Wat ziet een aanvaller van je domein?

Gepubliceerd op 19 mei 2026 · Bijgewerkt op 21 juli 2026

Wie gericht probeert in te breken bij je organisatie, kijkt eerst rustig rond. Niet vanaf de straat, maar via het internet. Alles wat jouw domein, je servers en je diensten aan de buitenwereld laten zien, vormt samen je aanvalsoppervlak, in het Engels het attack surface. Hoe groter en onoverzichtelijker dat oppervlak, hoe meer mogelijkheden een aanvaller heeft. Het goede nieuws: je kunt grotendeels dezelfde verkenning zelf uitvoeren, en zo eerder zien wat er te vinden is.

Verkenning: wat doet een aanvaller eigenlijk?

Een aanvaller begint met reconnaissance: het verzamelen van publiek beschikbare informatie. Daar is vaak geen enkele inbraak voor nodig. Veel informatie staat gewoon open en is opvraagbaar. Een gevonden zwakke plek is vaak het startpunt voor de volgende stap. Die eerste fase is dus ook jouw belangrijkste kans om problemen te zien vóór een ander dat doet.

De onderdelen van je aanvalsoppervlak

DNS en subdomeinen

Je domeinnaam vertaalt via DNS naar IP-adressen en diensten. Aanvallers brengen graag al je subdomeinen in kaart: test., oud., vpn., mail., enzovoort. Vergeten subdomeinen die nog ergens naar verwijzen zijn een klassiek instappunt. Ook verkeerd ingestelde DNS-records (zoals ontbrekende SPF, DKIM en DMARC: de standaarden die e-mail namens jouw domein verifieerbaar en afdwingbaar maken) maken het makkelijker om uit jouw naam te phishen.

Een typisch scenario: een bedrijf laat voor een campagne actie.bedrijf.nl aanmaken, gekoppeld aan een extern platform. De campagne stopt, het platform-abonnement wordt opgezegd, maar het DNS-record blijft staan. Wie daarna dezelfde platformnaam claimt, serveert content onder actie.bedrijf.nl, jouw naam: een subdomain takeover, en het resultaat is een phishingdomein dat nauwelijks van echt te onderscheiden is. Meer van dit soort scenario's, en hoe je ze structureel voorkomt, lees je in schaduw-IT en NIS2: onbekende digitale assets beheren.

Open poorten en diensten

Elke server heeft poorten: deurtjes waarachter diensten draaien. Een webserver hoort op poort 80 en 443 te luisteren, maar staat er ook een databasepoort, een beheerinterface of een oude FTP-dienst open naar het hele internet? Dat is precies wat een aanvaller hoopt te vinden.

DNS-records en certificaten opvragen is passieve verkenning: daarvoor hoeft niemand je systemen aan te raken. Zelf poorten scannen is actief. Maar ook poortinformatie is passief opvraagbaar: gespecialiseerde zoekmachines zoals Shodan en Censys scannen doorlopend het hele internet en indexeren open poorten en softwarebanners. Een aanvaller hoeft je server dus vaak niet eens zelf aan te raken om te weten wat er draait, en jij kunt daar net zo goed je eigen IP-adressen opzoeken.

TLS en certificaten

Het slotje in de browser draait op TLS. Maar een verlopen certificaat, een verouderd protocol of een zwakke configuratie verzwakt de bescherming. Interessant detail: Certificate Transparency-logs zijn openbaar. Elk certificaat van een publiek vertrouwde uitgever verschijnt daarin, inclusief de (sub)domeinnaam waarvoor het is aangevraagd. Bij een wildcard-certificaat blijven individuele subdomeinen buiten beeld, net als subdomeinen zonder publiek certificaat. Ook aanvallers lezen die logs om je interne namen te ontdekken.

Blootgestelde panelen

Inlogschermen van beheersystemen, routers, camerasystemen, databasetools of CI/CD-omgevingen die rechtstreeks aan het internet hangen, zijn goud voor een aanvaller. Vaak draaien ze met standaardwachtwoorden of bekende kwetsbaarheden. Zulke blootgestelde panelen horen achter een VPN of IP-beperking, niet open en bloot op straat.

Verouderde software en CVE's

Bekende kwetsbaarheden krijgen een CVE-nummer (Common Vulnerabilities and Exposures). Aanvallers scannen massaal op softwareversies met een bekende CVE waarvoor een kant-en-klare exploit bestaat. Een verouderde WordPress-installatie met een kwetsbare plugin is daarvan het schoolvoorbeeld: enorm populair, en daardoor massaal aangevallen.

Waarom een momentopname niet genoeg is

Het internet staat niet stil. Vandaag is je omgeving netjes; volgende week verschijnt er een nieuwe CVE, zet een collega een testserver online of verloopt een certificaat. Eén scan per jaar veroudert snel: wat vandaag klopt, kan volgende maand anders zijn. Continue monitoring houdt je aanvalsoppervlak actueel in beeld, zodat nieuwe risico's opvallen zodra ze ontstaan, en niet pas bij een incident.

Modulair scannen met OpenKAT

Exposentry is gebouwd op OpenKAT, de open-source scanner die voortkomt uit de Nederlandse overheid. OpenKAT werkt modulair: kleine, gespecialiseerde scanmodules ("boefjes") onderzoeken elk een stukje van je aanvalsoppervlak, zoals DNS, poorten, TLS en softwareversies, en bouwen samen een actueel beeld op. Omdat elke bevinding herleidbaar is naar de module die hem vond, weet je niet alleen wat er gevonden is, maar ook hoe. Die modules kennen we van binnenuit: Edward Hasekamp draagt zelf bij aan OpenKAT. Meer over de tool zelf, en de hardnekkige misverstanden eromheen, lees je in wat OpenKAT is, en wat het níét is.

Wil je begrijpen waarom dat onderbouwde bewijs zo waardevol is, zeker richting grote klanten, lees dan scannen is geen NIS2-compliance. Wel een noodzakelijke bouwsteen. En lever je aan een grote organisatie, dan is ook de NIS2-ketenzorgplicht relevant.

Zelf eens kijken?

Zelf alvast een eerste indruk krijgen kan gratis: zoek je domein op in de openbare Certificate Transparency-logs (crt.sh) en controleer je e-mailinstellingen via internet.nl (wanneer zo'n gratis check volstaat en wanneer niet, lees je in internet.nl is gratis, wanneer heb je Exposentry nodig?). Zeker weten wat een aanvaller van jou ziet, kan alleen door zelf te meten. Begin met een eenmalige scan voor een momentopname, of kies een pakket met doorlopende monitoring. Bekijk de mogelijkheden en tarieven en maak je aanvalsoppervlak zichtbaar, voordat iemand anders dat voor je doet.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.