NetSenX: abonnementen en installatie

Elk abonnement, ook Free, detecteert beaconing, scans, laterale beweging en ongebruikelijk uitgaand volume, verklaart elke melding in gewone taal en houdt een netwerkkaart bij; hogere abonnementen voegen rapporten, koppelingen en gespecialiseerde monitoring toe. Free kost € 0 voor maximaal 3 apparaten met 30 dagen meldingsgeschiedenis, plus het bijhouden van NIS2-termijnen, een auditlog en aanmelden in twee stappen. Free en Solo dekken de computers waarop de agent is geïnstalleerd; een netwerksensor op een SPAN- of TAP-poort is beschikbaar vanaf Starter. Starter, voor € 49 per maand voor maximaal 10 apparaten, voegt pdf-rapporten, handmatige responsacties, teambeheer en TLS-fingerprinting toe waar de agent pakketten vastlegt. Solo biedt voor € 19 per maand de detectie, rapporten en responsacties van Starter voor precies één computer, de computer waarop de agent is geïnstalleerd, en één gebruiker, zonder teambeheer en zonder extra apparaten. Pro, voor € 99 voor maximaal 25 apparaten, voegt zicht op Shadow AI, passieve monitoring van OT-protocollen, de API, Slack en webhooks toe, en de crypto-inventaris NQCI, die pakketcapture op Linux of een SPAN- of TAP-sensor nodig heeft. Business, voor € 249 voor maximaal 100 apparaten, voegt SIEM-export en breach and attack simulation toe. Enterprise, vanaf € 999, voegt onbeperkte apparaten, eigen detectiebeleid, white label, on-premises installatie en single sign-on toe. Prijzen per maand, exclusief btw. Rapporten: Free: Geen rapporten (AI Act-gebruiksaanwijzing inbegrepen). Solo en Starter: Operationele rapporten (NIS2-incident, AVG, maandelijks, MITRE); auditpakket bij jaarlijkse facturering. Pro, Business en Enterprise: Alle rapporten, inclusief het auditpakket.

U kiest: één agent op een SPAN- of TAP-poort bewaakt een heel netwerksegment, of u installeert de agent op de hosts die u wilt bewaken. De agent draait als systeemservice op Linux en macOS; op Linux accepteert het installatieprogramma alleen een pakket dat is ondertekend met de releasesleutel van NetSenX, en agents voor macOS worden samen met NetSenX-support ingericht. Het dashboard is een dienst die in de EU wordt gehost; een on-premises-optie is beschikbaar in het Enterprise-abonnement.

U kiest de implementatie: één SPAN/TAP-poort op uw switch bewaakt een heel netwerksegment en telt als één apparaat, of u installeert de NetSenX-agent op de hosts die u kiest. Beide zijn gedocumenteerd; geen kernelmodules. Op Linux installeert het installatieprogramma alleen een pakket waarvan de handtekening overeenkomt met de NetSenX-releasesleutel, en weigert het al het andere; agents voor macOS richten we samen met NetSenX-support in.

De NetSenX-agent draait op Linux en macOS, en één agent op een SPAN- of TAP-poort bewaakt elk apparaat in dat segment, welk besturingssysteem dat apparaat ook gebruikt. Op Linux installeert de agent zich als systeemdienst met een commando van één regel uit het dashboard, en het installatieprogramma accepteert alleen een pakket dat met de releasesleutel van NetSenX is ondertekend. Op macOS installeert hij vanuit een ondertekend pakket en draait hij als achtergronddienst; macOS-agents worden samen met de support van NetSenX ingericht. Hebt u ook computers met andere besturingssystemen, of printers, camera's, telefoons en machines waarop geen agent kan draaien, zet dan één agent op een host aan een spiegelpoort: die ziet hun verkeer zonder dat er iets op wordt geïnstalleerd. Dat is meestal de eenvoudigste manier om een gemengd kantoor te dekken. De agent ziet geen verkeer op segmenten die u niet spiegelt, en geen activiteit binnen een computer die het netwerk nooit raakt.

Hij is ontworpen om dat niet te doen, en de veiligste manier om een server niet te belasten is hem daar helemaal niet te installeren: één agent op een host aan een spiegelpoort bewaakt het hele segment zonder de servers erin aan te raken. Een spiegelpoort kopieert het verkeer binnen de switch, dus de bewaakte servers verwerken niets extra, en het netwerkpad zelf verandert niet: de sensor krijgt alleen een kopie. Installeert u de agent toch op een server, dan leest hij verbindingsmetadata en enkele protocolvelden, zoals tijdstip, volume, bestemmingen, DNS-antwoorden en, waar pakketten worden vastgelegd, de TLS-handshake. Hij ontsleutelt nooit verkeer en fungeert niet als proxy en blokkeert geen verbindingen. Zoals bij alle nieuwe software op een drukke server: let de eerste dagen op het resourcegebruik en begin met een proef op een minder kritieke host. Neem vóór inzet op verbindingen met heel veel verkeer contact op met de support van NetSenX.

De basismodus ziet verbindingen, tijdstippen en volumes; pakketcapture leest daarnaast de onversleutelde velden van de TLS-handshake, die sommige functies nodig hebben. Op macOS draait de agent in een basismodus die de verbindingen bekijkt van de Mac waarop hij is geïnstalleerd. Dat is genoeg voor de kerndetecties, zoals beaconing, scans, laterale beweging en ongebruikelijk uitgaand volume. Pakketcapture betekent dat de agent de pakketten zelf kopieert om enkele protocolvelden te lezen, nog steeds zonder iets te ontsleutelen. Het is beschikbaar waar de agent op Linux draait of als sensor op een SPAN- of TAP-poort. Twee functies zijn ervan afhankelijk: TLS-fingerprinting vanaf het Starter-abonnement, dat bekende malwareclients aan hun handshake herkent, en de crypto-inventaris NQCI, actief vanaf het Pro-abonnement, die kwantumgevoelige en hybride sleuteluitwisseling toont. Hebt u een van beide nodig, plan dan een Linux-agent of een sensor op een spiegelpoort in.

NQCI is op elk abonnement zichtbaar als preview, actief vanaf het Pro-abonnement, en het heeft de pakketcapture-sensor nodig, die standaard uit staat. U hebt twee dingen nodig. Ten eerste een Pro-, Business- of Enterprise-abonnement. Ten tweede een agent die pakketten vastlegt: een Linux-agent met pakketcapture aangezet, of een agent op een host aan een SPAN- of TAP-poort. De basismodus op macOS ziet geen TLS-handshakes en kan de inventaris dus niet voeden. Eenmaal actief toont NQCI welke verbindingen door het bewaakte segment kwantumgevoelige sleuteluitwisseling gebruiken en welke al hybride post-kwantum-sleuteluitwisseling gebruiken, plus de SSH-serverversies die het ziet. Het is nog steeds een preview. Het ziet geen cryptografie binnen applicaties of op schijven, migreert niets en doet uw compliancewerk niet voor u; het geeft u een eerste inventaris vanuit het netwerk.

Ja, meldingen en het apparatenoverzicht starten zodra er verkeer stroomt, maar de vergelijkingen met het normale gedrag van elke host worden beter naarmate NetSenX uw netwerk leert kennen. Op de eerste dag ziet u apparaten op de netwerkkaart verschijnen, en duidelijke patronen zoals scans of regelmatige verbindingen naar buiten geven meldingen. Langer duurt wat van de geschiedenis afhangt: weten dat de financiële server nooit met een bepaalde host praat, of dat een grote overdracht om 2.00 uur ongebruikelijk is voor deze machine maar normaal voor de back-upserver. Reken erop dat de eerste weken meer aandacht van u vragen, terwijl u normale activiteit bevestigt en markeert. Er bestaat geen kant-en-klaar model dat uw netwerk op dag nul kent. De grens voor vals-positieven, onderdeel van de NetSenX Math Guarantee, wordt pas getoond als uw eigen gelabelde data die ondersteunen; tot die tijd zegt het dashboard dat, in plaats van een getal te tonen.

Het is een actueel overzicht van de apparaten die NetSenX op uw bewaakte segmenten ziet, met wie met wie praat, en het zit in elk abonnement, ook Free. Per apparaat toont de kaart de naam die het op het netwerk aankondigt, het adres, wanneer het voor het eerst en het laatst is gezien en de verbindingen met andere apparaten en externe bestemmingen. Cloud- en hostingbestemmingen komen in een beoordelingswachtrij, zodat u kunt beslissen of een server die met een pas gehuurde cloudmachine praat, verwacht is. De kaart wordt passief opgebouwd uit verkeer: NetSenX scant of ondervraagt nooit apparaten, wat veilig is voor printers, camera's en industriële apparatuur. De keerzijde: een apparaat dat nooit verkeer verstuurt, of in een segment staat dat u niet spiegelt, verschijnt niet. Veel klanten gebruiken de kaart in de eerste week om vergeten servers, onbekende apparaten en apparatuur te vinden die er niet hoort.

Op elk abonnement verschijnen meldingen in het dashboard en worden ze per e-mail verstuurd; vanaf Pro kunnen ze ook naar Slack, een webhook of via de API naar uw eigen systemen, en vanaf Business naar uw SIEM. E-mail past bij een klein team: stuur meldingen naar een gedeelde mailbox of naar twee personen, zodat iemand ze ziet als de beheerder er niet is. Met een webhook stuurt u meldingen door naar een ticketsysteem, een chattool of een piketdienst die uw IT-leverancier al gebruikt. SIEM-export zet netwerkdetecties naast uw logdata. Via welk kanaal ook, elke melding bevat dezelfde uitleg in gewone taal: wat er gebeurde, op welke host en waarom ze werd gegeven. Spreek vooraf af wie 's nachts en in het weekend de meldingen leest: NetSenX detecteert op elk uur, maar draait geen bemande dienst die u belt.

Dat hangt af van het abonnement: Free bewaart 30 dagen meldingsgeschiedenis, elk hoger abonnement langer, en Enterprise zonder tijdslimiet; de prijstabel vermeldt de precieze periode per abonnement. De meldingsgeschiedenis is belangrijker dan ze lijkt. Als een incident wordt ontdekt, vragen onderzoekers en verzekeraars wanneer het begon, en het antwoord ligt vaak weken terug; is uw geschiedenis korter dan de tijd die de aanvaller binnen was, dan is het bewijs weg. Het auditlog, dat vastlegt wie wat heeft gewijzigd en wat er met elke melding is gedaan, wordt apart bewaard, met een eigen standaardperiode per abonnement. Kies het abonnement met het incident in gedachten, niet alleen op het aantal apparaten: een bedrijf dat onder NIS2 moet melden of vragen van een verzekeraar moet beantwoorden, heeft misschien meer geschiedenis nodig dan zijn omvang doet vermoeden. Zegt u een betaald abonnement op, dan loopt het account door op Free met de bewaartermijnen daarvan.

Ja. Meldingen voor DNS-tunneling zitten in elk abonnement, ook in Free en Starter. DNS-tunneling verstopt data of opdrachten in DNS-opvragingen, meestal als lange, willekeurig ogende namen die naar één domein gaan. NetSenX geeft een melding op dat patroon. Andere DNS-gerelateerde detecties worden nog gemeten en geven nog geen meldingen, dus NetSenX beweert niet andere vormen van DNS-misbruik te detecteren. Los van NetSenX verkleint u het risico door al het DNS-verkeer via uw eigen resolvers te laten lopen, direct DNS naar internet vanaf werkplekken te blokkeren en resolverlogs te bewaren. Bedenk dat versleutelde DNS die via HTTPS naar een externe aanbieder gaat, voor geen enkele netwerksensor als DNS zichtbaar is.

Markeer precies die taak als verwacht in plaats van de detectie uit te zetten: de back-upserver, de bestemming en het tijdvenster, niets breders. Een nachtelijke back-up verplaatst veel data, vaak naar een externe opslagaanbieder, wat voor elke tool die volumes bekijkt op datadiefstal lijkt. Controleer bij de eerste melding of het de back-up is: vergelijk host, bestemming en planning met uw back-upsoftware. Markeer de melding daarna in NetSenX als vals-positief, zodat vergelijkbare meldingen van die taak worden herkend. Laat de detectie aan voor elke andere host: dezelfde overdracht vanaf een werkplek, of vanaf de back-upserver naar een nieuwe bestemming, moet nog steeds een melding geven, want ook aanvallers sluizen 's nachts data weg. Leg de beslissing vast en bekijk haar opnieuw als uw back-upopzet verandert. NetSenX bewaart elke beslissing in het auditlog, zodat u later kunt laten zien waarom een melding is afgesloten.

Het is de uitspraak dat onder de meldingen die de tool toont, het aandeel valse alarmen onder een opgegeven niveau blijft, met een opgegeven zekerheid, gemeten op uw eigen netwerk. Voor een klein team beantwoordt het de praktische vraag: hoeveel van mijn tijd voor meldingen is verspild? NetSenX leidt zo'n grens af met een split-conformal methode uit onschuldig verkeer dat uw team in uw eigen tenant heeft gelabeld. Het voorbehoud is eerlijk: een grens is maar zo goed als de data erachter. Met weinig gelabelde meldingen kan de methode geen krappe grens onderbouwen, dus zegt het dashboard dat er nog geen grens mogelijk is en wat er ontbreekt, in plaats van een geruststellend getal te tonen. Naarmate u in de eerste weken en maanden meldingen markeert, wordt de grens mogelijk. Het is een eigenschap van uw data, geen vast percentage dat NetSenX belooft, en het zit in elk abonnement als onderdeel van de NetSenX Math Guarantee.

Het is een verifieerbare fout-positief-grens onder door de engine gemelde alerts, bepaald met split-conforme voorspelling op basis van goedaardig verkeer dat uw analisten op uw eigen netwerk hebben gelabeld, op een betrouwbaarheidsniveau dat u kiest. Het dashboard toont de grens pas wanneer uw kalibratiegegevens die onderbouwen; tot dan zegt het dat, in plaats van een getal te tonen. Het beschrijft een methode en wat uw gegevens op dit moment onderbouwen, geen vast percentage. Het zit in elk abonnement.

Ze garandeert een methode, toegepast op uw gegevens, en volledig inzicht in wat die methode momenteel onderbouwt. Een split-conformal laag leidt een fout-positievengrens af voor de alerts die de engine toont, op een instelbaar betrouwbaarheidsniveau, op basis van door analisten als goedaardig gelabeld verkeer in uw eigen tenant. Een eindige kalibratieset kan een grens maar tot op zekere hoogte scherp bepalen, dus toont het dashboard de grens die uw gegevens onderbouwen — en meldt expliciet wanneer dat er nog geen is, samen met wat nodig is om de kloof te dichten, in plaats van een cijfer te tonen dat we niet kunnen onderbouwen. De methodologie is gedocumenteerd in ons Trust Center en is onafhankelijk te verifiëren.

Nee. NetSenX detecteert en meldt op elk uur, maar het is software: niemand bij NetSenX bewaakt uw meldingen dag en nacht of reageert namens u. Het verschil telt wanneer u uw beveiliging beschrijft aan een verzekeraar, een auditor of een klant. Zeggen dat detectie dag en nacht draait, klopt; zeggen dat iemand dag en nacht reageert, klopt alleen als u dat regelt. Opties die werken voor kleine en middelgrote bedrijven: meldingen per e-mail naar twee personen sturen in plaats van één; vanaf Pro een webhook gebruiken om een piketdienst van uw IT-leverancier te bereiken; met een MSP of MSSP afspreken dat die buiten kantooruren meldingen ontvangt en handelt; en het nummer van een incidentresponsbureau bij de hand houden. Hebt u mensen nodig die dag en nacht waken, dan biedt een aanbieder van managed detection and response (MDR) dat, en meldingen van NetSenX kunnen aan die aanbieder worden doorgegeven.

Het blokkeert geen verkeer, ontsleutelt geen sessies, beschermt geen endpoints, filtert geen e-mail, beheert geen identiteiten, maakt geen back-ups en levert geen bemande beveiligingsdienst. NetSenX bekijkt netwerkgedrag en verklaart meldingen. Het leest nooit de inhoud van versleutelde sessies, dus het kan u niet vertellen wat er in een geüpload bestand stond of wat iemand in een AI-tool typte. Het ziet niet wat er in een computer gebeurt zonder het netwerk te raken, geen apparaten die zwijgen en geen segmenten die u niet spiegelt. Het ziet geen aanmeldingen in uw VPN, directory of clouddiensten, dus een gestolen maar geldig wachtwoord dat normaal wordt gebruikt, kan op gewoon werk lijken. Het beslist niet of een incident meldplichtig is en dient geen meldingen in bij autoriteiten. Voor die gaten hebt u endpointbeveiliging of EDR nodig, e-mailbeveiliging, meervoudige authenticatie en identiteitslogs, geteste back-ups en mensen die kunnen reageren. NetSenX werkt naast hen.

Enterprise-klanten ontvangen bewijsmateriaal gekoppeld aan SOC 2 Type I (in progress), ISO 42001 (AI-management) en ISO 27001. Elke control omvat tijdgestempelde artefacten, attesten van subverwerkers en een exporteerbaar auditor-overzicht, in realtime bijgewerkt.

Ja. Onboarding voor Business en Enterprise omvat een gestructureerde overgang: twee weken parallel draaien, mapping van alerttaxonomie en migratie van analistenplaybooks.