Wat ziet een aanvaller van je domein?

Gepubliceerd op 19 mei 2026

Voordat iemand probeert in te breken bij je organisatie, kijkt hij eerst rustig rond. Niet vanaf de straat, maar via het internet. Alles wat jouw domein, je servers en je diensten aan de buitenwereld laten zien, vormt samen je aanvalsoppervlak — in het Engels het attack surface. Hoe groter en onoverzichtelijker dat oppervlak, hoe meer mogelijkheden een aanvaller heeft. Het goede nieuws: je kunt precies dezelfde verkenning zelf uitvoeren, en zo voorblijven.

Verkenning: wat doet een aanvaller eigenlijk?

Een aanvaller begint met reconnaissance: het verzamelen van publiek beschikbare informatie. Daar is vaak geen enkele inbraak voor nodig — het meeste staat gewoon open en is opvraagbaar. Pas als hij een zwakke plek vindt, gaat hij verder. Die eerste fase is dus ook jouw belangrijkste kans om problemen te zien vóór een ander dat doet.

De onderdelen van je aanvalsoppervlak

DNS en subdomeinen

Je domeinnaam vertaalt via DNS naar IP-adressen en diensten. Aanvallers brengen graag al je subdomeinen in kaart: test., oud., vpn., mail. Vergeten subdomeinen die nog ergens naar verwijzen zijn een klassiek instappunt. Ook verkeerd ingestelde DNS-records (zoals ontbrekende SPF, DKIM of DMARC) maken het makkelijker om uit jouw naam te phishen.

Open poorten en diensten

Elke server heeft poorten: deurtjes waarachter diensten draaien. Een webserver hoort op 443 te luisteren, maar staat er ook een databasepoort, een beheerinterface of een oude FTP-dienst open naar het hele internet? Dat is precies wat een aanvaller hoopt te vinden.

TLS en certificaten

Het slotje in de browser draait op TLS. Maar een verlopen certificaat, een verouderd protocol of een zwakke configuratie verzwakt de bescherming. Interessant detail: Certificate Transparency-logs zijn openbaar. Elke keer dat je een certificaat aanvraagt, verschijnt het subdomein daarin — ook aanvallers lezen die logs om je interne namen te ontdekken.

Blootgestelde panelen

Inlogschermen van beheersystemen, routers, camerasystemen, databasetools of CI/CD-omgevingen die rechtstreeks aan het internet hangen, zijn goud voor een aanvaller. Vaak draaien ze met standaardwachtwoorden of bekende kwetsbaarheden. Zulke blootgestelde panelen horen achter een VPN of IP-beperking, niet open op straat.

Verouderde software en CVE's

Bekende kwetsbaarheden krijgen een CVE-nummer (Common Vulnerabilities and Exposures). Aanvallers scannen massaal op softwareversies met een bekende CVE, omdat er kant-en-klare exploits voor bestaan. Een verouderde WordPress-installatie met een kwetsbare plugin is daarvan het schoolvoorbeeld: enorm populair, en daardoor enorm gericht aangevallen.

Waarom een momentopname niet genoeg is

Het internet staat niet stil. Vandaag is je omgeving netjes; volgende week verschijnt er een nieuwe CVE, zet een collega een testserver online of verloopt een certificaat. Eén scan per jaar geeft een vals gevoel van veiligheid. Continue monitoring houdt je aanvalsoppervlak actueel in beeld, zodat nieuwe risico's opvallen zodra ze ontstaan — en niet pas bij een incident.

Modulair scannen met OpenKAT

Exposentry is gebouwd op OpenKAT, de open-source scanner die voortkomt uit de Nederlandse overheid. OpenKAT werkt modulair: kleine, gespecialiseerde scanmodules ("boefjes") onderzoeken elk een stukje van je aanvalsoppervlak — DNS, poorten, TLS, softwareversies — en bouwen samen een actueel beeld op. Omdat elke bevinding herleidbaar is naar de module die hem vond, weet je niet alleen wat er gevonden is, maar ook hoe.

Wil je begrijpen waarom dat onderbouwde bewijs zo waardevol is — zeker richting grote klanten — lees dan scannen is geen NIS2-compliance, maar wel een noodzakelijke bouwsteen. En lever je aan een grote organisatie, dan is ook de NIS2-ketenzorgplicht relevant.

Zelf eens kijken?

De eerlijkste manier om te weten wat een aanvaller van jou ziet, is het zelf laten scannen. Begin met een eenmalige scan voor een momentopname, of kies een pakket met doorlopende monitoring. Bekijk de mogelijkheden en tarieven en maak je aanvalsoppervlak zichtbaar — voordat iemand anders dat voor je doet.