Shodan

Shodan is een gespecialiseerde zoekmachine die apparaten en systemen indexeert die direct verbonden zijn met het internet. In tegenstelling tot Google, dat websites indexeert, scant Shodan IP-adressen en registreert de service-banners, HTTP-headers en metadata van servers, routers, webcams, IoT-apparaten en industriele controlesystemen. De zoekmachine is in 2009 gelanceerd door John Matherly en biedt beveiligingsprofessionals een krachtig hulpmiddel om het aanvalsoppervlak van hun organisatie in kaart te brengen. Shodan onthult welke systemen zichtbaar zijn vanaf het internet, welke services ze draaien en of ze bekende kwetsbaarheden bevatten. Voor security-teams is het een essentieel instrument voor vulnerability management en aanvalsoppervlaktebeheer.

Hoe werkt Shodan?

Shodan scant continu het volledige IPv4-adresruimte door verbindingen op te zetten met specifieke poorten op elk IP-adres. Wanneer een service reageert, registreert Shodan de banner die de service retourneert. Deze banner bevat vaak informatie over het type software, de versiegegevens, het besturingssysteem en de configuratie van de service. Al deze data wordt geindexeerd en doorzoekbaar gemaakt via de Shodan-website en API.

De zoekmachine ondersteunt geavanceerde filters waarmee je zoekresultaten kunt verfijnen. Je kunt zoeken op land, stad, organisatie, besturingssysteem, poortnummer en specifieke software. Een zoekopdracht als "apache country:NL port:443" toont alle Apache-webservers in Nederland die luisteren op poort 443. De filter "vuln:CVE-2021-44228" identificeert systemen die mogelijk kwetsbaar zijn voor de Log4Shell kwetsbaarheid.

Shodan biedt verschillende abonnementen. De gratis versie geeft beperkte zoekresultaten en API-toegang. Betaalde plannen bieden meer resultaten, real-time alerts en aanvullende functies zoals network monitoring. De Shodan Monitor-functie stuurt automatisch meldingen wanneer nieuwe services worden gedetecteerd op door jou opgegeven IP-ranges, wat het ideaal maakt voor continu attack surface management.

Wanneer heb je Shodan nodig?

Shodan is onmisbaar voor security-teams die het externe aanvalsoppervlak van hun organisatie willen begrijpen. Door je eigen IP-ranges te scannen via Shodan zie je exact wat aanvallers zien wanneer ze je organisatie verkennen. Onverwacht zichtbare services, vergeten testservers, verouderde softwareversies en verkeerd geconfigureerde apparaten worden direct zichtbaar. Dit maakt Shodan tot een krachtig instrument voor het opsporen van shadow IT.

Bij penetratietests wordt Shodan gebruikt in de reconnaissance-fase om informatie te verzamelen over het doelnetwerk zonder actief te scannen. Dit is passieve reconnaissance: de informatie staat al in de Shodan-database en het opvragen ervan genereert geen verkeer richting het doel. Ethische hackers gebruiken Shodan ook om snel te bepalen welke aanvalsvectoren het meest kansrijk zijn.

In september 2025 gebruikten beveiligingsonderzoekers van Cisco Shodan om meer dan 1.100 publiek toegankelijke Ollama LLM-servers te ontdekken. Dit illustreert hoe Shodan helpt bij het identificeren van nieuwe typen blootgestelde diensten die organisaties onbedoeld publiekelijk bereikbaar hebben gemaakt. Met de groei van IoT en cloudservices neemt het aantal onbedoeld blootgestelde systemen toe, waardoor tools als Shodan steeds relevanter worden voor proactieve beveiligingsaudits.

Voordelen en beperkingen van Shodan

Het grootste voordeel van Shodan is de snelheid waarmee je een extern perspectief krijgt op je eigen infrastructuur. In plaats van weken te besteden aan handmatige verkenning, biedt Shodan binnen seconden een overzicht van alle publiek zichtbare services. De historische data die Shodan bijhoudt, stelt je bovendien in staat om veranderingen over tijd te volgen en te detecteren wanneer nieuwe services onverwacht verschijnen.

Shodan is geen hackingtool maar een informatieplatform. De data die Shodan verzamelt is publiek beschikbaar: elke service die op Shodan verschijnt, is bereikbaar voor iedereen op het internet. Shodan maakt deze informatie alleen doorzoekbaar. Het gebruik van Shodan voor het scannen van je eigen systemen is volledig legitiem en wordt door beveiligingsexperts aanbevolen als onderdeel van je security-baseline.

Een beperking is dat Shodan alleen services detecteert die actief reageren op verbindingsverzoeken. Diensten achter een firewall die geen inkomende verbindingen accepteert, verschijnen niet in Shodan. Daarnaast is de informatie een momentopname: tussen het moment van scannen en het moment dat je de resultaten bekijkt, kan de configuratie al zijn gewijzigd. Combineer Shodan daarom altijd met real-time scanning van je eigen netwerk voor een volledig beeld.

Privacy-overwegingen spelen ook een rol. Shodan indexeert alles wat publiek bereikbaar is, inclusief webcams, printers en medische apparaten. Organisaties die gevoelige apparaten onbedoeld aan het internet hebben gekoppeld, ontdekken dit soms pas via Shodan. Dit onderstreept het belang van netwerksegmentatie en het regelmatig auditen van je netwerkconfiguratie.

Shodan gebruiken voor je organisatie

Begin met het opzoeken van je eigen publieke IP-ranges in Shodan. Controleer welke services zichtbaar zijn en vergelijk dit met je verwachte configuratie. Elke onverwachte service verdient onmiddellijke aandacht: waarom is dit systeem bereikbaar, wie heeft het geconfigureerd en is het noodzakelijk dat het publiek toegankelijk is? Stel Shodan Monitor-alerts in voor je IP-ranges zodat je automatisch wordt gewaarschuwd bij veranderingen.

Integreer Shodan-data in je vulnerability management workflow. De Shodan API maakt het mogelijk om automatisch te controleren of je systemen kwetsbare softwareversies draaien en deze informatie te koppelen aan je SIEM of security dashboard. Dit geeft je een continu bijgewerkt beeld van je externe aanvalsoppervlak en verkort de tijd tussen het ontdekken en verhelpen van blootstellingen.

Voor red team-oefeningen biedt Shodan waardevolle startpunten. Door het externe aanvalsoppervlak van een doelorganisatie in kaart te brengen, kunnen red teamers hun aanvalsscenarios effectiever plannen. Blue teams gebruiken dezelfde informatie om hun verdediging te toetsen: als Shodan een kwetsbare service toont, is dat een directe indicatie dat de verdediging op dat punt tekortschiet en actie vereist is.

Veelgestelde vragen over Shodan

Is het gebruik van Shodan legaal?

Ja. Shodan indexeert uitsluitend publiek beschikbare informatie. Het opvragen van deze informatie is legaal, net zoals het opvragen van informatie via Google. Het misbruiken van gevonden informatie om ongeautoriseerd in te breken op systemen is uiteraard wel strafbaar. Shodan zelf is een informatietool, geen hackingtool.

Kan ik voorkomen dat mijn systemen op Shodan verschijnen?

Als een systeem bereikbaar is vanaf het internet en reageert op verbindingsverzoeken, kan Shodan het indexeren. een geschikte manier om niet op Shodan te verschijnen is het niet onnodig blootstellen van services aan het internet. Gebruik firewalls om alleen noodzakelijke poorten open te stellen en overweeg IP-whitelisting voor beheerinterfaces.

Wat is het verschil tussen Shodan en Censys?

Beide zijn zoekmachines voor internet-verbonden apparaten. Shodan is ouder, breder bekend en heeft een grotere community. Censys, ontwikkeld door onderzoekers van de University of Michigan, biedt meer focus op certificaatdata en gestructureerde zoekmogelijkheden. Veel security-teams gebruiken beide tools complementair.

Kost Shodan geld?

Shodan biedt een gratis tier met beperkte zoekresultaten en API-calls. Een basisabonnement voor eenmalig 49 dollar geeft permanente uitgebreide toegang. Enterprise-abonnementen met volledige API-toegang, monitoring en alerts zijn beschikbaar voor grotere organisaties. De gratis versie is voldoende voor een eerste verkenning van je eigen aanvalsoppervlak.

Welke apparaten verschijnen allemaal op Shodan?

Alles wat verbonden is met het internet en reageert op verbindingsverzoeken: webservers, databases, routers, webcams, printers, smart home-apparaten, industriele controlesystemen (SCADA/ICS), VPN-gateways en meer. De diversiteit aan vindbare apparaten illustreert hoe breed het internet-aanvalsoppervlak van de gemiddelde organisatie is.

Krijg inzicht in je aanvalsoppervlak. Vergelijk vulnerability management-oplossingen op IBgidsNL.