Volledige device-zichtbaarheid. Van BIOS tot browserextensie.
De Secuno-agent verzamelt elk uur een device-inventaris, met elke nacht een volledige ronde, en elke 5 minuten een beveiligings-heartbeat. Daarna beantwoordt hij de vraag die inventarisatie alleen niet kan: van alles op dit apparaat, wat kan een aanvaller werkelijk bereiken?
Elke laag van het endpoint, vastgelegd
De Secuno-agent leest rechtstreeks uit het Windows-register, SMBIOS, WMI en de Component Based Servicing-stack, niet via oppervlakkige API-queries. Het resultaat is een devicebeeld dat geen netwerkscanner kan produceren.
OS-identiteit & hardwarebaseline
OS-naam met correcte Windows 11-detectie, buildnummer, UBR-revisie, patchlevel, CPU-architectuur, IP en MAC. Hardware via SMBIOS: fabrikant, model, serienummer, BIOS-versie, uptime en laatste opstarttijdstip.
Volledige software- & patch-inventaris
Alle geïnstalleerde applicaties uit alle drie Windows registry hives: 64-bit, 32-bit én gebruikersspecifiek. Naam, versie, uitgever, installatiedatum, architectuur en pad. Alle KB-artikelen met installatiestatus gelezen uit de Component Based Servicing-stack. Gededupliceerd op naam, versie en uitgever.
Beveiligingspositie: AV, BitLocker, Firewall, Defender
Naam, ingeschakelde staat en definitie-actualiteit van antivirussoftware. BitLocker-encryptiemethode en conversiestatus per schijf (XTS-AES-128/256). Windows Firewall-staat per netwerkprofiel. Acht granulaire Windows Defender-subbeschermingsstaten (realtime, gedrag, scriptscan, cloudbeveiliging, netwerk-IPS en meer) worden afzonderlijk bijgehouden en gemapt aan risico-ernst. Tamper protection-staat bijgehouden; uitschakelen opent automatisch een risico. Quick en full scan-leeftijd meegenomen in de device-nalevingsscore.
Netwerkadapters, open poorten & processen
Alle IPv4- en IPv6-adapters met verbindingsstatus en loopback-detectie. Open TCP- en UDP-poorten met protocol, adres, poortnummer, PID en procesnaam. Volledige proceslijst met PID, parent-PID en threadcount via directe systeemenumeratie.
Browserextensies: 6 browsers
Chrome, Edge, Brave, Vivaldi, Opera en Firefox, per gebruiker en profiel. Extensie-ID, naam inclusief vertaalde varianten, versie en beschrijving. Risicovolle of onbekende extensies zijn direct zichtbaar zonder handmatige beoordeling.
Wijzigingsdetectie over 8 dimensies
Elke inventarisatiecyclus wordt vergeleken met de vorige meting op software, KB-patches, browserextensies, open poorten, AV-status, BitLocker, Firewall en systeemidentiteit. Elke wijziging wordt gerapporteerd met oude en nieuwe waarde en een precies tijdstempel.
Een open poort is pas een blootstelling als iets hem kan bereiken
De vraag of een apparaat luistert op een verontrustend poortnummer kan een dienst op loopback niet onderscheiden van een dienst die aan het internet hangt. Secuno stelt in plaats daarvan drie afzonderlijke vragen, en de antwoorden vermenigvuldigen elkaar in plaats van op te stapelen.
Langs welke weg komt de aanval binnen?
Het aanvalspad wordt afgeleid uit de CVSS-vector, niet uit de score. Een RCE over het netwerk tegen een luisterende dienst en een browserfout waarvoor iemand moet klikken heten allebei “netwerk” en lijken in niets op elkaar. Een CVE zonder vectorstring wordt vastgelegd als onbekend in plaats van aangenomen.
Kan een aanvaller er werkelijk bij?
Een bereikbaarheidsniveau van 0 tot 4 wordt opgebouwd uit bindadressen van sockets, de staat van firewallprofielen, inkomende toestaanregels, adressering van netwerkadapters en de vastgelegde perimeterfirewall van de klant. De betrouwbaarheid van het niveau wordt apart bijgehouden, zodat een apparaat dat zes weken niet heeft ingecheckt niet wordt gescoord alsof zijn poortenlijst actueel is.
Blokkeren de maatregelen juist dat pad?
Een maatregel telt alleen mee tegen de vector die hij daadwerkelijk blokkeert. Schijfversleuteling stopt een gestolen laptop en doet niets tegen een RCE over het netwerk. Blootstelling en maatregelen werken vermenigvuldigend in plaats van optellend, zodat een volledig geharde host niet langer hoger kan uitkomen dan een kale.
Welk apparaat bepaalt de score?
Raakt één kwetsbaarheid meerdere apparaten, dan bepaalt het zwaarst getroffen apparaat de score. Voorheen kon dezelfde CVE anders scoren, afhankelijk van welk apparaat toevallig bovenaan de lijst stond.
Een vastgelegde perimeter, geen wensbeeld
Inkomende filtering, segmentatie en uitgaande controle kan een agent op een endpoint principieel niet waarnemen. Elke klant legt zijn firewall vast in een vragenlijst van dertig vragen die een beheerder echt kan beantwoorden en een ander kan controleren. De scoringsassen worden uit de antwoorden afgeleid, elk met de zin waarop ze rusten, in plaats van rechtstreeks gevraagd. Het resultaat begrenst het niveau van elk apparaat erachter, en een opgave die niemand tegen de draaiende configuratie heeft gecontroleerd weegt minder zwaar waar dat het antwoord verandert.
Het bewijs, niet alleen het getal
Elk apparaat bewaart zijn niveau en de onderbouwing eronder, zodat de lijst rechtstreeks op blootstelling sorteert en filtert, en een risico ook later nog kan tonen op welk bewijs zijn score was gebouwd, ook als het apparaat sindsdien is veranderd.
Wat de websites van een klant aan het internet laten zien
De agent ziet een apparaat van binnenuit. Web Exposure controleert de gepubliceerde websites van elke klant van buitenaf, binnen een bewust smalle grens, en maakt van wat hij vindt onderbouwde bevindingen, een cijfer van A tot F en gescoorde risico's in hetzelfde register.
Elke exposure wordt een gescoord risico met eigenaar
Elk hier verzameld datapunt stroomt automatisch door naar CVE-correlatie en risicoscoring. De volledige correlatie-engine, scoring en herstelworkflow staan op de pagina Kwetsbaarheidsbeheer; het AI- en infrastructuurmodel staat op de Beveiligingspagina.
Operationele controle over elke agent
Implementeer, quarantineer, trek in en monitor agents over uw gehele klantenportfolio vanuit één interface. Geen endpoint-toegang vereist voor fleet-beheer.
Enrollmenttokens
Tokens aanmaken met label, vervaldatum en maximaal aantal gebruiken. Eenmalig getoond in de UI en nooit meer opvraagbaar. Alleen de gehashte waarde wordt server-side opgeslagen. Voorkomt ongeautoriseerde agent-registratie zonder configuratie aan de agent-zijde.
Quarantaine & intrekking
Individuele devices in quarantaine plaatsen, opheffen of permanent intrekken vanuit het deviceoverzicht. Directe operationele controle over uw agent-fleet zonder het endpoint zelf aan te raken.
Offline wachtrij, geen dataverlies
Tot 1.000 events worden lokaal opgeslagen op het device bij verbindingsverlies. In volgorde verstuurd bij reconnectie. Inventariscontinuïteit wordt gehandhaafd bij tijdelijke netwerkstoringen zonder operatorinterventie.
Configureerbare offline-melding
Agents die stoppen met rapporteren activeren een melding na een instelbare drempel: standaard 20 minuten, aanpasbaar per partneromgeving vanuit Partnerinstellingen. Wordt één keer per stilteperiode verzonden, niet elke controleronde.
Volledige device-zichtbaarheid over uw gehele klantenportfolio
Wij lopen met u door agent-deployment, CVE-correlatie en risicoworkflow heen, live in een demo-omgeving afgestemd op uw portfoliogrootte.