Europese tools voor attack surface management en security ratings

#1 Orpheus Cyber

Londen, Verenigd Koninkrijk Niet gepubliceerd; er wordt een gratis proef cyberrisico aangeboden Gratis proef cyberrisico

Het meest geschikt voor: Risico- en inkoopteams die scores nodig hebben voor leveranciers naast hun eigen omgeving

• Exploiterend bedrijf. Orpheus Cyber Limited (registratienummer 10499131)
• Rechtsgebied. Verenigd Koninkrijk
• Broncode. Closed source
• Vervangt. Bitsight, SecurityScorecard

Orpheus Cyber geeft per organisatie cyberrisicoscores af en monitort zowel je eigen externe attack surface als de attack surfaces van je derde partijen, die het toont in een leveranciers-heatmap. Hetzelfde portaal voegt shadow IT-detectie, een module voor beveiligingsvragenlijsten en een kwetsbaarheidsscore toe die OVSS heet en die volgens de leverancier in realtime wordt bijgewerkt met machine learning. Met een gratis proef cyberrisico kan een team echte leveranciers inladen voordat het koopt.

De exploiterende vennootschap is Orpheus Cyber Limited, geregistreerd in Engeland en Wales onder nummer 10499131 met kantoor aan 34 Lime Street, Londen, en de gebruiksvoorwaarden van de website vallen onder Engels recht.

De homepage stelt dat de scores door Gallagher Re zijn gevalideerd als voorspellend voor cyberclaims, een verklaring van de leverancier die we niet hebben getest. De prijzen worden niet gepubliceerd, de hostinglocatie staat niet vermeld op de gecontroleerde pagina's, en de leveranciersdekking moet worden getest tegen de lange staart van je eigen leveranciers.

Opvallende functie. Orpheus Cyber is de enige leverancier op deze lijst die in hetzelfde portaal een risicoscore voor leveranciers en een overzicht van de eigen attack surface maakt.

#2 CybelAngel

Regio Parijs, Frankrijk Alleen op offerte: pakketten Essential, Core en Elite Demo op aanvraag

Het meest geschikt voor: Beveiligingsteams die dagelijkse monitoring van buitenaf willen met analistenondersteuning

• Exploiterend bedrijf. CybelAngel SAS (handelsregister Parijs 791 341 274)
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Bitsight, SecurityScorecard

CybelAngel kijkt naar wat buiten je netwerk ligt: vergeten assets, blootgestelde bestandsservers, gelekte credentials, look-alike-domeinen en vermeldingen op het dark web. Op de prijspagina staat dat elk pakket het volledige externe oppervlak dekt en dagelijks scant. Essential is self-service, Core voegt verrijkte analyse, actieve tests op aanvraag en een customer success manager toe, en Elite voegt predictive threat intelligence en een vaste analist toe.

Volgens de voorwaarden is CybelAngel een Franse SAS met een kapitaal van €150,000, ingeschreven in het Parijse handelsregister onder 791 341 274, en Be Api host de website in Parijs. Takedown-ondersteuning dekt domeinen en bestandsservers, en de leverancier verkoopt ook risicoanalyses voor M&A, derde partijen en VIP's. De prijs is alleen op offerte en de hostingregio van het platform staat niet vermeld, terwijl leveranciersscoring in de stijl van een rating alleen bestaat als dienst in de hogere pakketten.

Opvallende functie. CybelAngel combineert dagelijks scannen met takedown-diensten, zodat een gelekte credential of een nep-domein kan worden verwijderd en niet alleen gemeld.

#3 Hadrian

Nederland Atlas geprijsd op het totale aantal assets (offerte); Nova-pentests vanaf €1,250 per test exclusief btw Gratis externe scan

Het meest geschikt voor: Teams die bewezen uitbuitbare bevindingen willen in plaats van lange scannerlijsten

• Exploiterend bedrijf. Hadrian Security B.V.
• Jurisdictie. EU (Nederland)
• Broncode. Closed source
• Vervangt. Bitsight, SecurityScorecard

Hadrian verdeelt het aanbod in Atlas, dat de externe attack surface continu in kaart brengt en elke gedetecteerde wijziging test, en Nova, dat op aanvraag pentests uitvoert met AI-agents. De leverancier zegt dat alleen gevalideerde blootstellingen meldingen veroorzaken. Add-ons dekken fusie- en overnamebeoordelingen en detectie van credentials die door infostealers zijn gelekt, en de resultaten worden gekoppeld aan DORA, NIS2, SOC 2 en ISO 27001.

De contracterende partij in de voorwaarden is Hadrian Security B.V., een Nederlandse besloten vennootschap, en het orderformulier kan Engels of New Yorks recht instellen.

Nova-pentests beginnen bij €1,250 per test exclusief btw, met pakketten, terwijl Atlas op aanvraag wordt geprijsd op het totale aantal assets en er een gratis externe scan wordt aangeboden om mee te beginnen. Hadrian geeft geen leveranciersscores uit, en de claims over de diepte van agentische tests komen van de leverancier zelf en zijn niet onafhankelijk gecontroleerd.

Opvallende functie. Hadrian is de enige leverancier hier die een prijs per pentest vermeldt naast een continu product voor de attack surface.

#4 ONYPHE

Cléder, Frankrijk Maatwerkprijzen, neem voor elke weergave contact op met sales Demo op aanvraag

Het meest geschikt voor: Analisten en beveiligingsteams die ruwe scandata en domeingebaseerde assetdetectie willen

• Exploiterend bedrijf. ONYPHE SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Website gehost door OVH in Frankrijk; hosting van het platform niet vermeld
• Broncode. Closed source
• Vervangt. Bitsight, Censys, Shodan

ONYPHE bouwt op zijn eigen scans van het hele internet, die wekelijks worden uitgevoerd, en verkoopt het resultaat in gelaagde weergaven. De homepage vermeldt dat er maandelijks 20 miljard of meer banners worden verzameld, maandelijks 10 miljard of meer DNS-vermeldingen en wekelijks meer dan 5,000 poorten worden gescand. De ASM Edition voegt asset-tracking en meldingen toe, Vulnscan controleert meer dan 190 actief uitgebuite CVE's, en grotere weergaven bewaren tot 48 maanden historie.

ONYPHE SAS staat in de juridische vermeldingen, gevestigd in Cléder, Frankrijk, met Patrice Auffret als president, en OVH host de website in Frankrijk. Prijzen zijn voor elke weergave maatwerk en de prijspagina's vermelden een limiet van ongeveer één verzoek per seconde. Er is geen leveranciersscore, en analisten moeten queries in OQL schrijven en hun eigen workflows bouwen, dus dit past beter bij teams met threat intelligence-vaardigheden dan bij een algemene IT-afdeling.

Opvallende functie. ONYPHE is de enige leverancier hier die begint bij zijn eigen scandata van het hele internet en die toegankelijk maakt via een querytaal en een API.

#5 Intruder

Londen, Engeland Gratis abonnement; Cloud, Pro en Enterprise op offerte of via checkout; AI-pentests vanaf USD 3,500 per test Gratis abonnement; proefperiode van 14 dagen op het Cloud-abonnement

Het meest geschikt voor: Kleine en middelgrote teams die handsfree monitoring willen van wat ze blootstellen

• Exploiterend bedrijf. Intruder Systems Ltd (registratienummer 09529593)
• Rechtsgebied. Verenigd Koninkrijk
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

Intruder combineert monitoring van de attack surface, externe en interne kwetsbaarheidsscans, cloudcontroles, scannen van containerimages en DAST in één abonnement. De prijspagina toont een gratis abonnement met wekelijkse externe scans, één cloudaccount, twee containerimages en drie gebruikers, een Cloud-abonnement met een proefperiode van 14 dagen, een Pro-abonnement en een Enterprise-abonnement op offerte. Detectie van wijzigingen scant nieuwe assets zodra poorten opengaan of cloudservices verschijnen.

Het bedrijf is Intruder Systems Ltd, volgens de voettekst geregistreerd in Engeland onder registratienummer 09529593, en de homepage claimt dat meer dan 3,000 bedrijven het product gebruiken, een cijfer van de leverancier.

Het gratis abonnement is beperkt tot poorten 80 en 443, interne scans vereisen agents, en de bedragen voor de betaalde abonnementen stonden niet in de paginatekst, terwijl AI-pentests in Amerikaanse dollars worden geprijsd. Intruder is een scanner en monitor, dus het geeft een hygiënescore voor je eigen assets en geen leveranciersratings.

Opvallende functie. Intruder biedt een gratis abonnement voor drie gebruikers met wekelijkse externe scans, de laagste instapdrempel op deze lijst.

#6 Detectify

Stockholm, Zweden Opgericht in 2013 Starter gratis (tot 5 gebruikers, 100 assets) / Standard €2,500 / Professional €5,000 / Enterprise €15,000 per jaar Gratis Starter-variant; op maat gemaakte proefperiodes voor betaalde abonnementen

Het meest geschikt voor: Beveiligingsteams wier blootstelling vooral uit webapplicaties en API's bestaat en die gepubliceerde jaarprijzen willen

• Exploiterend bedrijf. Detectify AB
• Jurisdictie. EU (Zweden)
• Onafhankelijke controles. ISO 27001, AVG
• Broncode. Closed source
• Vervangt. Tenable, Qualys, Invicti

Detectify combineert het in kaart brengen van de externe attack surface met dynamische applicatiebeveiligingstests. De testpayloads worden geschreven door de eigen onderzoeksstaf en door Crowdsource-bijdragers, meer dan 400 externe hackers die werkende technieken insturen. Standard voegt scannen van REST- en GraphQL-API's toe, terwijl integratie in een buildpipeline Professional vereist.

Detectify AB opereert vanuit Stockholm, waardoor de rapporten die het over je infrastructuur maakt onder Zweeds en EU-recht vallen, en de toolpagina vermeldt ISO 27001 en AVG. De prijslijst is openbaar en kent vier stappen: een gratis Starter-variant, daarna €2,500, €5,000 en €15,000 per jaar. Detectify dateert uit 2013, meldt blootstellingen zonder verkeer te blokkeren, en Standard houdt op bij 750 assets en 10 gebruikers.

Opvallende functie. Detectify publiceert jaarprijzen voor elke variant, iets wat bijna geen leverancier van applicatiebeveiliging doet.

#7 ImmuniWeb

Genève, Zwitserland Opgericht in 2019 Gratis Community Edition; betaald AI Platform (pentesting, ASM, dark web-monitoring) op offerte van sales Gratis Community Edition, onbeperkt gebruik

Het meest geschikt voor: Teams die door mensen gecontroleerde pentests met AI-versnelling willen, plus een gratis eerste kijk

• Exploiterend bedrijf. ImmuniWeb SA
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Zwitserland (Genève)
• Onafhankelijke controles. ISO 9001:2015, CREST-geaccrediteerd (incl. AI-Enabled Penetration Testing)
• Broncode. Closed source
• Vervangt. Qualys, Rapid7, Cobalt

ImmuniWeb laat menselijke pentesters samenwerken met AI-modellen die zijn afgestemd op applicatietests, en bundelt testen, het ontdekken van blootgestelde assets en dark web-monitoring in één suite. De toolpagina vermeldt CREST-accreditatie, waaronder de nieuwere voor AI-ondersteunde tests, en ISO 9001:2015. De gratis Community Edition is bedoeld voor kleine organisaties en zegt dagelijks meer dan 100,000 tests uit te voeren.

ImmuniWeb SA uit Genève dateert zijn onafhankelijkheid uit 2019, noemt zichzelf zelf gefinancierd en winstgevend, en geeft Genève als gegevenslocatie. Omdat Zwitserland via een adequaatheidsbesluit is erkend en niet in de EER zit, noteer je het in je overdrachtsdossier. Het AI Platform vraagt een offerte, en de gratis editie doet minder dan een betaalde opdracht.

Opvallende functie. ImmuniWeb is door CREST geaccrediteerd voor AI-ondersteunde pentesten, een externe audit en geen marketingclaim.

#8 Edgescan

Dublin, Ierland Opgericht in 2017 Zie website; geen prijzen op de gecontroleerde pagina's Demo op aanvraag

Het meest geschikt voor: Organisaties die geautomatiseerd testen willen met deskundige verificatie van de bevindingen

• Exploiterend bedrijf. BCC Risk Advisory Limited, handelend als Edgescan (registratienummer 497804)
• Jurisdictie. EU (Ierland)
• Broncode. Closed source
• Vervangt. Bitsight, Tenable

Edgescan beschrijft een platform voor continue beveiligingstests en beheer van blootstelling, opgericht in 2017 door Eoin Keary, met kantoren in Dublin en New York. De module voor attack surface management staat naast tests van web, API, netwerk en mobiel, en pentesting als dienst. De leverancier zegt dat het kwetsbaarheidsinformatie combineert met menselijke verificatie, bedoeld om valse positieven te verminderen.

Het privacybeleid noemt BCC Risk Advisory Limited, een Iers bedrijf dat onder de naam Edgescan opereert, onder registratienummer 497804. Dat beleid dekt de website, en de entiteit die voor dienstencontracten wordt gebruikt is niet gecontroleerd, wat ertoe doet omdat de leverancier ook een Amerikaans kantoor heeft. Op de gecontroleerde pagina's stonden geen prijzen en er is geen leveranciersrating.

Opvallende functie. Edgescan plaatst de menselijke verificatie van resultaten binnen hetzelfde platform als zijn attack surface-module.

#9 Outpost24

Karlskrona, Zweden Op offerte; Outscan NX is een jaarabonnement met prijs per aantal assets Demo op aanvraag

Het meest geschikt voor: Grotere organisaties die een Zweedse leverancier van kwetsbaarheids- en blootstellingsbeheer willen

• Exploiterend bedrijf. Outpost24 AB (registratienummer 556615-2103)
• Jurisdictie. EU (Zweden)
• Broncode. Closed source
• Vervangt. Bitsight, Tenable, Qualys

Outpost24 verkoopt extern attack surface management voor internetgerichte assets en shadow IT, naast Outscan NX, een risicogebaseerde dienst voor kwetsbaarheidsbeheer van netwerken en cloud. Outscan NX gebruikt threat intelligence en machine learning om de kans op uitbuiting in te schatten. De leverancier meldt meer dan 2,500 klanten in meer dan 80 landen, een cijfer dat we niet hebben geverifieerd.

Het bedrijf is Outpost24 AB, nummer 556615-2103, gevestigd in Karlskrona, Zweden. Zijn site blokkeerde geautomatiseerde verzoeken, dus de feiten over de entiteit en het product komen uit zoekresultaten van de eigen pagina's en de dienstvoorwaarden, niet uit pagina's die direct zijn geopend. Outscan NX is een jaarabonnement met prijs per aantal assets en meerverbruik dat maandelijks wordt gefactureerd, er is geen andere prijs gepubliceerd, en de leverancier biedt geen leveranciersscores.

Opvallende functie. Outpost24 publiceert dienstspecifieke contractvoorwaarden, inclusief een DORA-bijlage, vóór enig verkoopgesprek.

#10 Check Point Exposure Management (Cyberint)

Tel Aviv, Israël Zie website; abonnementsniveaus worden zonder prijzen getoond Demo op aanvraag

Het meest geschikt voor: Teams die al met Check Point werken of attack surface- en dark web-monitoring in één platform willen

• Exploiterend bedrijf. Check Point Software Technologies Ltd (moeder van Cyberint)
• Rechtsgebied. Israël
• Broncode. Closed source
• Vervangt. Bitsight, SecurityScorecard

Check Point Exposure Management is het product dat voorheen bekendstond als Cyberint, en de site cyberint.com zegt nu dat Cyberint een Check Point-bedrijf is. Het bundelt attack surface management met monitoring van deep web en dark web, merkbescherming, wereldwijde threat intelligence en een supply chain-module die de leveranciers die je gebruikt opspoort en waarschuwt bij hoge risico's. De prijspagina vergelijkt niveaus per module en voegt remediationkredieten toe voor takedowns.

De licentieovereenkomst van Check Point noemt Check Point Software Technologies Ltd uit Tel Aviv, Israël, wat op deze lijst als Europees telt. Check Point vermeldt in zijn privacybeleid ook Cyberint Inc. onder zijn Amerikaanse dochterondernemingen, dus de contracterende entiteit voor dit product is niet bevestigd en moet in het orderformulier worden nagelezen. Het product is niet langer onafhankelijk en er worden geen prijzen getoond.

Opvallende functie. Check Point Exposure Management is het enige product op de lijst dat wordt gesteund door een grote beveiligingsleverancier, met een supply chain-module voor meldingen over leveranciers.