Kan iemand zomaar binnenwandelen?
Social engineering test en fysieke pentest
De beste firewall helpt niet als iemand een aanvaller gewoon binnenlaat. Wij testen of uw medewerkers en uw gebouw standhouden tegen een telefoontje, een smoes aan de deur of iemand die ongemerkt mee binnenloopt.
Aanvallers nemen de makkelijkste weg
Een netwerk kraken kost tijd en vakmanschap. Iemand overtuigen om een code door te geven of een deur open te houden, kost een telefoontje en wat lef. Daarom beginnen zoveel aanvallen bij mensen.
Dat is geen verwijt aan uw medewerkers. Behulpzaam zijn is net een goede eigenschap. Het gaat erom dat er duidelijke afspraken zijn, en dat iedereen ze durft toe te passen als een vreemde vriendelijk aandringt.
Een social engineering test kan op zichzelf, of als onderdeel van een pentest. Wilt u enkel weten hoe uw team op valse mails reageert, dan is een phishing simulatie de eenvoudigste start.
Aan de telefoon
We bellen uw medewerkers als "IT-helpdesk", "leverancier" of "nieuwe collega" en kijken of we een wachtwoord, een code of toegang loskrijgen. Een overtuigend verhaal en een beetje tijdsdruk volstaan vaak.
Aan de deur
Geraken we binnen met een smoes als technieker of koerier, of gewoon door achter iemand aan te lopen? Wordt een onbekende aangesproken, of laat iedereen hem beleefd door?
Eenmaal binnen
Wat ligt er voor het grijpen? Een pc die niet vergrendeld is, een vrije netwerkaansluiting, vertrouwelijke papieren op een bureau of een wachtwoord op een briefje.
Hoe een social engineering test verloopt
1
Afspraken op papier
We leggen vooraf schriftelijk vast wat getest wordt, wanneer, wat niet mag en wie op de hoogte is. Enkel uw contactpersoon weet wanneer de test loopt.
2
Verkenning
We verzamelen wat een aanvaller ook vindt: namen en functies op de website en LinkedIn, leveranciers, de indeling van het gebouw.
3
De test
Telefonisch, ter plaatse of allebei, zoals afgesproken. We gaan nooit verder dan nodig om aan te tonen wat mogelijk is, en we beschadigen niets.
4
Rapport
Wat lukte, waar het misliep en waarom. Gericht op procedures en gewoontes, niet op personen.
5
Opvolging
We overlopen het resultaat samen en vertalen het naar concrete afspraken en, waar nodig, een korte opleiding voor uw team.
Veelgestelde vragen
Wat is een social engineering test?
Bij een social engineering test proberen we via mensen binnen te raken in plaats van via techniek: met een telefoontje, een smoes aan de deur of door ongemerkt mee binnen te lopen. Zo ziet u of uw medewerkers en procedures standhouden tegen een aanvaller die gewoon vriendelijk vraagt.
Wat is het verschil met een fysieke pentest?
Een fysieke pentest is een vorm van social engineering waarbij we ter plaatse proberen uw gebouw binnen te raken en te zien wat we daar kunnen bereiken, zoals een onbewaakte pc of netwerkaansluiting. Een social engineering test kan ook enkel telefonisch of per mail gebeuren.
Mag dat zomaar?
Alleen met schriftelijke toestemming van de bedrijfsleiding. Vooraf leggen we vast wat getest wordt, wanneer, wat niet mag en wie op de hoogte is. Zonder die afspraken starten we niet.
Weten de medewerkers het vooraf?
Nee, anders meet u niets. Enkel uw contactpersoon weet wanneer de test loopt. Na afloop kunt u het team gerust inlichten; dat is vaak meteen een goed leermoment.
Wordt iemand met naam in het rapport genoemd?
Het doel is leren, niet iemand betrappen. Het rapport gaat over wat er misliep in procedures en gewoontes, zoals wie bezoekers ontvangt of hoe wachtwoorden worden doorgegeven, zodat u het kunt oplossen zonder dat iemand aan de schandpaal staat.
Zou iemand bij u binnenraken?
Plan een gesprek in. We bespreken wat u wilt laten testen en wat er vooraf afgesproken moet worden.
Gesprek inplannenUitgebreid pakket, veel gedaan, goede communicatie. Zeker het fysieke gedeelte vond ik interessant, en dat aan een heel correcte prijs. We hebben veel bijgeleerd en zijn er nu mee aan de slag.