Pentesting van een e-commercebedrijf
De Verloving
Het scenario
Een vooraanstaand e-commercebedrijf dat zijn interne en externe beveiligingsmaatregelen wilde verbeteren, nam NextdoorSEC in de arm om een uitgebreide evaluatie uit te voeren van zijn cyberbeveiliging.
Ze vroegen ook om een uitgebreide penetratietest op hun op maat gemaakte webapplicatie voor klantenservice. Het hoofddoel van het bedrijf was om de effectiviteit van zijn IT-beveiligingscontroles voor de bescherming van zijn handelsgeheimen en klantgegevens te beoordelen en om inzicht te krijgen in de kwetsbaarheden van zijn systemen en mogelijke tegenmaatregelen..
Het doel
De doelstellingen van de penetratietestopdracht waren als volgt:
Externe penetratietest
- Het systeem binnendringen vanuit het perspectief van een buitenstaander die een onbekende, kwaadwillende aanvaller nabootst
- Gevoelige informatie extraheren, zoals accountgegevens, klantgegevens, handelsgeheimen, enz.
- De op maat gemaakte webapplicatie aanvallen om klantgegevens te extraheren zonder vooraf verstrekte accountgegevens
Interne penetratietest
- Val gevoelige servers aan en breng ze in gevaar, zoals de bestandsserver, domeincontrollerserver en CRM-server.
- Gevoelige informatie extraheren, zoals accountgegevens, klantgegevens, handelsgeheimen, enz.
Alle penetratietests door NextdoorSEC werden uitgevoerd vanuit een “blackbox”-perspectief, dat wil zeggen zonder enige initiële informatie over het doelbedrijf, afgezien van de naam. Deze aanpak zorgt ervoor dat de gesimuleerde ethische hackaanvallen zo realistisch mogelijk zijn.
Het proces
NextdoorSEC gebruikt dezelfde tools en strategieën die kwaadwillenden tegen bedrijven gebruiken. Dit omvat handmatige en geautomatiseerde testmethoden met behulp van op maat gemaakte en industriestandaard tools.
Tijdens de interne penetratietest werd een NextdoorSEC consultant op locatie geplaatst met volledige toestemming van de IT-manager. De resultaten van deze test verbijsterden de IT-manager en het senior management van het bedrijf.
Voor de externe penetratietest werden enkele van de publiek toegankelijke domeinen en services van het bedrijf aangevallen, waaronder hun op maat gemaakte webapplicatie, wat indrukwekkende resultaten opleverde.
Na afloop van de tests ontving het bedrijf een gedetailleerd rapport met een samenvatting, technische bevindingen en aanbevelingen voor herstel.
Resultaten
Swift systeembesturing
Onze consultants kregen binnen een uur volledige domain admin-toegang, waardoor ze de controle kregen over alle computers en servers binnen het bedrijfsnetwerk, zoals domeincontrollers, bestandsservers en e-mailservers..
De firewall beheersen
Er werd volledige administratieve toegang verkregen tot de centrale firewall van het bedrijf, waardoor de consultants van NextdoorSEC de beveiligingsregels naar behoefte konden aanpassen en zo een belangrijk kwetsbaar punt aan het licht konden brengen.
Netwerkbesturing in de zak
Onze consultants kregen volledige administratieve toegang tot de netwerkrouters van het bedrijf. In een echt aanvalsscenario kan een kwaadwillende actor met dit controleniveau het hele netwerk van het bedrijf manipuleren.
Helpdeskimpersonatie bereikt
De consultants van NextdoorSEC slaagden erin om zich voor te doen als de IT Helpdesk van het bedrijf vanaf een extern toegangspunt, waarmee ze een methode demonstreerden die een kwaadwillende aanvaller zou kunnen gebruiken om verdere toegang te krijgen en meer destructieve activiteiten uit te voeren.
Webserver en overname van apps
Ons team kreeg volledige administratieve toegang tot de server waarop de op maat gemaakte klantenservicetoepassing van het bedrijf werd gehost en tot de webtoepassing zelf, wat een ernstig beveiligingsprobleem aantoonde.
PC van IT-manager aangetast
NextdoorSEC kreeg met succes volledige administratieve toegang tot de pc van de IT-manager, een kritiek beveiligingslek dat catastrofaal zou zijn voor het bedrijf als het het werk was van een echte cyberaanvaller.
Inbreuk op telecommunicatiesysteem
NextdoorSEC kreeg volledige administratieve toegang tot de PBX-systemen van het bedrijf, waardoor een kwetsbaarheid aan het licht kwam waarmee aanvallers gesprekken konden plaatsen en opnemen, telefoontoestellen konden aanmaken en nog veel meer.
Inbreken bij de koperleiding
Ons team kreeg volledige administratieve toegang tot alle pc’s van het hogere management, een beveiligingslek waardoor aanvallers gevoelige informatie over bedrijfsstrategieën zouden kunnen ontfutselen.
Versterk uw e-commerce: Boek vandaag nog een pentest!
Deze bevindingen onderstrepen de essentiële behoefte aan robuuste beveiligingsmaatregelen en regelmatige penetratietests, met name voor bedrijven die actief zijn in de e-commerce sector. Door dergelijke tests kunnen bedrijven potentiële zwakke plekken in hun beveiliging identificeren en verhelpen, waardoor hun algehele cyberbeveiligingshouding wordt versterkt.
Woord op straat
Wij zijn geen doorsnee beveiligingsbedrijf. Wij hebben een reputatie opgebouwd voor het leveren van oplossingen op maat voor bedrijven van elke omvang. Van kleine winkels tot startende technologiebedrijven, onze expertise houdt uw gegevens veilig en gezond. Onze cliënten waarderen onze aanpak op maat en ons streven naar transparantie. Sluit u aan bij de Nextdoorsec fam. en weet dat uw veiligheid in goede handen is.
Nextdoorsec is een uitzonderlijk beveiligingsbedrijf dat grondige en gedetailleerde rapporten levert die gemakkelijk te begrijpen zijn. Hun team is zeer deskundig en responsief, altijd bereid om vragen te beantwoorden en advies te geven over de juiste aanpak van beveiligingsproblemen volgens de beste praktijken in de sector. Met de hulp van Nextdoorsec konden we voorheen onopgemerkte beveiligingslekken in onze systemen identificeren en aanpakken, waardoor we meer vertrouwen kregen in onze algehele beveiliging. Wij bevelen Nextdoorsec ten zeerste aan voor elke organisatie die zijn beveiligingspositie wil verbeteren en zijn waardevolle activa wil beschermen.
Pieter van der Meer
Cloud Architect
Nextdoorsec heeft onze organisatie voorzien van eersteklas beveiligingsdiensten. Hun team was ongelooflijk grondig en professioneel, en hun niveau van communicatie was uitstekend. Ze hielden ons bij elke stap van het proces op de hoogte en waren altijd beschikbaar om onze vragen te beantwoorden. We waren vooral onder de indruk van hun inzet voor transparantie en hun vermogen om bruikbare aanbevelingen te doen voor het verbeteren van onze beveiliging. Wij zouden Nextdoorsec ten zeerste aanbevelen aan elke organisatie die zijn beveiliging wil verbeteren en zijn waardevolle activa wil beschermen.
Lars Jansen
CTO
Aan de slag
Bent u bereid uw cyberdefensie te versterken en nieuwe hoogten te bereiken in de digitale wereld?
