Vulnerability management uitgelegd: van scan tot prioriteit

Wat is vulnerability management?

Vulnerability management begint bij de vraag wat een kwetsbaarheid is. Volgens de NIST-woordenlijst is een kwetsbaarheid een zwakte in een informatiesysteem, in de beveiligingsprocedures van dat systeem, in interne beheersmaatregelen of in de implementatie. Een bedreigingsbron kan zo'n zwakte misbruiken of activeren.

Volgens de NIST-woordenlijst voor vulnerability management is het een capability binnen continue monitoring. Het identificeert kwetsbaarheden (CVE's) op apparaten die aanvallers waarschijnlijk gebruiken om een apparaat te compromitteren, en om die compromittering naar het netwerk uit te breiden. Meer over monitoring staat bij SIEM uitgelegd.

Het is een doorlopend proces en geen eenmalige scan. Een scan legt één moment vast, en nieuwe software, nieuwe apparaten en nieuwe kwetsbaarheden veranderen het beeld.

Hoe werkt het proces van scan tot oplossing?

Je kunt het proces zien als een cyclus van zeven stappen. Dit is een indeling om het te begrijpen, geen norm:

1. Weten wat je hebt. Een assetinventaris laat zien welke systemen, apparaten en software in de omgeving staan. Zonder deze stap scan je niet wat je niet kent.
2. Scannen. Nessus en Qualys zijn voorbeelden van producten waarmee scans draaien. Het resultaat is een lijst met bevindingen.
3. Beoordelen. Klopt de bevinding? Een tool vindt kandidaten, maar het beoordelen blijft mensenwerk.
4. Prioriteren. Welke bevinding pak je eerst aan, en waarom?
5. Verhelpen of afdekken. Meer dan alleen patchen, zie hieronder.
6. Controleren. Is de kwetsbaarheid echt weg? Zonder deze stap weet je niet of de oplossing werkt.
7. Rapporteren aan eigenaren en management. Dat werkt met simpele aantallen en trends uit de eigen omgeving, bijvoorbeeld hoe lang kritieke bevindingen openstaan.

Verhelpen is meer dan patchen. Soms is er geen patch beschikbaar. Dan kan een tijdelijke maatregel het risico verkleinen, zoals toegang beperken, een dienst uitzetten of extra monitoring inzetten.

Patchen blijft een belangrijk onderdeel. NIST SP 800-40 Rev. 4 (april 2022) definieert enterprise patch management als het identificeren, prioriteren, verkrijgen, installeren en verifiëren van patches, updates en upgrades binnen een organisatie. De publicatie ziet patchen als onderdeel van preventief onderhoud en als noodzakelijk onderdeel van wat organisaties moeten doen om hun missie te halen. Volgens het abstract bestaat er vaak een kloof tussen eigenaren van bedrijf of missie en beheerders van beveiliging en techniek over de waarde van patchen. NIST beveelt aan een organisatiebrede strategie op te stellen om patchen te vereenvoudigen en te operationaliseren.

Wie scant, hoeft niet zelf te verhelpen. Een scan draaien en de resultaten controleren doet vaak het security- of beheerteam. Het verhelpen ligt meestal bij de eigenaar van het systeem, bijvoorbeeld het infrastructuur- of applicatieteam. Een goed proces maakt afspraken over termijnen per ernst, en over uitzonderingen die een eigenaar mag vragen en wie die goedkeurt.

Meer over kaders voor een beveiligingsprogramma staat bij de CIS Controls.

Wat zijn CVE, NVD en CVSS?

Een CVE is volgens de NIST-woordenlijst een item in een lijst. Elk item heeft een identificatienummer, een beschrijving en minstens één publieke verwijzing. De woordenlijst geeft ook een tweede definitie: een SCAP-specificatie die unieke, gemeenschappelijke namen geeft aan publiek bekende kwetsbaarheden in informatiesystemen. Een CVE-nummer is dus de naam van een kwetsbaarheid, geen score.

De National Vulnerability Database (NVD) is de Amerikaanse overheidsrepository van op standaarden gebaseerde gegevens over kwetsbaarheidsbeheer. Volgens dezelfde definitie ondersteunt de NVD het automatiseren van vulnerability management en het meten van beveiliging en compliance.

CVSS (Common Vulnerability Scoring System) legt de belangrijkste kenmerken van een kwetsbaarheid vast en levert een numerieke score op die de ernst weergeeft. De CVSS Special Interest Group van FIRST (Forum of Incident Response and Security Teams) onderhoudt het systeem. Op 5 november 2026 vermeldt FIRST dat CVSS op versie 4.0 zit.

Volgens de CVSS-specificatie bestaat CVSS v4.0 uit vier metriekgroepen. Base-metrieken beschrijven de eigenschappen van de kwetsbaarheid zelf. Threat-metrieken beschrijven de status van exploits in de tijd. Environmental-metrieken beschrijven de omgeving van de gebruiker van de score. Supplemental-metrieken voegen context toe zonder de score te veranderen.

De kwalitatieve ratings van CVSS v4.0 zijn:

Volgens de specificatie is het gebruik van deze kwalitatieve ratings optioneel. Een CVSS-score beschrijft de ernst van de kwetsbaarheid zelf, niet hoeveel risico jouw organisatie loopt. Dat verschil is het vertrekpunt voor het prioriteren.

Hoe prioriteer je kwetsbaarheden?

Een CVSS-score is het startpunt, niet het eindpunt. Volgens de CVSS-specificatie krijgt wie Threat- en Environmental-waarden toevoegt een score die een vollediger invoer is voor een risicobeoordeling, specifiek voor de eigen organisatie. Factoren zoals wettelijke eisen en financiële schade vallen volgens dezelfde specificatie buiten de scope van CVSS. Die weeg je dus zelf mee.

EPSS (Exploit Prediction Scoring System) is een datagedreven machine-learningmodel. Het schat de kans dat een gepubliceerde CVE binnen 30 dagen in het wild wordt misbruikt. De score is een kans van 0 tot 1. Er worden ook rangschikkingspercentielen gepubliceerd, elke dag voor elke CVE. EPSS wordt onderhouden door de EPSS Special Interest Group bij FIRST, zie de EPSS-pagina.

CISA beheert zelf de Known Exploited Vulnerabilities (KEV) catalog. De gegevensbestanden staan in de GitHub-repository van CISA. De naam zegt wat het is: een lijst van CISA met kwetsbaarheden waarvan misbruik bekend is.

EPSS en KEV zijn twee extra signalen over misbruik. EPSS schat een kans, KEV geeft bekend misbruik aan. Geen van beide vervangt een eigen beoordeling.

Een voorbeeld laat zien hoe dat werkt. Het is fictief. Een wekelijkse scan levert drie bevindingen op:

• A. Een kwetsbaarheid met de rating Critical op een testserver die niet vanaf internet bereikbaar is en geen productiegegevens bevat.
• B. Een kwetsbaarheid met de rating High op een VPN-apparaat dat wel vanaf internet bereikbaar is en dat op de KEV-lijst staat.
• C. Een kwetsbaarheid met de rating Medium op een laptop, waarvoor al een update beschikbaar is.

Je pakt B eerst aan, omdat misbruik bekend is en het systeem bereikbaar is. Daarna C, omdat de update er al is en het weinig moeite kost. A kan later, met een afgesproken termijn, of worden afgedekt met een tijdelijke maatregel. De volgorde volgt dus uit ernst, bereikbaarheid, bekend misbruik en de moeite die het kost. De hoogste score staat niet automatisch bovenaan.

Wat is het verschil tussen scannen met en zonder inloggegevens?

Een scan kan met of zonder inloggegevens draaien. Volgens de Tenable-documentatie voor Nessus kan een scan met inloggegevens alles uitvoeren wat een lokale gebruiker kan uitvoeren. De diepgang hangt af van de rechten van het gebruikte account. Voor scans met inloggegevens op Windows-systemen heeft Nessus een lokaal beheerdersaccount nodig.

Een scan zonder inloggegevens kan lokale kwetsbaarheden op het doelsysteem niet vaststellen, en bannerinformatie kan onduidelijk of onjuist zijn.

NIST SP 800-115 (september 2008) schrijft dat vulnerability scanning veel menselijke betrokkenheid vraagt om de resultaten te duiden. Scans kunnen ook netwerkactiviteit verstoren, omdat ze bandbreedte gebruiken en responstijden vertragen. Toepassingsscanners hebben volgens NIST doorgaans een hoog percentage valse positieven. Beoordelaars moeten scanners instellen en kalibreren om valse positieven en valse negatieven zo klein mogelijk te houden. NIST vindt scannen desondanks erg belangrijk om kwetsbaarheden te verhelpen voordat aanvallers ze vinden en misbruiken.

Een scan met inloggegevens ziet meer, een scan zonder inloggegevens ziet minder. Bij beide levert de scanner een lijst op, en iemand moet bepalen of een bevinding klopt en wat die voor de organisatie betekent.

Wat is het verschil met patchbeheer en pentesten?

Patchbeheer, vulnerability management en een pentest liggen dicht bij elkaar, maar doen iets anders.

Vulnerability management kijkt breder dan patchen, ook naar onveilige instellingen en kwetsbaarheden waarvoor nog geen patch bestaat.

Een pentest is gericht. NIST SP 800-115 beschrijft penetration testing als beveiligingstesten waarbij beoordelaars echte aanvallen nabootsen om manieren te vinden om beveiligingsmaatregelen te omzeilen. Het is arbeidsintensief en vraagt de nodige expertise om het risico voor de geteste systemen te beperken. Een scan zoekt breed naar bekende kwetsbaarheden, een pentest probeert misbruik aan te tonen. Ze vullen elkaar aan. Lees meer over pentesttools en over testen als vakgebied.

Waar vind je informatie over kwetsbaarheden?

• NVD. De Amerikaanse overheidsrepository met gegevens over kwetsbaarheden.
• EUVD. De European Vulnerability Database, door ENISA ontwikkeld zoals de NIS2-richtlijn voorziet. Volgens een persbericht van ENISA van 13 mei 2025 is de database operationeel. Ze biedt geaggregeerde informatie over kwetsbaarheden in ICT-producten en -diensten, inclusief mitigerende maatregelen en de status van misbruik, zie de ENISA-pagina.
• CISA KEV. De lijst van CISA met kwetsbaarheden waarvan misbruik bekend is.
• NCSC-beveiligingsadviezen. Het NCSC publiceert adviezen op advisories.ncsc.nl. Advies NCSC-2024-0307 over Oracle toont per CVE een CVSS-score (v3), een veld Prioriteit en een sectie Oplossingen, waarin staat dat de leverancier updates beschikbaar heeft gesteld.

Informatie over actief misbruik hoort ook bij threat intelligence.

Welke rollen werken met vulnerability management?

Omdat het proces doorlopend is, raakt het ook het werk van security operations. Wie wat doet verschilt per organisatie. Dit zijn voorbeelden:

• Security engineer. Richt scans en processen in en volgt bevindingen op. Zie ook de rolgids voor de security engineer.
• SOC-analist. Gebruikt informatie over actief misbruikte kwetsbaarheden om meldingen te duiden.
• Netwerkbeveiliger. Kijkt naar kwetsbaarheden in netwerkapparatuur.
• IT-risicomanager. Vertaalt open kwetsbaarheden naar risico's voor het management, zie ook risk management.
• Penetration tester. Toont aan wat een kwetsbaarheid in de praktijk mogelijk maakt.

Op de werkgeverspagina voor security engineers zie je welke werkgevers deze functie hebben. Alle vacatures waar vulnerability management in voorkomt staan op één pagina, en de rest van het vakgebied staat in de kennisbank.