Wat scant de Lupasafe domeinscanner precies? Een technische kijk voor IT-professionals

Als IT-verantwoordelijke wil je geen vage “security score” – je wil weten wat er precies wordt gescand, hoe dat werkt en waarom het relevant is. In dit artikel leggen we de Lupasafe domeinscanner uit van binnen naar buiten: van Nmap poortscan tot OWASP-kwetsbaarheden per pagina en security headers. En we leggen de link met NIS-2, want ook als MKB-bedrijf krijg je daar steeds vaker mee te maken.

Wat doet de Lupasafe domeinscanner?

De domeinscanner van Lupasafe voert een geautomatiseerde, continue reeks technische checks uit op je domeinen en IP-adressen. Het doel: kwetsbaarheden identificeren vóórdat aanvallers dat doen. De scanner combineert drie kernmethoden:

1. Nmap-poortscan – alle poorten, alle services
2. OWASP-gebaseerde webapplicatiescans – per pagina
3. Security headers analyse – inclusief SSL/TLS-beoordeling

Laten we die één voor één uitpakken.

1. Nmap poortscan: alle poorten 1–65535

De scanner voert een volledige TCP/UDP-poortscan uit op alle gekoppelde IP-adressen en domeinen – van poort 1 tot en met 65535. Dit is geen high-level ping; het is hetzelfde wat een aanvaller zou doen als eerste verkenningsstap.

Wat detecteert Nmap?

Voor elke open poort wordt vervolgens een service fingerprint uitgevoerd: welke software draait er, en welke versie? Die versie-informatie is cruciaal, want die wordt direct doorgegeven aan de risico-engine, die de gevonden software vergelijkt met bekende kwetsbaarheden uit CVE-databases zoals NVD, CISA en ExploitDB.

Waarom dit relevant is voor jou als IT-er: Een RDP-poort die per ongeluk open staat, een verouderde OpenSSH-versie, een legacy FTP-service die niemand meer bewust heeft aangeboden – dit zijn precies de dingen die Nmap oppikt, en die aanvallers actief zoeken via geautomatiseerde scanners zoals Shodan. Lupasafe doet het vóór hen.

Resultaten worden geclassificeerd op CVSS-score (ernst van de kwetsbaarheid) en EPSS-score (kans op actieve exploitatie). Dat geeft je een concreet prioriteitsoordeel: niet alles is even urgent.

2. OWASP webapplicatiescan – per pagina

Dit is het onderdeel dat Lupasafe onderscheidt van een simpele poortscan: de scanner test webapplicaties op OWASP-kwetsbaarheden per afzonderlijke pagina. Denk aan de categorie uit de OWASP Top 10 – de meest voorkomende en gevaarlijke webapplicatierisico’s die actief worden uitgebuit.

Wat wordt getest?

Denk aan kwetsbaarheden zoals:

• Injection-risico’s (SQL, commando’s, padtraversal)
• Broken authentication – zwakke sessieafhandeling of inlogpagina’s
• Security misconfiguration – standaard instellingen, overbodige functionaliteit
• Outdated components – verouderde JavaScript-libraries of server-side frameworks
• Sensitive data exposure – gevoelige data in responses of foutmeldingen

De scan werkt op paginaniveau, wat betekent dat een kwetsbaarheid op /admin/login of /api/v1/users afzonderlijk wordt gerapporteerd – niet samengevat als één algemene score. Dat maakt het direct actionabel: je weet exact welke URL aandacht nodig heeft.

Alle bevindingen worden benoemd volgens CVE-nummering, zodat je direct kunt opzoeken wat er precies aan de hand is, wat de impact is, en of er al een patch beschikbaar is.

3. Security headers analyse – inclusief SSL/TLS en e-mailbeveiliging

Security headers zijn de stille verdedigingslinie van elke webserver. Ze worden door browsers gebruikt om aanvallen zoals cross-site scripting (XSS), clickjacking en protocol-downgrade-aanvallen te blokkeren. Ze zijn triviaal in te stellen, maar verrassend vaak ontbrekend of verkeerd geconfigureerd.

Wat controleert Lupasafe?

HTTP security headers:

• Content-Security-Policy (CSP)
• X-Frame-Options
• X-Content-Type-Options
• Strict-Transport-Security (HSTS)
• Referrer-Policy
• Permissions-Policy

SSL/TLS: De scanner beoordeelt de kwaliteit van je SSL-configuratie: welke protocollen zijn ondersteund (TLS 1.0/1.1 moeten eruit), wat is de cipher suite, is het certificaat geldig en wie is de hostprovider?

E-mailbeveiliging van het domein: Naast HTTP wordt ook de e-mailbeveiliging van het domein beoordeeld:

• SPF – wie mag e-mail sturen namens jouw domein?
• DKIM – zijn uitgaande mails cryptografisch gesigneerd?
• DMARC – wat moet er gebeuren met mails die SPF en DKIM falen?

Ontbrekende of zwakke DMARC-configuratie is een van de meest voorkomende beveiligingsgaten bij MKB-bedrijven. Het maakt jouw domein kwetsbaar voor e-mail spoofing – iemand kan e-mails sturen die lijken alsof ze van jou komen. Lees hier meer over Dmarc reporting.

4. Domeinkaping-detectie: typosquatting en nep-domeinen

Een functie die IT-ers vaak verrast: de scanner signaleert ook of er domeinen zijn geregistreerd die lijken op die van jou. Denk aan lupas4fe.com, lupasafe-support.nl of lupaesafe.com. Dit zijn klassieke voorbereidingsstappen voor phishing-aanvallen gericht op jouw klanten of medewerkers. De gevoeligheid is instelbaar.

5. DNS lookup en subdomein-analyse

Via een geïntegreerde DNS lookup worden aanvullende subdomeinen voorgesteld voor onderzoek. Subdomeinen als mail.jouwdomein.nl, vpn.jouwdomein.nl of dev.jouwdomein.nl worden regelmatig over het hoofd gezien bij beveiligingsbeoordelingen, maar zijn aantrekkelijke doelwitten. De lijst is niet uitputtend – verborgen subdomeinen blijven verborgen – maar geeft wel een goed startpunt.

Hoe vaak worden scans uitgevoerd?

Scans worden direct uitgevoerd zodra je een domein of IP-adres toevoegt. Daarna worden domeinscans wekelijks herhaald. Kwetsbaarheden worden via e-mail gemeld zodra ze zijn gevonden; je hoeft niet actief in te loggen om op de hoogte te blijven.

Alle historische scanresultaten worden opgeslagen, zodat je trends kunt zien: neemt het aantal open kwetsbaarheden toe of af? Is een gevonden lek inmiddels gepatcht?

Wat heeft dit met NIS2 te maken?

Veel MKB-bedrijven denken dat NIS2 (in Nederland geïmplementeerd als de Cyberbeveiligingswet, verwacht in 2026) alleen voor grote bedrijven geldt. Dat klopt deels: de directe verplichtingen gelden voor middelgrote en grote bedrijven in essentiële sectoren. Maar de indirecte impact raakt ook het kleinere MKB.

De supply chain verplichting: NIS2-plichtige bedrijven moeten aantonen dat ook hun leveranciers voldoende cybersecuremaatregelen hebben getroffen. Als jij software levert aan een zorginstelling, een financieel bedrijf of een transportorganisatie, zullen zij steeds vaker vragen: kun jij aantonen dat jouw systemen veilig zijn?

De domeinscanner van Lupasafe levert daarvoor directe input:

• Artikel 21 NIS2 vereist passende technische maatregelen voor het beheer van beveiligingsrisico’s in netwerk- en informatiesystemen. Een geautomatiseerde, continue domein- en kwetsbaarheidsscan is precies zo’n maatregel.
• ISO 27001 Bijlage A controle 8.8 (beheer van technische kwetsbaarheden) vereist dat kwetsbaarheden tijdig worden geïdentificeerd en aangepakt. Lupasafe voorziet de CVE-rapportage die daarvoor nodig is.
• Het NIS2 Kwaliteitskeurmerk (SC10/SC20) – bedoeld voor MKB-leveranciers in NIS2 ketens – sluit aan bij de compliance rapportage die Lupasafe genereert.

Kortom: zelfs als jij niet direct NIS2-plichtig bent, helpt een domeinscanner je aantoonbaar te maken dat je je beveiligingshuishouding op orde hebt.

Samenvatting voor de IT-er

Klaar om je aanvalsoppervlak in kaart te brengen?

De Lupasafe domeinscanner is onderdeel van een breder beveiligingsplatform dat ook phishing simulaties, endpoint monitoring, Microsoft 365-audit en NIS2 compliance rapportage biedt. Alles in één dashboard, beheersbaar via een multi-tenant omgeving voor MSP’s.

Vraag een gratis scan aan → of neem contact met ons op om te bespreken hoe Lupasafe aansluit bij jouw specifieke situatie.

Lupasafe is een product van Skopos Security Labs B.V. — gespecialiseerd in geautomatiseerde cybersecurity voor MKB en MSP-partners.