Elke week verschijnen er tientallen nieuwe kwetsbaarheden in softwaresystemen. Beveiligingsteams scannen, patchen en rapporteren, en toch worden organisaties nog steeds gehackt. Hoe kan dat? Het antwoord heeft alles te maken met een hardnekkig misverstand: dat bekende kwetsbaarheden het grootste beveiligingsrisico vormen. In werkelijkheid zijn ze slechts het topje van een veel grotere ijsberg.
In dit artikel leggen we stap voor stap uit wat een vulnerability eigenlijk is, waarom de bekende kwetsbaarheden lang niet het volledige risicoplaatje laten zien, en welke risico’s organisaties structureel over het hoofd zien. Aan het einde wordt duidelijk waarom een andere aanpak van cybersecurity noodzakelijk is om jezelf echt te beschermen.
Wat is een vulnerability en hoe wordt die ‘bekend’?
Een vulnerability, of kwetsbaarheid, is een zwakke plek in software, hardware of een configuratie die een aanvaller kan misbruiken om ongeautoriseerde toegang te krijgen of schade aan te richten. Denk aan een fout in de code van een webserver waardoor een aanvaller bestanden kan lezen die niet voor hem bedoeld zijn.
Kwetsbaarheden worden ‘bekend’ via een gestandaardiseerd systeem: zodra een onderzoeker of leverancier een kwetsbaarheid ontdekt en publiceert, krijgt die een CVE-nummer (Common Vulnerabilities and Exposures). Dit nummer maakt de kwetsbaarheid officieel traceerbaar. Beveiligingsteams, scanners en leveranciers kunnen er vervolgens op reageren met patches of workarounds.
Het cruciale punt is dat een kwetsbaarheid pas ‘bekend’ is nadat iemand haar heeft ontdekt, gedocumenteerd en gepubliceerd. Dat proces kost tijd. En in die tussenperiode bestaat de kwetsbaarheid al wel, ze is alleen nog niet zichtbaar voor de verdedigers.
Hoe de bekende kwetsbaarheden slechts het topje van de ijsberg zijn
Het CVE-systeem is waardevol, maar het dekt alleen wat al ontdekt en gepubliceerd is. Daaronder bevindt zich een veel groter onzichtbaar deel, vergelijkbaar met een ijsberg: wat je ziet aan de oppervlakte is slechts een fractie van wat er werkelijk is.
Drie categorieën vormen samen dat verborgen deel van het risico:
- Zero-day kwetsbaarheden: kwetsbaarheden die nog niet publiekelijk bekend zijn en waarvoor nog geen patch bestaat. Aanvallers, met name geavanceerde groepen, maken hier actief gebruik van voordat leveranciers ze zelfs maar kennen.
- Misconfiguraties: verkeerd ingestelde systemen, cloudservices of toegangsrechten die geen officieel CVE-nummer hebben, maar wél misbruikt kunnen worden. Een opslagcontainer in de cloud die per ongeluk publiek toegankelijk is, verschijnt op geen enkele patchlijst.
- Logische zwaktes in identities en permissies: een account met te ruime rechten, een serviceaccount dat toegang heeft tot kritieke systemen, of een leverancier met onnodige beheerdersbevoegdheden. Dit zijn geen technische bugs, maar structurele risico’s die scanners systematisch missen.
Een aanvaller hoeft niet per se een bekende CVE te misbruiken. Soms is een combinatie van een misconfiguratie, een account met te veel rechten en een slecht beveiligd leveranciersportaal voldoende om diep in een netwerk door te dringen, zonder dat een enkele kwetsbaarheidsscanner alarm heeft geslagen. Meer over hoe aanvallers dit aanpakken lees je op de pagina over red teaming.
Waarom organisaties zich toch vooral op bekende risico’s richten
Als bekende vulnerabilities slechts een deel van het risico vormen, waarom richten zoveel organisaties zich er dan toch bijna uitsluitend op? Het antwoord is begrijpelijk: bekende kwetsbaarheden zijn meetbaar, rapporteerbaar en beheersbaar.
Vulnerabilitymanagementtools genereren overzichtelijke lijsten met CVE-nummers, prioriteitsscores en patchadvies. Dat geeft houvast. Auditors accepteren het als bewijs van actief beveiligingsbeheer. En na het oplossen van twintig kwetsbaarheden voelt een organisatie zich aantoonbaar veiliger, ook al is het werkelijke aanvalsoppervlak nauwelijks veranderd.
Dit is precies het gevaar van schijnveiligheid: het gevoel dat je goed bezig bent, terwijl de risico’s die er echt toe doen buiten beeld blijven. Misconfiguraties, identiteitsproblemen en logische zwaktes zijn moeilijker te kwantificeren en passen minder goed in een dashboard. Daardoor worden ze structureel onderbelicht, niet omdat ze minder gevaarlijk zijn, maar omdat ze minder zichtbaar zijn.
Welke risico’s buiten de patchlijst het vaakst worden misbruikt
Echte aanvallers denken niet in CVE-nummers. Ze denken in aanvalspaden: welke combinatie van zwaktes brengt mij zo snel mogelijk bij het doel? En die paden lopen zelden via de meest voor de hand liggende bekende kwetsbaarheid.
De risico’s die het vaakst worden misbruikt maar buiten de patchlijst vallen, zijn:
- Identiteits- en toegangsproblemen: accounts met te ruime rechten, zwakke wachtwoorden, hergebruikte credentials of serviceaccounts zonder monitoring.
- Cloudmisconfiguraties: verkeerd ingestelde toegangscontroles, onbeveiligde API’s of publiek toegankelijke opslagbuckets.
- Supply-chaintoegang: leveranciers en managed service providers die toegang hebben tot systemen, maar zelf onvoldoende beveiligd zijn.
- Menselijk gedrag: medewerkers die phishingmails openen, inloggegevens delen of omwegen nemen in beveiligingsprocedures.
Een aanvaller die een MSP compromitteert, krijgt in één klap toegang tot alle klanten van die MSP. Dat is geen technische exploit, dat is een logische zwakte in de structuur van vertrouwensrelaties. Geen enkele standaard vulnerability scan brengt dit soort risico’s in kaart.
Continu testen als antwoord op een bewegend doelwit
Voortbouwend op alles wat hierboven is uitgelegd, wordt één conclusie onvermijdelijk: een momentopname is onvoldoende om een dynamisch risico te beheren. Je omgeving verandert constant. Nieuwe applicaties worden uitgerold, accounts worden aangemaakt, permissies worden gewijzigd, cloudresources komen en gaan. Elke wijziging kan een nieuw aanvalspad openen.
Een jaarlijkse pentest geeft inzicht op één dag. Maar wat er daarna gebeurt, blijft buiten beeld. Cybercriminelen ontwikkelen het hele jaar door nieuwe technieken en verkennen voortdurend nieuwe aanvalspaden. Een traditionele pentest is daarmee vergelijkbaar met een foto van een bewegend doelwit: accuraat op het moment van de opname, maar al snel verouderd.
Het alternatief is een aanpak waarbij testen geen eenmalige activiteit is, maar een doorlopend proces. Dat begint met een grondige baseline-pentest die niet alleen technische kwetsbaarheden blootlegt, maar ook misconfiguraties, identiteitsrisico’s en logische zwaktes in aanvalspaden. Vervolgens worden veranderingen in de omgeving actief gevolgd, zodat nieuwe risico’s worden gesignaleerd zodra ze ontstaan, niet pas bij de volgende jaarlijkse test. Meer over deze aanpak lees je op de pagina over Continuous-Q®.
Hoe Q-Cyber helpt met vulnerability management
Q-Cyber helpt organisaties om verder te kijken dan de patchlijst. Onze aanpak combineert technische diepgang met het redeneren zoals een echte aanvaller, zodat niet alleen bekende kwetsbaarheden in beeld komen, maar het volledige aanvalsoppervlak.
Wat wij concreet bieden:
- Handmatige pentesten waarbij onze ethical hackers actief zoeken naar aanvalspaden die verder gaan dan CVE’s, inclusief misconfiguraties, identiteitsrisico’s en logische zwaktes.
- Continuous-Q®, ons doorlopende testprogramma dat na de initiële pentest de omgeving blijft volgen en nieuwe risico’s tijdig signaleert.
- Onafhankelijk advies zonder binding aan softwareleveranciers, zodat onze aanbevelingen altijd in jouw belang zijn.
- Concrete rapportages met prioriteiten en praktische vervolgstappen, zodat je direct weet waar actie nodig is.
Wil je weten hoe jouw organisatie er werkelijk voor staat, voorbij de patchlijst? Neem contact op met Q-Cyber en ontdek hoe wij je helpen een volledig en actueel beeld van je beveiligingsrisico te krijgen.
Gerelateerde artikelen
- Wat is een cyberrisicoscan en wat heb je eraan?
- Cookies en privacy: wat zijn de regels?
- Wat moet je melden bij een cyberincident onder NIS2?
- Hoe stel je een NIS2-risicobeoordeling op?
- Antivirus vs. EDR: wat heeft jouw bedrijf nodig?
- Wat zijn de rechten van betrokkenen onder de AVG?
- Hoe schrijf je een verwerkersovereenkomst?
- Hoe kies je een goede pentesting bedrijf?
- Wat zijn de uitdagingen in modern pentesten?