Diensten voor offensieve beveiliging

U kunt niet beveiligen wat u niet kent. Het in kaart brengen van het aanvalsoppervlak identificeert elk vanuit internet bereikbaar asset van uw organisatie, inclusief wat IT niet kent, voordat een aanvaller het vindt.

Evaluris bouwt een continu bijgewerkte inventaris van uw externe voetafdruk: domeinen, subdomeinen, cloudassets, blootgestelde services, shadow IT en vergeten infrastructuur uit beëindigde projecten of M&A-activiteit. Beschikbaar als eenmalige beoordeling of als continue dekking via SPECTER, zodat uw assetinventaris actueel blijft tussen geplande trajecten.

Niet elk asset heeft op dag één een volledige penetratietest nodig. Een kwetsbaarheidsbeoordeling geeft brede, geprioriteerde zichtbaarheid over uw omgeving, netwerk, systemen en applicaties, zodat u weet waar de echte blootstelling zit voordat u testuren inzet op de doelen met de hoogste waarde.

Evaluris combineert scanning met en zonder authenticatie met handmatige validatie om vals-positieven te verwijderen, en prioriteert bevindingen op werkelijke exploiteerbaarheid en bedrijfsimpact, niet op ruwe CVSS-score. Geleverd als eenmalig traject of als terugkerende cadans, afgestemd op de kwartaalscans van PCI DSS en andere frameworkeisen.

Uw applicatielaag is het meest consistent aangevallen oppervlak in moderne aanvallen. Evaluris voert handmatige penetratietesten uit op webapplicaties, mobiele applicaties, REST- en GraphQL-API's en thick-clientplatforms, ver voorbij wat geautomatiseerde scanners kunnen vinden.

Het testen volgt de methodologie van de OWASP Web Security Testing Guide (WSTG), met hypothesegestuurde, door operators gevalideerde workflows. Elke bevinding wordt als exploiteerbaar bevestigd voordat deze in het rapport komt, met volledige context van de bedrijfsimpact en geprioriteerde herstelrichtlijnen.

Een aanvaller hoeft niet in uw netwerk te zitten om uw organisatie te compromitteren. Een penetratietest van het externe netwerk evalueert uw vanuit internet blootgestelde aanvalsoppervlak vanuit het perspectief van een externe dreigingsactor, zonder voorkennis, zonder interne toegang en zonder aannames.

Evaluris brengt uw externe voetafdruk in kaart, identificeert exploiteerbare ingangen via cloudassets, remote-accesstiensten, e-mailinfrastructuur en publiek bereikbare applicaties, en probeert bruggenhoofden te vestigen die het potentieel van een realistische compromittering aantonen.

De vraag is niet meer of een aanvaller binnenkomt, maar wat die kan bereiken zodra dat gebeurt. Een penetratietest van het interne netwerk gebruikt een assume-breach-methodologie om die vraag precies te beantwoorden.

Vanuit een geauthenticeerde interne positie brengen Evaluris-operators paden voor laterale beweging in kaart, identificeren routes voor privilege-escalatie en zoeken toegang tot gevoelige gegevens in uw enterprise-infrastructuur. Bevindingen worden gedocumenteerd tegen de MITRE ATT&CK-kill chain, met herstelrichtlijnen per techniek.

Active Directory is de ruggengraat van enterprise-identiteit en het primaire doelwit van elke advanced persistent threat (APT) die vandaag actief is. Eén misconfiguratie kan het verschil zijn tussen een ingeperkt incident en een volledige domeincompromittering.

Evaluris voert dezelfde technieken uit als echte APT-groepen: Kerberoasting, AS-REP roasting, DCSync, Pass-the-Hash, Pass-the-Ticket, ACL-misbruik en exploitatie van vertrouwensrelaties. Het traject brengt het volledige pad in kaart van de eerste toegang tot domain administrator, en identificeert elke exploiteerbare stap onderweg.

Cloudomgevingen zijn niet vanzelf veilig. Verkeerd geconfigureerde opslagbuckets, IAM-rollen met te ruime rechten, blootgestelde API-sleutels, onveilige DevOps-pipelines en paden voor laterale beweging via cloud-native services zijn de omstandigheden waarop aanvallers vertrouwen, en die compliancechecklists stelselmatig missen.

Evaluris beoordeelt uw cloudpostuur vanuit het perspectief van een aanvaller in AWS- en Azure-omgevingen, identificeert ketens van misconfiguratie, paden voor privilege-escalatie en scenario's van cross-accountcompromittering die echt bedrijfsrisico vormen.

Industriële besturingssystemen zijn niet ontworpen met tegenstanders in gedachten. SCADA-platforms, PLC's, historian-servers en OT-netwerkarchitecturen bevatten kwetsbaarheden die geautomatiseerde scanners niet bereiken en die generalistische pentesters niet veilig kunnen beoordelen.

Evaluris brengt gespecialiseerde expertise in offensieve beveiliging naar OT-omgevingen, waaronder SCADA-systemen, Siemens S7- en Allen-Bradley-PLC's, protocolstacks Modbus/DNP3/IEC 61850 en de grenzen van OT/IT-convergentie. Alle trajecten volgen zero-disruption-protocollen, ontworpen voor live industriële omgevingen waarin beschikbaarheid niet onderhandelbaar is.

De technisch meest geharde omgeving kan worden gecompromitteerd via één goed opgestelde e-mail, een overtuigend telefoontje of een onbegeleide bezoeker in een serverruimte. Tests voor social engineering evalueren de menselijke laag van uw beveiligingsprogramma: de beheersmaatregelen die geen firewallregel kan afdwingen.

Evaluris ontwerpt en voert phishingcampagnes, vishingoperaties en scenario's voor fysieke inbraak uit, afgestemd op het profiel, de sector en het dreigingslandschap van uw organisatie. Bevindingen worden gerapporteerd met een volledig aanvalsverhaal, analyse van de reactie van medewerkers en aanbevelingen om het bewustwordingsprogramma te verbeteren.

Een red-teamtraject is de meest getrouwe test van het vermogen van uw organisatie om een echte dreigingsactor te detecteren, erop te reageren en die te isoleren. Het is geen penetratietest. Het doel is niet kwetsbaarheden te inventariseren, maar afgesproken missiedoelen te bereiken via stealth, persistentie en geavanceerde ontwijking, terwijl uw defensieve team onder normale omstandigheden werkt zonder voorafgaande waarschuwing.

Red-teamoperators van Evaluris gebruiken dezelfde TTP's als de APT-actors die uw sector het meest waarschijnlijk aanvallen. Trajecten volgen strikte operationele beveiliging, met maatwerktooling, living-off-the-land-technieken en ontwijkingsmethoden die zijn ontworpen om moderne EDR-, SIEM- en behavioral-analyticsplatforms te omzeilen.

Het resultaat is geen kwetsbaarhedenlijst. Het is een volledig aanvalsverhaal: een gedocumenteerd end-to-end verslag van hoe uw organisatie werd gecompromitteerd, wat uw verdediging niet detecteerde, en welke wijzigingen in uw beveiligingsprogramma de uitkomst zouden hebben veranderd.

Red teaming vindt de gaten. Purple teaming sluit ze sneller, met directe kennisoverdracht aan het team dat uw omgeving elke dag moet verdedigen.

Purple-teamtrajecten voeren aanvalsscenario's van tegenstanders uit, gemapt op het MITRE ATT&CK-framework en de specifieke bedrijfsdoelen van uw organisatie, in directe samenwerking met uw blue team. Anders dan bij red teaming is het defensieve team gedurende het hele traject betrokken: detecties valideren in realtime, alertlogica afstemmen op live-aanvalsactiviteit, en het operationele spiergeheugen opbouwen dat nodig is om effectief te reageren wanneer de echte aanval komt.

Het resultaat is meetbare verbetering van de detectiedekking, gedocumenteerd per geteste MITRE ATT&CK-techniek, geen rapport dat wordt weggelegd en vergeten.

Toezichthouders in de EU, de GCC en Afrika verplichten nu dat kritieke financiële instellingen penetratietesten uitvoeren op basis van echte dreigingsinformatie, niet van een generieke methodologie. DORA artikel 26, TIBER-EU en equivalente frameworks bij CBUAE, SAMA, VARA, CBK en CBB vereisen gedocumenteerde TLPT-trajecten, uitgevoerd door gecertificeerde, onafhankelijke testers die voldoen aan vastgelegde competentie-eisen.

TLPT-trajecten van Evaluris zijn opgebouwd vanuit een op maat gemaakt dreigingsinformatieprofiel van uw organisatie, waarin de specifieke dreigingsactors, campagnes en TTP's worden geïdentificeerd die uw sector, geografie en technologiestack het meest waarschijnlijk aanvallen. Aanvalsscenario's worden vanuit die inlichtingenbasis opgebouwd, zodat het traject direct relevant is voor uw reële risicoblootstelling, in plaats van een gestandaardiseerde testsuite.

Elk traject levert het volledige bewijspakket dat nodig is voor indiening bij de toezichthouder: dreigingsinformatierapport, documentatie van de testuitvoering, bevindingenverhaal en bewijsrecord van herstel, afgestemd op de toepasselijke frameworkstandaard.

Eenmalige red-teamtrajecten geven een momentopname. Uw aanvalsoppervlak staat niet stil.

De beheerde red-teamservice van Evaluris levert continue tegenstandersimulatie via gestructureerde maandelijkse testsprints, toegewijde operatortoegang en een doorlopende bevindingencyclus die gelijke tred houdt met uw evoluerende infrastructuur en opkomende dreigingen. Organisaties gebruiken dit model om een interne red-teamcapaciteit op te bouwen of te versterken, de effectiviteit van herstel te valideren, en continue zichtbaarheid te houden op hun werkelijke beveiligingspostuur, niet alleen op het moment van een beoordeling.

Maandelijkse rapportagecycli geven u volledige controle om doelstellingen opnieuw af te bakenen, eerder geïdentificeerde bevindingen na herstel opnieuw te testen, en meetbare verbetering in uw beveiligingsprogramma over tijd te volgen.

Het meest geschikt voor: financiële instellingen, gereguleerde enterprises en organisaties met volwassen beveiligingsprogramma's die continue validatie zoeken in plaats van periodieke eenmalige beoordeling.