Veelgestelde vragen

Hackurity levert Autonomous Red Teaming via de Autonome Red Teaming Stack. Hackurity test en valideert continu hoe aanvallers vertrouwen, toegang, identiteiten, integraties, applicaties, infrastructuur en externe platforms kunnen misbruiken. Hackurity biedt geen defensieve monitoring, realtime alerting, blokkering of incident response.

In plaats van kwetsbaarheden op te sommen, bewijst Hackurity welke een aanvaller echt kan gebruiken en hoe ze samen aanvalspaden vormen. Elke bevinding wordt door ons eigen red team geverifieerd voordat jij hem ziet.

Autonomous Red Teaming simuleert continu het gedrag van aanvallers om te valideren welke zwakke plekken uit te buiten zijn, hoe aanvalspaden met elkaar samenhangen en wat een aanvaller daadwerkelijk kan bereiken. Anders dan vulnerability scanning of periodiek testen oefent het voortdurend druk uit zoals een aanvaller dat doet, en bepaalt gevalideerde blootstelling de prioriteiten voor herstel.

Traditioneel testen valideert één moment in de tijd. Aanvallers misbruiken wat daarna veranderde.

Hackurity is gebouwd voor organisaties die hun eigen security beheren, maar beperkte offensieve capaciteit hebben. Meestal middelgrote en kleinere zakelijke organisaties, vaak gereguleerd of werkend met gevoelige data, met een security- of IT-team dat verantwoordelijk is voor de blootstelling.

Wie Hackurity koopt, heeft verstand van security. Wat ontbreekt is een vast red team, want offensief talent is schaars, duur en lastig aan het werk te houden binnen één organisatie. Dan blijft de keuze tussen een jaarlijkse pentest, die een momentopname is, en een scanner, die nooit iets bewijst.

Een scanner meldt wat er is. Hackurity bewijst wat uit te buiten is en waar dat toe leidt. We buiten de zwakke plekken die we vinden veilig uit en koppelen ze tot de aanvalspaden die een aanvaller echt zou gebruiken.

Dat verschil bepaalt wat je daarna doet. Een scanner geeft je duizenden bevindingen, gerangschikt op severity-score. Hackurity geeft je een korte lijst blootstellingen die door exploitatie zijn bevestigd, gerangschikt op wat een aanvaller via die blootstellingen kan bereiken.

Een penetratietest heeft een vaste scope, een vaste planning en een einddatum. Hackurity draait continu en test opnieuw wanneer je omgeving verandert, zodat je na een nieuwe release niet vertrouwt op een test die achterhaald is.

Naast de autonome stack voeren we elk kwartaal handmatige tests uit onder leiding van mensen, voor de problemen die om beoordelingsvermogen vragen in plaats van om dekking.

Ja. Alle producten van Hackurity gebruiken AI om aanvallersgedrag te simuleren, zwakke plekken uit te buiten en ze tot aanvalspaden te koppelen, op een schaal en in een tempo dat geen menselijk team kan volhouden. Daarna verifieert ons eigen red team elke bevinding.

Ons red team bevestigt wat echt is, haalt weg wat dat niet is, en voegt het oordeel en het hersteladvies toe dat automatisering niet kan leveren. Het menselijke team is onderdeel van het red team, geen ondersteunende laag.

Ja. Honderd procent van de technologie, het onderzoek en de tooling van Hackurity is in eigen huis gebouwd, zonder afhankelijkheid van securityplatforms of scanners van derden of uitbestede capaciteiten.

Dat is om twee redenen belangrijk. Onze exploitatietechnieken worden niet beperkt door wat een commerciële scanner kan detecteren, en er zit geen externe leverancier in de keten die met jouw bevindingen werkt. Wel bieden we API-toegang voor integratie met tools als Rapid7, Tenable, CrowdStrike en ServiceNow.

Hackurity heeft zijn hoofdkantoor in Rotterdam en is opgericht in 2021. We werken met organisaties in heel Europa, rechtstreeks en via partners.

De Autonome Red Teaming Stack is de set autonomous red teaming-producten van Hackurity. Elk product dekt een andere fase van hoe een aanvaller een organisatie benadert: zwakke plekken uitbuiten en aan elkaar koppelen, de voorbereiding van aanvallers volgen, en de assets verwijderen waarmee iemand zich als jou voordoet.

De producten zijn los te gebruiken, en versterken elkaar als je ze samen inzet. Inzicht in de voorbereiding van aanvallers bepaalt wat er wordt uitgebuit, en gevalideerde exploitatie bepaalt wat voorrang krijgt.

Managed Autonome Pentesting is autonome penetratietesting die continu draait en bewijst wat een aanvaller kan bereiken, via externe en interne aanvalspaden. Autonome penetratietesting is wat we vroeger geautomatiseerd pentesten noemden.

MAP simuleert veilig echte aanvallen op externe IP-adressen, webapplicaties, API's en endpoints. Het blijft niet bij opsporen: MAP koppelt bevindingen aan elkaar en valideert zo echte aanvalspaden met payload-loze exploitatie. Met dezelfde architectuur beoordeelt MAP de vertrouwensgrenzen die ontstaan door software en updates van derden, en laat het zien hoe toegang via de supply chain misbruikt kan worden.

Autonome Threat Intelligence is dark web threat intelligence die laat zien wanneer aanvallers een aanval op jou voorbereiden, nog voordat er iets wordt geprobeerd. Het is geen alerting of monitoring.

ATI combineert breach dumps, ondergrondse marktplaatsen, infrastructuurscans, certificate transparency-logs en grey-noise chatter tot risicoprofielen vanuit het perspectief van de aanvaller. Zo zie je wie het doelwit is, hoe impersonatie kan plaatsvinden en welke identiteiten of toegangspunten als eerste misbruikt zouden worden.

Autonome Merkbescherming is merkbescherming op basis van OSINT die de domeinen, diensten en communicatie opspoort en verwijdert waarmee aanvallers zich voordoen als je organisatie, je producten of je bestuurders.

Denk aan phishinginfrastructuur, nepdiensten en merkmisbruik op het open web en op berichtenplatforms. Zodra die zijn gevonden, coördineert Hackurity de takedown- en mitigatieprocessen. Autonome Merkbescherming is geen reputatie- of sentimentmanagement.

Ja. MAP, ATI en Autonome Merkbescherming zijn elk los te gebruiken, en veel klanten beginnen met één product.

Ze versterken elkaar wel. Inzicht in de voorbereiding van aanvallers bepaalt waar de exploitatie zich op richt, en bewezen aanvalspaden laten zien welke impersonatieroutes er echt toe doen.

Naast de Autonome Red Teaming Stack biedt Hackurity handmatige penetratietesten, social engineering-campagnes, het testen van embedded systemen en decoy- en deception-omgevingen.

Het testen van embedded systemen ondersteunt de eisen van de Cyber Resilience Act en is bedoeld voor productie en productontwikkeling. Decoy- en deception-omgevingen passen bij grotere organisaties met een complexe infrastructuur en behoefte aan threat intelligence.

Elke opdracht levert een risicorapport op in de context van je bedrijf, met geprioriteerde herstelstappen, plus een interactief dashboard, een managementsamenvatting en een volledig technisch rapport. API-toegang is beschikbaar.

MAP levert gevalideerde kwetsbaarheden, de aanvalspaden die ze samen vormen, de impact op je bedrijf, een human risk score en hersteladvies.

MAP doorloopt zes fasen: targets invoeren, assets ontdekken, kwetsbaarheden identificeren, veilige exploitatie, post-exploitatie en impactanalyse, en tot slot een risicorapport in context.

Je bepaalt de scope door targets in te stellen: domeinen, IP-adressen, applicaties, API's of omgevingen. Wij brengen actieve assets, diensten en onderlinge verbanden in kaart, identificeren en valideren uitbuitbare zwakke plekken, buiten ze veilig uit om de echte impact vast te stellen, en brengen daarna aanvalspaden in kaart en escaleren rechten om te meten wat een aanvaller daadwerkelijk kan bereiken.

Payload-loze exploitatie bewijst dat een zwakke plek uit te buiten is, zonder de schadelijke code in te zetten die een echte aanvaller zou gebruiken. Elke exploit blijft strikt beperkt tot de zwakke plek die wordt getest.

Zo wordt de impact aangetoond zonder productiesystemen in gevaar te brengen. Je krijgt het bewijs dat een aanvalspad werkt, en er wordt niets geïnstalleerd, gewijzigd of achtergelaten.

Ja. Het testen gebeurt zonder payloads en elke exploit blijft beperkt tot de zwakke plek die wordt getest, zodat de impact wordt aangetoond zonder je bedrijfsvoering te verstoren.

Alle tests draaien binnen gecontroleerde parameters die we met je afspreken. We voeren echte aanvalsketens uit, inclusief privilege escalation en toegang tot bedrijfssystemen, maar het resultaat is een vertrouwelijk rapport en geen datalek.

MAP test externe IP-adressen, webapplicaties, API's en endpoints, en kan via een lichtgewicht agent ook interne omgevingen testen. Daarnaast beoordeelt MAP de vertrouwensgrenzen die ontstaan door software en updates van derden.

Bevindingen omvatten uitbuitbare zwakke plekken in webapplicaties, zwakke plekken in het netwerk, misconfiguraties, verouderde software, zwakke of gelekte inloggegevens, onveilige API-endpoints en toegang via de supply chain.

Ja. Voor interne tests plaats je een Hackurity-agent in je netwerk, die een beveiligde verbinding met ons platform opzet.

Voor externe tests hoef je helemaal niets te installeren.

False positives beperken we door exploitatie: we proberen elke gevonden zwakke plek veilig uit te buiten en controleren of hij echt bestaat voordat we hem rapporteren, zodat je minder tijd kwijt bent aan het uitzoeken van schijnproblemen. False negatives pakken we aan met continu testen en menselijke review.

Continu testen op basis van exploitatie vangt problemen op die scanners op basis van signatures missen, en ons securityteam beoordeelt elke opdracht om de gaten te dichten die automatisering alleen kan laten liggen.

Bevindingen krijgen prioriteit op basis van bewezen uitbuitbaarheid en impact op je bedrijf, niet alleen op severity-score. We wegen of een zwakke plek in jouw specifieke omgeving uit te buiten is, waar die toe leidt en wat een aanvaller via die zwakke plek kan bereiken.

Het doel: van duizenden bevindingen naar een handvol bewezen risico's.

Er wordt continu getest in plaats van volgens een planning, en de scope past zich aan wanneer je omgeving verandert. Nieuwe deployments en wijzigingen in de infrastructuur starten automatisch nieuwe tests.

Dat is het verschil tussen continue validatie en een momentopname: na een release twee weken na een pentest ben je niet afhankelijk van bevindingen die je omgeving niet meer beschrijven.

Voor externe tests hebben we alleen de domeinnamen of IP-ranges nodig die je wilt laten testen. Voor interne tests is een agent nodig en, afhankelijk van de scope, beperkte en gecontroleerde toegang, eventueel inclusief VPN-toegang of inloggegevens.

Bij alle tests volgen we het principe van least privilege.

Alle data is versleuteld, zowel tijdens transport als in opslag, en opdrachtdata wordt in de EU opgeslagen. Resultaten zijn via ons portaal alleen toegankelijk voor geautoriseerde gebruikers binnen je organisatie.

Hackurity is gecertificeerd volgens ISO/IEC 27001:2022. Meer informatie over subverwerkers en de omgang met data staat in ons Trust Center.

Ja. Hackurity is gecertificeerd volgens ISO/IEC 27001:2022, certificaatnummer 202505004, uitgegeven door Sancert en geldig tot 20 mei 2027.

Op dit moment hebben we geen SOC 2-, FedRAMP- of PCI QSA-status.

Ja. Exploitatie levert een vertrouwelijk rapport op dat alleen naar jou gaat. Hackurity maakt niets openbaar, publiceert niets en deelt op geen enkele andere manier wat we in je omgeving vinden.

Als we onderzoek publiceren, is dat ons eigen origineel werk of volledig geanonimiseerd, en alleen met toestemming van de klant.

Hackurity levert bewijs ter ondersteuning van NIS2, DORA, ISO 27001, PCI DSS en de AVG, en het testen van embedded systemen ondersteunt de eisen van de Cyber Resilience Act.

MAP levert bewijs voor NIS2, DORA, ISO 27001, PCI DSS en de AVG. ATI ondersteunt NIS2, DORA en ISO 27001. Autonome Merkbescherming ondersteunt de AVG.

Nee. Geen enkele leverancier kan compliance leveren. Hackurity levert het testbewijs en de documentatie die verschillende frameworks vereisen, en die beoordelen je auditors en toezichthouders vervolgens.

De meeste frameworks vragen om dezelfde kerncapaciteiten: zicht op assets, vulnerability management, penetratietesten, continue beoordeling, threat intelligence en bewijs. Hackurity levert voor meerdere frameworks tegelijk bewijs.

Je krijgt documentatie van continue securityvalidatie: wat er is getest, wanneer, wat er is gevonden, wat er is uitgebuit en wat er is hersteld.

Voor frameworks die aantoonbare, doorlopende beoordeling eisen in plaats van een jaarlijkse test, is een doorlopend overzicht veel sterker dan een rapport van één moment.

De meeste klanten zijn binnen 24 tot 48 uur operationeel. De onboarding draait om het in kaart brengen van je belangrijkste assets en het starten van een eerste assessment.

Het proces kent vier stappen: een onboardinggesprek om je omgeving te begrijpen, het inrichten van je dashboard en testbeleid, autorisatie voor de domeinen of IP-ranges binnen de scope, en je eerste assessment.

De eerste resultaten zijn meestal binnen enkele uren na de start van het eerste assessment beschikbaar.

Die eerste bevindingen geven direct zicht op wat uit te buiten is, inclusief hersteladvies.

Nee. Het testen is zo ontworpen dat het de prestaties en stabiliteit van je systemen niet beïnvloedt, en de onboarding vraagt weinig tijd van je team.

Voor externe tests hoef je niets te installeren. Voor interne tests plaats je één agent in je omgeving.

In plaats van een gratis proefperiode doen we een proof of concept: onze volledige oplossing op targets die jij kiest, waarbij we de echte bevindingen in een adviesgesprek presenteren en verifiëren.

Targets kunnen specifieke URL's, IP-adressen, dark web-bronnen of OSINT-bronnen zijn. Je ziet echte bevindingen uit je eigen omgeving in plaats van een demo-account.

Nee. Bevindingen worden in heldere taal gepresenteerd, met concrete herstelstappen, en ons red team staat klaar om ze toe te lichten en te prioriteren.

Wel valideert Hackurity blootstelling; het bouwt geen securityprogramma vanaf nul op. Organisaties die er het meeste uit halen, hebben al iemand die verantwoordelijk is voor security.

De prijs hangt af van de omvang en complexiteit van je infrastructuur, het aantal assets binnen de scope, de testfrequentie en welke producten uit de Autonome Red Teaming Stack je gebruikt.

We publiceren geen vaste pakketten, omdat de scope sterk verschilt per organisatie. Neem contact op, dan maken we een offerte op basis van jouw omgeving.

Nee. Onboarding, technische support en platformupdates zijn bij de offerteprijs inbegrepen.

Premium support met ruimere openingstijden is los af te nemen voor organisaties die dat nodig hebben.

We bieden flexibele voorwaarden. Een jaarcontract is het voordeligst, maar we vragen geen lange verplichte looptijd.

Als je omgeving of behoeften veranderen, passen we de scope aan in plaats van alles opnieuw te onderhandelen.

Ja. Voor startups, onderwijsinstellingen en non-profitorganisaties die in aanmerking komen, hebben we speciale tarieven. Neem contact op met ons team voor de details.

Support omvat technische hulp, hulp bij het interpreteren van bevindingen en hersteladvies van ons red team. Je krijgt securityspecialisten aan de lijn, geen algemene helpdesk.

Bij elke gevalideerde bevinding krijg je herstelinstructies die zijn afgestemd op je omgeving, en ons team blijft betrokken tot het probleem is opgelost.

Standaard support is beschikbaar van maandag tot en met vrijdag, van 09.00 tot 17.00 uur CET. Ruimere openingstijden en weekendondersteuning zijn beschikbaar met een premium supportabonnement.

Je bereikt support via het ticketsysteem in het portaal, per e-mail via support@hackurity.io, of telefonisch voor dringende zaken.

Klanten met premium support krijgen daarnaast een vaste securityadviseur en voorrang bij reacties.

Ja. Ons red team loopt met je door wat er is gevonden, waarom het ertoe doet en wat je als eerste moet oplossen.

Daar draait red teaming met menselijke ondersteuning om: een rapport waar je niets mee kunt, is het maken niet waard.

Bij kritieke blootstellingen die ons platform vindt, kunnen klanten met premium support rekenen op opgeschaalde hulp.

Hackurity biedt geen incident response. Heb je te maken met een actief datalek of een lopende inbraak, schakel dan een incident response-partij in.