Kwetsbaarheden & pentest

🎯 Leerdoel (niveau 4)

Vind de zwakke plekken vóórdat een aanvaller dat doet — maar wél binnen de regels.

Na deze module kun je:

een kwetsbaarheidsscan uitvoeren op je eigen oefen-VM
kwetsbaarheden prioriteren met kans × impact (CVSS-idee)
de ethische en juridische grenzen van scannen/pentesten benoemen

Beroepshouding: Proactief, analytisch en met helikopterview; je werkt zelfstandig en adviseert, handelt ethisch en integer, gaat discreet met vertrouwelijke gegevens om en blijft onder druk objectief.

Koppeling kwalificatiedossier — ICT system engineer (niveau 4):
P2-K2-W1 — Geeft security-advies: kwetsbaarheden opsporen met tools en tests

1Theorie✓

Vulnerability management is het opsporen, beoordelen en oplossen van kwetsbaarheden. Bekende kwetsbaarheden krijgen een CVE-nummer en een CVSS-score (hoe ernstig, op basis van kans en impact).

Een pentest kent fasen: verkennen, scannen, (voorzichtig) exploiteren en rapporteren. Ethiek en wet zijn hier hard: je scant/pentest alleen met toestemming en binnen de afgesproken scope. In deze module dus uitsluitend op je eigen oefen-VM — ongevraagd systemen scannen kan strafbaar zijn (Wet computercriminaliteit).

Kennischeck

Vink de juiste stellingen aan en klik op Controleer.

Je mag alleen scannen/pentesten binnen de scope of op je eigen systeem. CVSS geeft een score aan de ernst van een kwetsbaarheid. Ongevraagd systemen van anderen scannen kan strafbaar zijn. Een pentester exploiteert altijd meteen alles wat mogelijk is. Kwetsbaarheden hoef je niet te prioriteren.

2Praktijk-lab (VMware)✓

Scan je eigen oefen-VM. Richt je scan NOOIT op een systeem dat niet van jou is.

Controleer dat je doel je eigen oefen-VM is (nooit een extern systeem).
Installeer Nmap op je scan-VM (of gebruik OpenVAS).
Voer een poort-/dienstenscan uit: nmap -sV <ip-van-je-VM>.
Noteer welke open poorten en diensten je vindt.
(Optioneel) Draai een kwetsbaarheidsscan en bekijk de bevindingen.
Bewaar de resultaten (aantekening of snapshot).

Afvinken als je het gedaan hebt:

Ik scan uitsluitend mijn eigen oefen-VM Ik heb een poort-/dienstenscan uitgevoerd Ik heb de bevindingen genoteerd

3Analyse✓

Je scan levert 4 bevindingen op. Prioriteer ze op kans × impact en leg uit welke je als eerste aanpakt.

Ik heb mijn analyse met het modelantwoord vergeleken

4Rapportage & advies✓

Opdracht: Schrijf een kort bevindingenrapport (mini-scanrapport): per kwetsbaarheid wat het is, het risico en de aanbevolen maatregel.

Zelfbeoordeling (rubriek) — vink af wat klopt:

Elke bevinding heeft een maatregel Ik heb geprioriteerd (kans×impact) Ik hield me aan de scope/ethiek