Cloud pentest voor AWS, Azure en GCP
Laat je cloudomgeving, IAM, opslag, netwerkconfiguratie en cloud-native services handmatig testen op misbruikbare risico’s. Deze pagina hoort bij onze pentest-aanpak. Je ontvangt een helder rapport met risico’s, bewijs, prioriteit en concrete herstelstappen.
PTES & NIST
★ IAM, misconfiguratie en datatoegang
Scope
Cloudaccounts en scope afbakenen
Retest
Controle na herstel
Rapport
Risico’s en advies
Wat is een cloud pentest?
Een cloud pentest is een gecontroleerde beveiligingstest van je cloudomgeving. We testen AWS, Azure, Google Cloud of hybride omgevingen op IAM-risico’s, misconfiguraties, publieke opslag, netwerktoegang, secrets, containers en serverless services. Voor webapplicaties in de cloud past vaak een webapplicatie pentest. Voor interne koppelingen past een interne pentest.
Cloudweerbaarheid
Krijg zicht op cloudrisico’s die kunnen leiden tot datatoegang, privilege escalation of ongewenste blootstelling.
Analyse
We testen met tooling en handmatige controles, zodat IAM-risico’s, misconfiguraties en cloud-native aanvalspaden zichtbaar worden.
Rapportage
Je ontvangt een rapport met risico, bewijs, prioriteit en hersteladvies per bevinding.
Herstelacties
Na herstel kan een hertest aantonen welke bevindingen zijn opgelost.
Handmatige cloud securitytest
Handmatige controles voor AWS, Azure, Google Cloud, IAM, opslag, netwerkconfiguratie, containers en serverless. Bekijk ook de bedrijfsnetwerk pentest voor bredere netwerktoetsing.
Wat houdt een cloud pentest in?
Tijdens de test onderzoeken we je cloudomgeving alsof een aanvaller toegang zoekt tot data, accounts, workloads of beheerlagen. Afgebakend, beheerst en met vooraf afgestemde spelregels. Je ziet welke services blootstaan, welke rechten te ruim zijn en welke herstelstappen prioriteit hebben. Draaien er webapplicaties of API’s, dan sluiten een webapplicatie pentest en API pentest hier logisch op aan.
IAM en rechten
Users, roles, policies, service principals, access keys, MFA, privilege escalation en toegang tot gevoelige cloudresources.
Cloudconfiguratie
Controle op security groups, NSG’s, VPC/VNet, publieke endpoints, opslag, snapshots, logging, encryption en exposed management.
Cloud attack paths
Controle op aanvalspaden tussen accounts, workloads, opslag, secrets, containers, serverless functies en beheerlagen.
Databescherming
Controle op blootstelling van persoonsgegevens, klantdata, buckets, blobs, snapshots, secrets, tokens en interne informatie.
Tooling en handmatige analyse
Scanners en tooling helpen bij discovery, kwetsbaarheden en aanvalspaden. De beoordeling blijft handmatig, omdat interne netwerken context vragen: rollen, beheerprocessen, segmentatie en bedrijfsdata bepalen het werkelijke risico.
Snellere triage
Tooling helpt bij het vinden van signalen, waarna een specialist deze valideert.
Minder ruis
Bevindingen worden handmatig beoordeeld voordat ze in het rapport komen.
Gerichte scope
De test richt zich op cloudaccounts, rechten, opslag, workloads en datastromen met de meeste waarde en het hoogste risico.
Sterkere cloudomgeving
Je team krijgt concrete herstelacties voor cloudbeheer, DevOps, security en management.
Welke onderdelen testen we?
De test richt zich op technische kwetsbaarheden, IAM, misconfiguraties, logging, opslag en aanvalspaden binnen je cloudomgeving. Voor lokale infrastructuur is er ook een aparte interne pentest.
IAM en accounts
We controleren users, roles, policies, service principals, access keys, MFA, trust relationships en privilege escalation-paden.
Cloudnetwerk en opslag
We testen VPC/VNet, security groups, NSG’s, publieke endpoints, buckets, blobs, snapshots, back-ups en datatoegang.
Workloads en cloud-native services
We testen interne diensten, beheerpanelen, SMB-shares, RDP, VPN, printers, NAS, monitoring, verouderde software en configuraties. Bij mobiele apps met interne koppelingen kan een mobiele app pentest aanvullend inzicht geven.
Onze aanpak
Een heldere aanpak: scope bepalen, cloudtoegang regelen, testen, rapporteren en waar gewenst opnieuw controleren. Bekijk voor de hele dienststructuur de pentest pillar page.
01. Intake & Scope
We bepalen welke cloudaccounts, subscriptions, projects, regio’s, services, rollen en randvoorwaarden binnen de test vallen.
02. Analyse
We brengen cloudresources, IAM, opslag, netwerken, compute, containers, serverless, logging en gevoelige datastromen in kaart.
03. Testing
We voeren gecontroleerde tests uit op misconfiguraties, IAM-risico’s, publieke opslag, secrets, logging, attack paths en privilege escalation.
04. Rapportage
Je ontvangt een rapport met bewijs, risico-inschatting, prioriteit en hersteladvies. Na herstel kan een hertest volgen.
Wat de test
vaak zichtbaar maakt
Praktische inzichten die IT, management en compliance verder helpen.
“We dachten dat ons interne netwerk netjes gescheiden was. De test liet zien dat één gewone werkplek toegang gaf tot gevoelige shares en beheerinterfaces.”
“Het rapport was direct bruikbaar voor ons IT-team. Per bevinding zagen we bewijs, risico, advies en prioriteit.”
“De hertest gaf duidelijkheid richting management en klanten. We konden aantonen welke risico’s waren verlaagd.”
“De test bracht cloud attack paths naar voren die in een normale vulnerability scan verborgen bleven.”
Welke onderdelen vallen binnen de scope?
Een sterke test begint met een scherpe afbakening. Zo weet je vooraf wat we onderzoeken, welke toegang nodig is en welke onderdelen buiten scope blijven.
Cloudaccounts en services
We testen het interne netwerk vanuit afgesproken toegang. Zo worden segmentatie, routes, firewallregels, gevoelige systemen en beheerinterfaces realistisch beoordeeld.
IAM en toegang
We nemen users, roles, policies, service principals, access keys, MFA en beheergroepen mee wanneer deze binnen scope vallen.
Data en cloud attack paths
We kijken naar de weg richting gevoelige data. Denk aan klantdata, databases, buckets, blobs, back-ups, CI/CD-secrets, productiesystemen en beheerlagen.
Vulnerability scan of cloud pentest?
Een vulnerability scan gebruikt tooling om bekende kwetsbaarheden en configuraties te signaleren. Dat is waardevol voor periodieke controle. Een bedrijfsnetwerk pentest kijkt aanvullend naar de samenhang tussen IAM, workloads, data, logging en aanvalspaden.
Een cloud pentest gaat verder. De specialist valideert bevindingen handmatig, onderzoekt IAM-risico’s, test attack paths en beoordeelt wat een aanvaller werkelijk kan bereiken binnen jouw cloudomgeving.
Wat ontvang je?
Je ontvangt een rapport met managementsamenvatting, technische bevindingen, bewijs, risico-inschatting, reproduceerbare stappen en hersteladvies. Na herstel kan een hertest worden uitgevoerd.
De rapportage is bruikbaar voor IT, management, klanten en audits waarbij aantoonbare security-inspanningen worden gevraagd. Gebruik de pentest-overzichtspagina om de juiste testvorm naast deze cloud pentest te kiezen.
Prijs en scope: waar hangt de investering vanaf?
De richtlijn hangt af van wat er in scope valt: aantal cloudaccounts, subscriptions, projects, services, workloads, IAM-rollen, datastromen en gewenste rapportage. Daarom maken we de afbakening vooraf concreet, zodat je weet waar de test op wordt gebaseerd.
Klein intern netwerk
Richtlijn: €1.750 tot €3.500
Voor een afgebakende cloudomgeving met beperkt aantal services, één account of subscription en heldere testtoegang.
- 1 tot 2 accounts of subscriptions
- Beperkt aantal cloudservices
- Basisrapport met prioriteit per bevinding
MKB-cloudomgeving
Richtlijn: €3.500 tot €7.500
Voor omgevingen waar IAM, opslag, compute, databases, containers, serverless of externe koppelingen een rol spelen.
- Meerdere rollen en services
- Discovery, validatie en aanvalspaden
- Technisch rapport en korte toelichting
Uitgebreide cloudomgeving
Richtlijn: €7.500 tot €15.000
Voor omgevingen met meerdere cloudaccounts, regio’s, workloads, beheerlagen, gevoelige data of auditvragen van klanten.
- Meerdere accounts en regio’s
- IAM, workloads en datatoegang
- Rapportage plus hertest mogelijk
Maatwerk of compliancegedreven
Richtlijn na intake
Voor grotere omgevingen, strakke deadlines, meerdere cloudplatformen, externe eisen of aanvullende rapportageformats. Bij klantvragen over internet-facing systemen kan een externe pentest naast de interne test worden gepland.
- Scope afgestemd op risico’s
- Geschikt bij ISO 27001, NIS2, DORA of klantvragen
- Planning en rapportage vooraf afgestemd
Voor de intake vragen we meestal om: Cloudplatform, accounts of subscriptions, beschikbare rollen, relevante services, overzicht van kritieke data, gewenste testperiode en onderdelen die buiten scope blijven.
Getest op basis van erkende securityrichtlijnen
De testaanpak sluit aan op erkende bronnen zoals de OWASP Web Security Testing Guide, de OWASP Top 10 en de OWASP API Security Top 10, aangevuld met PTES, NIST SP 800-115, MITRE ATT&CK en gangbare AD- en netwerkmethodieken. Zo krijgt de bezoeker direct inzicht in de methode en de diepgang van de test.
Veelgestelde vragen
Antwoorden op vragen over scope, aanpak, rapportage, scanverschillen en doorlooptijd.
Laat hackers niet de eerste zijn
die je zwakke plek vinden.
Vraag een offerte aan voor een pentest van jouw website, applicatie of IT-omgeving. Je krijgt helder advies over de aanpak, de prijs en wat er nodig is om kwetsbaarheden gericht op te sporen.