een bruikbare maatstaf is. Elk deel is bedoeld voor een andere lezer, en de gids stelt voor dat onderdelen los kunnen worden geprint voor de teams die ze nodig hebben.
| Onderdeel | Belangrijkste lezer | Waar u op let |
|---|---|---|
| Managementsamenvatting | Management | Eén pagina in begrijpelijke taal: wat er mis is en hoe het wordt opgelost |
| Testparameters | Iedereen | Doel, scope, planning, doelsystemen en beperkingen |
| Overzicht van bevindingen | IT- en securityverantwoordelijken | Elke bevinding met de ernst in één tabel |
| Overzicht van maatregelen | IT- en securityverantwoordelijken | Gegroepeerde acties, niet alleen een lijst met problemen |
| Gedetailleerde bevindingen | Engineers | Bewijs, impact, stappen om te reproduceren en een oplossing per probleem |
| Bijlage | Engineers en auditors | Gebruikte tools en eventuele eigen scripts |
Lees het onderdeel over beperkingen zorgvuldig. Als geblokkeerde accounts het testen hebben gestopt, of als een server op dag twee buiten de scope is geplaatst, hoort het rapport dat te vermelden. Een schoon resultaat voor een onderdeel dat nooit is getest, zegt niets.
Het Britse National Cyber Security Centre (NCSC) voegt twee punten toe die makkelijk over het hoofd worden gezien. Een goed rapport geeft het oordeel van de testers over hoe nauwkeurig uw eigen kwetsbaarheidsanalyse was, en advies over hoe u dat proces kunt verbeteren.
Anatomie van een goede bevinding
Elke bevinding moet een engineer die niet bij het project betrokken was in staat stellen het probleem te begrijpen, te reproduceren en op te lossen. Let op:
- een unieke ID en een duidelijke titel
- een ernstbeoordeling, met de CVSS-vector als CVSS wordt gebruikt
- de precieze getroffen onderdelen, zoals hosts, URL’s, parameters of rollen
- een beschrijving van de zwakke plek en waarom die voor uw organisatie van belang is
- bewijs, zoals requests en responses, schermafbeeldingen of uitvoer van commando’s
- stappen om het probleem te reproduceren
- specifiek advies om het op te lossen, met verwijzingen zoals een advies van de leverancier
Zo ziet dat er in de praktijk uit, in verkorte vorm:
ID AF-07 Invoice download does not check ownership
Severity Medium CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N (6.5)
Affected GET /api/v1/invoices/{id}/pdf on portal.example.eu
Evidence Logged in as customer A, a request for invoice 10452
(customer B) returned customer B's PDF.
Impact Any customer can download other customers' invoices,
including names, addresses and amounts.
Fix Check on the server that the invoice belongs to the
logged-in customer for every request.
Retest Request another customer's invoice and expect 403 or 404.Aan de vector ziet u waarom dit uitkomt op Medium (gemiddeld): de vertrouwelijkheid wordt geraakt, de integriteit en beschikbaarheid niet. De vector stelt u ook in staat om met goede redenen van mening te verschillen. Omdat de facturen persoonsgegevens bevatten, kunt u besluiten dat dit een hogere prioriteit verdient dan de score suggereert.
Hoe bevindingen worden beoordeeld
Veel rapporten beoordelen bevindingen met het Common Vulnerability Scoring System (CVSS) van FIRST, en het NCSC noemt het als een van de beoordelingssystemen waar u om kunt vragen. CVSS v3.1 en v4.0 gebruiken dezelfde kwalitatieve klassen:
| Beoordeling | CVSS-score |
|---|---|
| Geen | 0,0 |
| Laag | 0,1 - 3,9 |
| Gemiddeld | 4,0 - 6,9 |
| Hoog | 7,0 - 8,9 |
| Kritiek | 9,0 - 10,0 |
Drie punten helpen bij het lezen van deze beoordelingen:
- Een basisscore meet ernst, niet uw risico. Volgens FIRST weerspiegelt de score de intrinsieke kenmerken van de kwetsbaarheid in een redelijk slechtste scenario. Gebruikers horen de score aan te vullen met informatie over hun eigen omgeving.
- Ernst is een input. De OWASP-gids raadt aan dit expliciet in de managementsamenvatting te zetten: de beoordeling voedt uw risicomanagement, maar vervangt het niet.
- Testers missen de bedrijfscontext. Het NCSC raadt u aan bevindingen zelf te beoordelen, omdat beoordelingen te hoog of te laag kunnen uitvallen. Het waarschuwt er ook voor dit niet te gebruiken om problemen te bagatelliseren.
Wat u eerst oplost
- Alles wat vanaf het internet zonder inloggen te misbruiken is, vooral als het leidt tot het uitvoeren van code, toegang tot gegevens of beheerrechten.
- Aanvalsketens. Een goed rapport laat zien hoe meerdere lager beoordeelde bevindingen samen een ernstige vormen. NIST SP 800-115 merkt op dat scanners zwakke plekken die pas ontstaan als kwetsbaarheden worden gecombineerd, niet kunnen detecteren. Het vinden van zulke ketens is een groot deel van wat een menselijke tester toevoegt.
- Systemen die de sleutels in handen hebben, zoals identiteitsproviders, back-upservers, gateways voor toegang op afstand en alles wat persoonsgegevens verwerkt.
- Snelle winst. Soms sluit één configuratiewijziging meerdere bevindingen tegelijk.
- Grondoorzaken. NIST raadt na een assessment een analyse van de grondoorzaken aan, omdat resultaten op zwakke processen kunnen wijzen en niet alleen op zwakke systemen. Vijf ontbrekende patches op vijf servers zijn één bevinding over patchmanagement, geen vijf losse problemen.
Het NCSC ziet een penetratietest als controle op uw eigen kwetsbaarheidsbeheer, niet als de belangrijkste manier om kwetsbaarheden te vinden. In de woorden van het NCSC horen nieuwe ontdekkingen "de uitzondering te zijn, niet de regel". Verrast het rapport u, dan zegt dat ook iets over uw interne processen.
Hertesten
Spreek de hertest af bij het tekenen van het contract, inclusief wat die omvat en hoeveel tijd u vooraf hebt om zaken op te lossen. Vraag om de resultaten als bijgewerkt rapport of als bijlage, met een status per bevinding: opgelost, gedeeltelijk opgelost, niet opgelost of risico geaccepteerd.
Een hertest bevestigt specifieke oplossingen. Het is geen nieuwe test. Het NCSC wijst erop dat een test alleen de toestand van uw systemen laat zien op de dag dat hij werd uitgevoerd, en dat er tussen twee tests vaak een jaar of langer zit. Blijf dus ook tussendoor controleren.
Waarschuwingssignalen bij een goedkope "pentest"
Geautomatiseerd scannen heeft zijn plaats, en NIST SP 800-115 behandelt het als een van de standaardtechnieken voor assessments. NIST merkt ook op dat scanners veel fout-positieven kunnen opleveren en dat iemand met de juiste expertise de resultaten moet interpreteren. Het probleem begint wanneer niet-beoordeelde scanuitvoer wordt verkocht als penetratietest. Waarschuwingssignalen zijn onder meer:
- bevindingen met algemene, gekopieerde tekst en zonder bewijs dat iemand ze heeft bevestigd
- tientallen punten met weinig impact over banners en TLS-ciphers, maar niets over toegangscontrole, authenticatie of bedrijfslogica, waarvoor een mens nodig is om te testen
- ernstniveaus die rechtstreeks uit de tool komen; volgens NIST horen assessoren het risiconiveau zelf vast te stellen in plaats van de beoordelingen van de scanner over te nemen
- geen onderdeel over scope, methodiek of beperkingen
- geen stappen om te reproduceren, zodat uw team een oplossing niet kan controleren
- geen testers met naam of vermelde kwalificaties; volgens het NCSC hoort testen alleen te worden gedaan door gekwalificeerde en ervaren mensen
- een "hertest" die gewoon dezelfde scan opnieuw is
Waar u begint
Stel de aanbieder vóór uw volgende test deze vragen:
- Wat valt er precies binnen de scope, en wat niet?
- Krijgen de testers accounts voor elke gebruikersrol die u getest wilt hebben?
- Mag u een geanonimiseerd voorbeeldrapport zien?
- Hoe worden bevindingen beoordeeld, en bevat elke bevinding een CVSS-vector?
- Is een hertest inbegrepen, en binnen welke termijn?
Plant u een test en wilt u eerst de scope doorspreken? Bekijk dan onze dienst penetratietesten.
