Eén plat netwerk: alles ziet alles
In veel MKB-omgevingen is het netwerk in de loop van de jaren organisch gegroeid. Er is één subnet, één wifi-netwerk en één switch-configuratie waar alles op aangesloten wordt: laptops, de bestandsserver, printers, de NAS, de camerarecorder, de thermostaat, het tijdregistratiesysteem en de kassa. Dat werkt, tot het moment dat één apparaat besmet raakt of iemand met kwade bedoelingen op het gastnetwerk zit.
In een plat netwerk hoeft een aanvaller namelijk niets bijzonders te doen om verder te komen. Vanaf één besmette laptop is de hele adresreeks bereikbaar: bestandsshares, remote desktop, de beheerinterface van de switch en apparaten die nog op hun standaardwachtwoord staan. Die zijwaartse beweging door het netwerk is precies de fase waarin ransomware van één werkplek naar de hele organisatie uitbreidt. Segmentatie maakt die stap moeilijker en bovendien zichtbaar.
Drie apparaatgroepen die u zeker apart zet
Niet elk netwerk hoeft in tien zones opgedeeld te worden. Begin met de groepen waar het risico het grootst is en de scheiding het eenvoudigst te realiseren.
Gasten en BYOD
Bezoekers, telefoons van medewerkers en alles waar u geen beheer over heeft.
- Eigen SSID met client-isolatie
- Alleen internet, geen toegang tot het LAN
- Bandbreedte begrenzen zodat gasten geen capaciteit opeisen
Camera’s, IoT en gebouwbeheer
Apparaten die zelden updates krijgen en vaak jaren blijven hangen.
- Geen internettoegang tenzij aantoonbaar nodig
- Alleen bereikbaar vanaf de recorder of beheersoftware
- Standaardwachtwoorden vervangen en vastleggen
Kassa’s en betaalautomaten
Systemen met een smalle, goed te definiëren verkeersstroom.
- Eigen segment met minimale firewallregels
- Alleen verkeer naar de leverancier of payment provider
- Op deze apparaten niet mailen of browsen
Van apparaatgroepen naar zones
Zodra u dit doortrekt naar de hele omgeving, ontstaat een beperkt aantal zones met per zone een duidelijke afspraak over wat er in en uit mag. Onderstaande indeling werkt voor de meeste organisaties met tien tot tweehonderdvijftig werkplekken.
| Zone | Voorbeelden | Internet | Toegang tot andere zones |
|---|---|---|---|
| Werkplekken | Laptops, desktops, dockingstations | Ja | Alleen naar servers en printers, op specifieke poorten |
| Servers en opslag | Bestandsserver, applicatieserver, NAS | Beperkt en uitgaand | Geen initiatief naar werkplekken |
| Beheer | Switches, access points, firewall, out-of-band management | Nee | Alleen bereikbaar vanaf beheerwerkplek of VPN |
| Telefonie | VoIP-toestellen, DECT-basisstations | Ja, naar de provider | Geen |
| Gasten en BYOD | Bezoekers, privételefoons | Ja | Geen, met client-isolatie |
| IoT en camera’s | Camera’s, sensoren, deurbeheer, klimaat | Nee of sterk beperkt | Alleen naar de bijbehorende recorder of controller |
| Betaalverkeer | Kassa’s, pinautomaten | Alleen naar de payment provider | Geen |
VLAN’s aanmaken is niet hetzelfde als segmenteren
Een VLAN scheidt broadcastdomeinen, niet meer dan dat. De winst zit in wat er op de grens tussen die VLAN’s gebeurt. Zonder filtering op de zonegrens heeft u vooral een overzichtelijker netwerk gemaakt, geen veiliger netwerk. Vier punten die het verschil maken:
- Standaard staat al het verkeer tussen zones dicht en opent u alleen wat aantoonbaar nodig is: DNS, DHCP-relay, printen, authenticatieverkeer en de poorten van uw applicaties.
- Het beheernetwerk is niet bereikbaar vanaf werkplekken. Beheer gaat via een aparte werkplek of via VPN.
- Wifi volgt dezelfde indeling: een eigen SSID per zone, of dynamische VLAN-toewijzing op basis van 802.1X. Zie ook wifi-oplossingen.
- Log wat op de zonegrens geblokkeerd wordt. Die logs vertellen u binnen een week welke verkeersstromen u vergeten was, en later of iemand aan het rondkijken is.
De firewall is hierin het centrale punt, maar bij grotere omgevingen doet ook de core switch een deel van het routeren en filteren. Wat past bij uw situatie hangt af van het aantal locaties en het type applicaties; dat komt aan de orde in het netwerkontwerp.
Wat NIS2 en uw verzekeraar hiervan vinden
Netwerksegmentatie staat in vrijwel elk raamwerk voor basismaatregelen, en komt terug in de risicobeheersmaatregelen rond NIS2 en in de vragenlijsten van cyberverzekeraars. Wat daarbij vaak onderschat wordt: niet alleen de techniek telt, maar ook de vastlegging. Een actuele netwerktekening, een adresplan, een overzicht van de regels op de zonegrens en de reden waarom een uitzondering bestaat, zijn precies de documenten waar een auditor of schadebehandelaar om vraagt.
Wilt u eerst weten of uw organisatie onder de richtlijn valt en wat er dan van u verwacht wordt? Lees dan wat de NIS2-richtlijn voor uw bedrijf betekent. Voor de vastlegging en periodieke controle is compliance en auditing het vertrekpunt, en voor de inrichting van de zonegrens netwerkbeveiliging.
Zo voert u het in zonder de zaak plat te leggen
Segmentatie invoeren in een bestaand netwerk is vooral een kwestie van volgorde. De grootste risico’s zitten niet in de techniek, maar in vergeten apparaten en onbekende verkeersstromen.
- Inventariseer wat er werkelijk aan het netwerk hangt, inclusief de vergeten thermostaat, de deurbel en het apparaat dat een leverancier drie jaar geleden heeft opgehangen.
- Groepeer op functie en risico, niet op afdeling. Twee laptops van verschillende afdelingen horen in dezelfde zone; een camera en een laptop niet.
- Maak een adresplan en beschrijf per zone welke communicatie noodzakelijk is. Dit is het moment om leveranciers te vragen welke poorten hun apparatuur nodig heeft.
- Bouw de nieuwe zones naast het bestaande netwerk op, zodat u kunt terugvallen als iets niet werkt.
- Migreer per groep en begin met de minst kritische: gasten en camera’s eerst, servers en kassa’s als laatste.
- Test per zone met een schone laptop wat wel en niet bereikbaar is. Vertrouw niet op de configuratie, maar op de meting.
- Zet monitoring en logging aan en beoordeel de regelset elk kwartaal opnieuw.
Veelgemaakte fouten
- Tijdens de migratie regels ruim openzetten om verder te kunnen, en ze daarna nooit meer dichtzetten.
- Printers in het serversegment plaatsen, waardoor iedere werkplek daar alsnog bij moet.
- Beheerinterfaces van switches en access points in het werkplek-VLAN laten staan.
- Eén wifi-netwerk voor personeel en gasten, met alleen een ander wachtwoord als scheiding. Zie ook BYOD-beleid: risico’s en best practices.
- Niets documenteren, waardoor na een jaar niemand meer weet waarom een uitzondering is gemaakt.
Begin met weten wat er hangt
Segmentatie hoeft geen project van maanden te zijn. In de meeste omgevingen levert een inventarisatie plus drie extra zones al het grootste deel van de risicoreductie op, zonder dat gebruikers er iets van merken. Wij brengen uw huidige netwerk in kaart, geven aan welke zones voor uw situatie zinvol zijn en wat de invoering praktisch betekent. Bekijk ook onze aanpak voor netwerkbeheer
Geef een reactie