Terug naar kennisbank

Scanverkeer van Exposentry herkennen

Gepubliceerd op 28 oktober 2026 · Bijgewerkt op 30 oktober 2026

Uw firewall of hostingpartij meldt verkeer van een onbekend adres dat uw website afloopt. Komt het van een van de adressen hieronder, dan is het Exposentry, de scan die u zelf heeft aangezet. Deze pagina zet op een rij waar dat verkeer vandaan komt, hoe het zich aandient en wat u ervan kunt verwachten, zodat u het kunt doorgeven aan uw IT-beheerder, hostingpartij of SOC.

Vanaf welke adressen we scannen

Het HTTP-, poort- en actieve-testverkeer van ons komt van de adressen hierboven. We scannen over IPv4 en IPv6. Welke van de twee een scanmodule kiest bij een systeem dat beide heeft, verschilt per module. Zet daarom beide adressen op uw allowlist. Komt er een adres bij, dan staat het hier voordat we het gebruiken. Twijfelt u over verkeer dat zich als Exposentry voordoet? Mail dan naar scan@exposentry.io.

Eén soort verkeer is de uitzondering: bij het zoeken naar subdomeinen (scanniveau 3) stellen we DNS-vragen aan de naamserver van uw domein. Die vragen lopen via de DNS-resolver van onze server. Het bronadres daarvan is geen van de adressen hierboven en is ook niet vooraf op een allowlist te zetten. Alleen een directe zoneoverdracht (AXFR) proberen we wél vanaf de adressen hierboven. DNS-vragen herkent u daarom aan de inhoud en het patroon van het verkeer; het bronadres is daarvoor niet bruikbaar.

Hoe het verkeer zich aandient

De webscanner (Nikto) en de drie Nuclei-scans op scanniveau 3 geven zich in de regel met deze User-Agent aan:

Mozilla/5.0 (compatible; Exposentry-OpenKAT; +https://exposentry.io/kennisbank/scanverkeer-exposentry)

De poortscan (nmap met versieherkenning) stuurt alleen korte protocolproeven, zoals een kale GET / HTTP/1.0, zonder User-Agent. Andere scanmodules die een webpagina ophalen, sturen hun eigen standaard-User-Agent. Voor dat verkeer is het bronadres de betrouwbaarste manier om ons te herkennen.

Wat er per scanniveau gebeurt

Exposentry gebruikt de scanners van OpenKAT, de beveiligingsscanner met open broncode die binnen de Nederlandse overheid is ontwikkeld. Wat er gebeurt, hangt af van het scanniveau van uw domein:

• Niveau 1 raakt uw systemen niet: we lezen openbare bronnen, zoals DNS en certificaatregisters. Leveranciers die u volgt in NIS2 + Keten blijven op dit niveau.
• Niveau 2 legt contact met uw systemen: een poortscan, het ophalen van uw website en certificaten, en het herkennen van softwareversies. Dit is het niveau van de Nulmeting en Ketenpartner.
• Niveau 3 en hoger test actief op bekende kwetsbaarheden en zoekt via uw naamserver naar subdomeinen. Dat zijn duizenden tot tienduizenden verzoeken, gespreid over de scan; de modules die systemen overbelasten, draaien niet mee. De NIS2-pakketten doen dit standaard omdat het bij hun pakket hoort; Ketenpartner scant standaard op niveau 2, en niveau 3 is daar een bewuste keuze per domein met uw toestemming. Beide pas nadat het domein op twee manieren is geverifieerd (een DNS-record én een bestand op de webserver).

Exposentry draait de Nuclei-scanner van OpenKAT met een eigen filter op de testmodules: modules met een label voor bestanden uploaden, inloggegevens raden, fuzzen, overbelasten of schade aanrichten, draaien niet mee. De tests zijn zo gericht op het aantonen van kwetsbaarheden, niet op het misbruiken ervan. Dat filter werkt op de labels van de modules en is geen absolute garantie. OpenKAT scant doorlopend en op elk tijdstip; er is geen vast tijdvak. Hoe u een domein verifieert, leest u in de handleiding uw domein verifiëren.

Wat u kunt doen

Geef de adressen door aan uw IT-beheerder, uw hostingpartij en, als u die hebt, uw SOC. Blokkeert een firewall het verkeer, dan ziet de scan minder dan een aanvaller en klopt het rapport niet meer met uw werkelijke buitenkant. Sommige hostingpartijen vragen vooraf een melding voor beveiligingstests; doe die dan voordat u scanniveau 3 aanzet.

Wilt u dat we stoppen, of ziet u verkeer van ons dat u niet verwacht? Mail scan@exposentry.io. Scanniveau 3 trekt u zelf in via het dashboard. Vanaf dat moment plannen we geen nieuwe tests op niveau 3 meer in; een test die al loopt ronden we af, en het domein staat uiterlijk binnen vier uur weer op scanniveau 2. De kwetsbaarheden die we op niveau 3 al vonden, blijven in uw laatste rapport staan. U kunt niveau 3 later weer aanzetten. Wat wel en niet is toegestaan, staat in de Acceptable Use Policy.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.