Scannen en assetinventarisatie

Actieve detectie onderzoekt het netwerk (ping-sweeps en poortscans) om actieve hosts te vinden. Deze methode is grondig, maar veroorzaakt veel ruis en kan bedrijfsmiddelen missen die tijdens de scan uitgeschakeld zijn.

Passieve detectie houdt verkeer, DHCP en logboeken in de gaten om bedrijfsmiddelen zonder actieve sondes te vinden. Combineer beide: passief voor voortdurend inzicht, actief voor diepgang en verificatie.

Dit onderscheid is bepalend voor de nauwkeurigheid:

• Niet-geauthenticeerde scans zien wat een buitenstaander ziet: open poorten, banners en blootgestelde diensten. De diepgang is beperkt en er zijn meer vals-positieve resultaten.
• Geauthenticeerde scans (met inloggegevens) melden zich aan en lezen geïnstalleerde pakketten, patchniveaus en configuraties uit. Ze zijn veel nauwkeuriger.

Geef voor interne bedrijfsmiddelen de voorkeur aan geauthenticeerde scans; gebruik niet-geauthenticeerde scans voor een beeld van het externe aanvalsoppervlak.

Netwerkscanners maken volgens een schema verbinding met bedrijfsmiddelen; ze zijn goed voor een brede dekking, maar zien losgekoppelde of tijdelijke hosts niet.

Agents die op eindpunten zijn geïnstalleerd, rapporteren voortdurend, ook bij mobiele laptops en kortlevende cloudwerklasten. Veel programma's combineren beide: agents voor beheerde eindpunten, netwerkscans voor IoT/OT en onbeheerde apparaten.

Scanners vergelijken waargenomen softwareversies en configuraties met een kwetsbaarhedendatabase die is opgebouwd rond de identificatiegegevens CVE en CPE.

• CVE — unieke ID voor een specifieke kwetsbaarheid.
• CPE — gestandaardiseerde naam voor een product en versie.

Als een host een CPE gebruikt die aan bekende CVE's is gekoppeld, markeert de scanner dit. De nauwkeurigheid hangt af van een correcte versiedetectie.

Scanners zijn niet perfect:

• Valse positieven — gemarkeerd, maar niet daadwerkelijk exploiteerbaar (bijvoorbeeld omdat een teruggeporteerde patch de werkelijke versie verbergt).
• Valse negatieven — gemist door mislukte authenticatie, geblokkeerde poorten of onbekende software.

Geauthenticeerd scannen en valideren beperken beide. Stem scans altijd af en verifieer ze voordat je bevindingen doorstuurt naar herstelteams.

Scannen heeft operationele gevolgen. Plan het daarom zorgvuldig:

• Beperk de scansnelheid om kwetsbare of OT- en oude systemen niet te overbelasten.
• Plan zware scans tijdens onderhoudsvensters.
• Gebruik modi voor veilige controles en vermijd indringende plug-ins in productie.
• Stem af met het NOC, zodat scans niet voor aanvallen worden aangezien.

Een scan die een besturingseenheid in productie laat crashen, kost je het mandaat voor het programma.

Cloudbedrijfsmiddelen zijn kortlevend, waardoor statische inventarissen snel verouderen. Gebruik detectie op basis van API's:

• Vraag via API's van cloudproviders instanties, functies, buckets en beveiligingsgroepen op.
• Scan images van containers in het register, niet alleen actieve containers.
• Voorzie resources bij het aanmaken van labels, zodat het eigenaarschap automatisch wordt vastgelegd.

Integreer scanning in CI/CD, zodat images vóór de implementatie worden gecontroleerd.

Een inventaris is alleen nuttig als deze actueel is. Baseer haar op betrouwbare bronnen:

• Breng netwerkscans, agents en cloud-API's samen in één bron van waarheid (CMDB).
• Markeer bedrijfsmiddelen die N dagen niet zijn gezien voor beoordeling.
• Maak een melding bij nieuwe of onverwachte bedrijfsmiddelen (mogelijke schaduw-IT).

Het dekkingspercentage (gescande versus bekende bedrijfsmiddelen) is een kernmetriek van het programma.

De inventaris en scanresultaten leveren bevindingen op, maar context maakt er risico's van. Door bedrijfsmiddelen te labelen met kritikaliteit, blootstelling en gegevensgevoeligheid kun je prioriteren: een server met kroonjuweelgegevens die vanaf internet bereikbaar is, krijgt voorrang boven een geïsoleerde test-VM met dezelfde CVE.

Deze context van bedrijfsmiddelen vormt rechtstreeks de basis voor de prioriteringstechnieken die hierna worden behandeld.

Een nauwkeurige inventaris is het fundament van kwetsbaarhedenbeheer: houd hosts, cloud, containers, software en het externe aanvalsoppervlak bij, met eigenaars en kritikaliteit. Combineer actieve en passieve detectie, geef voor nauwkeurigheid de voorkeur aan geauthenticeerd en agentgebaseerd scannen, en houd rekening met valse positieven, valse negatieven en de veiligheid van scans.

Houd de inventaris actueel door reconciliatie op basis van API's en geef bedrijfsmiddelen contextlabels, zodat bevindingen kunnen worden geprioriteerd. Vervolgens bekijken we hoe je met CVSS, EPSS en KEV bepaalt wat je als eerste moet oplossen.