Stel je voor dat iemand elke nacht langs alle deuren en ramen van je bedrijfspand loopt en controleert of ze op slot zitten. Niet om in te breken, maar om jou de volgende ochtend een briefje te geven: de achterdeur stond open, het raam op de eerste verdieping sluit niet goed, en het slot van de zijingang is van een type dat inbrekers in tien seconden openkrijgen.
Dat is, in het kort, wat een kwetsbaarheidsscan doet. Alleen dan voor je netwerk, je servers en alles wat jouw bedrijf via het internet bereikbaar maakt.
Wat een kwetsbaarheidsscan precies is
Een kwetsbaarheidsscan is een geautomatiseerde controle van je digitale omgeving op bekende zwakke plekken. Het woord bekend is belangrijk. Elke dag ontdekken onderzoekers nieuwe beveiligingsfouten in software die bedrijven dagelijks gebruiken: Microsoft-producten, WordPress, netwerkapparatuur van Cisco, e-mailservers, noem maar op. Die fouten worden gepubliceerd in een wereldwijde database, elk met een eigen nummer.
Een kwetsbaarheidsscan vergelijkt jouw omgeving met die database. Draait er ergens een versie van een programma waar zo’n bekend lek in zit? Dan komt dat in het rapport te staan.
Belangrijk om te weten: de scan kijkt van buitenaf. Hij benadert jouw omgeving via het internet, precies zoals een aanvaller dat zou doen. Er hoeft niets geïnstalleerd te worden en niemand hoeft toegang te geven tot jouw systemen.
Waar de scan naar kijkt
De meeste ondernemers denken bij “zwakke plekken” aan een website die gehackt kan worden. Dat is één onderdeel, maar het aanvalsoppervlak van een bedrijf is groter. Een kwetsbaarheidsscan controleert vier dingen.
Open poorten
Elke dienst die via het internet bereikbaar is, luistert op een zogeheten poort. Je website, je e-mail, een klantenportaal, een beheeromgeving. Een deel daarvan hoort open te staan. Maar in de praktijk staan er vaak ook poorten open die niemand meer gebruikt: een testomgeving van jaren geleden, een beheerpaneel dat alleen intern bedoeld was, een oude koppeling met een leverancier. Elke onnodig open poort is een extra deur waar een aanvaller aan kan voelen.
Bekende kwetsbaarheden in software
Dit is de kern van de scan. Van elk programma dat via het internet zichtbaar is, wordt gekeken welke versie er draait en of daar een gepubliceerd lek in zit. Van kritieke lekken die op dit moment actief worden misbruikt tot kleinere risico’s die je gepland kunt aanpakken.
SSL/TLS-configuratie
Het slotje in de browser zegt dat de verbinding versleuteld is, maar niet hoe goed. Een verlopen certificaat, een verouderde versleutelingsmethode of een verkeerde instelling maakt het mogelijk om verkeer tussen jouw website en je bezoekers te onderscheppen. De scan controleert de volledige instelling, niet alleen of het certificaat geldig is. Wat er gebeurt als een certificaat verloopt, lees je in ons artikel daarover.
Verkeerde configuraties
Een server die anders is ingesteld dan bedoeld. Een standaardwachtwoord dat nooit is gewijzigd. Een beheeromgeving die van buitenaf bereikbaar is terwijl dat nooit de bedoeling was. Configuratiefouten zijn een van de meest voorkomende oorzaken van succesvolle aanvallen, juist omdat ze onzichtbaar zijn totdat iemand ze vindt.
Waarom je er zelf niets van merkt
Dit is wat een kwetsbaarheidsscan zo waardevol maakt en tegelijk zo makkelijk te onderschatten: een kwetsbaarheid doet niets. Je website werkt gewoon. Je e-mail komt aan. Niemand belt met een klacht.
Bedrijven installeren software, passen instellingen aan en voegen diensten toe. Wat er ondertussen openstaat, welke versie waar draait en wie er van buitenaf bij kan, houdt vrijwel niemand bij. Tenzij iemand het bewust controleert.
Aanvallers doen dat wel. Geautomatiseerde programma’s doorzoeken het hele internet, dag en nacht, op precies die bekende lekken. Zodra een kwetsbaarheid wordt gepubliceerd, begint een race: wie is er sneller, de eigenaar die de update installeert of de aanvaller die het lek misbruikt? Zonder actieve scan weet je niet eens dat je meedoet aan die race.
Wat je terugkrijgt
Het resultaat van een scan is geen technische uitdraai van honderden regels. Je krijgt een rapport in gewone taal, binnen 24 uur. Per bevinding staat erin:
- Wat het is. Bijvoorbeeld: een beheerpaneel dat via het internet bereikbaar is.
- Waarom het een risico is. Wat een aanvaller ermee zou kunnen doen.
- Hoe urgent het is. Kritiek, hoog of laag, zodat je weet wat vandaag moet en wat kan wachten.
- Wat er concreet moet gebeuren. Een update installeren, een poort sluiten, een instelling wijzigen.
Dat rapport is niet alleen een actielijst. Het is ook bewijs. Steeds meer klanten, accountants en auditors willen zien dat je je beveiliging actief test. Een kwetsbaarheidsscan is precies het soort technische maatregel dat de AVG en NIS2 van je verwachten, en het rapport laat zien dat je het serieus neemt.
Hoe vaak moet je scannen?
Eén scan is een goede nulmeting. Maar je omgeving verandert en er komen dagelijks nieuwe lekken bij. Een scan van een jaar geleden zegt weinig over vandaag.
Daarom is scannen bij Orange Warriors geen losse actie maar onderdeel van de pakketten: in Guardian herhalen wij de scan jaarlijks, in Sentinel elk kwartaal. Vind je iets in het rapport? Dan helpen wij het te dichten, of we stemmen het af met jouw IT-leverancier. Daarna scannen we opnieuw, zodat je zeker weet dat het lek ook echt gedicht is.
Wil je eerst zien wat een scan bij jou oplevert? Wij voeren er gratis één uit. Jij hoeft er niets voor te doen.
Bronnen en verder lezen
- CVE Program: het wereldwijde register van bekende kwetsbaarheden.
- NVD, National Vulnerability Database: scores en details per CVE.
- Digital Trust Center: basisprincipes voor veilig digitaal ondernemen (Ministerie van EZ).
