Kort gezegd: Een penetratietest voor uw PHP-toepassing laat zien welke zwakke plekken een aanvaller werkelijk zou kunnen misbruiken, voordat iemand dat doet. Samen met gespecialiseerde partners controleren wij toepassing en server binnen een schriftelijk afgesproken omvang en leveren een rapport met geprioriteerde maatregelen. Na het herstel controleren we in een hertest of de lekken zijn gedicht.
Waarom een penetratietest voor PHP-toepassingen zinvol is
PHP2Shell heeft laten zien dat zelfs de basis van een toepassing, PHP zelf, een kritiek lek kan bevatten. De meeste inbraken in PHP-toepassingen lopen echter via bekende zwakheden in de eigen code of in de configuratie: SQL-injectie, cross-site scripting, onveilige bestandsuploads, zwakke sessies, verouderde afhankelijkheden of openstaande beheergedeelten. De OWASP Top 10 vatten deze categorieën samen.
Een onafhankelijke blik van buitenaf vindt wat in het dagelijks werk wordt gemist. Voor directie en toezicht levert die een betrouwbare grondslag om risico's in te schatten en budget gericht in te zetten. Voor ontwikkelaars is het een concrete werklijst.
Audit of penetratietest: wat past bij u?
| Vorm | Wat wordt gecontroleerd | Geschikt als |
|---|---|---|
| Configuratieaudit | server, PHP, webserver, toegangen, back-ups | u de stand van de infrastructuur wilt kennen |
| Codereview | broncode van de toepassing met inzage | er maatwerk of grotere aanpassingen zijn |
| Penetratietest black-box | toepassing van buitenaf zonder voorkennis | u de blik van een externe aanvaller wilt zien |
| Penetratietest grey-/white-box | toepassing met testaccounts of code | u in beperkte tijd zoveel mogelijk wilt vinden |
Vaak is een combinatie zinvol, bijvoorbeeld een configuratieaudit van de server samen met een grey-boxtest van de toepassing. Een zuivere black-boxtest werkt realistisch, maar verbruikt veel tijd aan verkennen. Met testaccounts en inzicht in de opbouw vinden testers in dezelfde tijd in de regel meer zwakke plekken.
Naast de toepassing loont een blik op de omgeving: welke PHP-versie draait er, zijn beheerinterfaces openbaar bereikbaar, staan back-ups in de webmap, zijn afhankelijkheden actueel? Zulke punten controleren we in de audit mee, omdat ze in de praktijk vaak zwaarder wegen dan één enkele fout in de code.
Wanneer is het juiste moment voor een test?
Een penetratietest levert het meeste op als hij op een zinvol punt in de levenscyclus van de toepassing plaatsvindt. Typische aanleidingen zijn:
- vóór de start van een nieuwe toepassing, shop of klantenportaal
- na grotere wijzigingen, bijvoorbeeld nieuwe betaalmethoden, koppelingen of inlogprocedures
- na een incident, als reiniging en hardening zijn afgerond en u een onafhankelijke controle wilt
- met regelmatige tussenpozen, als klanten, partners of uw risicobeheer dat vereisen
Weinig zinvol is een test zolang bekende lekken openstaan. Wie nog niet-gepatchte PHP-versies draait, moet eerst de basisstand herstellen. Anders betaalt u voor een test die bekende zaken bevestigt.
Hoe helpt PHP SOS concreet?
- Omvang vastleggen: wij bespreken met u welke toepassingen, servers en functies worden gecontroleerd, welk testtype past en wat uitdrukkelijk is uitgesloten. Resultaat is een schriftelijke opdracht met tijdvenster en aanspreekpunten.
- Voorbereiden: testaccounts, toegangen tot de testomgeving en een actuele back-up worden beschikbaar gesteld. Uw hoster wordt zo nodig geïnformeerd, zodat de test niet als echte aanval wordt geblokkeerd.
- Controleren: onze gespecialiseerde partners testen volgens erkende methoden, onder meer langs de OWASP-categorieën. Kritieke vondsten melden we direct, niet pas in het eindrapport.
- Rapporteren: u ontvangt een rapport met managementsamenvatting en technisch deel.
- Hertest: na het herstel controleren we de gevonden zwakke plekken opnieuw en bevestigen we wat is gedicht.
Veel vondsten zijn al vooraf te voorkomen. De gidsen over SQL-injectie in PHP, veilige bestandsuploads en sessies in PHP helpen ontwikkelaars bij de voorbereiding.
Wat u krijgt en wat wij nodig hebben
Het rapport bevat elke gevonden zwakke plek met beschrijving, getroffen plaats, risicobeoordeling en een concrete aanbeveling voor herstel. Een samenvatting voor de directie plaatst de resultaten zonder vakjargon in perspectief. Na de hertest ontvangt u een bevestiging welke punten zijn verholpen. Aanvalsgereedschap of uitvoerbare exploits maken geen deel uit van het rapport.
Wij hebben van u nodig:
- een schriftelijke toestemming van de bevoegde persoon voor elk te testen systeem, ook als het bij een hoster staat
- testaccounts met de rollen die moeten worden getest
- een testomgeving of de toestemming om in de live-omgeving binnen een tijdvenster te testen
- een technisch aanspreekpunt tijdens de test
- bij codereview: toegang tot de repository
Wat we niet beloven
Een penetratietest vindt niet elk lek. Het is een momentopname binnen de afgesproken omvang; nieuwe functies of nieuwe lekken in afhankelijkheden kunnen morgen een ander beeld geven. Wij noemen geen certificaten of keurmerken die we niet hebben en stellen geen verklaringen uit die wettelijke verplichtingen vervangen. Of een test voldoet aan uw verplichtingen, bijvoorbeeld op grond van NIS2, bespreekt u met uw specialisten in recht en compliance.
Het herstel van de vondsten nemen wij op verzoek zelf over of samen met uw bureau. Voor server en PHP-configuratie ligt de serverhardening voor de hand.
Veelgestelde vragen
Wat is het verschil tussen een beveiligingsaudit en een penetratietest?
Een audit controleert configuratie, processen en code aan de hand van richtlijnen en ervaringswaarden, vaak met inzage in de systemen. Een penetratietest probeert gericht en met uw toestemming zwakke plekken te misbruiken om hun werkelijke effect te tonen. Beide vullen elkaar aan.
Is een penetratietest voor mijn PHP-toepassing gevaarlijk?
Een test kan systemen belasten of gegevens wijzigen. Daarom worden omvang, tijdvenster en grenzen vooraf schriftelijk vastgelegd, en wij adviseren waar mogelijk een testomgeving te gebruiken. Een actuele back-up hoort er altijd bij.
Vindt een penetratietest alle beveiligingslekken?
Nee. Een test toont de zwakke plekken die binnen de afgesproken omvang en periode zijn gevonden. Het is een momentopname en verlaagt het risico, maar bewijst niet dat er geen verdere lekken bestaan.
Helpt een penetratietest bij NIS2?
Regelmatige controles van de beveiligingsmaatregelen zijn een gebruikelijke bouwsteen om verplichtingen voor risicobeheer na te komen. Welke eisen concreet voor uw bedrijf gelden, bespreekt u met specialisten in recht en compliance.