Werken als Penetration Tester

Wat doet een Penetration Tester?

Een Penetration Tester bootst met toestemming de aanpak van een aanvaller na om te laten zien of en hoe de beveiliging van een systeem te doorbreken is. Het werk wordt gedaan in opdracht en binnen afgesproken grenzen. De tester schrijft op wat er gevonden is en hoe het te herstellen is. Bij sommige organisaties heet die opdracht een pentest of penetratietest.

Neem een klant die zijn klantenportaal laat testen. Tester en klant spreken vooraf af welke onderdelen getest mogen worden, in welke periode, of er op een testomgeving of op productie wordt getest, en welke technieken niet gebruikt worden, bijvoorbeeld aanvallen die het systeem laten vastlopen. Ook spreken ze af wie de tester belt als er iets ernstigs wordt gevonden.

De tester bekijkt hoe het portaal werkt en zoekt de gevoelige onderdelen, zoals inloggen, bestellen en facturen. De tester draait eerst een scan en gaat daarna met de hand verder. Zo blijkt dat je door een nummer in het webadres van een factuur aan te passen de factuur van een andere klant ziet. Die bevinding wordt aangetoond met zo weinig gegevens als nodig, en de tester schrijft op hoe het te herhalen is en wat de gevolgen zijn. Het hersteladvies is dat de applicatie controleert of de ingelogde gebruiker bij die factuur hoort.

Bij ernstige bevindingen belt de tester bij veel opdrachten de opdrachtgever meteen, in plaats van op het rapport te wachten. De opdrachtgever wil het systeem zelf beschermen, en het werk draait om toestemming: de tester doet alleen wat is afgesproken.

Een penetratietest van begin tot eind

Een opdracht volgt een patroon. De volgorde kan per opdracht verschillen, maar deze stappen komen terug:

1. Afspraken en scope. Je legt vast wat getest wordt, wanneer, welke technieken er mogen en wie je belt bij een ernstige vondst.
2. Informatie verzamelen. Je bekijkt het doel: welke systemen er zijn en hoe de applicatie werkt.
3. Kwetsbaarheden zoeken. Je draait eerst een scan en gaat daarna met de hand verder.
4. Aantonen wat uit te buiten is. Je laat zien dat een kwetsbaarheid echt werkt, zonder het systeem te beschadigen.
5. Rapport schrijven. Je legt de bevindingen vast met herhaalbare stappen, het risico en het hersteladvies.
6. Bespreking. Je loopt de bevindingen door met de opdrachtgever.
7. Hertest. Na het herstel test je opnieuw. Een hertest laat zien of het herstel werkt.

Een kwetsbaarheidsscan en een penetratietest zijn niet hetzelfde. Een scan is meestal automatisch en geeft een lijst van mogelijke kwetsbaarheden. Een penetratietest voegt toe dat een tester met de hand beoordeelt wat echt te benutten is en hoe ver een aanvaller komt. NIST beschrijft een penetratietest als een test die echte aanvallen nabootst, en let daarbij ook op combinaties van kwetsbaarheden die samen meer toegang geven. Het ECSF van ENISA maakt hetzelfde onderscheid in twee soorten rapport.

Welke taken horen bij de functie?

Volgens het ECSF van ENISA bestaat het werk uit een aantal hoofdtaken, hier in gewone taal gegroepeerd.

• Kwetsbaarheden vinden en beoordelen. Je zoekt technische en organisatorische kwetsbaarheden, analyseert ze en beoordeelt hoe ernstig ze zijn.
• Aanvalsroutes aantonen. Je zoekt aanvalsroutes en laat zien dat een technische kwetsbaarheid echt uit te buiten is.
• Testen plannen en technieken kiezen. Je organiseert testplannen en procedures en kiest de juiste technieken. Ook het testen of systemen en werkwijzen voldoen aan regelgeving staat in het ECSF als taak.
• Rapporteren aan belanghebbenden. Je stelt procedures op voor het analyseren en rapporteren, legt de resultaten vast en brengt ze over aan de mensen die ermee verder moeten.
• Tools inzetten. Je gebruikt penetratietesttools en testprogramma's.

Welke skills heb je nodig?

De technische vaardigheden draaien om wat er in een systeem gebeurt. De niet-technische vaardigheden gaan over hoe je werkt en wat je overbrengt.

• Scripts schrijven. Je automatiseert herhaald werk, zoals het uitlezen van scanresultaten. Python en Bash zijn daarvoor voorbeelden.
• Kwetsbaarheden vinden en benutten. Bij een webapplicatie kijk je hoe een invoerveld reageert op onverwachte invoer.
• Code beoordelen op veiligheid. Je leest code en herkent een ontbrekende controle die een aanvaller kan gebruiken.
• Besturingssystemen en netwerken. Je weet hoe accounts en rechten werken en hoe verkeer tussen systemen loopt.
• Creatief denken. Je bedenkt wat de ontwikkelaar niet heeft bedacht.
• Helder rapporteren. Een bevinding is zo beschreven dat een ontwikkelaar hem kan herstellen zonder jou erbij.
• Zorgvuldig werken binnen grenzen. Je legt vast wat je deed en blijft binnen het afgesproken bereik.

Welke tools en technologie gebruikt een Penetration Tester?

Een tester gebruikt gereedschap dat laat zien wat er in een systeem draait en waar de zwakke plekken zitten. De vacature noemt meestal welke tools een werkgever gebruikt.

• Nmap laat zien welke diensten een systeem aanbiedt. Zie de skillpagina voor Nmap.
• Nessus is een kwetsbaarheidsscanner. Zie de skillpagina voor Nessus.
• Burp Suite is een proxy: je ziet het verkeer tussen browser en webapplicatie en kunt het bekijken en wijzigen. Zie de skillpagina voor Burp Suite.
• Metasploit is een raamwerk om kwetsbaarheden aan te tonen. Zie de skillpagina voor Metasploit.
• Wireshark analyseert netwerkverkeer. Zie de skillpagina voor Wireshark.
• Python en Bash gebruik je voor scripts. Zie de skillpagina voor Python.

Active Directory is geen tool maar het systeem waarmee veel organisaties accounts en rechten beheren. Testers werken er in bedrijfsnetwerken mee. Dit zijn voorbeelden, geen ranglijst. Wie één tool begrijpt, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven.

MITRE ATT&CK is de gedeelde taal voor aanvalstechnieken, en het is wereldwijd toegankelijk, zonder kosten. Een bevinding krijgt een naam uit ATT&CK, zodat de opdrachtgever, de verdedigers en de tester over dezelfde techniek praten. Het is een naslagwerk en geen checklist, maar een tester kan het gebruiken om een gevonden techniek te benoemen. Meer staat op attack.mitre.org. Voor het testen van webapplicaties biedt OWASP de Web Security Testing Guide, en vacatures over bekende webrisico's staan op de skillpagina OWASP Top 10.

Welke opleiding en certificeringen passen bij een Penetration Tester?

Een hbo- of wo-opleiding in ICT of security is een gangbare route. Een certificering laat zien dat je een deel van het vak beheerst, maar ze vervangt geen ervaring. Of een werkgever er waarde aan hecht, verschilt per werkgever. Voor de actuele eisen en versies gelden de pagina's van de uitgever.

De OSCP van OffSec hoort bij de cursus PEN-200 en is praktijkgericht. Het OSCP+-examen duurt 24 uur en is volledig hands-on: je vindt en benut kwetsbaarheden in live labsystemen. Daarna krijg je 24 uur om een uitgebreid penetratietestrapport in te dienen. OffSec noemt geen formele vooropleidingseisen voor PEN-200, maar raadt aan om TCP/IP-netwerken goed te begrijpen en ervaring te hebben met Windows- en Linux-beheer. Zie ook de skillpagina voor OSCP.

De CEH van EC-Council is breder van opzet. EC-Council noemt op de programmapagina functietitels die bij de certificering horen, waaronder Penetration Tester, Ethical Hacker, Red Team Specialist en Web Application Penetration Testing. Dat is geen eis van werkgevers. Zie de skillpagina voor CEH.

CompTIA Security+ is een brede basis in security. Zie de skillpagina voor CompTIA Security+.

Hoe word je Penetration Tester?

Je kunt instromen via een hbo- of wo-opleiding in ICT of security. Zij-instroom komt ook voor vanuit systeembeheer, netwerkbeheer, softwareontwikkeling en IT-audit. In dit vak telt eigen oefening zwaar.

Begin met netwerken en besturingssystemen. Bouw daarna een eigen oefenomgeving met eigen virtuele machines, eigen testapplicaties of oefenplatforms die daarvoor zijn gemaakt. Test alleen systemen waarvoor je toestemming hebt. Leer scripten, en schrijf wat je vindt op als een echt rapport, met herhaalbare stappen en een hersteladvies.

Wat laat je zien? Een rapport, een oefenomgeving, een certificering of een blog over een bevinding. Een instapfunctie of stage bij een adviesbureau of een intern securityteam is een gangbare eerste stap. Reken op tijd en veel oefening.

Waar werk je als Penetration Tester?

Je kunt werken voor een securitybureau of adviesbureau dat tests voor meerdere klanten uitvoert. De opdrachten verschillen dan van elkaar. Bij sommige organisaties zit je in een intern securityteam, waar je de systemen kent en steeds dezelfde omgeving dieper test. Bij sommige softwarebedrijven test je het eigen product.

Vacatures vind je per sector, zoals financiële dienstverlening, de rijksoverheid en IT, SaaS en technologie. Werkgevers die Penetration Testers zoeken, staan op de werkgeverspagina.

Penetration Tester, Ethical Hacker of Red Team Specialist?

In het ECSF van ENISA staan Ethical Hacker en Red Teamer als alternatieve titels van het profiel Penetration Tester. In vacatures gebruiken sommige werkgevers de titels door elkaar voor hetzelfde werk. De functieomschrijving vertelt wat er echt van je gevraagd wordt.

Een Penetration Tester is een uitvoerende functie met een afgebakende opdracht. Ethical Hacker is een breder begrip dat iets zegt over houding en afspraken, niet over een vaste taakomschrijving. Wie dat begrip wil verkennen, ook het melden van kwetsbaarheden volgens het beleid van een organisatie, leest de rolgids Ethical Hacker. Bekijk ook de vacatures voor Ethical Hackers.

Het TIBER-EU-kader van de ECB uit januari 2025 maakt het verschil met een red team test duidelijk. Een penetratietest geeft volgens dat kader een gedetailleerde beoordeling van technische en configuratiekwetsbaarheden, vaak binnen één systeem of omgeving. Ze toetst niet het volledige scenario van een gerichte aanval op een hele organisatie, inclusief mensen, processen en technologie. Een intelligence-led red team test bootst de methoden van echte aanvallers na op basis van specifieke dreigingsinformatie. Lees meer over dat kader op TIBER-NL en TLPT.

Kies naar het werk dat je wilt doen. Wie graag een systeem of applicatie diep onderzoekt en daarover helder schrijft, past bij de Penetration Tester. Wie scenario's over een hele organisatie wil nabootsen, kijkt naar de rolgids Red Team Specialist en de vacatures voor Red Team Specialists.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior Penetration Tester. Je neemt de complexere opdrachten en begeleidt collega's. Zie de vacatures voor Penetration Testers.
• Red Team Specialist. Je bouwt scenario's over een hele organisatie. Zie de vacatures en de rolgids.
• Application Security Engineer. Je bouwt aan veiligere software in plaats van achteraf te testen. Zie de vacatures en de rolgids.
• Security Architect. Je ontwerpt beveiligde oplossingen.
• Security Consultant bij een bureau. Je adviseert klanten op basis van bevindingen.
• Teamlead van een testteam. Je stuurt het testteam aan en verdeelt het werk.

Vacatures en werkgevers

Op de vacaturepagina voor Penetration Testers zie je welke opdrachten er open staan. Op de werkgeverspagina zie je welke werkgevers Penetration Testers zoeken.