Externe of interne pentest: wat test je eerst?

TL;DR

• Een externe pentest toont wat een aanvaller vanaf het internet ziet: websites, VPN, mail, blootgestelde diensten en de hosts die iedereen vergeten is.
• Een interne pentest vertrekt van een eerste voet aan de grond, zoals een gestolen wachtwoord of een besmette laptop, en meet hoe ver iemand komt in Active Directory of Entra ID.
• Begin extern als je niet weet wat je blootstelt. Begin intern als je ervan uitgaat dat ze toch binnenkomen.
• Auditors en verzekeraars vragen vaak beide. De retest zit altijd inbegrepen, en testen op afroep kan via RedSOC.

Bijna elk eerste gesprek over een pentest komt binnen tien minuten bij dezelfde vraag. Extern of intern, en wat eerst? Het eerlijke antwoord: dat hangt af van wat je al weet over je eigen omgeving, en de meeste teams weten minder dan ze denken. Daarom hieronder een korte beslisgids. Wil je liever niet één keer per jaar kiezen maar testen zodra er iets verandert, dan is er RedSOC, pentesting op afroep. Eerst: waar de twee testen eigenlijk naar kijken.

Wat een externe pentest ziet

Bij een externe pentest kruipt de tester in de huid van iemand op het internet, zonder account en zonder voorkennis. De scope is alles wat van buitenaf antwoordt: je websites en webapplicaties, de VPN-gateway, mailservers, portalen voor thuiswerk, API's, clouddiensten die je online hebt gezet en de hosts waar niemand nog aan denkt.

Die laatste groep levert de verrassingen. Een testserver van een project dat twee jaar geleden stopte. Een stagingkopie van de webshop met een standaardwachtwoord. Een oud portaal dat nog altijd antwoordt omdat niemand het durfde uit te zetten. De tester brengt dat allemaal in kaart en probeert dan binnen te raken: verouderde software, zwakke of hergebruikte wachtwoorden, foute instellingen, beheerpanelen die open staan.

Het resultaat is een lijst met ingangen, gerangschikt naar hoe makkelijk iemand ze kan gebruiken. Voor veel organisaties is het de eerste keer dat iemand naar het bedrijf kijkt zoals een buitenstaander dat doet. Op onze pagina over de netwerkpentest staat de scope in detail; de basis lees je in wat is een pentest.

Wat een interne pentest doet na een eerste voet aan de grond

Een interne pentest begint waar de externe stopt. We gaan ervan uit dat er al iemand binnen is. Dat is gewoon hoe de meeste incidenten beginnen: een klik op een phishingmail, een wachtwoord dat een infostealer van een privélaptop heeft geplukt, een account van een aannemer dat nooit werd afgesloten. Over die infostealerroute schreven we eerder, want het is de gewoonste manier waarop een "veilig" netwerk een ongenode gast krijgt.

De tester krijgt dus wat een aanvaller ook zou hebben: een gewoon gebruikersaccount, een laptop op het kantoornetwerk of VPN-toegang met lage rechten. Vanaf daar is de vraag eenvoudig. Hoe ver komt die persoon?

In de praktijk gaat dat over Active Directory of Entra ID. Kan een gewone gebruiker dingen lezen die niet voor hem bestemd zijn? Zijn er serviceaccounts met zwakke wachtwoorden? Loopt er een pad van een helpdeskaccount naar domain admin? Kan een besmette laptop aan de backupserver, de bestandsshares, het boekhoudpakket? Een interne test eindigt vaak verder dan de klant had gedacht. Een netwerk dat vijftien jaar is meegegroeid zit vol sluipwegen, en de tester heeft er maar één nodig.

Een interne test zegt niets over je buitenkant. Ze zegt alles over wat één foute klik je kost.

Korte beslisgids

Begin extern als een van deze zinnen klopt. Je hebt nog nooit een pentest gehad. Je weet niet zeker wat er vanaf het internet bereikbaar is. Je bent recent naar de cloud verhuisd, gefuseerd of van IT-partner veranderd. Een klant of auditor vroeg om bewijs dat je publieke systemen getest zijn.

Begin intern als dit meer op jou lijkt. Je hebt al een externe test gehad en de vondsten opgelost. Je gaat ervan uit dat er vroeg of laat iemand binnenkomt, via phishing of een gestolen wachtwoord, en je wilt weten wat er dan gebeurt. Je ligt wakker van ransomware, niet van een bekladde website. Je Active Directory is oud en niemand weet nog precies wat erin leeft.

Heb je budget voor één test en geen idee waar je staat, ga dan extern. Dat is de goedkoopste fout om recht te zetten. Had je het voorbije jaar al een externe test, ga dan intern. De aanval die pijn doet komt zelden door de firewall. Ze komt door een mailbox.

Doe je beide, hou dan die volgorde aan met een paar weken ertussen. Wat de externe test vindt, verandert vaak het startpunt van de interne.

Auditors en verzekeraars vragen vaak beide

Cyberverzekeraars vragen vaak bewijs van regelmatig testen voor ze een polis afsluiten of verlengen, en de vragenlijst maakt zelden onderscheid tussen de twee. Kaders zoals ISO 27001 en de NIS2-richtlijn verwachten dat je je technische maatregelen toetst en dat je kunt aantonen dat je dat herhaalt. Ze schrijven geen testtype voor. Wat een auditor wil zien: dat je je aanvalsoppervlak van buitenaf kent, en dat je gemeten hebt wat er gebeurt zodra die buitenkant doorbroken is. Op de pagina pentest voor compliance lees je hoe we een test afbakenen als een audit de aanleiding is in plaats van een schrikmoment. De pentestchecklist helpt je het scopegesprek voor te bereiden.

Retest altijd inbegrepen

Wat je ook eerst kiest, een pentest zonder retest is een rapport, geen resultaat. Bij elke pentest van Sectricity zit de retest inbegrepen: zodra jij de vondsten hebt opgelost, controleren we of de fix het pad echt dichtzet en werken we het rapport bij. Dat is het document dat een auditor of verzekeraar wil zien, want het toont het probleem en het bewijs dat het weg is. Waarom we de retest niet apart verkopen, schreven we eerder.

Voor organisaties die vaak veranderen volstaat een jaarlijkse externe en interne test niet. Een nieuwe webapplicatie of een nieuwe cloudtenant is terrein dat nog niemand getest heeft. RedSOC is daar ons antwoord op: pentesting op afroep, op het moment dat er iets verandert, zonder telkens een nieuwe offerteronde. Hoe dat werkt staat in onze post over RedSOC.

Veelgestelde vragen

Wat is het verschil tussen een externe en een interne pentest?

Een externe pentest test wat een aanvaller vanaf het internet bereikt zonder account: websites, VPN, mail, blootgestelde diensten. Een interne pentest vertrekt van een voet aan de grond binnen het netwerk, zoals een gebruikersaccount of een laptop, en meet hoe ver een aanvaller komt in Active Directory of Entra ID.

Welke pentest doe je eerst?

Begin extern als je niet weet wat je organisatie aan het internet blootstelt of als je nog nooit getest bent. Begin intern als je al een externe test had, of als je ervan uitgaat dat een aanvaller toch binnenkomt via phishing of gestolen inloggegevens.

Moet er voor een interne pentest iemand ter plaatse komen?

Niet per se. Een interne test kan ter plaatse, maar ook op afstand, bijvoorbeeld via een VPN-account met gewone gebruikersrechten. Wat past, hangt af van je omgeving en leggen we vast bij de scoping.

Waar kijkt een interne pentest naar in Active Directory of Entra ID?

Naar paden waarlangs een gewone gebruiker beheerder wordt, zwakke of hergebruikte wachtwoorden op serviceaccounts, te ruime rechten, oude protocollen, fout ingestelde vertrouwensrelaties en wat een besmet toestel in de rest van het netwerk bereikt.

Eisen auditors en verzekeraars beide testen?

Vaak wel. Cyberverzekeraars en kaders zoals ISO 27001 en NIS2 verwachten dat je je technische maatregelen regelmatig test, zonder één type voor te schrijven. Met zowel een externe als een interne test in je dossier verloopt dat gesprek makkelijker. Zie onze pentest voor compliance.

Is de retest inbegrepen?

Ja. Bij elke pentest van Sectricity zit een retest van de vondsten nadat jij ze hebt opgelost, zodat je eindrapport toont wat er gevonden is en wat er dicht is.

Kun je op afroep testen in plaats van één keer per jaar?

Ja. Via RedSOC bieden we pentesting op afroep: je test wanneer er iets verandert, zoals een nieuwe applicatie of een nieuwe cloudomgeving, in plaats van te wachten op de jaarlijkse ronde.

Gerelateerde diensten en bronnen

Onze penetratietesten dekken zowel de externe als de interne kant, met de netwerkpentest als gebruikelijk vertrekpunt en een retest in elke opdracht. Is een audit of een verzekeraar de reden dat je dit leest, dan past onze pentest voor compliance beter. Voor testen op afroep is er RedSOC. Achtergrond lees je in wat is een pentest, onze pentestchecklist, waarom de retest altijd inbegrepen is, hoe gestolen inloggegevens uit infostealers een interne voet aan de grond worden, en hoe RedSOC werkt.