Cybersecurity is en blijft een bron van aandacht en zorg, waarschuwt oprichter/ commercieel-directeur Harold de Vries van Hackurity. Zijn snelgroeiend bedrijf onderzoekt met geautomatiseerde pentests kwetsbaarheden in het IT- systeem van klanten.
Traditionele handmatige pentesten – gecontroleerde aanvallen op het systeem, uitgevoerd door ethische hackers – zijn tijdrovend, duur en potentieel intrusief. ‘Sowieso ben je afhankelijk van de kwaliteit van de pentester. Heb jij de Lionel Messi onder de pentesters of een voetballer uit de derde klasse zondagamateurs? Je bent nooit volledig zeker van het eindresultaat,’ stelt De Vries. ‘Daarnaast, je krijgt een rapport met de kwetsbaarheden op het moment dat de pentest is afgerond. Maar op het moment dat je het ontvangt is het alweer out-of-date omdat je IT-infrastructuur een “levend organisme” is. Bij elke verandering in infrastructuur of nieuwe release is de pentest eigenlijk irrelevant.’ De oplossing is Managed Autonomous Pentesting (MAP), bedacht door de technisch co-founder van Hackurity, Felix Nagy. Hierbij zijn alle stappen geautomatiseerd, die een menselijke pentester doorloopt. Het maakt dagelijkse pentests mogelijk, wat resulteert in real-time security en efficiëntie in tijd, geld en processen.
Vulnerability scan
De MAP begint met een brede vulnerability scan. ‘Als het kwetsbaarheden vindt, proberen we de oplossing automatisch te exploiteren via een zogenoemde “payload less attack”.’ De Vries legt uit dat een echte hacker een kwetsbaarheid in het systeem uitbuit met malware. ‘Wij doen dat zonder die schadelijke code. Doordat we dat automatisch doen, kunnen we de klant laten zien dat de bevindingen zijn onderzocht en dat het niet om positief-valse resultaten gaat. Dat scheelt enorm veel tijd.’ Doordat de pentest met MAP volledig is geautomatiseerd, kan Hackurity dagelijks automatisch het systeem testen. Dit wordt ondersteund met een handmatige pentest, elke zes maanden. ‘Daarmee komen we zo dicht mogelijk bij real-time security. Dat is van belang, want elke dag komen er gemiddeld 60 tot 70 nieuwe vulnerabilities bij in de wereld.’ Het is een belangrijke reden waarom AI maar een beperkte rol speelt bij MAP-scans. ‘Het zou enorm kostbaar zijn om elke dag je AI-model te trainen op al die nieuwe kwetsbaarheden. Daarom hebben we een systeem ontwikkeld waarbij de handmatige processen van een pentester door middel van een code worden geautomatiseerd. Op die manier kunnen we onze oplossing elke dag synchroniseren met wereldwijde databases waar nieuwe vulnerabilities worden geregistreerd. Daarmee blijven we veel meer up-to-date dan je met AI zou kunnen.’
Darkweb-scans
Naast de volautomatische pentests biedt Hackurity essentiële extra diensten zoals darkweb-scans en remediation support om gevonden vulnerabilities te verhelpen. ‘We controleren op het darkweb of e-mailadressen en accounts van medewerkers betrokken zijn bij recente datalekken. Vaak zijn daar complete wachtwoorden bij gestolen die worden verhandeld op het darkweb.’ Dat vormt een risico omdat mensen daarmee ongeautoriseerd bedrijfsaccounts kunnen gebruiken, zonder dat je dat in de gaten hebt. ‘Als we dat rapporteren, kunnen we ook aangeven of een medewerker vaker bij een datalek betrokken is en daarbij steeds hetzelfde paswoord heeft gebruikt.’ Hackurity scant ook op ‘look alike’-domeinen die lijken op echte domeinen van klanten. Deze kunnen geregistreerd zijn voor verkoop, maar ook met kwade bedoelingen, zoals het opzetten van nepwebsites voor phishing-e-mails, vertelt De Vries. ‘Op basis van scans en tests beoordelen we het risico. Dat stelt ons in staat om proactief, samen met de klant, verdachte domeinen te laten blokkeren en daarmee werknemers en klanten te beschermen tegen phishing.’
Midden- tot small corporate segment
Hackurity richt zich ons op het midden- tot small corporate segment tot 500 werknemers. ‘Juist die bedrijven zijn een belangrijk doelwit van hackers, vanwege de beperkte cybersecurity- resources en kleine IT-teams. We bieden alles-in-éénoplossingen, inclusief Managed Autonomous Pentesting en darkweb-scans, gebundeld in één dashboard. Onze oplossingen werken op de achtergrond, waardoor geen extra headcount of expertise nodig is en we ondersteunen onze klanten met volledige
remediation support.’
