Pentest, Red Team, Blue Team en Purple Team
Penetratietest, gesimuleerde aanval, verdedigingsteams: wat deze termen betekenen en wat u doet als u verdacht gedrag ziet.
In 30 seconden
- Waar het gebeurt
- In uw mailbox of op uw computer, wanneer er iets buiten het gewone valt, ongeacht of een test is aangekondigd.
- Wat de aanvaller wil
- Bij een penetratietest gebruikt de tester dezelfde hulpmiddelen en technieken als een tegenstander om na te gaan hoe stevig een systeem is1.
- De reflex
- Meld wat u verdacht lijkt snel aan de helpdesk of het SOC, zonder het te bespreken met de vermoedelijke dader en zonder de computer uit te zetten zolang men u dat niet vraagt.
- Als het al gebeurd is
- Vertel precies wat u zag, op welk moment, en wat u hebt aangeklikt of ingevoerd.
Waar gaat het over
In een bedrijf hoort u weleens over pentests, Red Teams, Blue Teams of Purple Teams. Deze woorden beschrijven test- en verdedigingsactiviteiten van specialisten. Voor een medewerker dienen ze vooral om één ding te weten: vreemd gedrag op uw computer of in uw mailbox kan komen van een geautoriseerde oefening, van een echte aanval of van een gewone storing, en in alle drie de gevallen moet u het melden.
De bronnen die voor dit artikel zijn verzameld, beschrijven penetratietesten en incidentbeheer nauwkeurig. Ze definiëren de termen Red Team, Blue Team en Purple Team niet. Het artikel houdt zich daarom aan wat deze bronnen zeggen en schrijft ze niets meer toe.
Directe vragen
Wat is een pentest?
Het Britse NCSC definieert het als een methode om zekerheid te krijgen over de beveiliging van een it-systeem door te proberen een deel of het geheel van die beveiliging te doorbreken, met de hulpmiddelen en technieken die een tegenstander zou gebruiken1. Het vergelijkt dit met een financiële audit: het interne team volgt de uitgaven dag na dag, en een externe audit controleert of zijn procedures volstaan1.
Het NIST publiceert van zijn kant een technische gids over het voorbereiden en uitvoeren van beveiligingstesten, het analyseren van de resultaten en herstelmaatregelen. Tot de genoemde toepassingen behoren het zoeken naar kwetsbaarheden in een systeem of netwerk en het controleren of een beveiligingsbeleid wordt nageleefd2.
Wat doet het Red Team, wat doet het Blue Team, en het Purple Team?
Geen van de hier aangehaalde bronnen definieert deze drie namen. Het NCSC beschrijft wel een test op basis van scenario's die ook de detectie- en reactiecapaciteit van de organisatie wil meten, om te weten hoe doeltreffend die is en hoever ze reikt in een bepaald scenario1. Voor de medewerker gaat het om detectie, en uw melding hoort daarbij.
Twee kennisbanken van MITRE dienen als gemeenschappelijke referentie. ATT&CK bevat tactieken en technieken van tegenstanders, afgeleid uit echte waarnemingen7. D3FEND is een kennisgraaf van tegenmaatregelen voor cyberbeveiliging8.
Kan een test mijn werk verstoren?
Het NCSC schrijft dat testers moeten vermijden het geteste systeem te hinderen, maar dat het onmogelijk is te garanderen dat er geen onverwachte reactie optreedt1. Een vertraging of vreemd gedrag kan zich dus tijdens een test voordoen. Meld het bij twijfel aan de helpdesk of het SOC.
Waarom is mijn melding belangrijk?
Een melding is een stap in de detectie. Het NCSC beschrijft incidentbeheer als een cyclus van vijf stappen, overgenomen van het NIST: identificeren, beschermen, detecteren, reageren, herstellen3. In zijn verzameling adviezen rekent het detectie en melding tot de basisvraagstukken van incidentrespons3. Het NIST wijst erop dat een responscapaciteit dient om incidenten snel te detecteren, verlies en vernietiging te beperken, de uitgebuite zwakke plekken te verhelpen en diensten te herstellen5.
1Hoe het werkt1 min
Een penetratietest volgt doorgaans een schema in vijf stappen: contact, afbakening, testen, rapport en opvolging. De gevonden problemen krijgen een ernstniveau1. De afbakening legt de technische grenzen, de verwachte soorten tests en de planning vast1. Het rapport somt de kwetsbaarheden op, het risiconiveau van elk ervan en een manier om ze te verhelpen1.
De testers kunnen het systeem vooraf al dan niet kennen. Bij een blackboxtest krijgen ze geen interne informatie: de test gebeurt van buitenaf en weerspiegelt beter het risico van aanvallers die de organisatie niet kent1. Bij een whiteboxtest beschikken ze over alle informatie over het doelwit1. Het NCSC voegt eraan toe dat ook de mate waarin beheerders van de test op de hoogte zijn, per test verschilt1.
Een pentest heeft grenzen. Hij bevestigt alleen dat er op de dag van de test geen bekende kwetsbaarheden zijn, en tussen twee tests kan een jaar of langer liggen1. Detectie door medewerkers en door het beveiligingsteam blijft dus nuttig tussen twee tests.
Daarna komt de incidentrespons. Het NIST publiceerde in april 2025 revisie 3 van zijn gids, die incidentrespons plaatst binnen het algemene risicobeheer van het Cybersecurity Framework 2.046. Ze wil reacties beter voorbereiden, het aantal en de impact van incidenten verkleinen, en detectie, respons en herstel verbeteren6.
2Wat u doet1 min
De volgende tekst is een praktisch advies en geen feit uit een bron: de procedure van uw bedrijf gaat altijd voor.
- Meld het zodra iets u abnormaal lijkt. Ga via de helpdesk of het SOC, afhankelijk van wat uw bedrijf aangeeft.
- Beschrijf de feiten: tijdstip, wat er werd weergegeven, wat u hebt geopend of ingevoerd. Een detail dat onbelangrijk lijkt, kan het team helpen meerdere signalen aan elkaar te koppelen.
- Antwoord niet aan de afzender van een verdacht bericht en confronteer de persoon die u verdenkt niet.
- Zet de computer niet uit zolang men u dat niet vraagt, en wacht op de instructies van de helpdesk of het SOC.
- Als u later hoort dat het om een oefening ging, was de melding niet nutteloos: ze zette de detectieketen in werking.
3De valkuilen1 min
Denken dat een oefening een echte aanval is, of omgekeerd. Omdat testers misschien geen interne informatie hebben gekregen en de mate waarin beheerders van de test op de hoogte zijn, verschilt1, is het verschil vanaf uw computer niet per se te zien. Meld in beide situaties.
Niet melden uit angst om de schuld te krijgen. Het NCSC gaat ervan uit dat incidenten zich kunnen en zullen voordoen, en dat voorbereiding helpt om ze goed af te handelen3.
Te laat melden. Het NIST omschrijft het doel van een responscapaciteit als het snel detecteren van incidenten en het beperken van verlies5.
Denken dat de beveiliging op de testers rust. Het NCSC stelt dat risicobeoordeling en beslissingen over herstel de verantwoordelijkheid van de organisatie blijven, en dat risicoverlaging een bedrijfsproces is dat niet helemaal aan het testteam mag worden overgelaten1.
Fiche
- Identificatie
- CP-247
- Vleugel
- 3. Protocollen en verdediging
- Brain-competentie
- Incidenten melden (report_incidents)
- Brain-reflex
- cr-014
- Schema
- G4 · Tijdlijn van het incident (analyse)
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 8 bronnen gecontroleerd op 3 november 2026
Bronnen8 bronnen
- NCSC (Royaume-Uni), “Penetration testing”, 8 augustus 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (geraadpleegd op 3 november 2026)
- NIST, “Technical Guide to Information Security Testing and Assessment”. https://csrc.nist.gov/pubs/sp/800/115/final (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Incident management”, 19 september 2019. https://www.ncsc.gov.uk/collection/incident-management (geraadpleegd op 3 november 2026)
- NIST, “Cybersecurity Framework”. https://www.nist.gov/cyberframework (geraadpleegd op 3 november 2026)
- NIST, “Computer Security Incident Handling Guide”, 6 augustus 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (geraadpleegd op 3 november 2026)
- NIST, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile”. https://csrc.nist.gov/pubs/sp/800/61/r3/final (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “MITRE ATT&CK®”. https://attack.mitre.org/ (geraadpleegd op 3 november 2026)
- MITRE, “MITRE D3FEND Knowledge Graph”. https://d3fend.mitre.org/ (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Pentest, Red Team, Blue Team en Purple Team”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp247_nl_2026,
author = {Brain},
title = {Pentest, Red Team, Blue Team en Purple Team},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/},
note = {CC BY 4.0}
}