Voor organisaties die willen weten wat er écht open staat
Kwetsbaarhedenscan: doorlopend en van buitenaf
Een certificaat zegt wat er op papier geregeld is. Een kwetsbaarhedenscan meet wat er vandaag werkelijk aan het internet hangt: open poorten, verlopen certificaten, bekende kwetsbaarheden en vergeten subdomeinen.
Wat is een kwetsbaarhedenscan?
Een kwetsbaarhedenscan is een geautomatiseerd onderzoek dat systemen vergelijkt met databases van bekende kwetsbaarheden (CVE's) en misconfiguraties. Kwetsbaarhedenscans bestaan in interne en externe varianten; Exposentry meet extern, vanaf het internet, omdat dat het beeld is waarmee een aanvaller begint: domeinen en subdomeinen, open poorten, certificaten, mailrecords en versie-informatie van software die aan het internet hangt.
Exposentry voert die scan doorlopend uit op basis van OpenKAT, de open-source securityscanner ontwikkeld binnen de Nederlandse overheid; oprichter Edward Hasekamp draagt bij aan de ontwikkeling van dat project. Elke bevinding komt in een Nederlandstalig rapport met uitleg en concrete herstelstappen, bij een abonnement elke maand en bij een nulmeting aan het begin van de looptijd en op verzoek tussendoor. Het rapport is digitaal verzegeld en onafhankelijk te controleren.
Zo werkt de kwetsbaarhedenscan van Exposentry
1. Aanmelden en domein verifiëren
U meldt zich online aan en bewijst via een DNS-record of een bestand op uw website dat het domein van u is. Er wordt niets geïnstalleerd en niemand krijgt toegang tot uw systemen.
2. Aanvalsoppervlak in kaart
De scanner brengt eerst in kaart wat er van uw organisatie aan het internet hangt, inclusief subdomeinen en diensten die intern al vergeten waren.
3. Doorlopend scannen
Alles wat gevonden is wordt doorlopend getoetst aan bekende kwetsbaarheden en misconfiguraties. Nieuwe systemen en nieuwe kwetsbaarheden worden automatisch meegenomen.
4. Maandelijks verzegeld rapport
Bij een abonnement ontvangt u maandelijks een rapport met per bevinding de uitleg en herstelstappen, digitaal verzegeld met een tijdstempel. Daarmee is aantoonbaar dat het rapport sinds het opstellen ongewijzigd is.
Wat er in het rapport staat
Per soort bevinding ziet u wat er is aangetroffen, welke systemen het treft, hoe ernstig het is en hoe u het herstelt. Staat een bekende kwetsbaarheid op de KEV-lijst van CISA, dan meldt het rapport dat; waar beschikbaar staan de EPSS-kans op misbruik en de manier waarop de kwetsbaarheid is vastgesteld erbij. Waar het bewijsspoor te herleiden is, staat ook welke scanmodule van OpenKAT de waarneming deed en wanneer. Infrastructuur van dienstverleners die alleen via uw DNS-records in beeld komt, zoals de nameservers of het CDN van uw provider, telt niet mee in de bevindingen; het rapport noemt die apart. Waar mogelijk is een bevinding indicatief gekoppeld aan beheersmaatregelen uit ISO 27001 en, als uw sector bekend is, uit een kader dat daarbij past: een startpunt voor uw eigen toetsing.
Betaalde rapporten verzegelt Exposentry digitaal, en een onafhankelijke tijdstempeldienst legt vast wanneer dat gebeurde. Hoe u, uw klant of uw auditor nagaat dat een rapport sindsdien niet is gewijzigd, staat in een Exposentry-rapport verifiëren.
Het voorbeeldrapport over dvwa.cloud, een met opzet kwetsbare oefenomgeving van Hasecon, laat zien hoe zo'n rapport eruitziet (PDF van 21 pagina's, verzegeld, op aanvraag via uw zakelijke e-mailadres). Het is gemaakt op scanniveau 3; de nulmeting en Ketenpartner scannen standaard op niveau 2.
Waar de scan ophoudt en een pentest begint
Een pentest is diepgaand handmatig onderzoek op één moment, binnen een afgesproken scope. Een kwetsbaarhedenscan is breder, geautomatiseerd en doorlopend. De twee vullen elkaar aan: de scan laat zien of de basis aan de buitenkant op orde is en waar diepgaand onderzoek zinvol is.
| Kwetsbaarhedenscan | Pentest | |
|---|---|---|
| Uitvoering | Geautomatiseerd | Handmatig, door een specialist |
| Dekking | Het externe aanvalsoppervlak van uw geverifieerde domeinen, inclusief gevonden subdomeinen | Afgesproken scope |
| Diepgang | Bekende kwetsbaarheden en configuratie | Aanvalspaden, bedrijfslogica, creativiteit |
| Frequentie | Doorlopend | Meestal eens per jaar of na grote wijzigingen |
| Kosten in de markt | Van gratis tot enkele honderden euro's per maand | Vanaf ongeveer €1.000; voor één webapplicatie meestal €3.000 tot €15.000 |
| Resultaat | Actueel, herhaalbaar beeld; bij een abonnement met het verloop per maand | Diepe momentopname met bewezen impact |
| Detectiezekerheid | Bij Exposentry per bekende kwetsbaarheid vermeld: afgeleid uit versie-informatie of vastgesteld met een gericht verzoek | Handmatig bevestigd |
| Wat het aantoont | Wat er op een moment van buiten zichtbaar was; bij Exposentry gedateerd en, bij betaalde rapporten, verzegeld | Of een aanvaller binnen de scope werkelijk verder kwam |
Wanneer welk instrument past en in welke volgorde u ze inzet, leest u in pentest of kwetsbaarhedenscan: het verschil. Wat beide in de markt kosten, per soort dienst en met bron, staat in wat kost een kwetsbaarhedenscan, en wat kost een pentest.
Wat een externe scan niet ziet
Een externe scan kijkt van buitenaf, zoals een aanvaller begint. Wat achter een inlog zit, systemen op domeinen die u niet heeft opgegeven, uw interne netwerk, werkplekken, de logica van een applicatie en het gedrag van medewerkers vallen daarbuiten; daarvoor zijn een interne scan, een pentest of een phishingtest de geschikte middelen. Een bekende kwetsbaarheid die uit een versienummer is afgeleid, kan een vals alarm zijn bij software waarin een beveiligingspatch is verwerkt zonder dat het versienummer verandert (een backport). Het rapport vermeldt daarom bij bekende kwetsbaarheden hoe ze zijn vastgesteld. Wilt u de impact van een bevinding kennen, dan is dat vaak het moment voor een gerichte pentest.
Onafhankelijke meting, rechtstreeks aan u
Exposentry verkoopt geen hersteldiensten bij de bevindingen en heeft daardoor geen belang bij de uitkomst van de scan. Rapporten gaan rechtstreeks naar u en worden niet gedeeld met derden.
Veelgestelde vragen
Wat kost een kwetsbaarhedenscan?
Ter indicatie, volgens het kostenoverzicht in de kennisbank: een externe scan die u zelf bedient, kost van gratis tot enkele honderden euro's per maand, een eenmalige scan met rapport ongeveer €300 tot €2.000, en doorlopend met duiding door specialisten €295 tot €750 per maand. Bij Exposentry kost een eenmalige nulmeting €495 en begint doorlopende monitoring bij €249 per maand, online af te sluiten zonder verkoopgesprek. Stapt u binnen 60 dagen na de nulmeting over op een jaarabonnement, dan wordt het volledige bedrag verrekend.
Prijzen per soort dienst, met bron →Wat is het verschil met een pentest?
Een pentest is handmatig, diepgaand en momentgebonden; een kwetsbaarhedenscan is geautomatiseerd, breed en doorlopend. Wanneer welke vorm past en in welke volgorde u ze inzet, leest u in de kennisbank.
Pentest of kwetsbaarhedenscan: het verschil →Hoe vaak moet je een kwetsbaarhedenscan uitvoeren?
Vaker dan de meeste organisaties doen. Er verschijnen tienduizenden nieuwe kwetsbaarheden per jaar en uw eigen omgeving verandert doorlopend mee. Het NCSC beschrijft kwetsbaarhedenbeheer (in de markt ook kwetsbaarheidsbeheer genoemd) daarom als doorlopend proces; een jaarlijkse scan laat maandenlang blinde vlekken bestaan.
Is een kwetsbaarhedenscan verplicht onder NIS2?
Nee. NIS2 en de Cyberbeveiligingswet, sinds 15 augustus 2026 van kracht, verplichten geen enkele tool of scan bij naam. De wet eist passende maatregelen die u kunt aantonen; een doorlopende scan is daarvoor een aantoonbare bouwsteen. In de kennisbank staat precies hoe dat zit.
Bestaat er een gratis kwetsbaarhedenscan?
Ja, als eerste indruk. De gratis securityscan van Exposentry meet op basis van openbare bronnen wat er van uw domein zichtbaar is en mailt u het resultaat. Een betaald pakket scant uw systemen zelf, doorlopend zolang het pakket loopt: open poorten, uw website en certificaten, en de softwareversies die erop draaien, getoetst aan bekende kwetsbaarheden (CVE's). Actieve tests, die nagaan of een bekende kwetsbaarheid werkelijk aanwezig is, zitten in de NIS2-pakketten en bij Ketenpartner per domein, met uw toestemming. In beide gevallen verifieert u het domein via DNS én bestand.
Probeer de gratis securityscan →Weten wat er vandaag open staat?
Begin met een eenmalige nulmeting voor €495, of kies direct voor doorlopende monitoring vanaf €249 per maand. Na betaling en domeinverificatie start de meting; het eerste rapport volgt doorgaans dezelfde dag.
Start een scanLiever zelf OpenKAT draaien of maatwerk nodig? Hasecon verzorgt implementatie, beheer en custom development →