Tools voor kwetsbaarheidsbeheer vergeleken

Voor wie dit is

Deze pagina is voor teams die een tool voor kwetsbaarheidsbeheer kiezen, of controleren of hun huidige tool dekt wat ze leveren. Wij bouwen CRACI, dus houd daar rekening mee. Elke bewering over een ander product komt van de eigen site of documentatie van die leverancier, gecontroleerd in september 2026.

Twee soorten kwetsbaarheidsbeheer

	Kwetsbaarheidsbeheer voor infrastructuur	Kwetsbaarheidsbeheer voor software
Beschermt	Wat u beheert: servers, laptops, netwerkapparaten, cloudaccounts	Wat u bouwt en levert: applicaties, images, firmware
Vindt kwetsbaarheden in	Besturingssystemen, geïnstalleerde software, configuraties	Open-source- en externe componenten, direct en transitief
Oplossing	Het systeem patchen	De afhankelijkheid upgraden, opnieuw bouwen en uitbrengen
Typische koper	IT en security operations	Productbeveiliging en engineering
Voorbeelden	Tenable, Qualys, Rapid7, Microsoft Defender	Snyk, Endor Labs, GitHub, Dependency-Track, CRACI

De twee overlappen aan de randen. Qualys leest open-sourcecomponenten nu via zijn agent tijdens runtime, en verschillende platforms scannen containerimages. Maar een hostscanner ziet wat er op een machine is geïnstalleerd, niet welke release van uw product welke afhankelijkheid heeft geleverd. Verkoopt u software, dan hebt u op beide vragen een antwoord nodig.

Hoe u kiest

• Wat moet u dekken? Infrastructuur, de software die u bouwt, of beide. Kies een tool per taak in plaats van er één over beide op te rekken.
• Hoe rangschikt het bevindingen? Kijk naar signalen van misbruik, niet alleen naar CVSS: CISA KEV, EPSS, threat intelligence, en voor code reachability. Zie prioritering van kwetsbaarheden voor de methode.
• Waar komt de inventaris vandaan? Agents en netwerkscans voor hosts; manifests, broncode, images of een vastlegging van de build voor software. De rangschikking is maar zo goed als de lijst die wordt gerangschikt.
• Wat gebeurt er na een bevinding? Patching, pull requests met fixes, tickets, toewijzing aan eigenaars, en verificatie dat de fix daadwerkelijk is geleverd.
• Wat moet u bewijzen? Klanten, auditors en de EU Cyber Resilience Act vragen steeds vaker om een SBOM per release en een registratie van hoe kwetsbaarheden zijn afgehandeld.
• Hoe wilt u betalen? Per asset, per ontwikkelaar, per committer, per plan of op offerte.

In één oogopslag

De twee soorten tools beantwoorden verschillende vragen, dus ze krijgen aparte tabellen. "Niet vermeld" betekent dat de leverancierspagina's die we aanhalen er niets over zeggen. Prijzen per september 2026.

Kwetsbaarheidsbeheer voor infrastructuur en endpoints

Kwetsbaarheidsbeheer voor de software die u bouwt

CRACI

CRACI is kwetsbaarheidsbeheer voor de software die u op GitHub Actions bouwt. In plaats van uit bestanden af te leiden wat er in uw product zit, draait het uw jobs en legt het de pakketten vast die elke job daadwerkelijk heeft opgehaald, inclusief transitieve afhankelijkheden, pakketten die uit caches zijn teruggezet en verborgen afhankelijkheden die in geen enkele lockfile staan. Gemonitorde SBOM's worden continu opnieuw beoordeeld, de buildgeschiedenis toont hoe lang een kwetsbare afhankelijkheid is geleverd, en policy gates kunnen een build blokkeren die een specifieke CVE bevat. Het meest geschikt voor teams die software leveren en moeten laten zien wat er in elke release is gegaan. Let op: het scant geen servers, endpoints of cloudaccounts, heeft geen reachability-analyse, en draait vandaag Linux-jobs op GitHub Actions (andere CI-systemen, Windows en macOS staan op de roadmap). Kwetsbaarheidstracking

Tools voor kwetsbaarheidsbeheer van infrastructuur

Tenable Vulnerability Management

Tenable verkoopt Vulnerability Management nu als onderdeel van Tenable One, zijn platform voor exposure management. Het dekt netwerken, cloudworkloads (agentless), containers, webapplicaties en OT, met Nessus als onderliggende scanner. De Vulnerability Priority Rating (VPR) houdt rekening met de CISA KEV-status, en bevindingen tonen EPSS naast CVSS. Tenable Patch Management en ticketing in twee richtingen regelen de remediatie. Het meest geschikt voor organisaties die de breedste assetdekking van één leverancier willen. De prijzen zijn openbaar: vanaf $3,700 per jaar voor 100 assets, met Nessus Professional voor $4,790 per jaar.

Qualys VMDR

Qualys VMDR (Vulnerability Management, Detection and Response) verzamelt gegevens via zijn Cloud Agent, netwerkscanners en cloudconnectors op basis van API's. TruRisk scoort risico op basis van CVSS, CISA KEV, de volwassenheid van exploitcode, malware, ransomware en gegevens over threat actors, en de Qualys Detection Score gebruikt EPSS en KEV-deadlines als invoer. Patch Management en tickets in ServiceNow maken de cirkel rond, en de Software Composition Analysis vindt kwetsbare open-sourcecomponenten tijdens runtime via de agent. Het meest geschikt voor dekking op basis van agents met ingebouwde patching. Prijzen op offerte.

Rapid7 Exposure Command (InsightVM)

InsightVM is nu onderdeel van Rapid7 Exposure Command, verkocht als Essentials (kwetsbaarheidsbeheer en aanvalsoppervlak) of Ultimate (met daarbij cloud- en applicatiebeveiliging). Het dekt on-premises- en cloudassets, containers, applicaties en infrastructure as code. De Active Risk-score, van 0 tot 1.000, combineert CVSS met threat feeds, waaronder AttackerKB, Metasploit, ExploitDB en de CISA KEV-lijst. Remediatieworkflows en meer dan 500 integraties regelen de tickets. Het meest geschikt voor teams die kwetsbaarheidsbeheer en monitoring van het aanvalsoppervlak samen willen. Prijzen op offerte.

Microsoft Defender Vulnerability Management

Defender Vulnerability Management dekt endpoints op Windows, macOS, Linux, Android en iOS, en netwerkapparaten, met inventarissen van software, certificaten, hardware, firmware en browserextensies. De prioritering combineert threat intelligence van Microsoft, de kans op een inbreuk en de zakelijke context, en remediatie verloopt via Intune-taken. De kernfuncties zijn inbegrepen bij Defender for Endpoint Plan 2, met een premium add-on en een losse versie voor andere EDR-producten. Het meest geschikt voor organisaties die al Microsoft Defender gebruiken. Het dekt niet de software die u bouwt.

Wiz

Wiz scant VM's, containers en serverless functies zonder agents, en haalt bevindingen van scanners van derden binnen voor on-premises assets. Het rangschikt kwetsbaarheden met context uit zijn Security Graph: netwerkblootstelling, identiteiten, gevoeligheid van gegevens en aanvalspaden. Het genereert ook SBOM's van cloudworkloads in SPDX en CycloneDX. Het meest geschikt voor cloud-first organisaties. Prijzen op offerte. CRACI vs Wiz

Kwetsbaarheidsbeheer voor de software die u bouwt

Snyk

Snyk is een developer-first platform dat draait in de IDE, de CLI, SCM-integraties en CI. Het prioriteert bevindingen in afhankelijkheden met reachability, exploit maturity, EPSS en CVSS, en opent pull requests voor upgrades. De afhankelijkheidsboom komt uit manifests en lockfiles, en snyk sbom is alleen beschikbaar op Enterprise-plannen. CRACI vs Snyk

Endor Labs

Endor Labs is gebouwd rond reachability op functieniveau en traceert codepaden van uw broncode naar de kwetsbare functie in directe en transitieve afhankelijkheden. Het voegt analyse van de impact van upgrades, gebackporte patches en een Package Firewall toe. Het meest geschikt voor teams die verdrinken in meldingen over afhankelijkheden. CRACI vs Endor Labs

GitHub Advanced Security en Dependabot

Elk GitHub-plan bevat de dependency graph en Dependabot-meldingen. Code Security voegt dependency review en CodeQL toe, en artifact attestations voegen ondertekende herkomstgegevens toe. De dependency graph beschrijft de manifests en lockfiles van de repository, plus alle gegevens die eraan zijn ingestuurd. CRACI vs GitHub Advanced Security

Gratis en open-source tools voor kwetsbaarheidsbeheer

• OWASP Dependency-Track leest CycloneDX-SBOM's in en analyseert ze continu aan de hand van de NVD, GitHub Advisories, OSV en andere bronnen, met een policy-engine en EPSS voor prioritering. Apache 2.0. CRACI vs Dependency-Track
• Grype scant images, bestandssystemen en SBOM's en rapporteert EPSS- en KEV-gegevens bij zijn bevindingen. Trivy scant images, repositories, VM-images en Kubernetes. Beide Apache 2.0. CRACI vs Syft en Grype
• DefectDojo bundelt bevindingen van andere scanners, ontdubbelt ze en volgt de remediatie. BSD 3-Clause, een OWASP Flagship-project, met een betaalde Pro-editie.
• OpenVAS, de scanner in Greenbone Community Edition, scant netwerken aan de hand van een continu bijgewerkte feed met kwetsbaarheidstests.
• Nessus Essentials is niet open source, maar wel gratis: een licentie van 30 dagen voor niet-commercieel gebruik op maximaal 5 IP-adressen.

Gratis tools laten het programma eromheen aan u over: monitoring, triage, toewijzing en rapportage.

Waar CRACI past

CRACI is kwetsbaarheidsbeheer voor de software die u op GitHub Actions bouwt. Elke andere softwaretool hierboven leidt uit bestanden af wat er in uw product zit: manifests, lockfiles, broncode, images of een geüploade SBOM. CRACI draait uw GitHub Actions-jobs en legt de pakketten vast die elke job daadwerkelijk heeft opgehaald, inclusief transitieve afhankelijkheden, pakketten die uit caches zijn teruggezet en verborgen afhankelijkheden die in geen enkele lockfile staan. CRACI heeft kwetsbare pakketten gevonden die Snyk en Aikido niet rapporteerden, omdat in hun scans de componenten ontbraken.

• Gemonitorde SBOM's worden continu opnieuw beoordeeld, en organisatieweergaven bundelen bevindingen over repositories heen.
• De buildgeschiedenis toont welke eerdere builds een kwetsbare afhankelijkheid bevatten, zodat u de blootstellingsperiode kent.
• Securityteams triëren bevindingen en wijzen elke bevinding toe aan het team dat verantwoordelijk is voor de fix, en CRACI ondersteunt VEX.
• Policy gates kunnen een build blokkeren op bevindingen, ook een build die een specifieke CVE bevat.
• Voor actief misbruikte kwetsbaarheden onder de CRA dient CRACI de meldingen namens de fabrikant in bij de autoriteiten.

CRACI is niet de juiste keuze wanneer:

• u servers, endpoints of cloudaccounts moet scannen (kies een van de infrastructuurtools hierboven),
• reachability uw prioriteit is (CRACI biedt dit niet),
• uw pipelines op GitLab, Jenkins of CircleCI draaien, of Windows- of macOS-runners nodig hebben (CRACI draait vandaag Linux-jobs op GitHub Actions; andere CI-systemen, Windows en macOS staan op de roadmap).

Zie kwetsbaarheidstracking, vergelijk SCA-tools, of boek een demo om de vastlegging van een GitHub Actions-build te zien.

CRACI vergeleken met elke tool

• CRACI vs Snyk Wat uw manifesten declareren tegenover wat uw build deed.
• CRACI vs Aikido Een brede AppSec-suite tegenover deterministisch bewijs uit de build.
• CRACI vs Sonatype Repository-poortwachter en SCA tegenover bewijs uit de build.
• CRACI vs Black Duck Scannen van code, snippets en binaries tegenover bewijs uit de build.
• CRACI vs Mend.io Afhankelijkheden scannen tegenover afhankelijkheden observeren.
• CRACI vs Checkmarx AppSec-testplatform tegenover bewijs uit de build.
• CRACI vs Endor Labs Bereikbaarheidsanalyse tegenover observatie van de build.
• CRACI vs JFrog Artefactbeheer tegenover bewijs per build.
• CRACI vs GitHub Advanced Security Scannen van code, secrets en afhankelijkheden tegenover bewijs uit de build.
• CRACI vs Dependabot Versie-updates tegenover weten wat uw builds gebruikten.

Naast elkaar

Meerdere tools op één pagina, voor als u een categorie kiest en niet één product.

• SCA-tools vergeleken Snyk, Sonatype, Black Duck, Mend, Checkmarx, Endor Labs en meer.

Veelgestelde vragen over tools voor kwetsbaarheidsbeheer

Korte antwoorden op veelgestelde vragen over tools voor kwetsbaarheidsbeheer

Wat is een tool voor kwetsbaarheidsbeheer?

Een tool die bekende kwetsbaarheden in uw assets vindt, ze op risico rangschikt en ze volgt tot ze zijn opgelost of geaccepteerd. Infrastructuurplatforms zoals Tenable, Qualys en Rapid7 dekken hosts, endpoints en cloud. Softwaregerichte tools zoals Snyk, Endor Labs en Dependency-Track dekken de open-sourcecomponenten in de software die u bouwt.

Wat is de beste tool voor kwetsbaarheidsbeheer?

Dat hangt af van wat u moet dekken. Voor servers, laptops en cloudaccounts kijkt u naar Tenable, Qualys, Rapid7 of Microsoft Defender Vulnerability Management. Voor de afhankelijkheden in software die u bouwt en levert, kijkt u naar SCA-tools en tools op basis van SBOM's. De meeste organisaties die software leveren, hebben van elk één nodig.

Zijn er gratis tools voor kwetsbaarheidsbeheer?

Ja. OpenVAS (Greenbone Community Edition) scant netwerken, DefectDojo bundelt bevindingen van andere scanners, Dependency-Track monitort SBOM's, en Grype en Trivy scannen images en bestandssystemen. Nessus Essentials is een gratis licentie van 30 dagen voor niet-commercieel gebruik op maximaal 5 IP-adressen.

Wat is het verschil tussen kwetsbaarheidsbeheer en kwetsbaarheidsscans?

Scannen vindt kwetsbaarheden op een bepaald moment. Kwetsbaarheidsbeheer is het doorlopende programma eromheen: inventaris, scannen, prioriteren, toewijzen, verhelpen, verifiëren en rapporteren. De meeste tools op deze pagina doen beide.

Welke tools voor kwetsbaarheidsbeheer gebruiken EPSS en CISA KEV?

Tenable gebruikt beide (KEV voedt de VPR-score, en EPSS wordt bij bevindingen getoond). Qualys gebruikt beide in de Qualys Detection Score. Active Risk van Rapid7 gebruikt de KEV-lijst. Onder de open-sourcetools rapporteert Grype EPSS- en KEV-gegevens en gebruikt Dependency-Track EPSS.

Is CRACI een tool voor kwetsbaarheidsbeheer?

Voor software die u op GitHub Actions bouwt, ja. CRACI legt de pakketten vast die elke build daadwerkelijk heeft opgehaald, monitort de resulterende SBOM's op nieuwe kwetsbaarheden, toont welke builds een kwetsbare afhankelijkheid bevatten, en laat securityteams bevindingen triëren en toewijzen. Het scant geen hosts, endpoints of cloudaccounts.