Verder dan de CVE: waarom context belangrijker is dan ernst bij kwetsbaarheidsbeheer

By Mirko Peters · 2026-08-13

Welkom terug op de blog! Als je ooit hebt zitten staren naar een rapport van een kwetsbaarheidsscanner met honderden of duizenden Common Vulnerabilities and Exposures (CVE's), dan ken je het benauwde gevoel van informatie-overload maar al te goed. Het ligt voor de hand om te denken dat de slimste aanpak is om de lijst te sorteren op de hoogste CVSS-score en daarna van boven naar beneden te werken.

Automatically translated with AI from the original post. Read the English original

Welkom terug op de blog! Als je ooit hebt zitten staren naar een rapport van een kwetsbaarheidsscanner met honderden of duizenden Common Vulnerabilities and Exposures (CVE's), dan ken je het benauwde gevoel van informatie-overload maar al te goed. Het ligt voor de hand om te denken dat de slimste aanpak is om de lijst te sorteren op de hoogste CVSS-score en daarna van boven naar beneden te werken. Maar in moderne enterprise-security leidt die aanpak snel tot een doolhof van verspilde inspanning, terwijl je organisatie toch echt blootgesteld blijft aan reële dreigingen. Onlangs hebben we in de podcast dieper ingegaan op precies deze uitdaging. Wil je de volledige audiobeleving niet missen? Luister dan zeker naar de bijbehorende aflevering, Microsoft Defender Vulnerability Management - Simply Explained. In deze post werken we die concepten verder uit en onderzoeken we waarom context – en niet alleen de technische ernst – de allesbepalende sleutel is tot effectief kwetsbaarheidsbeheer.

Patch management versus kwetsbaarheidsbeheer

Om een veerkrachtig beveiligingsprogramma op te bouwen, moeten we eerst een veelvoorkomend misverstand uit de weg ruimen: patch management en kwetsbaarheidsbeheer zijn niet hetzelfde. Patch management is in de kern een operationele taak die gericht is op het toepassen van oplossingen. Het gaat om het updaten van Windows, het installeren van een nieuwere browserversie, het verwijderen van verouderde software of het aanpassen van een systeemconfiguratie. Het is het "hoe" van het oplossen van een bekend probleem.

Kwetsbaarheidsbeheer beantwoordt daarentegen een veel bredere en strategischere reeks vragen. Welk probleem moet als eerste worden aangepakt? Hoe urgent is het echt? Welke specifieke apparaten zijn getroffen? Wie is verantwoordelijk voor het herstelproces? En misschien wel het belangrijkste: heeft de oplossing de kwetsbaarheid daadwerkelijk weggenomen toen die was toegepast?

Neem dit praktijkvoorbeeld: stel je voor dat er een kritieke CVE is gemarkeerd op een geïsoleerde, offline testmachine in een onderzoekslab. Tegelijkertijd staat er een kwetsbaarheid met een lagere, gemiddelde ernst op een laptop die dagelijks door de financiële afdeling wordt gebruikt – een apparaat dat zeer gevoelige gegevens verwerkt, verbinding maakt met externe netwerken en wordt blootgesteld aan actieve dreigingsactoren. Als je uitsluitend op CVSS-scores vertrouwt, besteed je je tijd eerst aan de testmachine. Maar qua werkelijk organisatierisico vormt die financiële laptop een veel groter gevaar. Ernst is zeker belangrijk, maar context is oneindig veel belangrijker.

Discovery: weten wat je werkelijk hebt

Voordat er prioritering of herstel kan plaatsvinden, moeten beveiligings- en IT-teams volledig zicht krijgen op hun omgeving. Je kunt simpelweg niet beveiligen wat je niet weet dat je hebt. Moderne tools zoals Microsoft Defender Vulnerability Management houden continu zwakke plekken bij op alle apparaten, waaronder verouderde software, ontbrekende updates, onveilige configuraties en andere beveiligingslekken.

Hiaten in de apparaat- en softwareinventaris

Organisaties hebben vaak last van blinde vlekken in hun assetinventaris. Traditionele periodieke scans missen regelmatig dynamische of nieuw verbonden assets. Defender gebruikt continue signalen van endpoints om besturingssystemen, geïnstalleerde softwareversies en bekende kwetsbaarheden te begrijpen op alle onboarded apparaten. Daarnaast gebruiken de mogelijkheden voor apparaatdetectie beheerde endpoints om andere systemen op het lokale netwerk op te sporen. Die rogue printer, vergeten router of onbeheerde werkstation in de hoek kunnen eindelijk in beeld worden gebracht.

Naast hardware is het opbouwen van een accurate softwareinventaris cruciaal. In plaats van handmatig honderden computers te controleren, kunnen beveiligingsteams een kwetsbare applicatie aanwijzen en direct zien op welke apparaten die draait. Omgekeerd kunnen ze inzoomen op één specifieke machine om alle geïnstalleerde software te controleren. Deze gedetailleerde zichtbaarheid laat beveiligingsoperaties veel verder schalen dan handmatige mogelijkheden.

Verder kijken dan softwarepatches

Vulnerability management gaat veel verder dan het klassieke patchen van desktopapplicaties. Afhankelijk van licenties en configuraties beoordelen moderne platforms ook digitale certificaten, browserextensies, firmware, beveiligingsinstellingen van hardware en netwerkshares. Soms is de juiste oplossing helemaal geen softwareupdate. Het kan gaan om het aanpassen van een gevaarlijke configuratie, het verwijderen van een onnodige applicatie, het beperken van netwerktoegang of het vervangen van verouderde hardware.

Prioriteren: wat los je als eerste op?

Zodra de inventarisatie klaar is, krijgen teams onvermijdelijk een grote hoeveelheid data te verwerken. Hier wordt prioriteren je beste vriend. CVSS geeft een bruikbaar uitgangspunt voor de ernst, maar het werkt in een vacuüm. Het houdt geen rekening met jouw specifieke bedrijfsomgeving.

Geavanceerde tools voor vulnerability management voegen cruciale context toe aan de vergelijking. Is er een publieke exploit beschikbaar? Wordt de kwetsbaarheid actief misbruikt door dreigingsactoren? Gaan er binnen jouw netwerk al beveiligingswaarschuwingen af die ermee samenhangen? Hoeveel apparaten zijn getroffen, en welke rol vervullen die apparaten binnen de organisatie? De vraag verschuift van "Welke CVE heeft de hoogste score?" naar "Welke kwetsbaarheid levert voor onze organisatie het grootste reële risico op?"

Exposure Scores, Secure Scores en beveiligingsaanbevelingen

Om die blootstelling te meten, leveren tools organisatiebrede Exposure Scores. Een lagere score is altijd beter, maar je moet er nooit van uitgaan dat je daarmee volledig onkwetsbaar bent. Daarnaast is er de Secure Score for Devices, die beveiligingsinstellingen en aanbevolen beschermingsmaatregelen beoordeelt. Deze scores helpen teams de verbetering in de loop van de tijd te volgen, maar ze moeten gepaard gaan met concrete beveiligingsaanbevelingen.

Bruikbare aanbevelingen koppelen een specifieke kwetsbaarheid aan de getroffen software, de blootgestelde apparaten en een concrete herstelstap. Context maakt hier alles uit. Een kwetsbaar bestand dat ongebruikt in een diepe archiefmap ligt, brengt een heel ander risicoprofiel met zich mee dan kwetsbare software die actief draait, netwerkverkeer afwacht en gebruikersverzoeken verwerkt.

Threat Analytics gebruiken voor slimmer prioriteren

Moderne vulnerability management is rechtstreeks geïntegreerd met platforms voor dreigingsinformatie. Wanneer er een nieuwe zero-day-kwetsbaarheid in het nieuws komt, hoeven beveiligingsteams niet te gissen naar hun blootstelling. Ze kunnen threat analytics gebruiken om te zien of hun organisatie geraakt is, blootgestelde apparaten te identificeren, te controleren op gerelateerde waarschuwingen en tijdelijke maatregelen uit te rollen terwijl ze wachten op officiële patches. Dit is de definitie van slimmer werken, niet harder.

Remediëren: van bevindingen naar concreet werk

Risico's identificeren en prioriteren is maar de helft van het werk; de bevindingen moeten ook omgezet worden in concrete actie. Een tool voor vulnerability management is zelden een universele patchmachine op zichzelf. De taak is identificeren, prioriteren, opvolgen en verifiëren. Het echte zware werk van de uitrol wordt vaak gedaan via platforms zoals Microsoft Intune, ServiceNow of andere ticketingsystemen voor IT.

Security en IT overbruggen met Defender en Intune

Door beveiligingstools zoals Microsoft Defender te koppelen aan beheeroplossingen zoals Microsoft Intune, kunnen organisaties de traditionele kloof tussen securityteams en IT-beheerders overbruggen. Securityteams identificeren en prioriteren het risico, terwijl de teams voor apparaatbeheer bepalen wat de veiligste manier is om wijzigingen uit te rollen zonder de bedrijfsvoering te verstoren.

In plaats van bijvoorbeeld een kritieke browserupdate meteen naar elk endpoint te pushen, wat het risico met zich meebrengt dat maatwerk-webapplicaties breken, kan IT eerst een kleine pilotgroep als doelgroep kiezen. Zodra de compatibiliteit bevestigd is, wordt de update gefaseerd uitgerold. Deze samenwerking voorkomt downtime en houdt tegelijk de beveiliging op peil.

Uitzonderingen, mitigaties en verificatie afhandelen

In de praktijk kan niet elke kwetsbaarheid meteen worden verholpen. Legacy-applicaties zijn soms afhankelijk van oudere componenten, leveranciers kunnen traag zijn met updates, of productieservers vragen om strikte onderhoudsvensters. In die gevallen zijn gedocumenteerde uitzonderingen met een duidelijke zakelijke onderbouwing en strikte vervaldatums essentieel.

Wanneer permanente patches moeten worden uitgesteld, houden tijdelijke mitigaties de organisatie in de tussentijd veilig, bijvoorbeeld door de netwerkconnectiviteit te beperken, riskante applicaties te blokkeren of workarounds van de leverancier toe te passen. Ten slotte zorgt verificatie ervoor dat het werk ook echt af is. Een gesloten ticket in een trackingsysteem betekent niet dat een kwetsbaarheid verdwenen is. Geavanceerde tools bewaken de signalen van apparaten continu om te bevestigen dat getroffen systemen de zwakte daadwerkelijk niet meer rapporteren.

Het verbonden beveiligingsecosysteem: context en gevoeligheid van gegevens

Vulnerability management bereikt zijn volledige potentieel wanneer het deel uitmaakt van een verbonden beveiligingsecosysteem. Wanneer endpointdetectie, apparaatbeheer en identiteitssystemen met elkaar communiceren, wordt beveiliging dynamisch en geautomatiseerd.

Denk eens na over hoe Microsoft Defender, Intune en Entra ID samenwerken. Als een apparaat ernstige kwetsbaarheden vertoont, kan Intune het markeren als niet-conform. Voorwaardelijk toegangsbeleid in Entra ID kan vervolgens automatisch voorkomen dat dit riskante endpoint toegang krijgt tot zakelijke bronnen zoals SharePoint, Teams of Exchange Online, totdat de herstelactie is afgerond. De dreiging wordt direct ingeperkt, lang voordat een technicus het apparaat handmatig aanraakt.

We kunnen hier nog een stap verder in gaan door gevoeligheid van gegevens mee te nemen. Met tools zoals Microsoft Purview kunnen beveiligingsteams in kaart brengen waar vertrouwelijke financiële gegevens of intellectueel eigendom zich bevinden. Een apparaat dat dergelijke gevoelige informatie verwerkt, verdient een hogere prioriteit dan een algemene werkplek met precies dezelfde kwetsbaarheid. Door technische ernst, dreigingsinformatie, apparaatcontext en gevoeligheid van gegevens te combineren, bereiken organisaties eindelijk een werkelijk volwassen vulnerability managementprogramma.

Wil je meer discussies horen over hoe je je moderne bedrijfsomgeving beveiligt met deze krachtige tools? Luister dan zeker naar de bijbehorende podcastaflevering, Microsoft Defender Vulnerability Management - Simply Explained. Bedankt voor het lezen en blijf veilig!