66 lines
3.0 KiB
XML
66 lines
3.0 KiB
XML
<?xml version="1.0" encoding="UTF-8"?>
|
|
|
|
<section id="basicscanmethodology">
|
|
<title><company_svc_short/> methodologie</title>
|
|
<p>Tijdens het uitvoeren van de <company_svc_long/> volgt <company_long/> in grote lijnen de volgende stappen:</p>
|
|
|
|
<ol>
|
|
<li>vaststellen van vereisten en scoping</li>
|
|
<li>uitvoeren van scans</li>
|
|
<li>analyseren van bedreigingen en kwetsbaarheden</li>
|
|
<li>rapporteren van bevindingen</li>
|
|
</ol>
|
|
|
|
|
|
<p><b>Stap 1: vaststellen van vereisten en scoping</b> <br/>
|
|
De verwachtingen van beide partijen worden besproken en er worden afspraken
|
|
gemaakt betreffende het uitvoeren van de test(s). De benodige vereisten zoals
|
|
de contactgegevens en het bereik van de <company_svc_short/> worden vastgesteld.
|
|
</p>
|
|
|
|
<p><b>Stap 2: uitvoeren van scans</b><br/>
|
|
In deze fase worden automatische scans uitgevoerd die op het doelwit van toepassing
|
|
zijn. Bijvoorbeeld:
|
|
<ul>
|
|
|
|
<li>Het identificeren van aangeboden diensten en de
|
|
daarbij gebruikte software <i>fingerprinten</i>.</li>
|
|
|
|
<li>Het maken van een <i>basic</i> oppervlakte scan om bekende kwetsbaarheden
|
|
in de gebruikte software en protocollen op te sporen. Tijdens een <i>basic</i>
|
|
scan worden ontdekte 'gaten' in de beveiliging door ons niet geexploiteerd. </li>
|
|
|
|
<li>Het testen op veel voorkomende, bekende configuratiefouten in de software.
|
|
Dit zijn met name instellingen op het gebied van authenticatiemechanismen,
|
|
toegangsrechten en encryptie. Configuratiefouten in zelf ontwikkelde of exotische
|
|
software vallen hier niet onder.</li>
|
|
|
|
</ul>
|
|
</p>
|
|
|
|
<p><b>Stap 3: analyseren van kwetsbaarheden</b><br/>
|
|
Op basis van de verzamelde informatie worden potentiële kwetsbaarheden geïndexeerd.
|
|
De kwetsbaarheden worden geanalyseerd om overduidelijke <i>false positives</i>
|
|
er uit te filteren (niet alle scans produceren automatisch betrouwbare resultaten).
|
|
</p>
|
|
|
|
<p><b>Stap 4: rapporteren van bevindingen</b><br/>
|
|
Na afronding van de analyse wordt een rapport opgeleverd waarin onze
|
|
stapsgewijze benadering, de resultaten en gevonden kwetsbaarheden worden beschreven.
|
|
Het rapport dat <client_short/> oplevert bevat geen management samenvatting; <client_short/>
|
|
voegt deze zelf toe.
|
|
</p>
|
|
|
|
<p>
|
|
Na het doorlopen van bovengenoemde stappen kan <client_short/> een goed beeld
|
|
schetsen van de beveiligingsstatus van het doelwit. Een echte aanvaller zou \
|
|
deze analyse uitvoeren voordat een daadwerkelijke aanval wordt gepleegd.
|
|
Het resultaat van deze scan kan niet worden gebruikt om aan te tonen of aan
|
|
bepaalde <i>security</i> certificeringen is voldaan. Het resultaat uit een
|
|
penetratietest kan daar wel voor worden gebruikt. Bij een penetratietest wordt
|
|
gebruik gemaakt van de gevonden exploits om dieper liggende kwetsbaarheden in
|
|
kaart te brengen. Een pentest kan daarom worden gezien als de daadwerkelijke
|
|
aanval op het systeem.
|
|
</p>
|
|
</section>
|