Voorbeeldrapport van een kwetsbaarhedenscan

Een klantrapport is vertrouwelijk. Dit voorbeeld gaat daarom over dvwa.cloud, een eigen oefenomgeving van Hasecon die met opzet kwetsbaar is ingericht, zodat er bevindingen van kritiek tot informatief in staan. De 36 bevindingen komen uit een echte scan op niveau 3 van 4; dat aantal geldt voor deze omgeving. IP-adressen zijn weggelaten en lange waarnemingen en bewijsregels ingekort. Bij elke soort bevinding staat de bron: de scanmodule en het meetmoment, of de regel waaruit ze is afgeleid. Het rapport is digitaal verzegeld met een tijdstempel van een onafhankelijke dienst. Met het publieke certificaat van Exposentry kan een ontvanger controleren of er na het verzegelen iets aan is veranderd. Op welk scanniveau uw pakket scant, staat bij de prijzen.

Wat erin staat

Het rapport opent met een managementsamenvatting en beschrijft daarna de scope, de methode en de risicoclassificatie, met een overzicht naar ernst en een oorzaakanalyse. Daarna volgen het aanvalsoppervlak, met de open poorten en wat buiten scope is gelaten, en een indicatief raakvlak met compliance. Bij vrijwel elke soort bevinding staan de ernst, de uitleg, de bron en een aanbeveling, en waar van toepassing de waarneming met bewijs, de KEV- en EPSS-gegevens en de normkaders (ISO 27001, OWASP, CIS Controls en NIST CSF). Het sluit af met de toetsingsdekking (WSTG en CIS), de gebruikte hulpmiddelen, de conclusie met vervolgstappen en een verantwoording. Wat een externe scan meet en waar hij ophoudt, staat op de pagina over de kwetsbaarhedenscan.

Verzegeld op 27 oktober 2026 om 22:37 UTC · SHA-256 van het bestand: 2c7a22032ffc74b1a0634a55e30abb7ef207ab8b8f89317c33566c5f0029f32b