Vulnerability scan

Wat is een vulnerability scan?

Een vulnerability scan laat zien welke bekende zwakke plekken er in je systemen zitten. Het woord vulnerability betekent kwetsbaarheid: een fout in software, een instelling of een procedure die een aanvaller kan misbruiken. NIST, het Amerikaanse standaardisatie-instituut, omschrijft vulnerability scanning als een techniek om systemen en hun eigenschappen te vinden en de bijbehorende kwetsbaarheden vast te stellen.

Volgens het NCSC scant een kwetsbaarhedenscan op bekende kwetsbaarheden en ontbrekende patches. Daarnaast vindt een scan zwakke configuraties, standaardwachtwoorden, onvoldoende encryptie en veelvoorkomende problemen in webapplicaties.

Een scan is breed maar niet diep. Hij controleert veel systemen snel, maar zegt meestal niet wat de gevolgen van een kwetsbaarheid zijn voor jouw organisatie. Daarvoor is een pentest nodig. Het NCSC adviseert om met een kwetsbaarhedenscan te beginnen, omdat een pentest zonder die basis minder effectief is.

Een losse scan is een momentopname. Organisaties die regelmatig scannen, de uitkomsten prioriteren en de problemen oplossen, doen aan vulnerability management.

Wat is het verschil tussen een vulnerability scan en een pentest?

Een vulnerability scan zoekt in de breedte naar bekende kwetsbaarheden, een pentest zoekt in de diepte en buit kwetsbaarheden echt uit. Het NCSC zet de verschillen zo op een rij:

	Vulnerability scan	Pentest
Doel	Bekende kwetsbaarheden en ontbrekende patches vinden	Laten zien hoe ver een aanvaller echt komt
Werkwijze	Geautomatiseerd, zonder in te breken	Handmatig, een getrainde tester buit kwetsbaarheden uit
Reikwijdte	Breed: veel systemen tegelijk	Diep: een afgebakend systeem of netwerk
Uitkomst	Lijst met kwetsbaarheden en ernst	Aangetoonde aanvalspaden en impact
Tijd en kosten	Sneller en goedkoper	Meer tijd en budget

Een security assessment is weer breder dan beide: het beoordeelt ook beleid, processen en organisatie.

Hoe werkt een vulnerability scan?

Een vulnerability scan werkt met een scanner die systemen afloopt en de gevonden software vergelijkt met een database van bekende kwetsbaarheden. Die kwetsbaarheden hebben vaak een CVE-nummer en een ernstscore volgens CVSS. Een scan verloopt meestal zo:

1. Bepaal welke systemen, IP-adressen of websites je scant en leg toestemming vast.
2. Kies tussen een externe scan (vanaf internet) en een interne scan (binnen het netwerk).
3. Laat de scanner systemen, open poorten en softwareversies in kaart brengen.
4. Vergelijk de gevonden versies en instellingen met bekende kwetsbaarheden.
5. Beoordeel het rapport en haal valse meldingen eruit.
6. Los de problemen op in volgorde van ernst en scan opnieuw om te controleren.

Voor het mkb is een externe scan van website, mailserver en VPN-toegang vaak de eerste stap, omdat aanvallers juist die systemen vanaf internet aftasten.

Voorbeeld uit de praktijk

In juni 2025 maakte Citrix ernstige kwetsbaarheden bekend in NetScaler ADC en Gateway, systemen die veel organisaties gebruiken voor toegang op afstand. Het Dutch Institute for Vulnerability Disclosure (DIVD), een Nederlandse organisatie die internet scant op kwetsbaarheden, begon op 24 juni 2025 met scannen naar kwetsbare systemen en stuurde op 26 juni de eerste waarschuwingen aan eigenaren. In juli en augustus volgden nieuwe scanrondes (bron: DIVD, case DIVD-2025-00031).

Volgens Security.NL, op basis van scans van The Shadowserver Foundation, waren er voor de kwetsbaarheid CitrixBleed 2 (CVE-2025-5777) wereldwijd 1.289 kwetsbare servers, waarvan 24 in Nederland (bron: Security.NL, 30 juni 2025).

Vulnerability scan in de praktijk van een security-professional

Een SOC-analist of systeembeheerder draait regelmatig scans en zet de uitkomsten door naar de teams die moeten patchen. Een ethical hacker gebruikt scanners als eerste stap van een pentest, om snel te zien waar zwakke plekken zitten.

Een security consultant vertaalt het scanrapport naar prioriteiten voor de directie. Het meeste werk zit niet in het scannen zelf, maar in het beoordelen van de uitkomsten en het opvolgen van de verbeteringen.

Veelgestelde vragen

Wat is een vulnerability?

Een vulnerability is een kwetsbaarheid: een zwakke plek in een systeem, beveiligingsprocedure of implementatie die een aanvaller kan misbruiken. NIST omschrijft het als een zwakte die door een dreiging kan worden uitgebuit of geactiveerd. Voorbeelden zijn een fout in software, een ontbrekende update of een standaardwachtwoord.

Wat is vulnerability management?

Vulnerability management is het doorlopende proces van kwetsbaarheden vinden, beoordelen, oplossen en controleren. Een vulnerability scan is daarbinnen het meetinstrument. Het proces bepaalt daarnaast welke kwetsbaarheden eerst worden opgelost, wie verantwoordelijk is en hoe snel updates worden geïnstalleerd.

Wat betekent CVE?

CVE staat voor Common Vulnerabilities and Exposures. Het is een openbare lijst van bekende kwetsbaarheden, waarin elke kwetsbaarheid een uniek nummer, een beschrijving en minstens 1 openbare verwijzing krijgt. Een voorbeeld is CVE-2025-5777 voor een kwetsbaarheid in Citrix. Scanners gebruiken CVE-nummers om gevonden problemen te benoemen.

Wat zijn CVD-meldingen?

CVD staat voor Coordinated Vulnerability Disclosure: het gecoördineerd melden van kwetsbaarheden. Iemand die een kwetsbaarheid vindt, meldt die bij de eigenaar of bij het NCSC, zodat het probleem wordt opgelost voordat het wordt misbruikt. Organisaties leggen in een CVD-beleid vast hoe ze meldingen ontvangen en afhandelen.