--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: nl title: Pentest, Red Team, Blue Team en Purple Team description: "Penetratietest, gesimuleerde aanval, verdedigingsteams: wat deze termen betekenen en wat u doet als u verdacht gedrag ziet." canonical_url: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Pentest, Red Team, Blue Team en Purple Team”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ it: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team en Purple Team In een bedrijf hoort u weleens over pentests, Red Teams, Blue Teams of Purple Teams. Deze woorden beschrijven test- en verdedigingsactiviteiten van specialisten. Voor een medewerker dienen ze vooral om één ding te weten: vreemd gedrag op uw computer of in uw mailbox kan komen van een geautoriseerde oefening, van een echte aanval of van een gewone storing, en in alle drie de gevallen moet u het melden. De bronnen die voor dit artikel zijn verzameld, beschrijven penetratietesten en incidentbeheer nauwkeurig. Ze definiëren de termen Red Team, Blue Team en Purple Team niet. Het artikel houdt zich daarom aan wat deze bronnen zeggen en schrijft ze niets meer toe. ## In 30 seconden - Waar het gebeurt: in uw mailbox of op uw computer, wanneer er iets buiten het gewone valt, ongeacht of een test is aangekondigd. - Wat de aanvaller wil: bij een penetratietest gebruikt de tester dezelfde hulpmiddelen en technieken als een tegenstander om na te gaan hoe stevig een systeem is [1]. - De reflex: meld wat u verdacht lijkt snel aan de helpdesk of het SOC, zonder het te bespreken met de vermoedelijke dader en zonder de computer uit te zetten zolang men u dat niet vraagt. - Als het al gebeurd is: vertel precies wat u zag, op welk moment, en wat u hebt aangeklikt of ingevoerd. ## Directe vragen ### Wat is een pentest? Het Britse NCSC definieert het als een methode om zekerheid te krijgen over de beveiliging van een it-systeem door te proberen een deel of het geheel van die beveiliging te doorbreken, met de hulpmiddelen en technieken die een tegenstander zou gebruiken [1]. Het vergelijkt dit met een financiële audit: het interne team volgt de uitgaven dag na dag, en een externe audit controleert of zijn procedures volstaan [1]. Het NIST publiceert van zijn kant een technische gids over het voorbereiden en uitvoeren van beveiligingstesten, het analyseren van de resultaten en herstelmaatregelen. Tot de genoemde toepassingen behoren het zoeken naar kwetsbaarheden in een systeem of netwerk en het controleren of een beveiligingsbeleid wordt nageleefd [2]. ### Wat doet het Red Team, wat doet het Blue Team, en het Purple Team? Geen van de hier aangehaalde bronnen definieert deze drie namen. Het NCSC beschrijft wel een test op basis van scenario's die ook de detectie- en reactiecapaciteit van de organisatie wil meten, om te weten hoe doeltreffend die is en hoever ze reikt in een bepaald scenario [1]. Voor de medewerker gaat het om detectie, en uw melding hoort daarbij. Twee kennisbanken van MITRE dienen als gemeenschappelijke referentie. ATT&CK bevat tactieken en technieken van tegenstanders, afgeleid uit echte waarnemingen [7]. D3FEND is een kennisgraaf van tegenmaatregelen voor cyberbeveiliging [8]. ### Kan een test mijn werk verstoren? Het NCSC schrijft dat testers moeten vermijden het geteste systeem te hinderen, maar dat het onmogelijk is te garanderen dat er geen onverwachte reactie optreedt [1]. Een vertraging of vreemd gedrag kan zich dus tijdens een test voordoen. Meld het bij twijfel aan de helpdesk of het SOC. ### Waarom is mijn melding belangrijk? Een melding is een stap in de detectie. Het NCSC beschrijft incidentbeheer als een cyclus van vijf stappen, overgenomen van het NIST: identificeren, beschermen, detecteren, reageren, herstellen [3]. In zijn verzameling adviezen rekent het detectie en melding tot de basisvraagstukken van incidentrespons [3]. Het NIST wijst erop dat een responscapaciteit dient om incidenten snel te detecteren, verlies en vernietiging te beperken, de uitgebuite zwakke plekken te verhelpen en diensten te herstellen [5]. ## Hoe het werkt Een penetratietest volgt doorgaans een schema in vijf stappen: contact, afbakening, testen, rapport en opvolging. De gevonden problemen krijgen een ernstniveau [1]. De afbakening legt de technische grenzen, de verwachte soorten tests en de planning vast [1]. Het rapport somt de kwetsbaarheden op, het risiconiveau van elk ervan en een manier om ze te verhelpen [1]. De testers kunnen het systeem vooraf al dan niet kennen. Bij een blackboxtest krijgen ze geen interne informatie: de test gebeurt van buitenaf en weerspiegelt beter het risico van aanvallers die de organisatie niet kent [1]. Bij een whiteboxtest beschikken ze over alle informatie over het doelwit [1]. Het NCSC voegt eraan toe dat ook de mate waarin beheerders van de test op de hoogte zijn, per test verschilt [1]. Een pentest heeft grenzen. Hij bevestigt alleen dat er op de dag van de test geen bekende kwetsbaarheden zijn, en tussen twee tests kan een jaar of langer liggen [1]. Detectie door medewerkers en door het beveiligingsteam blijft dus nuttig tussen twee tests. Daarna komt de incidentrespons. Het NIST publiceerde in april 2025 revisie 3 van zijn gids, die incidentrespons plaatst binnen het algemene risicobeheer van het Cybersecurity Framework 2.0 [4][6]. Ze wil reacties beter voorbereiden, het aantal en de impact van incidenten verkleinen, en detectie, respons en herstel verbeteren [6]. ## Wat u doet De volgende tekst is een praktisch advies en geen feit uit een bron: de procedure van uw bedrijf gaat altijd voor. - Meld het zodra iets u abnormaal lijkt. Ga via de helpdesk of het SOC, afhankelijk van wat uw bedrijf aangeeft. - Beschrijf de feiten: tijdstip, wat er werd weergegeven, wat u hebt geopend of ingevoerd. Een detail dat onbelangrijk lijkt, kan het team helpen meerdere signalen aan elkaar te koppelen. - Antwoord niet aan de afzender van een verdacht bericht en confronteer de persoon die u verdenkt niet. - Zet de computer niet uit zolang men u dat niet vraagt, en wacht op de instructies van de helpdesk of het SOC. - Als u later hoort dat het om een oefening ging, was de melding niet nutteloos: ze zette de detectieketen in werking. ## De valkuilen Denken dat een oefening een echte aanval is, of omgekeerd. Omdat testers misschien geen interne informatie hebben gekregen en de mate waarin beheerders van de test op de hoogte zijn, verschilt [1], is het verschil vanaf uw computer niet per se te zien. Meld in beide situaties. Niet melden uit angst om de schuld te krijgen. Het NCSC gaat ervan uit dat incidenten zich kunnen en zullen voordoen, en dat voorbereiding helpt om ze goed af te handelen [3]. Te laat melden. Het NIST omschrijft het doel van een responscapaciteit als het snel detecteren van incidenten en het beperken van verlies [5]. Denken dat de beveiliging op de testers rust. Het NCSC stelt dat risicobeoordeling en beslissingen over herstel de verantwoordelijkheid van de organisatie blijven, en dat risicoverlaging een bedrijfsproces is dat niet helemaal aan het testteam mag worden overgelaten [1]. ## Bronnen 1. NCSC (Royaume-Uni), “Penetration testing”, 8 augustus 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (geraadpleegd op 3 november 2026) 2. NIST, “Technical Guide to Information Security Testing and Assessment”. https://csrc.nist.gov/pubs/sp/800/115/final (geraadpleegd op 3 november 2026) 3. NCSC (Royaume-Uni), “Incident management”, 19 september 2019. https://www.ncsc.gov.uk/collection/incident-management (geraadpleegd op 3 november 2026) 4. NIST, “Cybersecurity Framework”. https://www.nist.gov/cyberframework (geraadpleegd op 3 november 2026) 5. NIST, “Computer Security Incident Handling Guide”, 6 augustus 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (geraadpleegd op 3 november 2026) 6. NIST, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile”. https://csrc.nist.gov/pubs/sp/800/61/r3/final (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “MITRE ATT&CK®”. https://attack.mitre.org/ (geraadpleegd op 3 november 2026) 8. MITRE, “MITRE D3FEND Knowledge Graph”. https://d3fend.mitre.org/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.