Pentesten Interne IT-infrastructuur
Een interne penetrationstest bij Exfilion beantwoordt de cruciale vraag na elke eerste compromittering: hoe ver komt een aanvaller daadwerkelijk zodra hij al toegang heeft tot het interne netwerk?
We beoordelen uw omgeving vanuit het perspectief van een aanvaller met netwerktopgang. Dat kan een gecompromitteerde client zijn, een gestolen VPN-toegang, een niet-bevoorrechte gebruikersaccount of een intern scenario. Waar het om gaat, is niet het eerste toegangspunt zelf, maar wat de aanvaller daarvan kan maken.
Afhankelijk van het doel starten we in een blackboxscenario zonder inloggegevens of met een niet-bevoorrechte gebruikersaccount. In het blackboxgeval onderzoeken we welke aanvalsoppervlakken intern al bestaan zonder bekende inloggegevens. Met een normaal medewerkersaccount beoordelen we daarnaast gangbare rechten en beperkingen en of deze kunnen worden benut voor laterale beweging of privilege-escalatie.
Indien gewenst wordt de beoordeling uitgebreid met een physical security assessment. We controleren dan of fysieke zwakke plekken toegang bieden tot gevoelige zones of direct tot het interne netwerk. In echte aanvalsscenario's is fysieke toegang vaak het startpunt van bredere compromittering.
De kern is de systematische analyse van interne aanvalsoppervlakken. Typische onderwerpen zijn Active Directory en identiteitsomgevingen, interne services zoals SMB, RDP, FTP en databases, interne webapplicaties en API's, netwerksegmentering, firewall- en ACL-regels, draadloze infrastructuur en IoT- of OT-componenten.
De echte diepte komt van handmatige analyse. We behandelen zwakheden niet als geïsoleerde bevindingen. We combineren kwetsbaarheden, foutconfiguraties en vertrouwensrelaties tot realistische aanvalspaden. Bijzonder relevant zijn onderwerpen zoals credential exposure, privilege-escalatie, onveilige delegaties, foutconfiguraties in AD, DNS, SMB, LDAP of Kerberos en laterale beweging tussen systemen en segmenten.
Waar bruikbare aanvalspaden bestaan, valideren we ze gecontroleerd binnen de afgesproken omvang. Het doel is niet om zoveel mogelijk bevindingen te produceren, maar om operationeel belangrijke vragen betrouwbaar te beantwoorden: kunnen bevoorrechte toegangen worden overgenomen, kritieke systemen worden bereikt en gevoelige gegevens worden gecompromitteerd?
Methodisch sluiten we aan bij erkende standaarden zoals de OWASP Testing Guide, OSSTMM en Penetration Testing Execution Standard (PTES). Deze dienen uitsluitend als uitgangspunt. De echte diepte ontstaat door onze praktijkgerichte, offensieve aanpak, gericht op echte aanvalstechnieken en reële compromitteringsscenario's, niet op formele compliance.
Het resultaat is geen abstracte risicoanalyse, maar een heldere conclusie: welke interne aanvalspaden bestaan en hoe ver een aanvaller daadwerkelijk komt.
Competentie
De testers van Exfilion leveren aantoonbare offensieve kracht, geen theorie. Ons team bestaat uit ervaren hacking-experts met hands-on certificeringen zoals
OSCP (Offensive Security Certified Professional),
CRTO (Certified Red Team Operator) en
BACPP (Binsec Academy Certified Pentest Professional).
Samen brengt het Exfilion-team decennia aan ervaring in offensieve assessments, red teaming en diepe technische analyse. Deze ervaring is opgebouwd onder reale omstandigheden, niet in labomgevingen.
Pentest-richtlijnen
Standaarden zijn de basis. Exfilion gaat veel verder.
Normen en regelgeving bepalen het minimum. Ze geven aan wat getest moet worden, maar niet hoe ver een echte aanval kan gaan. Ze bieden structuur, maar geen veiligheid.
Veel assessments stoppen precies daar waar vereisten zijn vervuld. Checklists zijn afgewerkt en controles als compliant afgevinkt. Daar ontstaan de blinde vlekken, want echte aanvallers volgen geen standaarden — ze volgen mogelijkheden.
Exfilion gebruikt standaarden als startpunt, niet als grens. Door ervaring, technische diepte en creatieve offensieve aanpak gaan we er bewust overheen om kwetsbaarheden te vinden die bij conventionele assessments onzichtbaar blijven.
Uw aanbieder van Intern Pentest
Exfilion staat voor diepgaande, handmatige penetrationstests op elitniveau met een duidelijke focus op echte aanvalspaden. We werken niet op basis van checklists of naar het model van traditionele pentestproviders. Ons doel is om systemen onder reële omstandigheden daadwerkelijk te compromitteren en hun echte aanvalsoppervlak bloot te leggen. Exfilion is de gespecialiseerde provider in Europa voor Intern penetrationstest op elitniveau. We stellen graag een individueel Intern Pentest-aanbod.
Typische vragen
Op technisch niveau gebruiken beide dezelfde technieken: exploitatie, privilege escalation, laterale beweging. Het verschil zit niet in de tools, maar in het doel.
Een hacker werkt zonder toestemming. Het doel is toegang, controle, data-exfiltratie of financieel gewin. Geen regels, geen rekening met impact, geen transparantie. Een succesvolle aanval is er een die onopgemerkt blijft.
Een elite-aanbieder van penetrationstests zoals Exfilion past dezelfde aanvalsmindset toe — maar gecontroleerd en geautoriseerd. Systemen worden getest onder vooraf gedefinieerde voorwaarden, met volledige traceerbaarheid. Elke stap is gedocumenteerd, elke bevinding reproduceerbaar.
Het belangrijkste verschil is bruikbaarheid. Een echte aanvaller richt schade aan. Exfilion levert inzicht. We laten niet alleen zien dat een aanval mogelijk is, maar hoe hij werkt, hoe ver hij komt en wat er opgelost moet worden.
Elite penetration testing betekent: denken als een aanvaller, handelen als een partner — met als doel reëel risico bloot te leggen voordat het wordt uitgebuit.
De termen black box, grey box en white box beschrijven niet de kwaliteit van een pentest, maar de startpositie van de aanvaller. Het cruciale verschil is hoeveel informatie en toegang de tester heeft, en welk aanvalsscenario wordt gesimuleerd.
Een black box-pentest simuleert een externe aanvaller zonder voorkennis. Geen credentials, geen interne documentatie — alleen het blootgestelde aanvalsoppervlak. Het doel is te beoordelen of en hoe een organisatie van buitenaf gecompromitteerd kan worden. De focus ligt op verkenning, enumeratie en initial access.
Een grey box-pentest weerspiegelt een realistischer scenario. De tester krijgt beperkte informatie of toegang, zoals een standaard gebruikersaccount. Dit komt overeen met veelvoorkomende reële situaties zoals phishing of lekken van credentials. De focus verschuift naar privilege escalation, laterale beweging en het uitbreiden van controle binnen de omgeving.
Bij een white box-pentest werkt Exfilion met volledige zicht op de doelsystemen. Architectuur, broncode of configuraties zijn beschikbaar. Dit maakt diepe technische analyse van complexe logica, verborgen kwetsbaarheden en niet voor de hand liggende aanvalspaden mogelijk. White box betekent niet minder realistisch — het betekent maximale diepte.
In de praktijk beschouwt Exfilion deze modellen niet als geïsoleerde benaderingen. We combineren ze bewust om reële aanvalspaden te repliceren. Wat telt is niet het label, maar het resultaat: hoe ver een aanvaller onder realistische omstandigheden kan komen — en wat dat voor uw business betekent.
Geautomatiseerde pentests en vulnerability scans bieden snelheid. Aanvallers passen logica toe.
Tools detecteren bekende kwetsbaarheden, controleren versies en voeren vooraf gedefinieerde tests uit. Dit is efficiënt — maar beperkt. Ze werken op patronen, niet op begrip. Alles buiten die patronen blijft onzichtbaar.
Reële aanvallen werken anders. Ze combineren kleine zwakheden tot effectieve aanvalspaden. Ze misbruiken businesslogica, rechten-modellen en onverwachte systeeminteracties. Precies hier falen geautomatiseerde benaderingen.
Een “geautomatiseerde pentest” is in de praktijk geen echte penetrationstest maar een geavanceerde scan met rapportage. Wat ontbreekt is de kern: een aanvaller die beslissingen neemt, hypothesen vormt en actief zoekt naar escalatiepaden.
Exfilion kiest bewust voor een handmatige aanpak. We analyseren systemen in context, dagen aannames uit en keten bevindingen tot echte aanvallen. Niet elke kwetsbaarheid is kritiek — maar de juiste combinatie is dat wel.
Het verschil is fundamenteel: automatisering laat bekende problemen zien. Exfilion laat zien hoe een systeem daadwerkelijk gecompromitteerd kan worden.
Kort antwoord: nee. AI kan ondersteunen — maar kan een echte penetrationstest niet vervangen.
Huidige AI- en LLM-gebaseerde tools zijn effectief in het herkennen van patronen, het genereren van payloads of het analyseren van bestaande bevindingen. Ze versnellen specifieke taken. Wat ze missen is echt systeemniveau-begrip.
Echte aanvallen zijn geen reeks geïsoleerde requests of bevindingen. Ze worden gedreven door beslissingen: welk spoor is het volgen waard, hoe combineer je toegang, waar is escalatie mogelijk en wat is de echte impact. Die beslissingen kunnen niet worden geautomatiseerd.
Veel “AI-pentesttools” zijn in feite geavanceerde scanners met een slimmere interface. Ze produceren meer output, maar niet per se meer diepte. Fouten in businesslogica, complexe authenticatie-flows en meerfasige aanvalspaden worden doorgaans gemist.
Exfilion maakt gebruik van moderne tooling, inclusief AI waar zinvol — maar strikt als ondersteuning. Het kernwerk blijft handmatig: hypothesen vormen, systemen begrijpen en echte aanvalspaden opbouwen.
Dat is het verschil: AI kan iets suggereren. Een ervaren tester bepaalt of het tot een echte compromittering leidt.
Professionele Europese securityboutique voor elite-penetrationstests, red teaming & exploit development.